AI治理如何划分责任边界?

AI治理最难的不是制定更多规则，而是回答一个具体问题：当使用异常、成本失控或输出造成风险时，究竟由谁负责。责任边界不能按部门名称简单切割，而应沿着“谁决定使用、谁管理运行、谁承担业务后果、谁审查风险”四条线展开。只有把决策权、执行权和问责权对应起来，治理才不会变成相互推诿。

先区分三类责任

业务负责人应对“为什么使用以及用来做什么”负责，包括确认业务目的、评估输出是否适合进入业务流程，并承担结果被实际采用后的业务责任。不能因为结果由 AI 生成，就把判断责任转移给工具或运维部门。

IT 运维部门负责“系统是否被正确、稳定地使用”。其职责包括建立使用地图，识别账号、部门、调用来源和异常行为，处理服务失败、重复重试、异常峰值等运行问题。运维可以限制访问、调整监控强度或暂停流程，但不宜独自判断某种业务用途是否合规。

合规部门负责“这种使用是否被授权、风险是否可接受”。审查重点应覆盖数据类型、权限范围、人工复核、证据留存和输出影响。合规结论也不能永久有效：业务用途、数据类型或自动化程度发生变化时，应重新评估。

财务或采购部门则承担成本可追溯责任，推动费用与部门、项目、业务流程或预算责任人关联。成本异常不等于违规，但无法归属、重复调用或明显偏离业务计划的消耗，应交由业务负责人说明，并由运维协助回溯链路。

用事件触发责任转移

责任边界应通过处置流程落地。使用监控发现异常时，先由运维定位并通知业务负责人；成本持续偏离预算时，由业务负责人解释用途，财务或采购核对归属；涉及敏感数据、越权调用或重要业务决策时，合规部门应介入，必要时要求人工复核、限制使用、整改或重新审批。

关键在于保留完整证据：使用目的、责任人、调用环境、费用归属、审批结果、异常处置和配置变化都应能够关联。否则，企业即使设置了多个部门，也无法判断谁拥有决策权、谁应采取行动。

不把责任推给“模型”

AI是工具，不是责任主体。真正需要问责的是：谁批准了场景，谁将输出纳入流程，谁负责运行控制，谁有权暂停使用。治理指标也应服务于这些判断；如果一个指标不能说明异常是什么、由谁处理以及何时完成，就只是信息堆积而不是责任机制。最稳妥的做法，是从高频或高风险场景开始建立登记、监控、审计和复评闭环，再逐步扩大范围。