英国科学、创新和技术部（DSIT）于2024年2月发布了《人工智能保障机制》指南，为AI治理提供了基础框架。到了11月，他们又推出了一个AI保障平台，将各类工具、服务、框架和实践整合在一起。本周，我们来重点探讨这个平台上的一个关键工具——AI管理必备工具（AIME）。

2024年11月6日，DSIT正式启动了一项咨询，就AIME工具的设计、内容和使用广泛征求意见。简而言之，AIME是一个自我评估工具，旨在帮助组织评估并实施负责任的AI管理系统与流程。利益相关方可在2025年1月29日之前通过在线调查提交反馈。

使用AI管理必备工具的指南

AIME到底是什么

AIME是DSIT设计的一个自我评估工具，目标非常明确——帮助组织建立AI系统的稳健管理实践。请注意，它并非用于评估AI产品或服务本身的优劣，而是评估组织内部的流程是否到位，以确保这些产品能够负责任地开发和使用。

谁需要关注AIME

任何开发、提供或使用AI系统服务的组织，无论规模大小，都可以使用AIME。不过，该工具主要面向中小企业和初创企业，这类企业往往在理解和落实AI管理标准时面临较多障碍。大型组织同样适用，例如评估特定业务部门或子公司的AI管理情况。

DSIT为什么投入这项努力

说白了，就是为组织提供一个清晰的起点。随着AI技术应用日益广泛，管理风险的挑战也越来越大。尽管市面上已有不少框架和工具，但对许多组织（尤其是小公司）而言，这些资源过于复杂。AIME的目的就是简化过程，将现有AI法规、标准和框架中的关键原则整合起来，让用户更容易上手。

AIME基于三个国际公认的框架：ISO/IEC 42001、NIST风险管理框架和欧盟AI法案。选择这些框架主要是为了保证工具的互操作性，也就是说，AIME不仅适用于英国，在国际上也能通用。当然，它并非要取代这些框架，完成自我评估也不代表合规达标。它只是一个起点，帮助用户实施公认的最佳实践。

DSIT通过文献综述提取了关键信息，并将其转化为一系列自我评估问题。开发过程中，他们还开展了三个试点项目，与行业组织合作测试原型。之后又组织了三场研讨会，与监管机构、政策制定者以及中小企业交流，收集反馈，不断迭代改进。

为什么你的组织要用AIME

虽然AIME不是强制性要求，但它能帮助组织在AI管理系统中嵌入基线良好实践。它清晰展示了负责任AI管理系统应有的内容，帮助你识别自身流程中的优势与短板。更重要的是，它还提供了改进管理的具体行动。完成自我评估后，你不仅能评估并改进现有流程，还能为符合相关标准和框架打下基础。

AIME的构成

最终版的AIME预计将包含三个部分：自我评估问卷、各部分评分，以及根据答案生成的改进行动点与建议。目前咨询文件中仅包含问卷部分，评分和建议将在咨询后由DSIT开发。问卷分为三个主题域：内部流程、风险管理和沟通。

谁来填这份问卷

自我评估应由对组织治理实践有广泛了解的个人或团队完成。例如，CTO或软件工程师适合回答技术性问题；如果组织设有AI道德官员或HR业务经理，他们的参与也很有价值。

怎么完成自我评估

按顺序回答问题，在提供的复选框中选择答案即可。可以使用打印副本手写完成，也可用PDF标记工具电子化完成。完成时间取决于组织的专业知识水平和现有治理状况。部分问题如果回答“否”，可能无需回答后续问题，这种情况会在答案旁边说明。有条件的问题通常以缩进格式呈现。

自我评估问卷

4.1. 内部流程

4.1.1. AI系统记录

组织需要维护一份完整且最新的AI系统记录，包括技术文档、影响与风险评估、AI模型分析以及数据记录等。问卷将评估你是否保持了这样的记录，以及记录的完整性和更新频率。例如，问题1.1询问你是否维护了记录，1.2问有多少系统被登记在案，1.3问是否有更新新系统的流程。1.4和1.5则关注从第三方获取记录的情况以及记录的审查与更新频率。

4.1.2. AI政策

一份清晰、可访问且合适的AI政策是必需的。它为组织提供治理指导，可能包括AI活动的原则与规则、目标框架以及角色与责任分配。问卷会评估你是否有AI政策（问题2.1），政策是否对员工可访问（2.2），是否有助于评估AI使用的适合性（2.3），角色与责任是否明确（2.4），以及政策更新频率如何（2.5）。

4.1.3. 公平性

直接影响个人的AI系统必须确保公平。问卷将评估你是否有明确的公平性定义、检测不公平结果的机制，以及监测和减轻不公平的流程。问题3.1先询问你是否开发或使用直接影响个人的AI系统——例如用于用户画像的算法、处理个人数据或受保护特征的系统，以及聊天机器人和图像生成器等。3.2和3.3则分别评估公平性定义和检测机制。这里有一个关键区别：偏见（Bias）是指对特定数据子集的过度加权，可能导致不公平结果；而不公平（Unfairness）是偏见在现实世界中的体现。3.4和3.5进一步探讨监测和审查流程的频率。

4.2. 风险管理

这一部分评估组织如何预防、管理和减轻AI系统相关的风险。它帮助你识别潜在危害，并建立有效的应对流程。

4.2.1. 影响评估

组织需要识别并记录AI系统可能产生的影响，包括对个人法律地位、生活机会、身心健康以及社会和环境的影响。AI影响评估是一个考虑系统部署、预期用途以及可预见滥用后果的框架。问题4.1问是否有流程识别这些影响，4.2问是否记录，4.3问是否传达给用户或客户。

4.2.2. 风险评估

组织需要有效管理AI系统引发的风险。AI风险评估是考虑和识别风险的框架。问题5.1问是否进行风险评估，5.2.1到5.2.3评估结果是否一致、有效、可比，是否与整体风险阈值比较，是否用于优先处理风险。5.3.1和5.3.2关注系统错误与故障监控，5.4问是否有响应修复流程，5.5问是否定义了停止开发或使用的风险阈值，5.6问是否有更新风险评估流程的计划。

4.2.3. 数据管理

用于训练和开发AI系统的数据必须负责任地管理。问题6.1问是否使用数据开发AI系统，6.2问是否记录数据来源和收集过程（数据来源指数据如何创建、更新以及控制权转移），6.3问数据是否满足质量要求（数据质量指数据对特定任务的适用性），6.4问数据集是否完整且具有代表性（完整性指捕捉所有必要元素的程度，代表性指数据分布与目标人群的一致程度），6.5问是否记录了数据准备活动（如特征转换、缩放、标准化或标注），6.6问是否与处理个人数据的第三方签订并保留书面合同。

4.2.4. 偏见缓解

必须减轻AI系统中可预见的、有害且不公平的算法和数据偏见。问题7.1问是否采取措施减轻训练数据相关的偏见（偏见指对特定子集的不成比例重视），7.2问是否记录了第三方AI即服务（AIaaS）或预训练模型所使用的数据范围，7.3问是否对这些数据进行了尽职调查，7.4问是否有流程确保遵守相关偏见缓解措施。

4.2.5. 数据保护

整个AI生命周期应采取“设计与默认的数据保护”方法。问题8.1问是否有适当安全措施保护数据，8.2问是否记录所有个人数据泄露事件，8.3问是否在必要时向数据主体报告，8.4问是否定期完成数据保护影响评估（DPIAs），8.5问是否确保AI系统及数据免受第三方干扰。

4.3. 沟通

这一部分关注组织与内部员工、用户及外部第三方的有效沟通，确保透明度与责任感。

4.3.1. 问题报告

组织需要建立报告机制，让员工、用户和第三方能够报告AI系统的故障或负面影响。问题9.1问是否有报告机制，9.2问是否提供匿名或保密选项（匿名指不收集个人数据，保密指仅预期接收者能识别报告者），9.3问是否确定问题处理负责人，9.4问是否提供透明的报告程序（清晰告知报告者处理过程与时间），9.5问是否及时响应，9.6问是否记录所有报告及调查结果。

4.3.2. 第三方沟通

组织应告知所有利益相关者如何安全使用AI系统以及系统要求。问题10.1问是否确定了不同利益相关者所需的技术文档（如使用说明、技术假设、系统架构与限制），10.2问是否以适当格式提供（根据受众需求定制），10.3问是否确定了非技术文档（如影响评估和风险评估描述），10.4问是否向用户及相关方提供这些非技术信息。