企业 AI：先明确权限，再谈自主性
企业 AI 的安全与价值，不取决于一个统一的“自主”设置。操作权限必须针对每项动作逐级赢得：观察、提出建议、模拟执行、经批准写入，最终才是在可度量的边界内运行。我们用这一过程把技术能力与有人负责的运营连接起来。
关于智能体，问题本身常常问错了
管理团队经常被问到，是否希望 AI 智能体自主运行。这个问题过于宽泛，无法支持决策。智能体可以安全读取库存，却没有资格修改补货点；可以写出合格的客户回复，却没有发送权限；可以可靠地核对熟悉的付款模式，同时把陌生费用升级处理。
自主性不是模型或应用的固有属性，而是在明确条件下授予某项动作的许可。同一系统可以分别拥有不同级别的检索、分析、沟通和写入权限。把它们当成一个开关，要么阻碍有价值的自动化，要么授予超出证据支持范围的权限。
随着企业从试点走向规模化应用，这一区别尤为关键。BCG 与 Consumer Goods Forum 于 2026 年 6 月发布的报告指出，试验与规模化价值之间的差距正在扩大，治理和运营模式的变革是转型的关键。我们把它理解为执行问题：企业需要一种可重复的方法，把模型表现转化为有边界的运营操作权限。
能力、许可与责任归属
以下三个层面经常被混为一谈。
能力回答系统能否产出可接受的结果。它能否对异常分类、找到正确的政策、计算提案中的数值，或构建有效的 API 请求？
许可回答系统在当前场景下是否可以执行这项动作。数据驻留政策是否允许使用这个模型？该账户是否在范围内？金额是否低于阈值？是否需要人工批准？
责任归属回答谁对结果负责，以及如何还原执行过程。哪个团队承担风险？记录哪些证据？写入出错时由谁响应？如何撤销访问权限？
高基准测试分数只回答了部分能力问题，既不授予许可，也不确立责任归属。我们的智能体运行框架与模型路由方法因此先执行隐私和数据驻留检查：先确定符合要求的执行路径，再比较质量、延迟和成本。
为每项动作建立权限阶梯
我们采用五个级别。由于每项动作都独立评估，同一工作流可以同时处于多个级别。
1. 只读
系统可以检索经批准的数据并观察事件，但不能通过生产渠道提出操作决策。这一级别确立身份、范围、日志记录和数据处理要求。团队也在这一阶段发现，“读取”并不天然低风险：客户记录、员工数据、定价协议和安全日志仍然需要字段级控制。
达标意味着系统只访问预定的数据源，引用或记录数据来源及溯源信息，遵守租户隔离和数据保留要求，并在身份或范围不明确时默认拒绝访问。
2. 提出建议
系统向授权人员提出行动建议。建议必须包含足够的判断依据：输入、政策依据、置信度或不确定性、重要备选方案以及预期影响。只有“批准”或“拒绝”的结论，只是把判断工作转交给人，却没有提供理解所需的信息。
在这一级别，我们衡量建议质量和审核者的行为。单看采纳率会产生误导：疲惫的审核者可能接受不良提案，而谨慎的审核者可能修正一个有用系统的建议。独立抽样审核和结果追踪都很重要。
3. 模拟执行
系统构建拟写入的确切内容并进行校验，但不改变生产状态。对于 API，可以使用验证端点；对于数据管道，可以使用影子表和确定性差异比对；对于客户沟通，可以渲染最终消息并解析收件人，但禁用发送。
模拟执行能暴露离线评估遗漏的集成问题：无效标识符、过期状态、权限不匹配、速率限制和意外的扇出操作。我们的Google Ads API 操作指南中的 validate_only 模式就是一个具体例子。模拟只有足够接近真实写入路径、能够暴露相同约束时才有价值。
4. 经批准写入
系统在责任人或政策服务批准后，可以执行一项具体变更。批准应绑定审核过的数据载荷，而不只是绑定一次对话。如果价格、收件人、数量或底层状态在审核后发生变化，批准应当失效。
写入路径需要幂等性、前置条件、最小权限凭据、审计记录和明确的恢复操作。“人工参与监督”只有在审核人看得到有实质影响的字段、有时间和能力进行判断，并能停止执行时，才构成控制措施。
5. 有边界的自主执行
系统可以在明确的允许范围内，无需逐案审批即可执行。边界可以包括动作类型、账户、时间窗、金额、数量、置信度、数据时效性和异常类别。范围之外的一切都必须拒绝或升级处理。
有边界的自主执行需要以前几个级别积累的生产证据来赢得。它不是永久权限，可以根据实测表现和环境变化扩大、缩小，或退回仅提出建议。
定义动作契约
评估之前，我们先编写动作契约。它是一份简明规范，由业务负责人、风险负责人和实施人员共同使用。
| 契约字段 | 问题 |
|---|---|
| 意图 | 这项动作要推动什么业务结果？ |
| 目标 | 哪些系统、对象和字段可以改变？ |
| 适用范围 | 允许涉及哪些账户、案例和数据类别？ |
| 前置条件 | 执行时哪些条件必须成立，哪些信息必须保持最新？ |
| 边界 | 适用哪些金额、数量、时间和置信度限制？ |
| 证据 | 记录哪些输入、规则、模型和批准信息？ |
| 恢复 | 这项动作能否撤销、补偿或控制影响？ |
| 负责人 | 谁承担结果并处理失败？ |
动作契约可以防止一种常见失误：评估的是宽泛的对话任务，授予的却是一种看似用途有限、实际能执行更多操作的技术凭据。凭据应当落实契约。定价工作流如果只允许更新一个经批准的字段，就不应获得通用的产品目录管理权限。
契约也让不同项目可以相互比较。管理层能够看到，为什么一项动作仍停留在提出建议阶段，而另一项已进入有边界的自主执行。实施人员则能把政策转化为断言、数据模式和测试。
赢得权限所需的证据
离线任务成功是必要条件，但还不够。我们综合四类证据。
决策质量：对照已审核案例的准确率、按严重度加权的错误、校准度、政策遵循情况，以及在重要分群中的表现。
执行质量：有效数据载荷比例、前置条件不满足的情况、重复操作防护、集成延迟和恢复成功情况。
运营质量：升级处理率、审核者修正情况、异常未解决时长、下游结果和事件响应。
控制质量：越权访问、缺失溯源信息、过期输入、未经批准的范围变更和审计完整性。
指标需要分母和分群。没有动作总量和严重度，“十次错误”无法解读。总体准确率可能掩盖危险的少数类别。工作流可能在正常情况下表现正确，却在数据延迟时每次都失败。
当内部规模属于保密信息时，我们报告归一化指数。如果受控试验开始时，按严重度加权的人工干预量设为 Baseline = 100，就可以把后续各期与该基线比较。指标变化是审核依据，并不自动证明模型是原因；流程变化、案例构成和审核者的学习都可能产生影响。
升级与降级必须对称
团队往往定义了自动化如何获得权限，却没有定义如何失去权限。这会造成风险只增不减。每个权限级别都需要在上线前约定升级和降级标准。
升级门槛可以包括：覆盖代表性分群的最低样本量、没有尚未解决的关键错误、可接受的严重度加权错误率、经过测试的回滚，以及动作负责人的签字批准。时间本身不是证据；没有结果审核的高采纳率也不是。
出现明确的控制失效时，应自动降级：源数据缺失或过期、政策版本不匹配、动作量异常、对账失败、回滚不可用、数据分布显著变化或凭据过期。安全的应对方式可以是从自主写入退回经批准写入、仅提出建议或只读，而不是关闭整个系统。
从一开始就设计好权限阶梯，会让这种逐级降级更容易实现。只能全开或全关的工作流，没有运营上可用的回退方式。
将模型与确定性控制分开
权限应绑定动作网关，而不是模型。模型可以解释非结构化输入、检索候选证据、对案例分类和起草提案。确定性服务应强制执行身份校验、数据模式、阈值、允许字段、状态前置条件和幂等性要求。
这种分离可以限制故障影响范围，也让模型替换切实可行。更强的模型不能绕过动作契约；对于符合要求的任务，可以引入更便宜或本地运行的模型，而无需重新设计权限。我们的领域专用智能体技能指南介绍了围绕有边界的工作流封装指令和工具的价值；权限层则补上生产环境中的控制机制。
实施人员应把模型输出视为不可信输入。将其解析为带类型的提案，对照当前系统解析引用，尽可能重新计算重要数值，拒绝未知字段，并在执行时重新检查政策。同时保存提案和最终动作，让转换过程可见。
人的角色随级别变化
在提出建议阶段，人评估单项决策；在经批准写入阶段，人还要核验确切后果并授权执行；在有边界的自主执行阶段，人的注意力转向允许范围的设计、抽样审核、异常和系统健康状况。
责任并未消失，而是从重复处理个案转向对控制措施负责。审核者需要培训、工作量限制和明确的升级处理路径。负责人需要能展示分群和严重度的仪表盘，而不是一个令人安心的平均值。风险与合规团队需要能够直接检查的证据，无需重建智能体对话。
企业还应保护不同意见。如果操作人员反复覆盖建议，这个信号应触发调查，而不是施压提高采纳率。一线修正往往比汇总指标更早暴露缺失的情境信息。
可执行的上线顺序
对于一项新动作，我们采用以下顺序：
- 定义动作契约和承担责任的负责人。
- 应用隐私、数据驻留、身份和数据就绪度检查。
- 建立经过审核的评估集，纳入罕见和不利案例。
- 在保留完整数据来源及溯源信息的情况下运行只读和建议模式。
- 通过模拟执行和确定性差异比对测试真实集成。
- 启用绑定数据载荷的批准机制，配备回滚和事件处理流程。
- 为代表性分群授予范围有限的自主执行权限。
- 审核结果、异常和控制措施的健康状况，按规则升级或降级。
目标不是让每项动作都自主执行。有些写入很少发生、不可逆，或过度依赖具体情境，可能永远无法取消逐案审批。权限阶梯仍能通过提升建议质量，让经批准的执行更快、更可靠，从而创造价值。
管理层需要作出的决定
当管理者不再批准笼统的“智能体”，而是批准动作契约时，企业 AI 治理才变得具体。预算可以跟随可衡量的运营结果，风险讨论可以聚焦范围、可逆性和证据，技术团队也可以在符合要求的模型池中比较模型，同时保持操作权限稳定。
核心原则很直接：能力赢得评估机会，证据赢得许可，责任归属维持操作权限。遵循这一顺序的企业，可以增加有用的自动化，而不把速度误当成控制能力。