员工私自使用 AI 已经是既成事实，现在要定的是这一版有没有约束

你的公司现在跑的是哪一版 AI？

你的团队已经在用 AI 了，没走审批，而且用在风险最高的那批数据上。用不用这个决定，几个月前就由个人私下做完了；还没定的只剩一件事：他们手上那一版挂着几条约束。

这不是纪律问题——没人是为了对抗制度。真实场景是：一份 60 页的协议周四就要看完，二十美元的订阅能让那个下午过得去；走正式流程要提工单、过安全评审、等六周，绕路只要一小时。这首先是采购流程的失败。

落到管 P&L 的人桌上的不是用量，而是分布：AI 效果最容易被看见的任务，恰好就在最敏感的材料上。

员工私自使用 AI 是采购与控制问题，不是纪律问题：团队总会选最快能用起来的那个版本，你还能决定的，是这一版背后有没有合同、留存规则和具名负责人。

私自使用到底集中在哪五个地方？

这类盘点我做过几次，使用几乎只堆在五个位置：

规律很清楚：使用总是堆在交付最紧、文档最烂的地方。

证据其实已经躺在你自己的系统里

不需要取证调查，三个来源这周就能给你大部分名单，其中两个不用任何人配合：

• 费用台账和公司卡账单：搜低于阈值、按月重复、金额整齐的订阅。
• 身份提供商的第三方应用授权：在 Google Workspace 或 Microsoft Entra 里看员工同意过哪些外部应用。
• 终端或浏览器插件清单，如果设备管理工具会上报。

DNS 或出口日志只能证明域名被访问过，不能说明粘了什么进去，而定性的依据恰恰是后者；它们也找不到那个用私人电脑、私人卡、私人账号的人。缺口只能靠把合规路径做到足够快。从费用账单和身份提供商导出清单的完整排查顺序，是我通常照着走的那一遍。

同一个 prompt 走消费版和企业版，差别在哪？

输出经常一模一样，这就是陷阱：差别全在合同和配置里，而这里 CFO 比工程师有发言权。

消费版通常默认你的输入可用于模型训练，除非用户主动关掉——几乎没人关，开关藏得很深；企业版条款默认排除训练。这一条决定了 prompt 是转瞬即逝，还是实际上已经公开。此外还有设不了的留存窗口、拿不出给客户的数据处理附录（DPA）、不能选数据存放地、没有审计记录。有人问"哪些数据出了公司、哪天、用谁的账号"，消费版只能回你一个耸肩。

账上已经有多少钱，这个数从哪来？

我能给你算术，不给行业基准：唯一站得住的数字只能从你自己的账里算。

假设 40 人各持一个个人版订阅，约每月 20 美元：一年 9,600 美元，而且是 40 条独立记录，每条都低于触发审查的阈值。这是用来复现你自己那张表的示例算术。

推动这件事的说法是"重新分类"，不是"新增成本"：能力你已经在付钱，没在付的是合同、留存设置、日志，以及随时关掉它的能力。

为什么"直接禁用"在算术上就不成立？

禁令需要执行器具：绑定身份的 AI 访问、控制什么数据出网、你自己管的设备——而这些器具恰好也是安全使用 AI 所需要的。于是很干净：能执行禁令，你就不需要禁令，直接治理即可；执行不了，这纸禁令就是没有器具的政策，效果只是把使用推得更远。

怎么做盘点，而不把它变成抓人？

宣布两周清点，明确特赦：主动报的不进处分流程。一对一问五个问题：

1. 用哪些工具，工作账号还是私人账号？
2. 什么东西会被放进去？有没有客户名、价格、个人信息？
3. 停用过什么？被屏蔽，还是有人让你别用？
4. 试过又放弃的是哪个？哪里不好用？
5. 明天工具被收走，哪件事会做不下去？

第四、第五个问题价值最大，也恰恰没人会问；被放弃的工具，就是你本来要花钱请厂商再发现一遍的失败模式。也一定有人少报，拿台账交叉核对即可。

哪些控制真的改变风险，按什么顺序做？

只能做一件事，就做第一行：它把未知量变成一份具名名单，其他控制都依赖它。

顺序上，因为它省钱：先把企业版买下来，再动手做任何建设。把 40 个报销出来的订阅变成受治理的资产包是采购和配置工作，不需要平台——这也是我在企业里实际交付的治理改造最先做的动作。

什么时候等一等是说得通的？

同时满足两个条件时，等是合理的：材料确实不敏感（没有个人数据、没有价格、没有未发布的知识产权），并且用的人本来就是你会认可其判断的人。两条都成立，你的增量暴露大致就是邮件和移动存储本来就在承担的那一份。只要有一条工作流碰到受监管的个人数据，或者你签过保密义务的条款，等就说不通：缺失的那个控制就是全部风险。

企业里有多少使用未经批准，我和卖平台给你的人都没有可信数字——缺的正是测量本身。所以决定是两个成本的比较，只有一个会出现在账上：看得见的是你一直当作小事的那条授权费，看不见的是留存规则和审计记录的缺失、一页纸上没有名字。这周就把公司卡账单和身份提供商的授权清单拉出来数一数。