兩層的錯覺
大多數企業 AI 代理平台提供「治理」。仔細看，你會發現它們提供的是管理：代理身份和權限。那是兩層。重要的層 — 但只有兩層。
以下是真正重要的區別：
代理管理回答：「誰可以存取這個代理？它被允許做什麼？」
代理治理回答：「這個代理合規嗎？它的評分如何？它為審計師生成什麼證據？當它失敗時會發生什麼？它是否符合歐盟 AI 法案要求？」
管理是必要的。但它不夠。
10 層架構
完整的代理治理需要 10 層，而不是 2 層：
| 層級 | 功能 | 管理？ | 治理？ |
|---|---|---|---|
| 1. 身份與認證 | SSO/SAML/OIDC，代理身份 | 是 | 是 |
| 2. 權限與 RBAC | 6 個角色，24 個權限，工具存取 | 是 | 是 |
| 3. 加密 | BYOK，AES-256-GCM 靜態和傳輸中 | 否 | 是 |
| 4. 資料駐留 | 可配置區域、VPC、氣隙 | 否 | 是 |
| 5. 環境管理 | 開發/預備/生產隔離 | 否 | 是 |
| 6. 升級協議 | 人在迴路觸發器、風險閾值 | 否 | 是 |
| 7. 工具審批閘門 | 每工具、每角色審批工作流 | 否 | 是 |
| 8. 審計日誌 | 30+ 事件類型，不可變，結構化 | 否 | 是 |
| 9. 合規時間軸 | 法規截止日期追蹤，里程碑證據 | 否 | 是 |
| 10. 證據匯出 | 17 TSC 控制，8 個類別，審計師就緒 | 否 | 是 |
| 11. 法規映射 | 歐盟 AI 法案、NIST RMF、ISO 42001 映射 | 否 | 是 |
管理涵蓋第 1-2 層。那是治理架構的 18%。其餘 82% — 加密、資料駐留、升級、審批閘門、審計日誌、合規、證據匯出和法規映射 — 需要專門建構的治理基礎設施。
為什麼合規需要治理
歐盟 AI 法案不問代理身份。它問的是：
- 風險管理（第 9 條）— 需要治理框架，不僅僅是權限
- 記錄保存（第 12 條）— 需要結構化審計日誌，不僅僅是身份日誌
- 人工監督（第 14 條）— 需要升級協議和審批閘門，不僅僅是角色分配
- 符合性評估（第 43 條）— 需要量化衡量（如 GovernanceScore），不是二元通過/失敗
同樣，SOC 2 審計師不問「誰可以存取代理？」他們要求 17 個 TSC 控制映射到 8 個類別，並有結構化的證據鏈。管理提供身份部分。治理提供其他 16 個控制。
為什麼審計師需要證據，而不是權限
當您的審計師到來進行 SOC 2 Type II 時，他們需要：
- 跨 17 個信任服務標準的結構化證據
- 映射到 8 個合規類別的審計軌跡
- 顯示控制何時實施的合規時間軸
- 可供審查的格式的證據匯出
管理平台提供身份和存取日誌。這或許滿足 17 個 TSC 控制中的 2 個。治理平台提供完整的證據鏈 — 結構化、可匯出、並映射到審計師評估的框架。
為什麼多代理系統需要保障
當五個代理協作完成一項任務時，管理告訴你每個代理是誰以及它被允許存取什麼。這很有用但不完整。
治理告訴你：
- 循環檢測在無限代理循環消耗資源之前阻止它們
- 記憶體隔離確保代理只存取其範圍內的資料
- 升級協議在代理間交接超過風險閾值時路由到人類
- 每代理審計軌跡追蹤每個代理在協作中做了什麼
歐盟 AI 法案沒有多代理問責的規定（已認可的監管空白）。管理平台不解決這個空白。治理平台解決。
決策框架
選擇管理如果：
- 您需要基本的代理監督（身份、權限）
- 您的代理在非監管環境中運作
- 您不需要為審計師提供合規證據
- 您的代理獨立工作（沒有多代理工作流）
選擇治理如果：
- 您在受監管行業運作（醫療保健、金融服務、政府）
- 您需要遵守歐盟 AI 法案、NIST RMF 或 ISO 42001
- 審計師需要結構化證據（SOC 2、HIPAA、GDPR）
- 您運行需要保障的多代理工作流
- 您需要量化治理衡量（GovernanceScore）
- 您需要自託管或氣隙部署
每個治理平台都包含管理。不是每個管理平台都包含治理。
在管理 vs. 治理查看完整區別。在 GovernanceScore 衡量您的治理狀態。