本指南面向规模约50至2,000人、已在产品或运营中使用AI或即将引入AI的企业中的CEO、CTO、COO、合规与数据保护负责人。本指南解释了AI治理为何正在向中型企业延伸、EU AI法案的要求及时间节点、适用的框架、10步治理基线、AI智能体的管控措施，以及如何回答客户问卷中的AI相关问题。本指南是我们2026年技术趋势系列的一部分，提供实务指导，不构成法律建议。
本指南内容
- AI治理为何正在向中型企业延伸
- EU AI法案的要求与时间节点
- 适用的框架
- 10步治理基线
- AI智能体与集成系统的管控措施
- 回答客户问卷中的AI问题
- Netbase如何治理其自身的AI交付
- 本指南的局限性
- 常见问题
- 本指南的编写方式
- 下一步
AI治理为何正在向中型企业延伸
三件事同时发生。
有明确时间节点的监管。EU AI法案是首部综合性AI法律，其义务按阶段分批生效至2028年。当AI系统或其输出结果在欧盟境内使用时，该法案可适用于欧盟以外的企业。
客户正在发问。企业采购方如今会在供应商问卷中加入AI专项：您在哪里使用AI、基于哪些数据、使用哪些模型、由谁审核输出结果？没有答案的企业在监管机构介入之前就已经丢单。
AI能够主动行动。能够调用工具和API的智能体会将一个错误答案变成一个错误动作。Postman《2025年API现状报告》发现，51%的开发者将AI智能体发起的未经授权或过度API调用列为首要安全顾虑。
大多数中型企业属于部署方：使用由第三方构建的AI系统，或在商业及开放权重模型之上开发功能。部署方的义务轻于高风险系统提供方，但并非没有义务，而且无论法律底线如何，客户都期望供应商具备AI治理能力。
EU AI法案的要求与时间节点
| 日期 | 适用内容 | 中型企业部署方应核查的事项 |
|---|---|---|
| 2025年2月2日 | 禁止性AI行为及一般条款 | 不存在禁止性使用（如社会评分或工作场所情绪识别）；使用AI的员工已接受培训 |
| 2025年8月2日 | 通用AI模型义务及治理机构 | 模型供应商的文档与条款 |
| 2026年8月2日 | 法案全面适用，包括透明度义务 | 用户知晓自己正在与AI交互；AI生成内容在要求的场合可被识别 |
| 2027年12月2日 | 敏感领域高风险系统，如就业、教育和关键基础设施 | 是否存在属于高风险领域的AI使用，以及相应的部署方义务 |
| 2028年8月2日 | 嵌入受监管产品的高风险AI | 仅在您生产或集成此类产品时相关 |
后两个日期来自《AI综合法》（AI Omnibus），该法于2026年7月27日生效，调整了高风险截止日期，并将简化义务从中小企业扩展至小型中等市值公司。在采取行动之前，请查阅欧盟委员会网站上的最新文本。
适用的框架
ISO/IEC 42001。AI管理系统国际标准：涵盖政策、角色、风险评估、影响评估、AI全生命周期管控及持续改进。由于结构相似，该标准适合已运行信息安全ISO 27001的企业。
NIST AI风险管理框架。按四项职能组织的自愿性框架：治理、映射、度量和管理。无论您身处何地，这都是一套实用的风险沟通术语体系。
OWASP大语言模型应用十大风险。专为基于语言模型构建的应用而设的安全清单，包括提示注入和过度自主等风险及工程师可直接应用的缓解措施。
无需同时引入全部三个框架。使用EU AI法案明确合规要求，借助ISO/IEC 42001或NIST框架组织管理体系，再用OWASP保护您所构建的产品。
10步治理基线
-
盘点所有AI使用情况。
列明产品、内部工具、供应商功能及实验项目，注明每项所用模型、涉及数据和负责人。
-
划定角色与风险等级。
对每项使用，注明您是提供方还是部署方，并评定风险等级：禁止、高风险领域、透明度义务或最低风险。
-
指定负责人。
每项AI使用设一名可追责的负责人，并指定一名统筹整体治理基线的负责人。
-
制定简要AI政策。
明确允许与禁止的使用场景、新用途的审批流程，以及员工可向AI工具输入的内容范围。
-
设定数据规则。
明确哪些数据可流向哪些模型、数据留存要求、个人数据处理方式及数据处理地点。
-
界定人工监督范围。
哪些输出需经审核、哪些操作需获批准，以及人工如何干预或终止系统。
-
核查供应商。
审查模型和工具供应商的文档、数据条款、安全实践及变更通知。
-
保障系统安全。
最小权限原则、输入输出检查、日志记录及提示注入测试。
-
监控与事件处理。
跟踪质量和错误，建立AI事件的上报、调查和处置路径。
-
培训人员。
为使用或构建AI的员工提供与其职责匹配的素养培训，使其能够负责任地使用AI。
我们的企业AI就绪评估可帮助判断数据、技能和治理是否已为更大规模的项目做好准备；我们的AI转型服务可在治理内嵌的前提下推进该项目。一旦某项AI使用从辅助型工具升级为主动行动的智能体，我们的AI智能体运营模型指南可将第3步的"指定负责人"转化为四角色矩阵和整个智能体组合的升级路径。
AI智能体与集成系统的管控措施
接入业务系统的智能体和AI功能需要超出政策文件的专项管控：
- 工具范围最小化。仅为每个智能体分配其任务所需的工具和数据，优先授予只读权限。
- 高影响操作需审批。付款、退款、价格调整、客户消息及数据删除，在错误率经证明足够低之前，均需人工审批。
- 范围化凭证。智能体使用各自专属的身份和权限范围，严禁共用管理员密钥。
- 频率限制与监控。像对待任何新客户端一样监控智能体调用，并对异常流量发出警报。
- 决策日志。按案例记录输入、工具调用和结果，以便追溯和解释故障。
- 手动回退机制。每个自动化流程均保留将案例移交给人工的通道。
我们对AI智能体与工作流自动化的比较分析阐明了何时值得引入智能体所带来的额外开销；我们的智能体商务就绪指南将同样的管控措施应用于购物智能体。我们的AI智能体安全与人工审批指南将这些管控措施转化为可在上线前进行测试的层次化体系。
回答客户问卷中的AI问题
采购方问卷通常涉及五个方面，建议一次性准备好答案并保持更新：
- AI的使用场景。来自您的清单，以通俗语言表述。
- AI可访问的数据。来自您的数据规则，包括客户数据是否用于训练任何模型。
- 所用模型与供应商。来自您的供应商核查记录。
- 输出结果的审核人。来自您的监督规则。
- 事件处理方式。来自您的事件处置路径及联系人信息。
服务公司和代理机构最常面对此类问题；请参阅我们的专业服务行业页面了解运营背景。
Netbase如何治理其自身的AI交付
Netbase将ISO/IEC 42001 AI管理系统框架应用于自身的AI交付实践。这是我们的工作方式，而非关于客户系统的声明。它建立在每个项目所采用的安全实践之上：安全代码审查与版本控制、传输层TLS加密与静态AES加密、基于角色的访问控制、管理后台MFA、漏洞扫描与渗透测试，以及根据要求签署的保密协议和数据处理协议。Netbase持有ISO 27001认证和SOC 2 Type II鉴证报告，适用于其自身运营；详见安全与合规。
我们与主流商业及开放权重AI模型合作，按项目进行选型，使治理聚焦于具体使用场景而非单一供应商。我们已交付的AI项目包括4over4的推荐引擎——该项目中4over4报告在实施后六个月内营收增长82%——以及匿名客户项目，如一个RAG知识助手。治理内嵌于我们的负责任AI与MLOps及质量与安全服务之中，我们的AI优先离岸开发中心指南将同样的规则应用于AI辅助交付团队。
本指南的局限性
- 本指南为一般性指导，不构成法律建议。具体义务取决于您的角色、所在行业和目标市场。
- EU AI法案日期反映的是2026年9月在AI Omnibus生效后查阅欧盟委员会网页时的状态，后续可能再次变更。
- ISO/IEC 42001、NIST框架和OWASP的概述仅描述其用途，并非完整要求说明。
- 本文内容不意味着遵循治理基线可使任何系统达到合规状态。
常见问题
可能适用，当AI系统或其输出结果在欧盟市场销售或使用时。请咨询法律顾问确认您的角色定位。
法律上不作强制要求。当客户询问AI治理情况时，它是一套有用的结构，尤其适合已运行ISO 27001的企业。
通常由COO或CTO等高级领导担任，每项AI使用设专属负责人，并由安全与数据保护团队提供支持。
从清单开始。无法评级、保障或解释那些尚未列明的AI使用情况。
此指南背后的项目
4over4是美国一家网络印刷店，流量稳定但成单率偏低。Netbase JSC远程协作，优化结账、搜索与导航，自动化Adobe Illustrator（.ai）至SVG文件转换，并新增推荐功能。实施后六个月内，4over4报告电商营收增长82%，转化率提升48%。
Keep Reading
一家Netbase未披露名称的机构（归类于专业服务）需要一套能够基于自有文档进行问答的知识助手。Netbase以远程方式交付了检索增强生成（RAG）助手，涵盖AI咨询、工程开发与系统集成。客户所在国家、模型选型、项目日期及成果均未公开；本匿名项目记录仅说明系统类型及Netbase的角色。
Keep Reading相关服务与解决方案
AI辅助质量与安全，内嵌于每次发布
Netbase为无法承受发布失败或客户数据泄露风险的团队提供软件质量与安全服务。我们将测试、性能与安全内嵌于交付流程，借助AI生成测试用例并分类问题，而非在上线阶段才进行检查。本服务系列涵盖质量工程与测试，以及我们构建和运营的产品的应用安全保障。
Learn More
生产环境AI的负责任AI与MLOps
MLOps与负责任AI在发布后持续保障AI功能的可信度。Netbase面向生产环境中受监控、受治理AI的实践，涵盖每次发布前的评估、模型与提示词及数据版本管理、质量与成本监控，以及设有专属负责人的事件控制机制。这是一项成长期能力，以一个匿名客户的MLOps流水线交付案例为支撑。
Learn More
面向SaaS、移动端和AI产品的数字产品加速器
数字产品加速器是Netbase构建的模块与交付模式，帮助创始人和产品团队更快上线SaaS、移动端及AI产品。无需从零重建账户、计费、工作流和集成，直接复用经过验证的组件，将工程资源集中于产品差异化功能（包括买家如今期待的AI功能），并拥有为您定制开发的代码。
Learn More
与Netbase远程合作
Netbase JSC的所有项目均以远程方式交付，任何国家、任何行业的客户均可与我们合作；Netbase已服务全球80个国家的客户。合同与发票由Netbase JSC出具，付款方式为银行转账至Netbase JSC公司账户或PayPal Business。欢迎通过WhatsApp或邮件联系CEO Huy Nguyen（David）。
讨论项目
Netbase JSC帮助企业设计、构建、现代化及运营数字产品与AI赋能的业务系统。project@netbasejsc.com
+84 937 869 689
91 Nguyen Chi Thanh, Dong Da, Hanoi, Vietnam
取得联系
告诉我们您想构建、现代化或运营什么。