企业人工智能治理：框架与合规

本页为葡萄牙语原文的译文，仅供参考，内容涉及巴西法律。如有出入，以葡萄牙语版本为准。 阅读葡萄牙语原文

企业层面的人工智能治理已不再是竞争优势，而成为一项监管要求，全球性框架与巴西国内规范正在共同塑造企业合规体系。

巴西与全球人工智能治理的现状

近年来，各种规模、各个行业的企业采用人工智能系统的速度前所未有。然而，这场技术变革也带来了法律与监管层面的挑战，要求企业作出有体系的回应。在这一背景下，人工智能治理应运而生，它是由政策、流程和内部控制措施构成的整体，目的是确保这些技术在企业环境中得到负责任、合乎伦理且合法合规的使用。

在国际上，欧盟已通过《人工智能法案》（AI Act，即人工智能条例），成为首部全面规范该领域的立法，按风险等级对人工智能系统分类，并为开发者和部署者设定与风险相称的义务。美国则以分行业监管为主，各监管机构针对医疗、金融和交通等领域分别发布具体指引。经济合作与发展组织（OCDE）也发布了相关原则，为数十个国家制定国内政策提供了参考。

在巴西，人工智能法案目前仍在国会审议中，其内容包括风险分级、受自动化决策影响者的权利以及透明度义务。无论立法文本最终能否通过，可以确定的是，巴西国家数据保护局（ANPD）已经以《通用数据保护法》（LGPD）为依据，对处理个人数据的人工智能系统履行重要的监督职责。因此，在巴西境内经营的企业，既要考虑现行法律框架，也要关注正在制定中的规范。

这一主题与算法的全球治理密切相关，我们已有专文论述。

这一主题与司法领域的人工智能密切相关，我们已有专文论述。

企业人工智能治理的主要框架

分析企业构建人工智能治理体系时可用的各类框架，可以发现存在多种思路，企业可结合自身实际加以组合运用。由美国国家标准与技术研究院发布的NIST AI风险管理框架（NIST AI Risk Management Framework，AI RMF）是一套自愿适用、灵活的结构，包含四项主要职能：治理、映射、衡量和管理与人工智能相关的风险。由于实用性强，且能适应不同的企业情境，其在全球范围内的采用率不断上升。

ISO/IEC 42001标准发布于2023年，规定了人工智能管理体系的要求，沿用了其他ISO管理类标准已为人熟知的结构。对于已经取得ISO 27001（信息安全）或ISO 9001（质量）等认证的企业来说，与ISO 42001对接是顺理成章且高效的路径。该标准涉及影响评估、持续监测、决策记录留存，以及组织对人工智能系统全生命周期的责任等方面。

另一项重要参照是OCDE提出的负责任人工智能框架，包含五项原则：包容性增长与可持续发展，以人为本的价值观与公平，透明度与可解释性，稳健性与安全性，以及问责。这些原则虽然属于指导性质，但已被多个国家的国内立法吸收，也成为跨国公司制定内部政策的基础。

有效的人工智能治理，不只是满足法律要求；它需要一种组织文化，把伦理、透明和责任融入智能系统生命周期的每一个环节。

就巴西而言，ANPD关于自动化决策的指引，以及联邦政府发布的《人工智能良好实践指南》，对国际框架形成了补充。我们建议企业采取混合式做法，根据自身需求、所在行业以及数据治理和技术方面的成熟度，从各个框架中选取适用的要素。

人工智能合规实务：如何搭建企业合规方案

落实人工智能合规方案，需要有战略规划，并由多个专业领域共同参与。我们建议的第一步，是对企业使用的全部人工智能系统进行完整盘点，包括第三方工具、内部开发的模型，以及嵌入已采购软件中的应用。许多组织在这一初步梳理中发现，自己使用的人工智能系统比想象的要多，从客服聊天机器人，到定价算法和招聘工具，不一而足。

完成盘点之后，下一步是风险分级。参照欧盟《人工智能法案》和巴西各项立法提案的逻辑，应当评估每个系统对基本权利、健康、安全和环境造成损害的可能性。高风险系统（例如用于信贷决策、人员招聘、医疗诊断或监控的系统）需要更严格的控制措施，包括算法影响评估、定期审计和人工监督机制。

内部治理架构应当明确各方职责。我们观察到，在这方面较为成熟的企业纷纷设立人工智能伦理委员会，由技术、法务、合规、人力资源和业务部门的专业人员共同参与。一些规模较大的组织会任命首席人工智能官（Chief AI Officer），或把这项职责交给现有的某位高管，确保有关人工智能的决策在高级管理层面得到体现。

文档记录是另一根重要支柱。每个中等或高风险的人工智能系统都应留有记录，说明其用途、训练所用数据、性能指标、已开展的偏见测试、已知的局限以及持续监测的程序。这些文档不仅满足监管要求，也便于内部和外部审计，还有助于组织的知识管理。

行业层面的挑战与专门监管

经济的不同行业在人工智能治理方面面临各自特有的挑战，监管也往往体现这些差异。在金融领域，巴西中央银行和巴西证券交易委员会（CVM）已对算法在信贷决策、投资和欺诈防范中的使用表示关注。例如，使用人工智能进行信用评分的金融机构，必须确保决策可解释且不存在算法歧视，否则既可能违反消费者保护方面的立法，也可能违反国家金融体系的相关规范。

在医疗领域，巴西国家卫生监督局（ANVISA）正在推进对作为医疗器械的软件（包括基于人工智能的软件）的监管。采用辅助诊断或自动分诊系统的医院和诊所，须遵守临床验证、可追溯性和上市后监测方面的具体要求。LGPD与医疗行业规范相互交叉，形成了额外的合规层级，不容忽视。

人力资源领域同样值得特别关注。基于人工智能的招聘工具、绩效评估系统和生产力监控平台，在隐私、歧视和劳动权利方面引发了敏感问题。就目前的分析来看，巴西劳动法领域的司法实践对这类技术的使用越来越关注，无法证明其算法系统公平、透明的企业，将面临相当大的诉讼风险。

对于跨多个司法辖区经营的企业，挑战成倍增加。企业需要同时满足欧盟《人工智能法案》、巴西规范以及其他市场的监管规定，这就要求制定合规策略：找出共同要求，并有条理地处理各辖区的特殊之处。在这种情况下，以国际框架为基础、再辅以本地化调整的做法，已被证明是最高效的。

启动人工智能治理的具体步骤

对于尚未建立系统化人工智能治理方案的组织，我们建议采取循序渐进、务实的做法。第一步是让领导层提高认识：缺少高级管理层的支持，治理举措往往后劲不足。向董事会介绍涉及人工智能的监管处罚、诉讼和声誉损害的具体案例，通常能有效调动其积极性。

接下来，我们建议制定一份人工智能使用的内部政策，确立一般原则、明确的限制（例如未经事先批准不得进行某些高风险用途），以及采购、开发和部署新系统的程序。这份政策应传达给全体员工，并纳入现有的培训计划。

对最关键的系统开展算法影响评估（AIA）是另一项优先措施。这类评估借鉴了LGPD所规定的数据保护影响评估，分析每个人工智能系统的具体风险，并提出与风险相称的缓解措施。可以看到，把这类评估纳入新技术项目审批流程的企业，能够在风险成为现实之前就发现并加以处理。

最后，设立报告渠道和异议机制至关重要。受自动化决策影响的员工、客户和第三方，应当有有效途径对这些决策提出质疑，并在必要时请求人工复核。LGPD已对完全基于个人数据自动化处理所作的决策规定了这一权利，未来的人工智能立法预计还会进一步扩大其范围。

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.