企业买模型之前先做什么？盘点员工已在使用的 AI、影子工具、敏感数据和未记录流程

30天盘点先改变了采购决定

衡川工业服务有860名员工，其中620个知识工作账号使用公司管理设备。管理层看到各部门自行使用生成式AI，准备直接采购500个企业席位，概念价¥180/席/月，年度承诺500×180×12=¥1,080,000。IT只知道4个已批准AI功能，业务负责人却认为“几乎人人都在用”；两边都没有可核验分母。

跨职能小组先进行30天盘点：回看45天聚合访问记录，收回312份非惩罚性问卷，访谈7个职能的36名使用者和经理，复核41笔员工报销，并在明确同意与去标识条件下检查96份工作产物。最终归一出27个服务族、41个不同账号、租户或集成环境，以及38个工作流模式。

盘点没有证明全体员工中有多少人“真正使用AI”，因为312份问卷只覆盖部分人、访问日志不等于业务使用、产物抽样也不是随机审计。它足以推翻两个危险假设：公司不是从零开始；一个统一工具也不会自动覆盖已有需求、数据流与风险。

采购席位还不能解决历史资料。即使新企业租户配置完善，旧个人账号里的聊天记录、上传文件、连接器授权、自动续费和私人邮箱所有权仍然存在；若只发新许可证，组织会同时拥有新平台和旧影子路径。清单把迁移与退出列为采购前置工作，而不是上线后让员工自行“清理一下”。

30天结果也不是“发现越多越失败”。27个服务族中有些满足了批准工具未覆盖的语言、文件格式或外部协作需求；这些需求成为采购要求。衡量盘点质量看负责人、数据/操作路由、未知与处置证据，不用影子工具数量给部门排名。

公司、人员、工具、合同、价格与发现均为虚构教学案例。本文不构成劳动监控、隐私、网络安全、采购或法律建议；真实盘点应由隐私、法务、员工关系、安全与业务负责人按地区、合同和适用规则共同设计。

盘点的对象不是一个工具名

员工说“我用一个聊天机器人写邮件”，只能作为发现线索。相同品牌的个人免费账号、个人付费账号、部门租户、企业租户和嵌入现有SaaS的功能，认证、合同、训练/保留设置、日志与退出能力可能不同；不能合并成一行“已知工具”。

27个服务族展开为41个部署上下文：14个个人免费、10个个人付费、7个部门租户、4个企业批准上下文、6个嵌入式功能。同一服务同时出现个人与部门上下文时保留两条，因为采购一个企业租户不能证明个人账号资料已迁移或删除。

本文的“影子 AI”指未进入公司资产、风险与服务管理过程、却被用于公司工作的AI服务或功能；它不是员工主观恶意标签。一个已批准SaaS后来悄悄开放AI功能，也可能成为未评估部署上下文；一个未批准工具也不必然已经造成严重风险，关键是当前组织不知道。

关系结构允许一对多：一个服务族有多个部署，一个部署支持多个工作流，一个工作流又可能调用多个供应商或连接器。删除某个个人上下文不能直接把工作流标为已解决；必须确认员工迁到什么受控路径、旧资料怎样退出、下游动作是否仍依赖该服务。

传统的确定性自动补全、搜索和统计功能是否纳入，以组织AI定义与风险范围决定。衡川记录所有对采购/数据流有影响的生成、推断和自主动作功能，普通计算器不因带“智能”营销词就进入；边界版本写进章程，新增功能可复核。

先用章程保护参与者，也约束盘点者

不以追责为目的，不等于承诺任何行为都没有后果；它只是把“主动说明未知使用”与故意规避、持续违规或真实事件的正式调查分开。若问卷被经理拿去做部门排名，员工会转向私人设备和更隐蔽的账号，清单质量反而下降。章程由员工代表与隐私、法务审阅后公开，所有渠道都重复说明用途、可见范围、访问人和删除时间。

盘点也不能只由安全团队完成。业务负责人解释任务为何出现，使用者展示真实替代流程，IT识别身份与集成，安全看技术暴露，隐私/法律判断资料与义务，采购查合同/供应链，HR与员工代表处理公平、沟通与监控边界。每项决定至少有一个业务负责人和一个风险/技术评审人。

小型评审组也实行职责分离：分析技术元数据的人默认看不到问卷自由文本，做产物评审的人只看到去标识样本 ID，能把别名还原为个人的权限只在正式事件且有记录时启用。章程列出访问日志与季度复核，防止盘点数据本身变成新的敏感影子库。

问卷结束后先生成聚合统计，再删除联系信息；志愿者注册另存，不能用匿名回答反查参与者。实际组织若受集体协商、告知或数据保护义务约束，应在收集前完成，不以“网络安全”为万能例外。

620个账号不等于620人的完整分母

860=620知识工作账号+240现场/仓储员工；承包商另列，不混进员工总数。587是45天内活跃的受管端点账号，不等于587名独立用户；轮班共享设备和一人多设备会破坏简单去重。清单保存分母定义与覆盖率置信度，不展示“全公司AI采用率62.8%”之类无依据数字。

本轮先覆盖知识工作与可识别企业系统，现场使用另建跟进；不能因为难测就写0。承包商是否可使用公司工具、谁负责离职和其资料能否进入AI都从合同确认，不默认沿用员工政策。

覆盖率地图还标出渠道盲区：移动端应用、家庭网络、私人邮箱注册、离线模型和外部合作方租户都可能不出现在公司代理日志。团队不为追求完整率侵入私人设备，而是通过合同、易用的申报入口、受控替代和抽样降低未知。清单完整性指已声明范围内的可信程度，不是“看见每一次点击”。

现场员工使用共享设备时，账号事件不能归到个人；报告只显示位置/角色区间并安排流程观察。若无法以合理隐私代价获得数据，保留状态未知并设置禁止资料/动作，不能用更强监控自动填空。

五条发现渠道互相补盲

交叉证据建立置信度，不建立员工“风险分”。例如问卷说使用会议助手、端点有扩展、日历显示机器人加入，才形成高置信度部署；只有一个域名访问是候选项，不直接通知经理。只有报销而没有运行证据，说明组织有合同/退出问题，不证明账号仍活跃。

每条发现都保存发现渠道、观察时间、原始标识符、归一决定和置信度；系统字段可以分别使用 discovered_by 与 observed_at。后续发现同一服务的新域名可以更新映射，但不能覆写原证据。无法追溯的口头描述只作为待核线索，等待自愿访谈或技术确认，不能直接写入已确认清单。

置信度使用可解释等级而非神秘分数：一条弱信号、两个独立元数据信号、或任务走例/配置证据。高置信度只表示“这个部署存在并这样使用”的证据较强，不表示安全；低置信度也不能证明不存在。处置严重度来自资料与动作，不来自置信度高低。

并集为27不是22+17+19+18+13，因为渠道大量重叠。报告保留集合交叉，例如费用发现个人付费、调查解释任务、日志确认托管设备访问；若仪表盘只显示各渠道总和，高管可能误以为有89个不同工具并推动过度封禁。

技术信号只负责发现候选，不证明真实使用

45天内，聚合代理/DNS/SSO与端点清单显示263个受管账号接触过19个AI相关域名或扩展。访问可能来自搜索结果、一次试用、网页嵌入或真正工作；加密流量也通常看不到个人账号、提示词和具体操作。团队没有为“提高精度”解密内容或部署键盘记录。

技术团队先按部门聚合，只有高严重事件或确认部署才依正式权限解开必要别名。原始事件保留30天后按章程删除，长期清单只保留服务、环境、覆盖人数区间与证据链接。实际期限依组织义务确定，30天只是教学案例选择。

嵌入式AI尤其容易漏：403名员工使用的既有SaaS新增摘要或生成按钮，域名与原应用相同。盘点因此检查管理员功能标志、发布说明与配置，而不是只维护“AI网站黑名单”。

263 别名按周观察时有94个只出现一天、71个出现在2—3天、98个出现在4天以上；这些只是访问频率层，不等于月活任务。团队用它选择访谈覆盖，不拿来决定许可证。一个帮助页面或统一登录重定向也可能制造访问事件，样本验证必须先排除已知假阳性。

技术控制不能领先于业务路径。对一般状态未知域名先标复核并弹出申报/替代入口；只有明确严重风险或既有政策要求才阻止。静默阻断会让员工不知道资料是否已上传、如何导出，甚至换到私人设备。

问卷先问最近一次任务，再问工具名

312名受访者中196人报告至少月度使用、61人只试过或低于月度、55人从未，196+61+55=312。这个62.8%只属于受访者；自选回复可能高估热衷者，也可能因担心处罚低估使用。报告同时给n和覆盖率 312/620=50.3%，不外推全体。

问卷发现6种扩展/本地助手和9个嵌入式功能，其中部分技术日志无法作为独立域名识别；也收集“批准工具无法处理外部协作文件”“采购等待6周”等需求证据。团队先修入口与支持，不把每项影子使用简化成培训不足。

题目顺序先任务后工具、先中性需求后风险，避免“请承认使用未批准AI”造成防御。资料类别提供状态未知选项和例子，不能强迫普通员工判断法律术语；选择个人数据只触发后续安全说明，不自动通知经理。自由文本提醒不要粘贴客户名、提示词或秘密。

61名低于月度使用者同样重要：他们可能在季度投标等低频高后果任务使用，频率低不等于风险低。55名从未使用的用户帮助识别采用障碍与不需要AI的流程，不能被视为落后或强制分配许可证。

访谈要重建输入、判断、输出和动作

36次访谈覆盖7职能、既有使用者、从未使用的用户、经理和12名承包商。访谈者让参与者用合成或已去敏材料走一次真实形态任务，不要求打开私人账号历史；若必须看原产物，转入另行同意的产物样本。

一个销售经理说“只用AI润色”，走例却发现先把客户会议纪要、报价历史与竞争信息一起上传，再让工具建议折扣。任务从低风险写作变成商业决策支持与客户资料处理。盘点单位因此是完整工作流，不是用户给工具贴的“润色”标签。

访谈者不让参与者现场登录个人账户，也不要求交出完整历史；用白板标对象、动作与决定，必要时由参与者自己选择一份去识别产物。经理不参加下属个别访谈，汇报按模式聚合，降低权力关系对回答的影响。

36个样本有意包含12名承包商，但不能声称代表46名全部承包商。访谈结果用于发现工作流和控制缺口，规模仍回到系统事件、合同和后续抽样；一段生动故事不能直接变成全公司政策。

报销记录回答谁在付费、谁能退出

财务记录回答金额、付款人和续费，却不知道输入资料、模型供应链和真实功能。采购把发票、计划、账号邮件、续约、负责人、合同、数据条款、支持与退出字段连接到服务记录；无法找到合同的个人计划进入复核，不凭截图臆测企业版条款适用。

团队冻结新个人报销，但不当日取消所有账号。4个含凭据/受限代码事件即时处理；其余先给用户导出/迁移与业务连续方案，再按决策关闭、纳管或停止。突然断开可能让员工把工作搬到更不可见的私人渠道。

把五路信号收束成一份可维护的清单

问卷、日志、访谈、报销与产物抽样给出的名称粒度并不相同。如果团队直接把五张表拼在一起，既会把同一服务重复计算，也会把个人账号与企业租户错误合并。接下来的工作不是继续增加发现渠道，而是把已经找到的线索整理成可以维护、可以退出、也能回到真实工作流的记录。

名称归一仍要保留部署差异

标准化团队为每个原始标识符保存为何相同/为何不同。14个个人免费、10个个人已支付、7个部门租户、4个企业批准、6个嵌入式上下文合计41；它们归入27个系列，但风险、负责人和退出按41个上下文处理。

若工具前台同名但部门租户配置不同，也可拆成多个部署；若多个域名只是同一租户认证/静态资源，则合并。数字可随着证据更新，变更日志保留原来为什么算27而非把历史仪表盘静默改成26。

一条可维护的AI清单要能回答责任与退出

服务负责人不必懂所有模型细节，但必须能维护记录、接收变更并协调退出；业务负责人确认为什么存在与输出怎样使用；数据负责人决定资料是否可进入；风险负责人决定例外与升级。一个人可兼多角，但字段不能空着用“IT负责”代替。

清单不是一次性表格。服务条款、模型供应商、嵌入式功能、管理员设置或工作流外部动作改变都会触发新版本；旧部署关闭时保存导出、迁移、撤权、删除请求和仍未知的备份状态。没有退出证据的“已停用”不能直接标为已关闭。

记录质量也要校验：41个部署必须引用至少一个服务、负责人、证据和当前状态；38个工作流必须引用实际部署或明确“尚未知”；数据流不能只停在供应商名称。每周检查孤立记录、过期记录和负责人缺失项，异常进入待办，而不是只在CSV里涂颜色。

数据流卡片必须从一次输入画到客户结果

workflow_id: WF-SALES-04
trigger: 客户询价后准备折扣建议
inputs:
  meeting_note = client-confidential
  quote_history = commercial-confidential
  competitor_notes = internal
deployment: personal-paid context CTX-19
route: browser -> aggregator -> selected model -> output/history
output: discount recommendation draft
human/action: sales manager chooses quote; CRM update is manual
known controls: personal MFA
unknown: provider training, log retention, subprocessor, deletion
decision: stop sensitive input; preserve task need; redesign in managed context

这个销售案例不能归类为“文字润色”，也不能因为CRM由人手工更新就视为无外部动作；AI建议进入价格判断链，需保留来源、范围与批准。当前状态未知足以停止敏感输入，却不足以断言供应商已经训练或泄露资料；清单必须区分风险条件与已经发生的事实。

团队给每个流程标最小必要资料与替代路径。若只需产品类别，不上传客户全名与完整会议；若托管上下文仍无法确认留存，先用合成数据评估任务。数据最小化是工作流设计，不是一句“请勿输入敏感信息”。

96份自愿样本只回答盘点所需问题

抽样从143名自愿跟进者中按职能与使用类型邀请，不由经理指定“可疑员工”。参与者先去名；评审组只记录输入类别、部署、输出用途、批准和问题，默认不保留完整提示词或原文件。需要保存事件证据时另走受限事件记录。

96件问题按最高处置状态分成43件在批准/可控路径、20件供应商或留存未知、17件客户机密进入未批准上下文、12件个人数据进入未批准上下文、4件含凭证/受限材料，合计96。另有6件外部输出缺少清楚人工评审日志，它们与资料类别重叠，不再加进96。

抽样不能估计全公司发生率，但能建立失败形态与后续评估。若报告写“34.4%员工上传敏感数据”，就是用96件自选产物冒充620人的随机调查；正确表述是“抽样中29件机密/个人资料需处置，分母与选择方式如下”。

产物复核还检查输出是否被当作内部草稿、客户发布或决策证据。相同输入若只生成个人草稿，恢复窗口较大；若未经复核进入报价或人员决定，调查深度不同。抽样表把数据类别与输出用途分列，不能只因资料是普通内部就判低风险。

214条记录最后归并成38类工作流

214条不是214个独立场景：同一“会议→摘要→行动项”在多个部门出现，但数据类别、下游动作与审批不同。归并条件是触发、输入模式、转换、输出用途和失败相似；仅标题相似不合并。每个模式保留观测运行区间与来源置信度，避免把一人想法写成部门需求。

这份清单只记录现状，不在本篇给38类场景做价值排序，那是E02的任务。它先标出待答问题：频率是否有日志、基线是否存在、数据负责人是谁、错误是否可在外部影响前发现、已批准的工具能否满足。缺少这些信息的场景，不能因为高管喜欢就直接进入试点。

风险分级决定调查深度，不给员工打总分

硬性阻断包括凭证、资料权利不明且不可替代、未经批准外部发送，以及人员或法律等高后果决定没有合格责任人。频率与潜在价值不能抵消这些条件。完成遏制后仍可保留底层业务需求，例如销售需要快速比较历史报价，但必须更换数据、租户与批准路径。

服务族另有临时处置：4个已批准/托管、7个临时条件、9个复核/未知、7个阻断/遏制，合计27。工作流层级与服务处置是两条轴：已批准工具也可能被用于D类动作，未批准工具也可能暴露一个合理A类需求；不能只按供应商名单治理。

分诊由业务、数据与风险负责人共同签字，并写复核触发器。A类不是“永久免费”，B类不是“禁止创新”，C类也不自动上升为合规项目；分类只决定当前控制与证据要求。员工能提出事实纠正或业务例外，但例外有过期、负责人和退出，不由高管口头永久放行。

4项严重发现不能等到第30天再处理

同一产物可能同时出现在资料与外部输出行，事件系统用事件编号（如 incident_id）去重；表格不能直接相加成事件总数。遏制先停止继续暴露、保留必要证据、确定账号、接收方、时间与仍未知内容，再决定通知、恢复和正式调查。员工自报不替代事件处理，也不默认等于恶意。

案例4件中有2个可撤API 令牌，完成轮换并检查相关调用；1张密码截图要求账户重置；1段受限设计代码由数据/系统负责人确认影响与删除路径。文章不声称供应商确已训练或外泄，也不提供普遍通知结论；真实义务按资料、法域与合同由合格人员判断。

高严重处置同时修系统原因：个人账号是因为企业级工具不支持某文件格式、采购请求平均等待6周、员工不知道嵌入式功能也算外部处理。只重置凭据而不修入口，下一次使用会转到更隐蔽渠道。

事件与清单要相互更新：事件记录受影响服务、部署、工作流、数据与接收方关系；处置完成后，把新控制、负责人和复核日期回写清单。若事件只留在安全工单，采购仍可能在下个月给同一风险环境扩席；若只改清单而不保全事件，又无法说明实际影响。

供应商未知项不能靠销售承诺补齐

9个复核/未知服务不会因为问卷热度自动获批；7个临时条件有明确到期日、允许工作流/数据与禁止操作。尽调结论按具体计划与部署记录，因为同一品牌的消费者、团队与企业行为可能不同；写作日存在的条款以后也会变。

采购、安全、隐私与业务共同签决策：接受、附条件接受、需补充证据或拒绝。销售演示、搜索摘要和同事经验可生成问题，不能替代合同、配置测试与正式文档。若真实法律要求不确定，转专业判断。

临时目录要告诉员工怎样安全完成任务

目录每行展示服务/部署、允许任务、允许数据、禁止输入/操作、人工复核、支持、负责人、最后验证与下次复核；不是只有红绿颜色。已阻塞用户有迁移期限与帮助，高严重上下文除外；已批准用户也看到不允许的高后果用法。

临时条件默认30天到期，负责人须在过期前提交使用记录、未解决状态未知和迁移决定；到期没有证据就回到复核/停止，不自动续。目录自身有版本与变更通知，员工可查看“昨天能用、今天为何改变”，避免口口相传的旧截图成为事实源。

沟通先公布发现的需求：会议、代码解释、提案与班次交接为什么让员工绕路；再公布目前证据与决策，不公开部门“违规榜”。员工可以通过一个入口申报新功能、请求受控试用、报告事件，或说明已批准工具为什么不满足。响应时限和处理状态必须可见，否则目录会迅速过期并重新制造影子路径。

500席年约改成120席、90天验证

500席×¥180×12=¥1,080,000只算许可证，不含身份、集成、日志、支持、评估、迁移与退出。盘点没有证明存在500名持续用户，也没有完成E02的场景排序；直接签年约会把“需要治理”误当成“需要500个同款聊天账号”。

108名用户不是从匿名问卷反向识别，而是143名志愿者另行进入具名注册，经经理/负责人确认任务、托管身份和资料边界后选择；12席给业务复核人、支持与管理员。120是验证上限，不是按比例代表全公司。

¥1,080,000−¥64,800=¥1,015,200只能叫“本次未作出的年度许可证承诺”，不能叫节省：使用人数和期间不同，试点还有实施成本，未来也可能扩席。90天后再根据实际活跃使用、工作流完成、支持、质量、事件与满载成本决定续期、扩展、缩减或停止。

本轮盘点只得出“500席证据不足”和120席上限，不替E02选择第一批场景。场景负责人、基线、评估和数据路由没有通过前，不会把120席全部激活；若最终只有80人满足放行条件，剩余席位也不为提高利用率强发给员工。采购谈判要允许分批增加、减少和导出退出，避免试点被最低购买量反向绑架。

复用这套30天盘点，第一步仍是一页章程

NIST AI RMF 操作手册的“治理1.6”提出按组织风险优先级建立AI系统清单，并将系统文档、数据字典、责任人、维护和事件资料列为可能内容；官方页面同时说明AI RMF 1.0与操作手册正在更新，本文不把案例字段说成固定合规清单。NIST隐私框架用于清单、映射与数据处理风险问题，NIST CSF 2.0用于资产、服务与风险管理的整体思路。英国NCSC的影子IT指南强调，未知设备和云服务让风险难以管理；影子IT往往来自员工完成工作的真实需要，因此应采用正向、非惩罚性的方式并改进受控服务入口。NIST SP 800-61第3版用于高严重发现的准备、响应、恢复与改进思路；本文不声称实现这些框架或替代适用法律。

• NIST AIRC：AI RMF Playbook — Govern
• NIST：AI Risk Management Framework
• NIST：Privacy Framework
• NIST：Cybersecurity Framework 2.0
• UK NCSC：Shadow IT guidance
• NIST：SP 800-61 Rev.3 Incident Response Recommendations

今天先写一页章程：盘点目的、范围、明确不监控什么、访问人、保留和高严重升级。随后从财务、技术和一份匿名问卷各取一条线索，尝试把它们归到同一个服务族、不同部署上下文与真实工作流。若仍只得到产品名，不要购买，也不要处罚；继续找到输入、输出、负责人和下一动作。