风险分级与责任：谁来管、怎么管

操作步骤

1. 按后果与可逆性划分风险

   同时考虑影响范围、数据敏感度、是否改变外部状态和能否恢复。等级名称可自定，但每一级要对应清楚的审批、复核、日志和禁用规则。

2. 把责任落到具体角色

   使用者按规程操作并报告异常，审批人判断高风险场景是否放行，管理者负责制度、资源和事故处置。责任人不能只写成“业务”或“技术团队”。

3. 把控制点嵌入上线与运营流程

   上线前完成分级与验收，运行中保存必要日志、监测异常，并在模型、数据或业务变化后重新评估。治理不是一次性文档。

完成检查

• 风险等级应该怎么定义： 组织可以使用自己的等级名称，但每一级都要写清适用场景、审批要求、日志与复核方式，以及哪些动作不得交给 AI 自动执行。

• 为什么责任链必须明确到使用者、审批人和管理者： AI 输出和自动化决策会跨角色产生风险，只有明确谁操作、谁批准、谁对制度和结果负责，才能有效追责和整改。责任不清时，风险容易被忽视或互相推诿。

• 风险分级应该在什么时候做： 应在 AI 流程上线前完成，并作为上线和持续运营的条件。随着模型、数据和业务变化，风险水平可能改变，因此需要定期重新评估，而不是一次性做完就固定不变。