一页纸的 AI 政策，胜过四十页的那份
今年我读了很多份 AI 政策。其中大多数长达四十页，而且没有人读过第三页之后的内容。
关于企业 AI 政策，有个令人不安的真相：最需要它的人——一线操作员、采购、仓库主管、客服代表——永远不会去读一份四十页的文件。他们会扫一眼第一段，认定这跟自己无关，然后回到手头的事情上。这意味着政策并没有在治理任何东西，它只是给法务部门留了一个出事时可以指向的东西。
那不是治理，那只是带目录的甩锅免责（CYA）。
政策真正的用途是什么
政策只有一个任务：当你不在场时，让人们做出正确的判断。仅此而已。其余一切都是装饰。
如果你写出一份没人读的政策，你就等于花了三个月的委员会时间，产出了一份连自己唯一任务都尽不到的文件。篇幅不是优点，而是缺陷。
检验一份 AI 政策的标准，不是它是否面面俱到，而是一个从未见过它的人能否在两分钟内读完，并清楚地知道自己该怎么做。
三个"要"、三个"不要"、一条上报路径
有效的政策能写进一页纸。不是因为这件事很简单——它并不简单——而是因为人们实际面对的决策，比法务部门以为的要简单。
三个"要"：要用经过批准的工具来处理工作数据；凡是要交给客户或监管方的 AI 生成内容，都要加以标注；在根据 AI 的答案采取行动之前，要检查它的置信度——尤其是当利害关系重大时。
三个"不要"：不要把客户或员工数据放进未经批准的工具；不要把机密文件粘贴到公开的聊天机器人里；不要让 AI 独自做出一个本该由人来解释的决策。
一条上报路径：如果你不确定，就去问。指定那个人、给出渠道、让流程快速。任何 AI 政策中最重要的一句话是："拿不准时，就找这个人问。"
这就是整份政策：三句"要"、三句"不要"，外加一个人。
为什么文字越少，合规越多
人们以为合规来自细节，其实它来自记忆。一条你能记住的规则，才是一条你能遵守的规则。一条埋在 PDF 第 27 页的规则，等于根本不存在。
一页纸之所以有效，是因为它装得进工作记忆。你的采购在犹豫要不要把那份供应商合同粘贴进聊天窗口时，脑子里能装下"三个要、三个不要、一个可问的人"。四十页的文件做不到这点——它不在她的脑子里，而在抽屉里。
短版胜出的第二个原因：它逼你决定什么才是真正要紧的。写一份四十页的政策，能让你回避那些艰难的取舍——你只需把每一种可能的情形、每一种可能的对冲都罗列出来。而写一页纸，则会逼你直面这个问题：如果一名一线员工关于 AI 只能记住三条规则，那么哪三条能保住公司？这才是真正的治理工作。那份冗长的文件，恰恰是你用来逃避它的方式。
政策无法覆盖的部分
有件事，无论政策长短都永远做不到：让人们敢于相信上报这个判断本身。如果你的文化会惩罚提问的人，那么上报路径就是一句谎言。人们不会去问，他们会去猜——而且会猜错。
所以政策只是修复的一半。另一半在于：当真有人照做时会发生什么。有人标记了一次可疑的 AI 使用，有人在行动前先来询问。此时的回应必须是"判断得好，我们一起想办法"——而不是一顿说教、一张工单，或一封"讨论会议"的会议邀请。只有当上报这件事让人感到安全时，上报路径才会真正起作用。
这就是为什么一页纸同时也是一个文化声明。它告诉人们：你信任他们去做判断，你宁愿他们多问而不是瞎猜，而且组织站在他们这一边。而四十页的政策说的恰恰相反——它说的是：我们不信任你，所以我们把你可能伤害我们的每一种方式都写了下来。
实操检验
写出你的一页纸。把它摆到五个永远看不到法务审查的人面前——一名新员工、一名仓库主管、一名客服代表、一名采购、一名财务分析师。给他们两分钟。然后问他们三个问题：你能做什么、你不能做什么，以及拿不准时该找谁问。
如果他们能回答上来，你就有了一份政策。如果答不上来，你有的只是一份 PDF。
篇幅不是治理，合规才是。而合规来自一份短到能活在人们脑子里的文件，加上一个足够安全、敢提问的文化作为支撑。三个"要"、三个"不要"、一条上报路径，再加上一个真正在用它的团队——这就是整份政策。