家族办公室AI就绪度自检：10个问题判断能否安全用AI

家族办公室对AI的兴趣正在快速升温，但"想用"和"能用"之间隔着一整套治理证据。Private SuperIntelligence 的两位创始人 Prakshal Jain 与 Alexander Morris 给出了一份十问自检清单，核心判断标准只有一条：每个"是"都必须有文件或测试记录支撑。

为什么家族办公室需要这份清单

据 Citi 2025 年全球家族办公室报告，22% 的家族办公室已将 AI 用于运营任务或投资分析，较上一年的 13% 明显上升；16% 已将其用于投资业绩报告，是前一年的两倍多。话说回来，57% 的受访者把"缺乏内部专业判断能力"列为最大障碍——工具在用，但没人有把握评估它。

风险侧的数据更不乐观。IBM 2025 年泄露研究报告显示，被调查的受害组织中 63% 没有 AI 治理政策或仍在制定中，五分之一遭遇过涉及影子 AI 的泄露，而具备管理或检测影子 AI 政策的组织只有 37%。原文特别说明，IBM 的数据描述的是被调查的受害组织，并非专门针对家族办公室。

两个数据放在一起，勾勒出的典型场景是：员工先于制度开始使用 AI，管理层既无政策也无评估能力。原文给出的触发条件很直接——如果你所在的办公室符合以下任意两条，这份检查值得花十分钟：员工擅自使用 AI；内部无人能判断工具优劣；尚无书面 AI 政策；存在未经批准的工具；报告工作是最想交出去的第一项任务。

十问清单的结构与逻辑

计分方式是一分制：每个能用现行文件或测试记录支撑的"是"得一分，"否"和"不确定"都得零分。总分 0 到 10，所有问题指向同一个方向——证据是否存在。

从任务与责任人开始（问题 1-2）

第一问要求写下一个具体任务及其责任人。Citi 的观察是，家族办公室中成功的 AI 应用往往是日常任务：文档摘要、会议转录、邮件管理、报告自动化。从其中一项起步、指定一个负责人，能让后续检查保持具体。

第二问要求有书面规则界定哪些记录可以进入 AI 工具。Citi 将数据隐私称为家族办公室不可谈判的底线，而 IBM 数据中 63% 的受害组织没有 AI 政策，说明这条规则在实践中远未普及。

最小权限原则（Least Privilege） 是信息安全的基础设计原则：任何主体（用户、程序、服务账户）只应获得完成其既定任务所必需的最小访问范围，且仅在必要时间内持有。OWASP 在其大模型应用安全指南中将其具体化为两点——以最终用户的身份和上下文执行操作（而非用一个权限过大的服务账户代跑所有请求），以及把授权判定放在下游业务系统而非模型层，因为模型本身可被提示词诱导，不能作为权限边界的可信执行点。对家族办公室而言，这意味着一个用于文档摘要的助手不应同时持有投资台账的写权限；权限收敛得越窄，单次误操作或被诱导的损失面就越小。

训练与留存是两件事（问题 3-4）

第三问要求能解释办公室所用具体套餐的训练条款。原文强调条款因套餐而异：OpenAI 声明发送至其 API 的数据默认不用于训练模型，除非客户主动选择加入——但这一条本身并不适用于个人聊天账户。

第四问则要求区分"不被训练"和"不被保存"。原文指出，OpenAI 的 API 默认不用客户数据训练，但仍保留滥用监控日志（可能包含提示词和回复）最长 30 天，且目前排除这些日志中的内容需要 OpenAI 事先批准。这两个问题的答案经常被混为一谈，而它们在合规意义上完全不同。

零数据留存（Zero Data Retention, ZDR） 是企业级 AI 采购中的常见条款形态：提供商承诺在请求处理完成后不持久化提示词与模型输出，仅保留必要的计费与安全元数据。它与"不用于训练"是两个独立开关——前者约束数据保存时长与可访问性，后者约束数据是否进入模型迭代。多数主流 API 默认开启"不训练"，但默认关闭 ZDR，需要企业单独申请并经审核批准。即便启用 ZDR，提供商通常仍保留短期滥用监控日志（常见为 30 天），用于检测违规内容和账号风险。因此在尽调时应逐项确认：训练开关状态、日志留存时长、日志内容范围（是否含提示词正文）、以及豁免审查的审批流程，四者缺一不可。

数据流向与权限测试（问题 5-7）

第五问要求能说出每一个接触任务数据的服务商：助手本身、模型提供商，以及它们再转交的第三方。原文提醒，合同上的品牌名并不能回答这个问题，每多一个接收方就多一套需要核查的条款。

第六、七问转向实测。第六问要求用虚构记录测试权限隔离，验证每个角色的预期结果。OWASP 建议最小权限、以用户自身上下文操作，并在下游系统而非模型层执行授权——聊天窗口里一句礼貌的拒绝不算通过测试。第七问要求测试发送操作是否需要预期中的审批，OWASP 的典型例子是一个只需读取邮件的邮箱助手不应具备发送或删除能力，高影响动作应有人工批准。

影子 AI（Shadow AI） 指员工未经 IT 或合规部门批准，自行使用生成式 AI 工具处理工作数据的现象。它之所以危险，不在于工具本身恶意，而在于数据脱离了组织的可见性与控制边界：输入内容可能进入不受审查的第三方留存、训练或跨境传输路径，而组织既无日志也无从追溯。IBM 2025 年报告显示，具备检测或管理影子 AI 政策的组织仅占 37%，意味着多数组织对其数据外流路径处于盲区。治理上的常见做法包括：建立经批准的工具白名单、在网络层识别并阻断未授权 AI 域名、对获批工具统一走企业账户而非个人账户，以及在入职培训中明确"哪些记录绝不能贴进聊天框"。

报告可追溯与例外处理（问题 8-10）

第八问要求审阅者能把报告中的数字回溯到被认可的来源，样本报告需保留来源、期间和验收人。原文引用 Addepar 的自动化校验机制作为参照，同时指出任何起草报告的 AI 都应更进一步，显示每个数字的出处。

第九问要求指定合格人员处理缺失或冲突的证据，未决事项必须有负责人，不能悄悄变成"已接受的答案"。Citi 指出家族办公室把最终决策（尤其是投资决策）保留在经验丰富的人手中。

第十问针对删除无法直接验证的情形：办公室需记录哪些可以检查、哪些依赖合同或第三方 attestation、以及由谁决定这个缺口是否阻断使用。原文提醒，一次搜索没有返回结果，并不能证明数据已被删除。

分数区间怎么读

原文明确说明，这些区间是编辑建议而非研究结论：

• 0-3 分：先写政策、选一个任务。指定负责人、许可记录和审批人，在政策落地前不要让真实家族信息进入系统。
• 4-7 分：关闭所有开放答案。每个"否"或"不确定"都要有负责人和日期；在核查条款、权限与留存期间，用虚构记录做测试。
• 8-10 分：审查证据本身而非总分。由责任运营人、安全负责人和法务在任何真实试点前阅读开放的限制项；报告类工作还需报告负责人或会计参与。

原文特别强调，无论总分多少，只要在访问权限、未授权发送或数据处理上存在一个未解决的答案，就足以叫停。其他地方的"是"不能抵消它。当提供商、套餐、任务或数据发生变化时，应重新运行检查。

这份清单的边界

原文在 FAQ 中主动划定了适用范围：这份检查是规划辅助工具，不是经过验证的测试或认证，10 分不代表 AI 配置安全。它与该团队另一份"AI 数据暴露检查"的分工在于——后者看的是员工已在使用的工具在提供商公开条款下数据流向何处，前者看的是办公室在把 AI 接入真实记录之前自身是否握有证据。

适合执行检查的人是未来将拥有 AI 决策权的人，通常是 COO、幕僚长或总法律顾问，由家族负责人审阅结果。

说个细节，原文作者所在的 Private SuperIntelligence 提供私有化 AI 部署服务，专门针对家族办公室场景，文中第 7、8 问对应的发送审批与报告溯源正是其产品功能。这一背景不否定清单本身的参考价值——十问中的多数要求（书面政策、权限测试、数据流向清单）是任何治理框架都会包含的通用项——但读者在参考其结论时，宜将商业立场纳入考量。

第三方鉴证（Third-party attestation） 是指由独立审计方出具的、关于服务商控制措施有效性的正式报告，常见形式包括 SOC 2 Type II（覆盖安全性、可用性、保密性等信任服务准则，考察一段时期内的控制运行而非某一时点）和 ISO/IEC 27001 认证（信息安全管理体系）。这类报告的价值在于：当数据删除、加密、访问日志等事项无法由客户直接验证时，它提供了可依赖的外部证据链。但其边界同样明确——报告覆盖的是服务商声明的控制范围与审计期间，不针对特定客户的配置方式，也不保证某项具体数据已被彻底清除。因此在第十问的语境中，正确的做法是记录报告名称、覆盖范围、审计期间与版本，并明确由谁判定该证据足以支撑使用决策。