企业影子 AI 怎么治理？未授权模型、个人账号、插件、数据外传、费用、发现、分级、替代、例外与审计清单

员工为了赶一份方案，把客户资料贴进个人账号的聊天机器人；开发人员为了补代码，给编辑器装了未经审批的 AI 插件；会议结束后，外部机器人已经把录音和纪要留在供应商平台。多数人并非有意绕过制度，而是手头的正式工具不够快、不好用或根本不存在。企业若只发一封“禁止使用 AI”的通知，需求不会消失，只会转到更难看见的位置。

什么是影子 AI

影子 AI 是未经过企业识别、评估或批准，却被员工、外包人员或业务团队用于工作的模型、账号、插件、接口和自动化服务。它既包括公开聊天网站，也包括个人订阅、浏览器扩展、会议机器人、代码助手、图片生成器、办公软件插件、外部 API 和自行下载的本地模型。

先把问题与恶意行为分开

未经批准不等于主观恶意。治理要同时处理两件事：一是阻止敏感数据、凭据和高风险动作进入不受控环境；二是找出员工为什么选择这些工具。审批要几个月、企业账号缺少关键功能、正式模型响应太慢，都会推动影子使用。只追责而不修复供给，风险还会回来。

治理对象不只是一个网址

同一服务可能通过网页、移动端、浏览器插件、办公套件、编辑器和 API 被调用。封住主域名不代表数据流停止。台账应以“供应商、产品、接入方式、账号类型、使用场景、数据类型和动作权限”为单位，而不是只维护一张网站黑名单。

建立最小工具台账

台账字段	需要回答的问题	证据来源
工具与接入	网页、插件、客户端还是 API	资产、浏览器、终端与网关记录
账号与付费	个人账号、企业账号还是共享账号	单点登录、采购与报销
数据流	输入、附件、输出和日志流向哪里	访谈、配置、合同与实测
权限	只能生成内容，还是能读写业务系统	OAuth 授权、插件和 API 权限
责任	谁使用、谁批准、谁复核、何时到期	申请单、例外单与复审记录

从多种线索发现使用

发现不能依赖员工自报。可在合法、必要且已告知的范围内，组合查看软件资产、浏览器扩展、企业 DNS 或代理、云访问安全设备、单点登录、OAuth 授权、采购合同、公司卡报销、API 网关和服务台工单。NIST 网络安全框架把资产与外部服务盘点列为识别工作的组成部分，可参考其CSF 2.0 资源设计覆盖范围。

发现不等于监视员工

目标是识别企业数据流和工具风险，不是阅读每个人的完整提示词。先定义采集字段、用途、留存期限、访问角色和申诉机制。能用域名、应用标识、数据等级和事件计数判断的问题，不应默认收集正文。涉及员工隐私和劳动关系时，要让法务、人力与信息安全共同确认边界。

资产发现要允许员工补充

技术记录看得见连接，却未必知道业务目的。为团队提供低摩擦的自报入口，说明自报用于纳管和提供替代，不会自动等同于违规处罚。访谈时询问任务、频率、输入资料、期望输出、缺失功能和可接受替代，通常比只问“你用了什么”更有价值。

给每种工具画数据流

至少标明提示词、上传文件、检索资料、模型响应、人工反馈、使用日志和训练数据流向；再标明存储地区、保留周期、删除方式、子处理商和管理员可见范围。供应商写着“不用于训练”，并不自动说明不会留存、不会供人工支持查看，也不代表所有子产品采用相同条款。

个人账号与企业账号不同

个人账号通常缺少统一停用、集中审计、组织策略和数据归属保证。即便同一模型在企业版承诺更严格的数据控制，也不能据此推断个人免费版同样安全。允许某项服务时，应写清允许的套餐、登录方式和组织配置，不能只写供应商品牌。

先按数据分级

把现有数据分类制度映射到 AI 场景。公开资料可在批准工具中使用；内部资料需要企业账号、合约和保留策略；客户信息、个人信息、商业秘密、未公开财务、源代码与生产数据要按用途进一步审批；密码、私钥、访问令牌和真实生产凭据应明确禁止输入任何通用生成工具。

再按任务后果分级

改写一段公开文案与生成授信建议，即使输入相似，后果也不同。判断任务是否影响客户权益、合同承诺、财务、安全、医疗、人事或监管义务，是否有合格人员复核，错误能否及时发现和撤回。风险等级应由数据敏感度与任务后果共同决定。

最后看工具能做什么

只返回草稿的工具与能发送邮件、改数据库、下订单、部署代码的代理，不应使用同一准入标准。动作类工具要审查身份、参数、最小权限、人工确认、幂等、超时、撤销和审计。凯乐丰资料站的AI Agent 工具调用验收清单可作为动作权限的延伸检查。

用三轴形成风险等级

等级	典型组合	处置方式
低	公开数据、辅助草拟、无外部动作	批准目录内直接使用并抽查
中	内部数据、有限集成、人工复核	企业账号、限定场景、日志与定期复审
高	敏感数据、客户影响或系统写权限	专项评估、隔离环境、强制确认与持续监控
禁止	凭据外传、规避控制、无法接受的自动决策	阻断、调查并提供安全替代

建立可搜索的批准目录

员工需要知道什么能用，而不仅是什么不能用。目录列出产品、允许场景、禁止数据、账号入口、费用归属、支持团队、默认保留期和最近复审日期。一个供应商的聊天、代码、会议与图像产品可以有不同结论，目录应细到产品和功能。

企业身份是基本控制

优先使用单点登录、多因素认证、自动开通与离职停用，禁止共享账号。管理员应能查看许可证、组织成员和高层级使用事件。身份集成不是合规的全部，但没有统一身份，企业很难证明谁在何时访问了什么，也无法在人员离开后及时收回权限。

合同要覆盖实际数据路径

采购评估应确认输入与输出是否用于训练、默认保留多久、能否配置和删除、数据存放地区、子处理商变化、事件通知时限、数据导出、终止后的清除和支持人员访问。宣传页不能代替合同，也不能代替租户内的真实配置截图与删除测试。

浏览器插件要单独审批

扩展可能读取所有打开页面、表单和剪贴板，比单独访问聊天网站的范围更大。维护允许列表，审查发布者、更新机制、权限变化和安装来源。仅在特定站点需要的扩展，不应获得“读取和更改所有网站数据”的永久权限。

OAuth 授权必须可回收

某些 AI 工具连接邮箱、网盘、日历、代码库和客户系统。审批时记录授权范围、管理员同意、服务账号、刷新令牌和撤销方法。定期寻找长期未使用、发布者变化或权限扩大的授权，不能只在首次登录时点击一次同意。

会议机器人有额外义务

自动入会、录音、转写和提炼行动项，会同时处理多方的声音与业务内容。企业要规定何时告知与取得同意、哪些会议不得加入、录音和纪要保存多久、谁能分享、离职后怎样转移或删除。外部来宾拒绝录制时，应有不依赖机器人的替代流程。

代码助手要防止秘密进入

除了源代码，还要防止配置、证书、内部地址、客户数据和漏洞细节进入外部上下文。启用秘密扫描、仓库范围限制和企业策略，提交前由开发者检查正确性、安全性和许可证风险。模型生成的代码不能跳过代码评审、测试和依赖检查。

API 使用统一经过网关

业务团队直接用个人邮箱申请密钥，会形成无法盘点的费用和数据通道。企业可用统一网关管理供应商、模型、调用身份、速率、预算、数据脱敏和日志字段。不要把通用密钥写进脚本或前端；配置与轮换可结合配置与密钥管理清单执行。

影子费用也是发现线索

个人报销、公司卡小额订阅和部门预算里常能看到未纳管服务。财务发现后不应简单拒付并结束，而应把工具、账号、负责人和业务理由送入评估。集中采购还能减少重复订阅，获得企业条款，并让许可证随人员变动及时回收。

准入流程必须足够快

为低风险工具提供短表单和明确时限，只收集场景、数据、用户、集成与费用等必要信息。中高风险再进入安全、隐私、法务、采购和架构评审。所有申请都走同一套重流程，会鼓励员工绕行，也会让审核人员淹没在低价值材料里。

试用放在受控沙箱

尚未批准的工具可以用公开或合成数据做限时试验，禁止连接生产系统和真实客户资料。试验记录负责人、人数、预算、结束日期、评价指标和清理动作。到期后必须转为批准、延长例外或停止使用，不能无限期停留在“正在试用”。

例外需要明确到期

业务确有紧急需求而正式方案尚未就绪时，可批准范围受限的临时例外。例外单要写明工具版本、用户、数据、目的、补偿控制、负责人、批准人和到期日。系统在到期前提醒复审，到期后默认撤销，不能用一次签字换取永久豁免。

补偿控制要能验证

“要求员工注意保密”不是充分的补偿控制。可验证措施包括只用合成数据、关闭历史记录、限定账号组、屏蔽文件上传、在输出前人工复核、限制网络出口、设定费用上限和保留必要审计事件。每项措施要有责任人与检查证据。

不要只靠域名封锁

封锁适合处理已确认的禁止服务和紧急事件，但工具可能换域名、嵌入其他产品或通过 API 访问。单一封锁还会逼迫员工用私人设备和网络。有效治理要把网络控制、身份、终端、采购、合同、教育和可用替代结合起来。

批准工具必须真正可用

正式方案若排队很久、上下文太短、不能处理常用文件或缺少业务知识，员工仍会回到个人工具。持续收集被拒需求、绕行原因和支持工单，把高频缺口纳入产品改进。治理团队要对“安全工具是否完成工作”负责，而不仅对阻断数量负责。

私有化 AI 是一种替代路径

对数据敏感、访问权限复杂或需要接入内部系统的场景，可评估私有化部署、专有租户或受控模型网关。部署位置本身不保证安全，还要处理身份、数据权限、模型更新、日志、备份和验收。可参考企业私有化 AI 部署的数据、权限与验收清单确定边界。

提示词模板也要纳管

共享模板可能包含内部规则、客户字段和容易被注入操纵的系统指令。给模板设置所有者、变量、版本、测试集、调用范围和回滚点，避免员工在群聊中复制包含真实数据的长提示词。相关机制可参照企业提示词模板管理清单。

供应链评估要持续进行

模型、插件、向量库、托管平台和子处理商都可能变化。NCSC 与多国机构发布的安全 AI 系统开发指南把安全设计、开发、部署与运行放在同一生命周期内。企业应订阅重大变更通知，定期复核供应链、权限和安全公告。

把生成式 AI 风险纳入现有制度

不必另建一套与企业风险管理割裂的体系。把工具所有者、风险接受、采购、数据分类、事件响应、供应商管理和内部审计接入现有流程。NIST 的生成式 AI 风险管理配置文件可用于检查生成式 AI 特有风险，同时仍以组织目标和风险容忍度为准。

关注敏感信息泄露和插件风险

评估清单不应只问模型会不会“答错”。OWASP 的大语言模型应用风险项目覆盖敏感信息披露、供应链、插件与过度代理等问题。企业可把这些风险映射到自身的数据分类、集成审批、测试和人工确认。

输出必须有人负责

批准使用不等于批准直接发布。对客户、合同、财务、招聘、安全和公开声明等内容，指定具备业务资格的人复核事实、来源、偏差、保密与版权。记录最终决定由谁做出，不能把“模型生成”当作错误后的责任空白。

外部事实要回到来源

模型回答可能流畅但过时或虚构。要求使用者保存关键来源，并对数字、法规、产品能力和引文做独立核验。高影响流程应使用可复现的测试集和已批准知识源，不要把一次聊天结果当作正式证据。

自动动作要有确认点

允许 AI 起草邮件不等于允许自动发送；允许生成查询不等于允许直接修改生产库。把读取、建议、执行和不可逆执行分成不同权限。付款、删改数据、发布、变更权限和对外沟通，应在动作前展示对象、参数和影响，要求授权人员确认。

日志记录必要而非越多越好

建议记录工具、组织账号、时间、场景、数据等级、模型或版本、策略结果、动作与复核人。提示词正文只在确有安全或质量需要时留存，并做脱敏、访问控制和期限管理。日志本身可能包含商业秘密，因此也要进入数据分类和销毁流程；字段、告警和销毁边界可对照企业安全日志管理清单逐项检查。

告警要指向可处置事件

可以关注禁止域名访问、个人账号批量上传、秘密扫描命中、异常 API 消耗、新增高权限 OAuth、未批准扩展安装和例外过期。每条告警都要有严重度、负责人、调查步骤和关闭条件。只堆积告警数量，会让真正的数据外传信号被淹没。

数据误传后先止损

员工发现误贴资料时，应有简单明确的报告入口。响应团队先确认工具、账号、时间、数据范围、分享对象、保留和训练设置；随后撤销公开链接、删除会话或文件、联系供应商执行删除，并在涉及凭据时立即轮换。不要要求员工为了避免处罚而隐瞒。

保留必要调查证据

删除前先按事件流程保存必要的时间线、账号、数据类别和配置证据，避免既无法调查又保留过量正文。法务、隐私、安全和业务负责人共同判断通知、影响评估与后续措施。事件结束后把原因反馈给批准目录、培训和技术控制。

准备供应商退出方案

工具停用时，清点组织账号、个人订阅、API 密钥、OAuth 授权、机器人、导出数据和自动化任务。验证数据删除和合同终止，保留必要证明，更新批准目录与网络策略。只取消付款而不撤销连接，仍可能留下可用令牌和共享链接。

培训使用真实工作场景

与其反复讲抽象口号，不如让员工判断：能否把客户名单交给公开模型、能否给会议机器人录制董事会、代码助手命中秘密后怎么处理、什么情况要申请例外。培训应直接展示批准入口、禁止数据、报告渠道和替代工具，并针对开发、销售、人力、财务分别举例。

管理者也要承担责任

团队负责人不能一边要求当天交付，一边让安全审批长期无响应。管理者应确认团队工具清单、预算、数据等级和复核安排，及时升级正式工具缺口。影子 AI 指标要用于改善供给和控制，不应简单转换成员工排名。

设立小型跨职能机制

信息安全负责威胁与控制，隐私和法务处理数据与合同，采购管理供应商和费用，IT 管理身份与终端，业务负责人确认价值和后果，内部审计检查证据。日常低风险申请可以授权专人快速处理，委员会只讨论重大风险与例外。

指标要能反映风险下降

可跟踪已识别工具覆盖率、批准工具采用率、个人账号迁移率、高风险授权数量、例外按期关闭率、平均审批时间、误传报告到止损时间、重复订阅节省和员工满意度。域名阻断次数不能单独证明治理有效，下降也可能意味着使用转入私人网络。

首月先完成可见性

前 30 天确定治理负责人和数据边界，汇总身份、终端、网络、采购与自报线索，形成首版台账；同时公布临时禁止项、报告渠道和一到两个可用替代。对已发现的高权限集成、凭据外传和敏感数据上传优先止损。

第二个月完成分级与迁移

31 至 60 天为高频工具画数据流，完成数据、任务、动作三轴分级，发布批准目录和快速申请流程。把个人账号迁入企业租户，收回重复订阅，试点统一 API 网关与插件允许列表，并为暂时不能替代的场景签发限时例外。

第三个月验证控制闭环

61 至 90 天抽样检查账号停用、权限回收、删除、日志、告警和事件演练。比较阻断前后的业务完成情况与绕行原因，修复正式工具缺口。高风险供应商、动作型代理和私有化场景进入持续评测，不把 90 天计划当作一次性项目。

验收必须查看真实证据

验收项	合格证据	常见假通过
工具可见性	多来源台账可追到负责人和场景	只有一张域名黑名单
批准目录	员工能找到入口、允许数据和支持人	只在制度附件中写产品名
身份回收	离职与转岗测试能撤销账号和令牌	仅删除内部通讯录
例外管理	有范围、补偿控制、到期与复审记录	邮件口头同意且长期有效
事件响应	误传演练完成删除、轮换和时间线	只发送提醒邮件
业务替代	高频需求有可用方案并监测采用	封锁后不跟踪工作如何完成

最终检查清单

上线治理前逐项确认：工具和接入方式已盘点；个人与企业账号已区分；数据流、保留、训练与子处理商已核实；数据、任务和动作已经分级；批准目录、快速申请、沙箱与例外可用；插件、OAuth、API 密钥和费用可回收；员工隐私边界明确；误传有报告与止损流程；正式工具能满足真实工作；指标能同时反映风险、效率和采用。

把治理做成一条服务

影子 AI 治理的成熟标志，不是让所有访问记录归零，而是让企业知道哪些工具在处理什么数据，员工能快速取得合适能力，高风险使用可被限制和追溯，工具退出时数据与权限可以收回。若企业需要把官网知识、内部资料、权限和模型放入受控环境，可从凯乐丰 Colorfun 私有 AI 服务了解方案范围，再按本清单完成场景、数据与验收定义。