二元治理远远不够
每个主要的 AI agent 平台都声称拥有治理。但它们如何衡量？
| 平台 | 治理衡量方式 | 类型 |
|---|---|---|
| Salesforce | Einstein Trust Layer | 二元（通过/未通过） |
| ServiceNow | AI Control Tower | 仪表板（无评分） |
| OpenAI Frontier | Permissions | 二元（授予/拒绝） |
| Microsoft | Agent evaluations | 时间点 |
| Make | Audit logs | 事件流 |
二元检查、仪表板、事件流。它们都无法回答这个问题：“在 0-100 的范围内，我的 AI agent 治理程度如何？”
这是合规官需要向监管机构回答的问题。这是 CISO 需要向董事会回答的问题。这是采购团队在比较供应商时需要回答的问题。
介绍 GovernanceScore
GovernanceScore 是首个 AI agent 的量化治理指标。它评估 8 个因素，每个因素在连续量表上评分，产生一个 0-100 的综合分数：
- RBAC 配置 —— 基于角色的访问控制深度和权限粒度
- 审计日志 —— 事件覆盖、不可变性和可导出性
- 工具审批门 —— 按工具、按角色的审批执行
- 升级协议 —— 人工介入触发器和条件
- 环境分离 —— 开发/预发布/生产隔离
- 加密 —— 静态、传输中和密钥管理
- 合规框架 —— 监管要求映射
- 数据驻留 —— 部署和数据主权控制
该评分产生四个等级：
- 0-25：未治理 —— 最少或没有治理控制
- 26-50：最低限度 —— 基本控制、显著差距
- 51-75：已治理 —— 扎实的治理、有改进空间
- 76-100：企业级 —— 所有因素的全面治理
为什么 0-100 比通过/未通过更重要
**对于合规官：**监管机构需要可衡量的治理态势。EU AI Act 第 9 条要求风险管理框架。第 43 条要求一致性评估。量化评分恰好提供了这些条款所要求的——可衡量、可审计、可改进的证据。
**对于 CISO：**二元治理无法展示进展。您的治理本季度有改善吗？通过/未通过无法告诉您。GovernanceScore 跟踪随时间的改进——从 45（最低限度）到 72（已治理）到 89（企业级）。
**对于采购：**在评估 AI agent 平台时，“我们有治理”是一个声称。“GovernanceScore 87”是一个指标。一个供应商说他们有审计日志。另一个在审计日志方面得分 12.5/12.5，拥有 30+ 种事件类型、不可变存储和审计就绪的导出。评分传达的是深度。
8 因素方法论
每个因素针对一个独立的治理维度：
**RBAC 配置（0-12.5）：**无访问控制得 0 分。基本的管理员/用户角色得 4 分。多角色系统（3-4 个角色）得 8 分。JieGou 的 6 角色、20 权限 RBAC 配备细粒度按部门控制得 12.5 分。
**审计日志（0-12.5）：**无日志得 0 分。仅错误日志得 4 分。10+ 种事件类型的操作日志得 8 分。JieGou 的 30+ 种操作类型配备不可变、可导出的审计追踪得 12.5 分。
**工具审批门（0-12.5）：**无审批门得 0 分。全局开/关切换得 4 分。按工具审批得 8 分。JieGou 的按工具、按角色审批配备升级协议得 12.5 分。
同样的模式适用于所有 8 个因素。每个因素衡量从”缺失”到”企业级”的连续体，使治理深度可见且可比较。
自己试试
我们构建了一个公开的 GovernanceScore 计算器。输入您当前在所有 8 个因素上的治理参数，即时查看您的评分。无需注册。
该评分不仅仅是营销——它与在 JieGou 生产 GovernanceScore API 中运行的方法论相同，该 API 为您组织中的每个 agent 计算实时评分。
在 GovernanceScore 计算您的 GovernanceScore。了解治理如何映射到 EU AI Act 合规，请访问 EU AI Act。