“我们部署了聊天机器人”——但为什么这还不是企业级AI
典型场景：一个部门部署了一个语言模型，接入了文档数据，并进行了演示。演示运行良好。随后问题开始出现：安全部门询问用户输入的内容（prompts）被传到了哪里；法务部门质问个人数据凭什么被输入模型；业务负责人则质疑，如果回答没有来源依据，为何不能将其附在决策文件中。项目并非因模型质量而停滞，而是因为缺乏围绕模型的完整管控体系。
企业级AI与聊天机器人的区别不在于模型的大小，而在于每个回答都有 可追溯基础：谁问过他有权访问哪些数据，片段来自哪里，日志中记录了什么，以及谁对后果负责。其他所有问题——可控性、成本、可扩展性——都是由此衍生出来的。
风险边界：企业AI何时失效
AI系统带来的风险并不仅限于“模型可能出错”。以下是实际部署中常发生事故的环节，以及每个环节在技术层面的具体含义。
| 风险 | 技术上发生了什么 | 用什么封闭 |
|---|---|---|
| 上下文泄露 | 提示中插入了用户在源系统中无权访问的片段：RAG 返回了文档，但未验证权限。 | 将用户权限传递至搜索层，在检索阶段而非响应阶段进行过滤 |
| Prompt注入 | 模型的指令包含在数据中——例如邮件、PDF 或网页——模型会将其作为用户命令执行。 | 指令通道与数据通道分离、附件消毒、禁止从不可信上下文中调用工具 |
| 索引中毒 | 知识库中收录了一份包含蓄意虚假或恶意内容的文档，并成为所有回答的“真理来源”。 | 文档来源追踪、索引版本控制、源代码审查、索引回滚功能 |
| 影子AI | 员工将数据上传到公共服务平台，是因为内部系统太慢或根本不存在。 | 可访问的内部服务加上网络策略；没有替代方案的禁止措施行不通 |
| 通过工具升级 | 代理获得对API、邮件和ERP的访问权限，并以具有过度权限的服务账户身份执行操作。 | 工具使用独立账户，最小权限，人为确认不可逆操作 |
| 无声的拒绝 | 模型在缺乏数据的地方自信地给出回答；错误进入商业决策，并在数周后才被发现。 | 必须引用来源、置信度阈值、“我不知道”的诚实回答，以及通往人类的路径 |
| 不可追踪性 | 事件确实存在，但无法还原模型在特定对话中看到了什么内容：仅记录了回复的文本。 | 提示日志、提取的片段、模型版本和索引版本 |
架构：五层防护型AI闭环
受控回路由五层组成。缺少其中任何一层都会带来上文所列举的那些风险。
1. 识别与访问
用户通过企业目录（而非单独的账户）登录 AI 服务。其角色和群组必须传递到搜索层：如果用户在数据源中只能看到十个文件夹中的三个，那么模型也仅基于这三个文件夹进行回答。另一项独立任务是代理和集成的账户管理：它们拥有自己的生命周期、密钥及轮换机制，此处遵循与 IDM/PAM 与访问管理.
2. 网关和策略
在用户与模型之间存在一个应用规则的中间层：规定哪些数据可以发送，哪些类别被禁止，哪些回复需要确认，以及在此角色下可使用哪些工具。该层还负责配额、超时和防止预算耗尽的保护机制。无论是外部模型还是自有模型，都必须经过此网关——它是唯一能够集中修改策略的节点。
3. 模型与计算
选择外部 API 还是自有环境，这不是一个意识形态问题，而是数据类别问题。对于商业机密、个人数据和代码，使用自有环境更为实际：模型运行在可控算力上，提示词不会离开该环境。这已经是一个基础设施层面的问题——内存、加速器、容错能力、单个 token 的成本；本方向正是围绕这一问题展开。 AI基础设施和计算能力.
4. 数据与知识
负责回答“事实来源”问题的层级。这里包含了数据源连接器、标准化处理、分块、向量索引、片段级别的权限以及更新规则。实际实现—— Enterprise RAG; 在自己的知识库上验证假设是最便宜的 RAG飞行员.
5. 可观测性与责任
每个场景的日志、质量指标、事件复盘和负责人。没有这一层，既无法证明系统的正确性，也无法改进系统：因为无从衡量。AI 环节的事件应当纳入统一的安全监控体系中—— SIEM, SOAR, SGRC，以免AI成为盲区。
这些层组合在一起，就是我们所部署的 Restart AI Enterprise Platform 并在解决方案框架内进行设计 「受保护的企业AI」.
数据：早于模型的分类
实施的核心问题不是“用哪种模型”，而是“可以给它哪些数据”。答案始于数据分类：公开数据、内部数据、机密数据、个人数据（PDn）以及受限访问信息。针对每一类数据，明确其处理规则：能否发送至外部服务、是否需要去标识化、索引存储位置、日志保留期限等。
- 去标识化与掩蔽。 大量场景并不需要真实的个人数据：用于分析、测试和培训时，使用脱敏数据就足够了。这是一项独立的工程工作—— 掩饰和人格解体，并且它大大扩展了无需额外审批即可允许的场景清单。
- 片段级别的权限。 文档本身可能是完整的，但其附件却不可用。如果索引仅存储指向文档的链接，那么权限控制将在第一个例外情况出现时失效。
- 新鲜与来源。 每个片段都必须有来源、日期和版本。基于半年前已被废止的文件所作的答复，形式上虽正确，但实际上是有害的。
- 源代码质量。 模型不会修复数据中的矛盾，反而会加剧并使其更具说服力。关于这一点，将另撰专文。 为什么AI项目从数据开始.
可观测性：记录什么和测量什么
没有以下最低限度的事件集，就无法对事件进行分析：
- 请求时的用户标识符及其角色；
- 查询文本和完整的收集上下文——包含来源和版本的已提取片段列表；
- 模型版本和索引版本——否则一个月后无法复现该回答；
- 工具调用：调用了什么、使用了哪些参数、以谁的名义、结果如何；
- 政策制定者的决策：哪些内容被屏蔽、伪装或需要确认。
真正决定质量的指标包括：带有已确认来源的回答占比、诚实拒绝的比例、转由人工处理的请求比例、响应时间、场景成本，以及最重要的—— 用户在工作中应用的回答比例最后一个指标虽然难以收集，却比其他所有指标更有用：它能区分一个被实际使用的系统和一个仅仅看起来漂亮的系统。
监管合规：在俄罗斯境内适用的内容
- 个人数据。 如果提示词或索引中包含个人数据（ПДн），则需遵守152-FZ号联邦法的要求：处理依据、数据库本地化、威胁模型、向俄罗斯联邦通信、信息技术和大众传媒监督局（Roskomnadzor）提交通知。相关配套措施已在解决方案中说明。 《152-FZ号联邦法与个人数据》.
- 重要的 CII 对象。 将AI服务引入重要设施的范围内，属于根据第187号联邦法规定需进行变更的事项：分类、协调、防护措施。参见 「KII/187-FZ 的保护」.
- 商业秘密。 CT 模式要求考虑载体和访问权限。RAG 索引是一种载体，应与文件存储一同列入清单。
- 行业要求。 对于银行和支付基础设施，增加了央行的监管要求；对于政府系统，则增加了对国家信息系统（GIS）的要求；«GIS保护»).
将这些要求归纳为控制程序并监督其执行，有助于 Security & Compliance AI，而一次性符合性评估则由 合规实践.
检查清单：您的 AI 流程是否已准备就绪
逐项进行。每一个“不”都不是终审判决，而是路线图中的具体任务。
使用权
- AI 服务的登录通过企业目录进行，而非本地账户。
- 用户权限在片段搜索阶段即已应用，而非事后应用。
- 每个代理和集成都有独立的账户，具备最小权限并定期轮换密钥。
数据
- 有数据分类，并且针对每个类别都描述了在AI中的使用方式。
- 已知索引、缓存和日志的物理存储位置。
- 对于不需要真实个人数据的场景，采用去标识化处理。
- 每个索引片段都有一个来源、版本和日期。
答案检查
- 回答包含来源链接，而非无依据的转述。
- 系统能够回答“不知道”并将问题转交给人工处理。
- 代理的不可逆操作需要人工确认。
可观测性
- 对话可复现：上下文、模型版本和索引版本均已保存。
- AI-контур的事件会进入统一的网络安全监控系统。
- 日志具有保存期限和访问权限控制。
责任
- 每个场景都有一个业务方负责人。
- 描述了事件处理流程：谁查看日志，谁做决策，如何回滚索引。
- 有内部的人工智能使用规则，员工们都知道。
从哪里开始
实践中最快出结果的顺序：
- 场景和影子AI的盘点 — AI-discovery：AI 已经用在哪些地方，哪些数据被传入其中，哪些场景能产生效果。
- 画像风险评估 — Secure AI audit：对访问、数据、日志记录和策略进行分析，并列出具体的改进项。
- 基于真实知识库的试点 — RAG飞行员：在有限范围内检查回答质量并划分权限。
- 工业环境 — Restart AI Enterprise Platform 和 安全的人工智能自动化 用于代理执行操作而不仅仅是回应的场景。
相关材料： 数据作为 AI 的基石, 您网站上供 AI 代理使用的页面如果需要讨论具体的回路，而不是整体情况—— 写信给我们.
让我们讨论一下您的环境
描述任务、当前系统、约束和预期结果。我们将提供实用的第一步：诊断、试点、审计、路线图或项目团队。
