AI 与实验室
引入 AI 的合规风险与边界：别让"聪明"带来麻烦
实验室引入 AI 的收益很直观，风险却很隐蔽：数据出了实验室、责任说不清、输出不可解释、带有隐性偏差。合规视角下，四类风险要先于功能被想清楚。
一、四类风险与边界
| 风险 | 具体表现 | 边界设计 |
|---|---|---|
| 数据外流 | 数据用于模型训练、离开机构 | 数据不出机构、不用客户数据做未授权训练（写入合同） |
| 责任悬空 | “AI 说的”无人担责 | 强制“AI 辅助、人落笔”，关键动作由人确认 |
| 不可解释 | 提示说不出依据 | 输出必须可溯源到记录/文件（“为什么提示”可查） |
| 隐性偏差 | 规则/模型带偏见 | 承担关键环节的 AI 需抽样复核、定期评估 |
二、与既有合规体系的衔接
- 权限与盲样：AI 能力受同一套权限与信息隔离约束（检测环节的 AI 助手同样不见委托方信息）；
- 记录与留档：AI 参与的操作要能纳入审计追踪（谁在何时用了哪个 AI 能力）；
- 数据完整性：AI 不破坏“原始、准确、可追溯”——原始数据仍以仪器/记录为准。
三、验收一个 AI 功能的三问
- 它说“这样改”，依据是什么，能不能点到记录；
- 它错了一次，谁负责、怎么发现、怎么纠正；
- 关掉它，业务还能不能正常跑——AI 是增强不是依赖。
四、边界表达的三个“永不做”
- 永不直接签发/直接判合格；
- 永不越权读取敏感信息；
- 永不把“规划中”当“已交付”对外承诺（与产品边界一致）。
AI 进实验室的合规逻辑一句话：让每个 AI 输出都可溯源、可拒绝、可追责。 把“可溯源、可拒绝、可追责”做成系统约束，AI 的“聪明”才不会变成合规的“麻烦”。