AI治理的短板不在立法，在监管机构有没有人手

本文解读：《2026协作式AI框架与就绪度诊断：政策制定者与监管机构实操指南（英）-国际电信联盟ITU》 · 共 76 页 · 原文

这份 ITU 指南的核心论点只有一句：有效的 AI 治理需要两根柱子，协作框架和就绪度诊断，缺一根就站不住。协作框架回答「谁该一起干」——数据保护、电信、网络安全、竞争、消费者保护、公共采购、行业监管、人权与创新政策， 这些机构都在这张网里。

就绪度诊断回答另一半：这些机构有没有授权、工具、数据、技术能力、基础设施、预算和执法权。

报告点了两种典型失败。一种是「纸面框架」：AI 委员会、战略、法律都齐了，却没有能力执行； 另一种是「技术试点」：系统已经在卫生、教育、税务上线，保障机制还没建。

立法解决的是能不能管，诊断解决的是管不管得动，多数国家卡在第二件事上。

图源：《政策制定者与监管机构实操指南》（第1页）

一、两根柱子，一根管分工，一根管能力

报告把协作框架的构成写得很具体：一个中央协调机制（AI 委员会、AI 办公室或跨部门委员会）， 监管者之间的正式协议（备忘录、联合指引、联合执法程序），多方咨询机构，以及共享工具。

共享工具这一项常被忽略。统一的影响评估模板、模型文档模板，能同时降低碎片化和企业的合规负担。没有这套东西的后果也很明确：重复劳动、监管空白、向产业发出互相矛盾的信、公众信任被磨损。

但框架只能指出谁该合作，不能保证合作有效。机构可能没有授权，也可能没有技术专家、数据权限、 采购工具或执法能力。这就是诊断要补的位置。

协作框架给出治理模型，就绪度决定这个模型能不能真的运转起来。

图源：《政策制定者与监管机构实操指南》（第9页）

二、2023 年之后：从软法走到硬法

2020 年代初，多数辖区用的是非约束工具：国家 AI 伦理原则、高层级指南、自愿框架。 它们定了预期，但对监管者和部署方的实操指导很有限。

2023 年起进入第二波。欧盟、加拿大、巴西、中国（算法推荐、深度合成、生成式 AI 服务）、 日本（AI 促进法）、韩国（AI 基本法），以及美国科罗拉多、加州等州，都拿出了有约束力的规则。

后果有三层。义务开始直接落在价值链各角色身上——开发者、提供者、部署者、进口商、分销商； 监督架构必须按风险、按技术理解力重建；协调要求陡增，因为 AI 同时和数据保护、网络安全、 消费者保护、电信、竞争法、行业监管、人权法交叉。

报告因此把核心挑战重新定义了一遍：不是「有没有 AI 战略」， 而是法律、机构、工具和能力是否互相对齐。

软法时代拼的是表态速度，硬法时代拼的是机构的手艺。

图源：《政策制定者与监管机构实操指南》（第10页）

三、一个高风险系统，能拉出四个监管者

欧盟 AI Act 下，用于信贷评分的高风险系统可能同时牵动银行监管、数据保护机构、 消费者保护机构和产品安全或市场监督机构。没有一个机构能覆盖全部相关面向。

美国的州法要和联邦执法并行——联邦贸易委员会、平等就业机会委员会、消费者金融保护局、 行业监管者，再加上一般民权法。中国的算法推荐、深度合成、生成式 AI 规则， 涉及网信、内容与安全多个条线，各有各的授权。

非洲和南亚的情况更绕：农业、卫生、社会保护领域的 AI 常由捐助方和国际公司提供资金或技术支持， 在本地监管之上又叠了一层跨境协调。

报告同时强调一层底座：协作框架离不开 ICT 与数字基础设施——连接、云与边缘计算、 数据基础设施、数字公共基础设施。ITU 据此推「协作式（G5）监管」，跨部门、利益相关方驱动、随技术变化调整。

对监管者的要求也随之变化：从被动定规则，转向前置建设数字生态，把伦理考量嵌进技术全生命周期。

图源：《政策制定者与监管机构实操指南》（第5页）

四、五种区域模式，五种不同的难题

美洲是混合多层。加拿大走联邦「高影响 AI」制度，美国是联邦、州、行业三层叠加， 拉美多把 AI 事项塞进数据保护法和新出的 AI 法案、国家战略里。共同问题是层级碎片、隐私与 AI 监督重叠。

亚太是混合谱系。中国是有约束力的规则，日本和韩国是促进型基本法，印度靠数字立法牵头， 新加坡和澳大利亚靠软法工具箱与测试框架。共同问题是：软法到底有没有改变行为。

非洲与阿拉伯国家是基础型。治理常建在数据保护、数字转型法、国家战略、行业试点和中央协调机构上， 而不是横向 AI 法。要问的是：数据保护和网络安全够不够支撑 AI 规模化。

独联体是国家主导型，靠中央数字化议程、总统或内阁战略、行业规则和行政协调推进。 哈萨克斯坦在往 AI 法走，乌兹别克斯坦是战略牵头。要问的是：战略雄心有没有对应的执行能力。

欧盟最完整：四类风险分级、价值链义务、治理与监督架构，2025 年 11 月又出了 Digital Omnibus 和 AI Omnibus 简化包。 AI Omnibus 的政治协议在 2026 年 5 月 7 日达成，嵌入受监管产品的高风险系统过渡期延到 2028 年 8 月 2 日。

模型不同，协调难题就不同，所以只做法律条文的比较没有意义。

图源：《政策制定者与监管机构实操指南》（第6页）

五、这份指南的两个目标

第一个是更新并深化对协作式 AI 框架的分析，把 2023 到 2026 年的法律、机构与政策变化纳进来。第二个是提出一套能落地的就绪度诊断，帮国家和次国家机构判断： 把框架跑起来所需的制度、基础设施、法律、技术和人力，究竟在不在。

前言里有一句方法论上的提醒：AI 治理会持续演化，所以「就绪」是一个持续过程，需要定期评估、机构学习和适应。

报告还专门为基础设施留了位置。AI 依赖连接、数据生态和算力，ICT 监管者因此在这条链上位置关键—— 它决定的是能不能安全、有韧性、普惠地部署。

这份指南继承了 ITU 此前那本《迈向协作式 AI 框架》的原则，把原则推成了可操作的评估方法。 它对应的是 WTDC-25 第 91 号决议。

图源：《政策制定者与监管机构实操指南》（第3页）

六、谁该用，多久跑一次

使用者分三类：政策制定者（部委）、监管者（AI 主管机构、ICT 监管、数据保护机构、行业监管）， 以及省市级政府。报告明确这套方法在国家或次国家层面都能跑：从数据很少的低能力环境， 到文档、指数都齐备的高能力环境，都能适配。

输出物可以很轻，也可以很重：一份内部简报、一份公开报告、一份路线图，或者一包立法草案。频率建议是每两到三年重跑一次，用来跟踪进展、调整策略，并和预算周期挂上。

它不该被当成排名工具。报告自己批评了红绿灯看板式的评估—— 那类工具告诉你排第几，不告诉你下一步该做什么、由谁做、按什么顺序做。

诊断的价值不在分数高低，在它能逼出一份带责任人的排序。

图源：《政策制定者与监管机构实操指南》（第7页）

七、先把三个词分清：ANI、生成式、代理式

报告先做概念分层。一端是 ANI（窄人工智能），做预测、分类、优化这类特定任务； 另一端是 AGI（通用人工智能），能在多个领域像人一样灵活工作，但基本还停留在理论层面。

中间这一段是当下真正在扩散的两类：生成式 AI 产出文本、图像和代码， 代理式 AI 能自主行动、做决策、与其他系统交互以完成既定目标。

多数系统靠机器学习驱动。其中无监督学习在政策上最棘手，因为它不依赖预设标签， 结果更难预测、更难解释、也更难审计。

分层不是学术洁癖，它直接决定需要什么能力。用 ANI 优化常规公共服务， 重点是数据治理、采购实践和基础技术能力。

上生成式或代理式，就多出模型透明度、滥用风险、网络安全漏洞、持续监控和人在环上的要求； 到了 AGI 那一档，议题变成系统性和跨境，需要前瞻性的国际协调。

图源：《政策制定者与监管机构实操指南》（第4页）

八、八个维度，112 分

维度一看愿景与战略对齐：有没有一份连贯、可信、能落地的 AI 愿景， 和更广的发展、数字化、行业目标对齐，并且把角色、责任和资源分下去。

维度二看治理与机构就绪：数据保护、电信、竞争、消费者、行业监管、网络安全的授权是否清晰， 协调机制是否真的在运转，多方参与（学界、产业、公民社会）是否结构化和包容。

维度三看数字与算力基础设施：4G/5G、固定宽带、云、数据中心、GPU 与高性能计算、电力， 够不够可靠、够不够普惠。

维度四看数据治理：保护法与执法是否有力，开放数据与互操作框架是否成形， 分类分级、隐私增强技术、跨境流动安排是否支撑安全又创新的使用。

维度五到八依次是人才与机构能力、创新竞争与采购、伦理信任与社会准备、实施监督与执法准备。 后两个维度最容易空转——指南原则有了、影响评估没做、申诉渠道也没有。

计分很简单：每个维度 7 项指标，每项 0 到 2 分，单维度满分 14 分，八维合计 112 分。

上面这些数据和图表都出自原报告，完整版放在运营动脉（www.yydm.cn），拿标题一搜就能到。

原文有几十页，这里只挑了对经营判断最有用的部分讲，细节还得回原文核。

九、六步法，和一把四档的尺子

第一步定目标与范围。这次诊断要支撑什么决定——起草战略、设计立法、 判断高风险系统能不能上线，还是做机构协调与能力建设。范围可以是全政府、某个行业，或某个省市。

第二步建一个小而有授权的诊断团队，一般由数字或 ICT 部、中央数字化机构、国家 AI 协调机构牵头， 成员包括 ICT 监管、数据保护机构、竞争与消费者机构、网络安全机构，再加一到两个关键行业监管。

第三步收证据，三条腿走路：文档与数据审查、利益相关方半结构化访谈、机构自评打分。 三条腿交叉能压住偏差，也能暴露矛盾——某机构自评「成型」，但文档和访谈里几乎没有 AI 相关案例。

第四步打分。四档成熟度：0 至 3 分初生，4 至 7 分萌芽，8 至 11 分成型，12 至 14 分先进。第五步综合。用雷达图标出八个维度，找失衡点，再按风险严重程度、维度之间的依赖关系、 以及 12 到 24 个月内的可行性排优先级。

第六步出路线图。动作分几类：法律政策、机构安排、基础设施与数据、能力建设、创新与采购、 伦理透明、监督执法。每条都要写清责任人、时间点和资源含义。

十、Novara 这一页，最能说明诊断怎么用

附件用一个虚构国家做示范：Novara，中低收入，约 1,800 万人口。 宽带、数字政府、开放数据、创新政策都有进展，AI 治理还比较散。它的总分是 61 分（满分 112），落在第三级「成型」。但分布很难看： 基础设施 10 分、愿景 9 分，治理协调 7 分、伦理 7 分，人才 6 分、监督执法 6 分。

这正是诊断有用的地方——总分体面，短板清楚。报告据此下的判断是： Novara 已经走出「泛泛表态」，但战略落地仍然零碎，协调还停留在非正式层面。

三个提醒。第一，别把「有战略」当成「有就绪度」：Novara 的愿景分在八项里靠前，执法分却排在末尾。第二，缺口是复合的。数字技能弱会放大监督能力的弱，单点补课常常解决不了问题， 报告把这叫「复合缺口」。

第三，诊断要能重复。两到三年跑一次，并且和预算、机构工作计划挂钩；否则报告写完就进抽屉， 下一轮从零开始。

诊断真正的产出不是那张分数表，是后面按 12 到 24 个月排过序的动作清单。