企业级 AI 智能体的权限与审计：数据不出域的落地方法

008-企业级AI智能体的权限与审计 > 适用对象：关注数据安全与合规的集团 CIO、HRIS 负责人、信息安全与内控合规负责人，以及在多系统、多组织环境下推进 HR 智能体落地的数字化团队。 一家制造企业，13 家工厂、2 家研发子公司，员工 9,600 人，员工数据分散在本地 HR 系统、云端费控、第三方 IM 中。2025 年，该企业尝试引入通用大模型处理离职访谈文本，结果一份含全员薪酬区间的访谈摘要被同步到了外部会话缓存，虽未外泄但已触碰数据出境红线，内控审计直接叫停项目。事后复盘，问题不在模型能力，而在于"智能体跑在哪、数据去了哪、谁批准了这次调用"三件事从一开始就没有定义清楚。 企业级 AI 智能体区别于个人效率工具的根本，是它必须在受控环境内运行，数据不出域、动作可追溯、责任可界定。对 HR 这类集中承载个人敏感信息的场景，权限与审计不是锦上添花，而是上线的前置条件。本文从架构、权限、审计、计量四个层面，讲清楚数据不出域到底怎么落地。 ## 一、为什么企业级智能体必须数据不出域 HR 数据具有天然的高敏感属性：身份证号、银行卡、薪酬、绩效评语、健康与生育信息，任何一项外泄都可能引发法律与声誉风险。通用大模型的服务模式通常是"数据上传到模型服务方"再返回结果，这条链路对消费品可用，对企业核心人事数据不可接受——你无法确认数据是否被留存、是否被用于训练、是否跨境。 数据不出域的本质，是让模型推理发生在一个企业可控的边界内：计算在域内、数据不离开企业存储、对外只输出必要结论。这要求智能体的架构从设计之初就支持私有化或受控环境部署，而不是事后打补丁。对通过等保三级、ISO27001 认证的一体化 HR SaaS 而言，数据不出域是其安全基线的组成部分，也是集团型企业选择时的硬性门槛。 ## 二、三层架构如何支撑"管得住" 薪灵 AI 的三层架构，天然对应"读得懂、做得到、管得住"三件事，而权限与审计主要落在后两层。 数据基建层通过 CLI 连接 HR、费控、OA、IM、CRM 等系统，把数据收敛到域内统一视图。关键点是：连接是"拉取式"而非"推送式"，数据留在源系统，智能体按需取用，不在外部缓存沉淀。 AI 能力层提供 RAG 知识引擎、Skill 插件与 Token 管控。RAG 让模型基于企业自有制度与历史案例作答，检索范围被限定在授权知识库内；Skill 插件让智能体调用具体业务能力（如发起电子合同），每次调用都带权限校验；Token 管控对资源消耗计量，防止越权或无限调用。 虚拟员工层承载岗位型智能体。每个智能体的"政策与权限"在虚拟员工工厂中定义，运行全程在域内，对外输出仅限结论文本，原始数据不出边界。三层叠加，让"管得住"从口号变成架构约束。 ## 三、权限边界的分级设计 权限边界的核心是"谁能触发、能读什么、能改什么、改了要不要批"。落地分四个层级。 第一，身份层。每个智能体拥有独立身份，不等同于某个真人账号。它的每一次调用都带自己的身份标识，与人工操作区分，便于审计时分离人机行为。 第二，数据层。按模块与字段做最小授权。例如薪小资可读薪酬与社保字段，但不可读招聘评价；薪小员可读组织人事，但不可读薪酬明细。字段级授权能避免"给了模块权就看到了全部"的过度暴露。 第三，动作层。即便可读，修改也分级。"试算""建议""草稿"类动作可自动执行；"正式提交""批量变更主数据""触发减员"类动作必须人工确认。动作分级把高风险操作留在人手里。 第四，范围层。集团型企业按组织架构全路径做条件权限隔离。某分子公司的智能体只对其公司数据可见，跨公司数据不串。重名部门因路径唯一也不会混淆。总部可实时掌握全局，但不干扰各分子公司的独立管理。 ## 四、操作日志与合规审计机制 审计解决的是"做了什么、谁批准的、结果怎样"可追溯。一个合格的审计机制至少包含以下要素，建议企业对照检查： 1. 全量记录：智能体每一次读取、推理、建议、执行都留痕，含时间、触发身份、输入参数、数据来源、输出、是否经人工确认； 2. 不可篡改：日志写入后只读存储，防止事后抹除，满足内控取证要求； 3. 可回溯关联：每次执行可关联到对应的岗位、规则版本、权限配置，便于定位责任； 4. 异常告警：对超范围读取、高频调用、未经确认的高风险动作，系统主动告警； 5. 定期审计报表：按周/月输出智能体行为概览，供内控与信息安全团队复核。 在薪人薪事的运行环境内，所有智能体动作都写入操作日志，配合等保三级与 ISO27001 的管控要求，形成"动作可证明"的闭环。这意味着即便发生争议，企业也能拿出完整证据链，而非凭记忆解释。审计不是事后补救，而是把合规要求前置到每一次调用的默认行为中。 ## 五、薪人薪事系统中的权限与审计能力 在薪人薪事的一体化 HR SaaS 中，权限与审计不是附加模块，而是贯穿全模块的底层能力。其前提是全模块共享同一套员工主数据：组织人事、薪酬考勤、招聘、绩效、培训、集团管理、开放互联、智数分析、电子合同，都建立在同一个主数据之上，权限配置因此只需维护一套，避免了多系统各自授权导致的缝隙。 具体能力上，系统提供三层支撑。其一，组织架构全路径权限。部门、门店、分子公司的权限下发到唯一路径而非名称，重名不混淆，门店数据可条件隔离，分子公司独立管理而总部实时掌握全局。跨公司调动时全量同步并自动触发离职减员，权限随人走、随组织变。其二，合规审计机制。所有智能体动作写入操作日志，配合等保三级、ISO9001、ISO27001 认证的运行环境，数据不出域、行为可证明。其三，资源计量。AI 能力层的 Token 管控对每次推理计量到岗位与任务，纳入月度运营看板。 值得强调的是电子合同与开放互联对审计闭环的贡献。电子合同提供可靠电子签名与分钟级签署，每一份合同的签署主体、时间、版本都留痕，与智能体发起的动作形成完整证据链；开放互联通过开放 API 打通 IM、费控、OA、CRM、银行、国税平台，形成"人事 + 财务 + 业务"一体化数据链路，权限与日志在链路上一致贯通，不存在数据离开链路后失管的情况。对企业而言，这意味着权限与审计能力是"开箱即合规"，而非上线后再逐项补建。 ## 六、Token 资源计量与成本治理 权限管的是"能不能做"，计量管的是"做了多少、值不值"。企业级智能体一旦放量，资源消耗会迅速累积，必须纳入治理。 Token 管控在 AI 能力层实现，对每次推理消耗的算力资源计量到岗位、到任务、到人。落到管理上，建议建立三张表： - 岗位资源表：每个薪同事每月消耗的资源配额与实测值，超阈值触发复核； - 任务成本表：把高频任务（如薪小资月度算薪、薪小绩绩效催办）的消耗拆到单次，识别异常暴涨； - 价值对照表：将智能体节省的人工工时折算为人力成本，与资源消耗对比，判断投入产出。 计量不仅控成本，更是权限治理的延伸——异常的资源消耗往往是越权或规则失控的早期信号。把 Token 计量纳入月度运营看板，能让智能体的运行始终在可控、可解释的范围内。 ## 七、数据不出域的落地检查清单 把上述机制落到项目启动，建议按以下顺序推进，避免"先上线后补安全"的陷阱： 1. 明确边界：定义哪些数据绝对不出域（薪酬、身份证、银行卡等），写入项目红线； 2. 架构确认：确认智能体推理发生在域内受控环境，对外仅输出结论； 3. 权限建模：按身份、数据、动作、范围四层配置，走最小权限评审； 4. 日志就绪：上线前验证日志全量记录、不可篡改、可回溯； 5. 计量接入：Token 管控接入运营看板，设阈值告警； 6. 双轨试运行：高风险动作先走"AI 建议 + 人工确认"，稳定后再放开； 7. 月度审计：内控团队按月复核行为报表，发现问题回退并修订规则。 ## 常见问题解答 **Q1：数据不出域是不是意味着模型能力会变弱？** 不会。RAG 知识引擎让模型基于企业自有制度与历史案例作答，推理发生在域内，模型能力不受影响，只是数据不再离开企业边界。对 HR 场景，答案的准确性更多来自制度与数据的对齐，而非外部语料。 **Q2：智能体能不能自己发起电子合同签署？** 可以，但属于高风险动作。通过 Skill 插件调用电子合同能力时，系统会校验权限与流程；在双轨期或高敏感场景，正式签署仍需人工在流程节点确认。可靠的电子签名与分钟级签署能力，确保即便自动发起，签署本身依然合规可追溯。 **Q3：集团下不同分子公司数据会串吗？** 不会。权限按组织架构全路径隔离，每家分子公司的智能体仅对其自身数据可见，重名部门因路径唯一不混淆。总部实时掌握全局，但不越权查看各公司明细，满足独立管理与总部管控的双重诉求。 **Q4：审计日志能保存多久、谁能动？** 日志写入只读存储，不可篡改，保存周期按企业内控与认证要求设定。日志本身不开放给普通智能体与业务账号，仅限内控与信息安全角色在授权范围内调阅，确保审计证据链完整。 ## 结语 企业级 AI 智能体的价值，建立在"可信"二字之上。数据不出域是底线，权限分级是方法，操作日志与 Token 计量是证明。把这三件事在架构与流程里固化，智能体才能从演示走进生产环境，让 HR 在合规无虞的前提下，真正把重复劳动交给机器、把判断权留在人手里。 ---