什么情况下应该下线一个 AI 应用？依据使用衰减、失败债务、维护成本和无人负责作出退出决定

先看结果：剩余任务采用率仍有72%，应用仍被退役，因为它解决的业务需要已大部分消失且没有能力安全续命

栖湾家电服务集团的ClaimBrief R-12读取维修记录、保修条款和图片索引，为理赔员形成带引用的证据包与缺口清单；理赔员必须逐项核对并签署，系统不能自动拒赔或付款。上线18个月后，统一理赔平台把常见主张改为结构化采集，R-12仍存在于旧入口、两个计划任务和六个集成中。

峰值季度有9,600个合格案例，当前只有1,920个，下降(9,600−1,920)/9,600=80%。其中1,382个仍调用R-12，采用率1,382/1,920=71.98%，所以“采用率尚可”掩盖了需求基数坍缩。新平台已直接满足1,460个案例，其余460个复杂案例可以走人工证据路径，1,460+460=1,920。

年度全成本166万元；在当前用量下，观察到的时间容量约368.5小时/年，按内部规划价240元/小时折算为88,448元容量信号，但这不是现金收益。继续运行还需54万元兼容升级；退役与迁移的一次性费用为78万元。管理层选择退役：立即禁止新功能与扩大范围，8周内把286件在途任务闭合，切换新入口、撤销3个服务身份和2个计划任务，处理4个数据存储与1个供应商缓存。

退役后45天内发现12次来自3个未知脚本的调用，全部被已退役接口阻断并转到替代说明；修复这些未登记调用方后，连续30天有效调用为0。18,420份历史签署回执按批准的记录政策留存或迁移，供应商返回删除证明DC-219。应用状态从“已归档、待验证”变为“已归档、已验证”，而不是从仪表盘消失就算完成。

退出决定分成两条同时推进的工作线。业务线保护用户需要、在途任务、人工容量和申诉；技术线处理入口、依赖、身份、数据与供应商。每天用同一份最终状态表对账，任何一条线未完成都不能宣称应用已退役。节省预算排在用户与记录保护之后，不能为了在财务月末确认收益而提前执行不可逆删除。

这是一个虚构教学案例，公司、应用、案例、比例、费用、门槛、保留期、事件与结果均为教学数据，不是理赔行业基准或真实企业实践。本文解释企业AI退役决策与执行，不提供财务、记录管理、隐私、网络安全、采购、劳动或法律意见；实际处置须由数据、业务、风险、安全、采购和法律责任人按适用义务批准。

退役决定先建立共同语言和证据框架，不能把低调用量直接等同于应该删除

先区分暂停、限制、替换、退役和删除：它们发生在不同时间，也需要不同证据

暂停是暂时阻止全部或部分运行，保留恢复可能；限制是缩小用户、数据、影响或时间窗口；替换让新系统接管同一需要；退役是有计划地结束应用的生产责任、入口与依赖；删除是对特定代码、数据、账号或基础设施的不可逆处置。一次决定可以先暂停高风险影响，再返回需求，最后退役与删除资产。

R-12先进入受限状态：禁止新团队、新数据源和自动化写入，仍允许理赔员完成在途案例。替代平台通过验证后，所有新请求转向新路径；旧接口返回明确的“已退役”状态，而不是立即显示找不到页面，并向未知调用方提供停用日期、替代链接和支持联系人。只有回滚窗口结束、记录处置获批后，才删除不可逆资产。

状态机防范两个风险：一是因单次事件仓促删除，导致记录和回退能力丢失；二是“暂时暂停”没有负责人和失效日期，最终成为永久僵尸。每个状态记录进入时间、决策负责人、允许操作、受阻操作、退出门槛、失效日期、用户消息和证据链接，超过期限仍未作决定就升级。

状态转换清单还规定谁可以逆转。已暂停应用恢复时要重新验证触发原因和积压，受限应用扩大范围时要重新通过放行门，已退役应用只能按全新产品重新立项，不能由旧管理员重新打开开关。删除后的记录请求走归档服务，不恢复生产数据库。这样“紧急帮一个用户”不会悄悄复活已撤销的责任和权限。

退役决定用七类证据而非一个总分：任何加权总分都会掩盖不可替代的硬门槛

决策档案分别呈现目的适配、需求/用途、结果/价值、失败/风险债务、总成本、责任/容量和依赖/退出。团队不把它们加权成78分，因为没有负责人、越过风险容忍或不存在合法数据路径是硬性截止，不能被高采用率抵消；相反，低频但关键的应用也不能被低用量自动淘汰。

每类同时写支持继续、支持退出和仍未知。R-12的72%采用与用户熟悉度支持谨慎迁移；需求下降、替代平台、评估退化、负责人空缺和依赖截止支持退出；新平台对少数复杂主张的稳定性仍未知，所以460件保留人工路径而不强迫自动迁移。

决策状态分为继续、修复、限制、合并或替换、退役、需要更多证据。需要更多证据时必须写清期限、样本和负责人，不能用来无限延迟供应商截止。某一证据变化会触发重新决策。例如替代平台在并行期失败，结论可以从退役改为延长受限状态，而不是为了维护原计划破坏用户的最终处理结果。

证据包在会前五个工作日冻结版本，业务、用户代表、数据、风险、技术、财务和采购分别提交支持与反对意见。会议记录不只保留结论，也保留被否决方案、关键未知、条件和下一复核日期。若关键数据只能由原建设团队解释，先安排独立复算；不能让最希望继续项目的人同时定义分母、门槛和结论。

需求衰减要看合格基数、绝对使用和替代原因，采用率分母缩小会制造健康假象

R-12峰值季度合格 9,600、已使用 6,528，采用 68%；当前合格 1,920、已使用 1,382，采用约72%。比例上升4个百分点，绝对调用却下降5,146，使用量下降为(6,528−1,382)/6,528=78.83%。原因不是用户更喜欢R-12，而是简单案例已迁入新平台，剩余多为熟练用户处理的复杂长尾。

使用表还要按站点、角色、案例类型、风险、入口点和最后使用时间切分。23名活跃审核员中，7名处理了74%的调用，不能向“84名受益员工”发送同一份迁移计划；退役后的12次调用来自脚本，而不是人在页面上点击，必须联系技术负责人处理，不能只做用户培训。

低使用的反例是一项季度灾备材料审查工具：每季只有40次，但有具名负责人、稳定评估、明确的高后果需要、可用回退和合理成本。它可能继续。用量是发现问题的信号，不是价值、风险或责任的替代指标。

需求分析还要识别“被迫不用”和“确实不需要”。登录失败、培训取消、性能下降或经理禁止可能让使用下降，却不能证明业务需要消失；新流程回执、用户访谈、案例分类法和替代终态才支持结构性衰减。本案抽查四个站点、三种角色和60个未使用案例，确认其中47个已由结构化入口完成，13个因复杂度走人工，不是访问故障。

目的适配比模型表现更先：如果新流程消除了原任务，修到95%也可能没有理由继续

R-12原任务是把五种非结构化材料整理为统一证据包。新理赔平台在提交时强制结构化字段、来源编号、修订版和缺口状态，1,460个普通案例不再需要二次摘要。R-12若继续，只会把结构化数据重新写成文字再由人核对，增加一次可能失真的转换。

目的复核从用户需要和非 AI 替代方案开始，不问团队是否还能换模型。460个复杂案例未来可以重新发现更合适的工具，但不能以保住R-12为目标；它们先进入标准人工包，记录接触、质量与失败，为下一次决策提供基线。

沉没的建设费用不进入继续比较。已经花掉的420万元不会因再投入54万元“被挽回”；是否继续只看未来需要、结果、风险、成本和替代方案。保留有价值的评估案例、来源架构和运行教训，不等于保留整个应用及其权限。

人工路径也要证明可承接，不是表格里写“转人工”。460件/季度约每周35件；观察样本显示每件平均增加18分钟，约10.5小时/周。运营负责人安排两名交叉训练理赔员、每周14小时容量和48小时内部时限，并设积压超过25件的升级门槛。若容量没有签署，替代方案尚未保护用户需要，退役门不能通过。

失败债务把未解决问题按后果、暴露、可检测性和修复依赖展开，不能只数27张工单

当前27个未关闭缺陷包含5个高严重度、14个中等严重度和8个低严重度。冻结的240例评估得到181例正确、31例安全暂停、18例引用或来源失败、10例错误案件合并，181+31+18+10=240。原放行门槛是至少216例正确且错误案件合并为0；当前既低于90%的正确率门槛，也有10个可能把证据关联到错误案例的高后果失败。

缺陷数与评估案例不是同一分母：一个缺陷可以影响多个样本，多个缺陷也可能在同一案例出现。登记表记录根本原因、受影响版本与用户群、影响、检测控制、变通方案、负责人、缺陷存在时间、修复预估和重测集；不能把31个安全暂停算作正确，也不能把人工拦下的10个错误关联从风险中删除。

修复估计需要12周，而关键依赖只剩60天支持期，且没有接收负责人。即使技术团队可以赶工，组织也无法在截止前完成数据契约、240例回归测试、业务验收与值班交接。结论是禁止扩大范围并退出，不是“模型不够好”；未来替代流程仍要继承错误关联的负面案例。

债务还按年龄和暴露排序。5个高严重缺陷最老143天、最新31天；近90天有4,208次相关字段经过旧加入路径，人工抽查发现10个评估失败但生产暴露仍不完全可知。团队保留上界、下界和未知，不用“尚无投诉”把风险改为零。修复报价必须包含回归样本、数据迁移和运行验收，不能只估代码小时。

全成本比较未来四条路径：继续、修复、限制与退役各自包含人、风险、迁移和机会成本

年度运行成本166万元，由供应商用量12万元、平台与基础设施38万元、维护与支持72万元、评估与安全26万元、供应商固定合同18万元组成。继续运行还需一次性投入54万元用于兼容与数据重写，未来12个月资金承诺为220万元；这还不包含潜在事件损失。

限制方案的121万元由供应商6万元、平台30万元、维护54万元、评估20万元和剩余合同11万元组成，6+30+54+20+11=121万元。它仍需保留值班、评估和依赖升级，只减少流量与部分支持，不能把“限制”误写成接近零成本。

退役所需78万元包括客户关系管理系统映射32万元、过渡期人工容量16万元、导出与留存12万元、合同终止8万元和应急计划10万元，合计78万元。与修复并继续的预算差为220−78=142万元，但这只是计划差额；只有合同、基础设施和人员容量实际释放后，才会成为真正避免的成本或可重新部署的容量。

观察到的容量为1,382次/季×4×4分钟=22,112分钟=368.53小时；再乘以内部规划价240元/小时，得到88,448元。它不是工资现金，且新的人工路径会增加容量。决策备忘录分别保留现金、容量、风险、用户干扰和战略契合度，不强迫把不同单位合成一个投资回报率。

成本表分为基础、延迟和退出失败三种情景。若迁移延迟一个月，需要追加旧合同、平台与支持费用约14万元；若供应商删除证明或数据导出失败，应急计划先用于安全保留和专业支持，不能从人工迁移经费挪走。所有估计都写明价格日期、税费、内部费率、合同最低承诺和不确定区间，防止一个精确总数掩盖假设。

负责人和依赖决定能否安全续命：组织空档不能靠合同续期或技术赶工掩盖

负责人空缺不是“等招聘”的管理问题：生产系统没有暂停、预算和记录决定权就必须立刻降级

原产品负责人调任后83天无人正式接任。平台值班人员只对网关负责；供应商支持可以修复接口，却不能批准理赔流程；保修总监愿意担任赞助人，但没有查看失败登记或参与日常放行的时间。应用仍在运行，意味着坏消息、预算、风险接受和退役决定没有落在同一个责任人身上。

第83天决定会前先任命临时责任负责人，取得限制、迁移、回滚和退役授权；不是让委员会共同负责。其任期到已归档已验证，之后历史记录由记录负责人、替代服务由新产品负责人分别接管，不能让退役负责人永久拥有孤儿归档。

若组织在30天内找到有预算、有领域容量且愿接保留/待命的新负责人，可以重新比较修复；“某高管支持”或供应商愿意托管不满足门槛。责任人必须同时拿到权限、信息和资源，不能只在决策备忘录签名。

临时负责人每周签一张责任状态卡：本周允许的范围、重大失败、在途数、人工容量、费用、依赖剩余天数和下一不可逆决定。若其离岗或授权被撤，产品自动回到已暂停，值班人员只能维持人工连续性，不能自行恢复AI路径。退役完成时再分别向归档负责人与替代负责人移交，不留下第二次责任空档。

依赖和合同截止制造时间压力，但到期本身不是退役理由；先查替代、升级和退出约束

R-12依赖的旧文档提取接口将在60天后停止支持。依赖图还包含模型网关、理赔数据库、图像索引、身份代理、通知和供应商缓存。团队核对兼容升级、固定旧版、替换组件、缩小功能与退出；旧版无法获得安全修复，固定版本也不是可接受的长期路线。

合同退出检查清单核对通知、最低消费、数据返还、分包处理者、删除服务时限、审计证据、知识产权与出口、支持终止和争议联系人。8万元迁移退出成本来自已核合同，不是假设“停用即零成本”。采购发出通知前，由数据和产品负责人确认必要导出，避免供应商按期删除唯一证据。

服务结束是决策时钟，不是结论。若R-12仍有独特关键需要、主要负责人且修复证据可行，组织应升级或替换依赖；本案退出是七类证据共同结果。截止日期只决定退役计划倒排与何时停止新调用。

依赖图标出直接调用、间接数据、身份信任、账单和人员知识五种关系。每条都写最后支持日、最晚安全切换日、替代方案、回滚和使用方。例如网关本身继续存在，但R-12的客户端、配额、告警和成本标签必须消失；图像索引继续服务新平台，但旧读取角色必须撤销。不能因为共享资产“还在用”就保留旧应用权限。

选项备忘录必须诚实呈现继续、修复、限制、合并、替换和退役，不能把赞助人偏好伪装成唯一方案

团队为每条路径写清需求覆盖、时间、一次性与运行成本、风险、人员、依赖、可逆性、用户变更与证据缺口。保持不变因服务即将结束和评估门槛不通过而排除；修复需要12周，超过60天支持窗口且没有负责人；限制仍每年约需121万元并保留关键债务；合并或替换可以把普通案例送入新平台、复杂案例转人工。

决策备忘录记录选择退役、反对意见和条件：新平台必须通过200例验收；460个复杂案例的人工响应时限与容量必须签署；286件在途任务闭合；关键记录导出验证；回滚能力保留到第45天。以上任一关键条件失败，就延长受限状态，不进行不可逆删除。

决策负责人是保修业务负责人，数据、安全、记录和采购负责人批准各自范围的处置，替代负责人接收新流程的最终结果，风险复核人拥有政策规定的阻止权。指导小组处理资源与跨团队冲突，不能把最终责任稀释成“集体同意”。

正式决定采用两步签署：先批准方向与立即限制，允许开展可逆迁移；待替代验收、在途闭合、导出可读和回滚演练通过，再批准不可逆关闭。第二次签署前任何负责人可用具体证据阻断自己负责的处置，例如记录负责人可阻止删除但不能要求恢复新入口。权限与阻断范围写进决定模板。

退役执行从完整资产图和分层通知开始：先找全调用方，再让每类人知道如何继续

完整资产图不只包含生产代码：测试环境、脚本、身份、文档和未登记调用方都要找出

资产清单通过配置管理数据库、云标签、网关日志、身份系统、代码仓库、调度器、域名系统、供应商发票、数据目录和访谈交叉发现。R-12有6个集成、3个服务身份、2个定时任务、4个数据存储、1个供应商缓存、2个环境、7个仪表板与告警，以及3个后来发现的未登记脚本。

资产记录包含资产编号、类型、环境、负责人、目的、数据类别、使用方、凭证、依赖、最后使用时间、退役操作、可逆截止时间和回执。仅把主代码仓库归档，会留下预生产接口、旧令牌、批处理作业和文档中的可执行网址，继续扩大攻击面与费用。

第10天冻结资产清单并生成摘要值，但仍允许通过变更控制新增发现项；新发现不能悄悄塞进旧表。每晚把网关、身份与访问管理系统、调度器、供应商账单与清单对账，状态使用已发现、迁移中、已禁用、已保留、已删除、例外和已验证。

盘点为每个来源计算发现置信度：配置登记、运行日志和负责人确认三者一致为高；只有标签或代码引用为中；仅访谈提及为低。低置信项必须通过扫描或负向测试收口。测试与预生产环境单列，因为它们可能保存更宽权限和真实样本；个人自动化不因不在企业仓库就从范围排除。

通知按人类用户、接口调用方、支持人员和受影响责任人分层，并让每类知道下一步

23名活跃审核员按案例类型和站点参加现场演练；84名历史受训用户收到停止日期，但不能假定他们仍在岗。接口和脚本负责人获得机器可读的退役响应、替代契约和测试窗口；支持人员拿到沟通话术、人工路径和升级机制；记录、数据与安全负责人了解导出、保留和删除决定。

旧入口从第14天显示横幅，第28天拒绝新注册，第35天所有新请求返回类似HTTP 410的停用状态和替代链接；内部接口具体怎样响应按组织标准实现，文章不把这一设计当作通用要求。既有书签和文档保留重定向与通知180天，这是案例支持窗口，不代表所有服务都应相同。

通知日志保存地址或调用方、渠道、版本、交付、确认、问题、例外和负责人。邮件已发送不等于迁移成功；使用者必须在沙箱完成一个新平台工单或人工包，接口调用方必须提交契约测试回执。无法联系的调用方转入未登记调用排查，并升级给其管理者。

通知使用业务语言说明哪些功能停止、哪些记录仍可查、如何继续、谁提供帮助和怎样报告错误，不以“模型下线”作为全部信息。班次、语言、无障碍和离线渠道纳入清单；直接受影响的23人可以在切换前提出事实性异议。异议不等于否决，但必须记录处理与补救，不能以完成率隐藏无法迁移的用户。

在途迁移和系统关闭必须按可逆性推进：先保护用户需要，再撤销旧系统的影响能力

286件在途必须逐件到达唯一结果：切换入口不等于旧队列已经清空

决策日有286件任务正在处理：212件资料完整，可迁到新平台；51件因复杂或来源冲突转人工；23件已取消或重复，由业务负责人关闭，212+51+23=286。每件都保留原请求编号、新案例编号或人工记录编号、来源摘要值、人工负责人、状态、截止日期和对账回执。

迁移任务先试运行并输出差异，不直接覆盖；20件分层抽样由理赔员逐字段验收，再分成50件、80件、82件三批迁移。任何案例在两边都可能产生影响时，新平台保持只读，直到旧路径标记为已转移；幂等的迁移编号用于防止重复创建。来源不能合法迁移时走人工，不用空值填满数据结构。

每天对账时，“旧系统未结”“已迁移”“转人工”“已关闭”四类总数必须为286，而且最终状态互斥。计数不闭合就暂停下一批。最终的212份新平台回执、51份人工分配记录和23份关闭回执都能从原编号反查；历史18,420份记录不重新决策，只按记录计划处理。

异常队列专门处理来源摘要值不符、目标案例已存在、人员无权限、保留限制和迁移超时。异常不能通过重跑批任务自动吞掉；每件由业务或数据负责人决定修正、转人工、关闭或暂停，并保留原始值与差异。每日随机复核10件已迁移任务和5件人工任务，连续两批无关键差异后才扩大批量。

并行验证和回滚窗口保护用户需要，但不能借回滚让旧系统无限保持生产权限

替代平台先用200个已签署历史案例做验收：170个普通案例、20个边界案例、10个来源冲突案例；要求普通案例的字段与来源匹配，边界案例正确暂停，来源冲突转入人工，严重的案例合并错误为0。随后用10个工作日对300个新案例作旁路观察，比较最终状态、人工介入、暂停、响应时限和工单合并，不让两个系统同时提交会产生实际影响的操作。计划切换窗口预计1,200件，因此10%批次为120件、50%批次为600件；比例以该窗口为分母，不是拿当前季度1,920件倒推。

回滚包保留已测试的旧版本、配置、数据快照、路由切换和联系人到第45天，但旧写入凭证在切换后封存，需要两人共同紧急授权才能启用；每次使用都会生成事件记录。回滚条件包括替代系统关键连接失败、人工响应时限无法满足、迁移数据丢失或关键记录不可访问，而不是用户不喜欢新界面。

第45天后，如果替代平台稳定、在途任务闭合且记录导出通过验证，就销毁旧写入能力；之后的问题通过新平台修复或人工连续性方案处理，不复活R-12。回滚窗口必须有终点，避免“以防万一”留下可利用的旧系统和双重负责人。

回滚演练不只验证开关，而是从新入口失败开始：停止新案例、确认两边在途、启用人工、经双人破窗恢复限定旧版本、处理一个案例、再核对回执。演练记录耗时、权限、数据差异和沟通。若恢复依赖即将停服的接口，回滚只在其支持窗口内有效，不能被写成长期灾备。

关闭入口、身份、计划任务和集成要按可逆性排序，先阻止新影响，再做不可逆清理

执行顺序为冻结功能和新使用方、拒绝新请求、停止写入适配器、停止定时任务、撤销服务身份、轮换共享密钥、移除路由与域名解析、归档代码、销毁基础设施。共享网关和数据库不能随R-12一起删除，只移除其客户端、配额、数据结构和权限，并验证其他使用方不受影响。

负面测试从旧用户界面、接口、批处理作业、预生产环境和供应商回调各发一次请求，预期都被拒绝或返回已退役状态，且不产生新案例。只看仪表盘零流量不足以证明权限失效。三个身份逐一检查令牌、证书、角色和机密；共享密钥轮换后还要确认其他应用已经更新。

删除前保留架构、版本清单、运行手册、评估和必要配置以支持审计，但归档无执行凭据。基础设施即代码仓库设只读与保留负责人，分支与个人令牌进入扫描。基础设施账单连续两期无R-12资源，才关闭成本中心例外。

不可逆操作使用“四眼”清单：执行人和验证人必须不同，先展示准确的资产编号、环境、最新备份或导出验证、依赖影响、批准号和预期最终状态，再执行撤销或删除。通配符、未解析变量和共享资源禁止作为目标。每步生成时间、操作者、命令或控制面回执和失败状态，出错立即停止后续步骤。

数据和供应商退出要分别取得证据：取消订阅不等于记录已处理、访问已撤销

数据处置逐类选择迁移、保留、归档、删除或脱敏

四个数据存储包含已签署的决策回执、来源附件缓存、技术追踪和固定评估样本。记录、数据、隐私与安全负责人按目的、适用保留要求、争议与挂起、最小化、安全和替代服务需要作决定。本文使用的36个月、90天和24个月是栖湾案例的内部策略，不是法律期限。

归档要可读、可搜索、访问受控并能解释历史决策；把旧数据库冷冻却没有数据结构说明和读取工具，不算有效保留。抽样30份回执，从归档重建来源摘要值、系统版本、人工签署和最终状态；访问日志确认只有获批角色可以读取。被法律或事件保留覆盖的记录从自动删除中排除，并设置到期复核。

数据处置也不是简单执行删除数据表的命令。数据位于托管存储时，要通过云服务或供应商的控制和合同机制证明；自管介质则按组织批准的方法和信息敏感性处理。NIST SP 800-88第2版讨论基于信息敏感度建立媒体脱敏计划，文章不据此指定某个云服务的删除命令，也不声称取得认证。

数据处置时间表逐字段说明来源、目的、主体/业务影响、位置、副本、保留依据、挂起、动作、日期、验证与未来负责人。先在非生产导出上做30份可读性抽查，再封存正式归档；删除作业前再查挂起。聚合评估若仍可能反推个案，也不能因去掉姓名就自动长期保留。

供应商退出要拿回可用资料、关闭处理、撤销访问并验证账单

合同负责人在第0天发出通知，数据负责人确认导出范围，安全负责人核对供应商访问与分包处理者，财务核对最低承诺和信用额度，产品负责人确认替代平台稳定后发出删除请求。供应商有15个工作日返回证明；DC-219列出租户、缓存类别、请求与完成时间、方法声明，并注明没有例外。

供应商证明不是唯一证据：企业侧的负面调用测试、网关日志、身份与访问管理系统、域名系统和账单要共同验证。若证明排除备份或分包处理者，就记录例外、预计到期时间和补充证明，状态保持“已退役、数据待处理”，不能为了项目日期标成已完成。

可迁移知识包括合同限制、评估失败、集成架构和事件经验教训；不能把含客户数据的缓存或供应商受限知识产权复制到新项目。退出检查清单由采购保存，但业务、数据和安全分别签署自己能够判断的部分，采购不承担产品的最终业务结果。

最终发票逐项对照调用量、提前终止费、未用承诺、税、信用和删除服务费用；供应商门户账号、支持联系人、远程访问和共享工单附件也进入撤销清单。若合同要求保留有限备份，证明应写覆盖范围、隔离、不可用于处理、最终到期和责任人，不能把部分删除证书描述成所有副本即时消失。

退役完成需要持续验证和复盘：零调用只能证明一个观测窗口

退役后至少监测入口、身份、费用、数据和用户需要

第35至80天，已退役接口记录被阻止的调用方、负责人、请求目的和替代结果，不记录多余内容。45天内发现12次调用：7次来自月末报告脚本、3次来自旧质量保证任务、2次来自个人自动化，共涉及3个未登记调用方；这些调用全部没有产生影响，负责人在5天内完成迁移或删除。

连续30天无有效调用是本案例的验证窗口，不能证明世界上永远没有副本；代码仓库、身份与访问管理系统、供应商发票和资产扫描还要再做一次对账。资产清单将每项标为已验证并附上回执，R-12主记录保留退役日期、原负责人、归档负责人、替代方案、已知限制和经验教训。

退役后第30天与第90天检查用户需求：1,460个结构化案例的响应时限与质量、460个复杂人工案例的容量、投诉与错误归入。若替代后的结果变差，就修复替代系统或增强人工流程，不自动复活已经没有负责人或依赖支持的R-12。退出成功意味着用户需要被安全承接、风险和成本真正消失，而不是旧页面无人访问。

监测结束也需要移交。第90天后，已退役接口和域名通知由平台目录团队按支持期维护；历史记录由记录负责人接收访问请求；新流程由替代负责人继续监测结果；组合负责人复核预算是否真实释放。没有后续负责人的监测任务不能以“项目结束”为由关闭，否则僵尸风险只是从应用转移到重定向和归档。

复盘既要验证退出收益，也要保存失败证据：被退役不等于项目曾经一无是处

R-12在早期非结构化时期帮助建立来源架构、18,420份签署回执和240例评估集；新平台吸收了来源编号、修订版与冲突状态。退役原因是上下文变化、技术债务和负责人模式失效，不是把历史团队标为失败。复盘将可复用的学习与不可继续运行的资产分开。

初始商业案例新增退出假设：数据导出、记录读取器、身份隔离、调用方发现、供应商删除、迁移容量和退役负责人。新AI产品上线时就写退役触发器与成本，而不是到合同结束才发现不能导出、不能解释或没人支付人工替代成本。

人员沟通不以退役数量作为团队绩效。若产品负责人因主动停止低价值系统受罚，组合会积累僵尸应用；更好的指标是高质量决策、用户保护、成本/权限实际关闭、学习被吸收和重复失败减少。继续一个有证据的系统与结束一个失去理由的系统同样是治理成果。

复盘还比较决策时的预测与实际：迁移花费、人工每周时数、供应商退出天数、未登记调用方、用户问题和实际释放费用。偏差超过20%的项目写明原因并更新下一份退役估算。不能只展示142万元计划差额；若人工负荷或替代缺陷增加，必须进入新产品的成本和风险账。

最终交付是一份可逐项签收的退出包，并用官方资料校准完整生命周期与安全处置

R-12退役包包含七类决策档案、选项备忘录、具名权限、状态机、资产与调用方清单、通信日志、286件迁移账簿、替换验收、回滚测试、身份权限、工作流与集成的负面测试、数据处置时间表、供应商证明DC-219、成本结算和第30天与第90天事后复核。

最终评审逐项问“谁能用哪份记录证明什么”，而不是确认文件夹已经存在。证明必须能从应用主记录追到原始最终状态，也能从任一迁移、删除或撤权回执反查所属资产；链接失效、负责人离岗或档案不可读都算未完成，不能靠会议纪要代替重新验证。

NIST人工智能风险管理框架核心部分明确提出安全退役和逐步淘汰，为表现与预期不一致的系统分配取代、断开和停用责任，并把退役、事件、恢复和变更纳入部署后计划。英国国家网络安全中心的退役指南强调完整资产发现、未登记信息技术资产、替换先验证、回滚资料、沟通、脱敏和事后证明；其机器学习生命周期结束原则还提示模型、相关数据和日志要按解释与审计需要决定归档或处置。

英国政府服务退役指南强调退役后怎样继续满足用户需要、通知直接渠道、接口渠道和辅助渠道用户、设置重定向以及处理数据去向；本文只借鉴服务迁移原则，不把政府域名或期限要求套作企业义务。NIST SP 800-88第2版用于媒体脱敏计划原则；英国政府接口战略支持通过使用分析、提前通知、停止新注册、联系剩余调用方并保留已退役状态，文章的具体日数仍是虚构案例门槛。

• NIST AI Risk Management Framework Core
• NCSC：Decommissioning assets
• NCSC Machine Learning Principles：Decommission your assets appropriately
• GOV.UK Service Manual：Retiring your service
• NIST SP 800-88 Rev.2：Guidelines for Media Sanitization
• GOV.UK：Defining an API management strategy

明天就能开始的动作是选一个半年未做目的复核的AI应用，导出合格任务与实际使用、业务结果、未结债务、12个月总成本、负责人、依赖和使用方清单；让业务负责人同时写“继续需要什么证据”和“安全退出需要什么条件”。若连谁能暂停和谁处理历史记录都答不出，先限制并补责任，不要等下一次续费或事件替组织作决定。