Billy Norwood - Establishing AI Governance Without Stifling Innovation | [un]prompted 2026
三句話摘要
藥品分銷公司如何構建分層AI治理體系，在推動創新的同時管控風險。 有效的AI治理不是禁止創新，而是透過分層架構、強制培訓、技術監控與真實需求評估，讓安全成為業務流程的自然延伸。 治理架構分層化——從CEO、資訊長、法律顧問組成的最高委員會，到由副總裁與總監組成的AI卓越中心，再到各部門的審查流程，形成風險等級遞升機制，低風險項目在基層快速通過，高風險項目自動上報。
重點整理
重點- 1
治理架構分層化——從CEO、資訊長、法律顧問組成的最高委員會，到由副總裁與總監組成的AI卓越中心，再到各部門的審查流程，形成風險等級遞升機制，低風險項目在基層快速通過，高風險項目自動上報。
- 2
發現真實需求比盛大計畫更重要——初期40個用例中，多數實際上只是需要從Salesforce和SAP提取數據做報表，根本不需要AI技術，這迫使公司重新評估優先順序，避免盲目投資。
- 3
政策需要具體化與強制執行——初版的「使用AI前先諮詢」政策太寬泛，必須強化為「所有使用者必須簽署AI意識培訓」的硬性要求，才能真正控制合規風險。
- 4
技術與流程同步推進——不能只談治理，還要讓員工在系統設計層面（Access Control、Monitoring、Audit）感受到控制，降低繞過政策的誘因，構建「最安全=最便捷」的體驗。
實用技巧與重點
乾貨- 公司規模：50億美元市值，藥品分銷 + 物聯網迷你冰箱設備 + 網路藥房
- 初始項目規模：40個AI用例，計畫分5批於2025年完成
- 治理委員會成員：CISO（治理委員會主席）、資訊長、總法律顧問、首席合規官
- AI卓越中心級別：副總裁、總監、特別經理、數據科學主任、基礎設施人員、HR代表
- 核心用例1：醫療預授權 — 25萬美元應用案例，處理昂貴免疫藥物自動拒絕問題
- 核心用例2：多代理系統 — 處理過量、短缺、損壞、貨物運輸，整合SAP電商網站 → Salesforce通知 → 協調代理 → 客戶上傳圖片/影片
- 技術棧：Databricks、Microsoft Co-Pilot、Salesforce AI代理、SAP、CrowdStrike整合
- 政策要求：AI使用前諮詢、簽署AI意識培訓確認、涉及PHI/PII必須報告、嚴格的合同制約
- 監控機制：Databricks幻覺檢測、基線設定、雲端安全聯盟(CSA)標準導入
結論
結論“有效的AI治理不是禁止創新，而是透過分層架構、強制培訓、技術監控與真實需求評估，讓安全成為業務流程的自然延伸。”
完整解析
詳細TripleF Enterprises是一家不知名的50億美元藥品分銷商，核心業務不在軟體，而是透過物聯網冰箱和分銷網路處理專科藥物。2025年初，公司的資訊長聘請外部顧問，與各部門副總裁討論AI策略，顧問提出了40個AI項目分5批上線的路線圖。看起來雄心勃勃，涉及HR、藥品配送、藥房內部、銷售、財務各個部門，但CISO（講者本人）立即警覺到一個致命問題：沒有人真正考慮過治理。
於是講者推動建立了分層治理平台。最高層是治理委員會，由CISO、資訊長、總法律顧問、首席合規官組成，負責政策與道德規範討論。第二層是AI卓越中心，由副總裁、總監、數據科學主任與HR代表組成，評估具體用例的風險與價值。基層則是各部門經理，透過AI審查流程聯繫卓越中心。一旦發現涉及大量個人識別資訊(PII)或受保護健康資訊(PHI)的項目，問題自動上報至更高委員會。這樣設計的目的是平衡價值與風險。
在推行初期，公司要求所有員工簽署AI意識培訓與使用政策。兩個具體用例展示了治理的實際運作：一是醫療預授權系統，處理昂貴免疫藥物患者被自動拒絕的情況，這涉及PHI，屬於高風險項目；二是多代理系統，整合SAP電商平台、Salesforce CRM與客戶上傳的圖片/影片，自動協調超量、短缺、損壞與貨物運輸的投訴，這是一個複雜但相對低風險的專案。兩者都透過Databricks進行數據處理，利用Microsoft Co-Pilot與Salesforce AI代理作為介面。
然而，評估40個用例後，講者發現多數項目根本不需要AI，只是想從Salesforce和SAP拉出報表。這促使公司重新優先排序，篩除了許多虛構的AI需求。與此同時，技術層面也強化了合規：引入Databricks的幻覺檢測與CrowdStrike整合，參照雲端安全聯盟標準制定監控基線。最終，講者的目標是讓員工感受不到繞過政策帶來的便利性，而是讓「最安全=最便捷」成為預設選擇。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
