AI 合规验收：十二项检查、四维评分与一次客户审查演练

合规不是「做完了」，而是「被人问的时候答得出来」。

一、一次模拟审查，四个问题答不上来

2026 年 10 月，周闻请一位做企业采购的朋友扮演客户，做了一次 90 分钟的模拟审查。对方只问了十二个问题，他有四个答不上来。

以下情境为教学假设，人物、引语和数字不代表经核实的真实案例。

答不上来的四个是：模型变更后有没有通知客户、子处理者变更多久转达、投诉记录能导出哪些字段、系统说明里写没写「不做什么」。四个都不是技术难题，只是没人问过。

验收的意义在于提前被问。 客户审查现场答不上来，丢的是一单；自己演练时答不上来，改的是一页文档。

二、十二项检查与四维映射

他把前面九篇的动作收成十二项检查，再映射到四个维度。

十二项和第一篇的十一项动作不是同一层。十一项是「判断该做什么」，十二项是「检查做没做到」；多了「证据包与演练」这一项，因为它只能事后验。

四维的划分依据是「客户会按什么顺序问」。先问你的功能风险，再问数据流向，然后问怎么告知与担责，最后要证据；顺序对了，回答就不会乱。

十二项不必都做到满分。 它们的作用是让你知道哪一项空着；空着不可怕，不知道空着才可怕。

每一项要能一句话说清。说不清的项，通常是还没做，或者做了但没整理；两种情况都要补，一种补动作，一种补文档。

表要有人维护。一个人产品里，「有人」就是你自己；每次功能变更、供应商变更、投诉处理完，都在表上改一行，表才不会过期。

三、评分：3.26 与补板后的 3.45

每维 1 到 5 分，按权重加权。

3.26 分，落在「可以接，但要主动说明」的区间。他没有把分数往高里调，因为调高只骗自己；客户会用自己的问题重新打一遍分。

四维里最低的是「披露与责任」3.00。原因很具体：责任条款只放在服务条款里，客户合同没有附表；披露虽然做了六处，但没有一页汇总。

按「补最短的那块」原则，他把披露补到 3.75：加一页披露汇总、把四条边界做成合同附表。加权后变成 3.2625 + 0.25 × 0.75 = 3.45，跨进了「可以直接交证据包」的区间。

补板要看权重，不要看分数。 把 3.00 补到 3.75，收益 0.19；把 3.50 补到 4.00，收益只有 0.15；同样的力气，先补权重高又分低的。

三档结论可以这样用：低于 3.0，先别接企业客户；3.0 到 3.5，可以接但要主动说明缺口；高于 3.5，可以直接给证据包。分数不是标准，它只是一个排序工具。

权重不是拍出来的。他按客户提问的频率定：数据与供应商问得最多，给 0.30；披露与责任次之，0.25；证据与响应虽然重要但问得少，0.20；风险识别 0.25。权重变了，结论会变，所以要写清依据。

四、客户审查演练四步

演练不是念一遍清单，而是让对方真的问。

第 2 步是关键：不看文档答，才测得出「知不知道」；看着文档念，测的只是「文档写没写」。

第 3 步测的是「找得到」。很多人的证据散在四个地方；客户现场等三分钟，印象就没了。他的标准是「一分钟内能翻到」。

第 4 步只补三项。一次补十二项会拖成一个月，最后一项都补不完；三项一周能做完，下周再演练一次。

演练频率是每季度一次，每次换一个人扮演客户。同一个人问两次，问题会重复；换人才能发现新的空档。

演练要留一页记录：谁扮演客户、问了哪四个问题、答不上来的是哪几个、补了哪三项。下次演练先看这一页，没补完的接着补。

复算：
十二项：风险识别 2 + 数据与供应商 4 + 披露与责任 3 + 证据与响应 3
加权：3.25×0.25 + 3.50×0.30 + 3.00×0.25 + 3.25×0.20 = 3.2625 ≈ 3.26
补披露：3.00 → 3.75，加权 +0.25×0.75 = +0.1875 → 3.45
建设：186 h（一次性）= 供应商 28 + 台账 22 + 披露 18 + 评测 40 + 条款 26 + 演练 12 + 其他 40
持续：26 h/季度 × 4 = 104 h/年 = 供应商复审 40 + 台账 42 + 演练 12 + 其他 10
第一年：186 + 104 = 290 h；另加模型回归 61.6 h，合计约 352 h
企业侧：14 家问过 AI 数据处理；3 家要证据包 × 4 h = 12 h
机会成本：29 美元 × 12 个月 × 10 席 = 3,480 美元/年

290 小时的第一年投入，对应 3,480 美元的单客户年费；这笔账只有在「因为合规拿下了单」时才划算。如果客户根本不问，这套动作的价值就只剩「出事时不慌」。

五、行动清单与复算验收

• 把十二项检查做成一张表，标出每项的证据在哪。
• 给四个维度打分，写下每分的理由。
• 按权重 × 缺口排序，只补前三项。
• 每季度做一次 90 分钟模拟审查，换人扮演客户。
• 演练时先不看文档答，再翻证据。
• 把答不上的问题写成文档，而不是记在脑子里。
• 把 186 小时与 104 小时分开记，别混成一笔。
• 把机会成本写进报价讨论，而不是只算成本。

验收标准：任取十二项中的一项，都能在一分钟内翻到对应证据，并说清它的缺口。

前四条是「把检查跑一遍」，后四条是「把结果用起来」。如果只有一小时，先做第四条：一次演练能暴露的问题，比看十遍清单多。

使用边界与实操验收

评分是自评工具，不是认证。 3.26 或 3.45 只代表内部排序，不代表任何外部标准；客户、审计与监管各有自己的口径。

分数不能替代证据。 打 4 分但拿不出文件，等于 0 分；每一分都要能指到一个文件或一条记录。

补板要一次只补三项。 十二项一起补，通常一项都补不完；按权重排序，先把最影响成单的补上。

演练要真的限时。 不限时的演练会变成讲解；30 分钟答不完，说明你还没准备好。

合规投入要看客户结构。 全部是自助小客户时，290 小时可能永远收不回来；有企业客户时，这笔投入才有对应的收入。

本文的数字是教学假设。 3.26、186 小时、3,480 美元都是演示口径，换成自己的产品要按实际重算。

关键参考与核验范围

• NIST AI 风险管理框架 ：用于核对治理、映射、测量与管理四类活动的通用结构。
• EU AI Act 官方文本 ：用于核对透明度、记录保存与人工监督的义务结构。
• OWASP LLM Top 10 ：用于核对风险清单的覆盖面，避免十二项漏项。

以上链接于 2026-10-27 实测可公开访问；未核验版本、条款更新与适用范围。核验日期：2026-10-27。

范围上只讨论一人产品如何自查 AI 合规并做客户审查演练，不构成合规认证，也不判定任何辖区的适用性。

系列导航

• 上一篇：事故与变更：十四次模型升级、三次回归失败与一次四小时故障
• 回到目录：一个人的 AI 合规：六个功能、二十二项供应商条款与一次客户审查
• 相关阅读：一个人的企业客户：九家询价、一百四十八道问卷与 134 天的第一单