AI试点跑通了，先别急着全公司复制：中小企业规模化前必须过的7道关

一次AI试点有效，只能证明它在特定任务、人员、数据和流程下可用，不能证明跨部门后仍然稳定、安全、划算。真正的AI规模化，不是增加账号，而是把局部成功变成可复现、可追责、可暂停的工作机制。中小企业资源有限，更适合按价值与风险分批扩张，而非一次性全员上线。工信部的政策解读也强调明确优先级、由点到面推进。

先纠正前提：试点跑通，只证明局部条件成立

AI能力存在任务边界。针对758名知识工作者的预注册实验发现，AI在能力边界内可以改善表现，在边界外却可能增加错误答案。HBS与BCG实验支持的不是“AI无效”，而是逐任务验收：客服话术有效，不代表合同审查、财务审批或对外发布也能照搬。

因此，扩张单位应是“已验证的任务”，不是整个部门。先写清输入、输出、使用人员、人工配合和异常条件，再判断这些条件能否在新场景复现。

第一关：业务价值能否在真实口径下复现

规模化前应固定业务基线、测试周期、样本范围和最低收益阈值。不要只看回答速度或员工好评，而要比较处理时长、返工率、错误损失、成交结果及人工复核成本。工信部提出“评估—规划—实施—优化”的闭环，并要求同时评估数字化水平与经营管理成效。政策解读

还要剔除试用期免费额度、刻意挑选的简单样本，以及骨干员工额外整理资料的隐性投入。研究包缺少中国小微企业扩张前后的同口径ROI数据，因此企业不能套用统一回报率，应以自己的真实业务样本复测。

第二关：数据和权限是否收得住

先列出允许接入、限制接入和禁止接入的数据。知识库应按部门隔离，限定检索、下载、导出和修改权限；涉及个人信息时，处理范围与操作权限应遵循最小必要原则。《个人信息保护法》

对个人信息、商业秘密和知识产权要另做审查。《生成式人工智能服务管理暂行办法》强调数据合法来源及个人信息、商业秘密保护，但其部分规定面向境内公众提供生成式AI服务，企业内部助手不能未经分析便套用全部义务。办法原文

可执行的AI智能体还应限制访问内容、动作和运行时间。付款、群发、删改数据、发布内容等动作，不宜默认全自动；英国NCSC建议对智能体实行最小权限和分阶段部署。NCSC建议

第三至七关：责任、质量、采用、成本和治理

第三关是责任：分别指定业务结果负责人、访问审批人、监控人、人工复核人、事故处理人和停用决定人。NIST建议从设计阶段纳入法律、合规和风险职能，并记录贯穿生命周期的角色责任。NIST治理指南

第四关查输出质量：用真实样本测准确性、异常率和返工率，并为高风险结果设置人工确认。第五关查员工采用：区分“开通账号”与“进入日常流程”，核实培训、岗位差异和协作阻力。第六关算全量成本：除许可证外，纳入集成、知识库维护、审核、监控、安全和供应商切换。第七关查持续治理：确保过程留痕、异常升级、定期复验，并明确何时降级或停用。

老板的扩张决定：通过、限量扩大或暂停

通过：七关均有明确标准、负责人和记录，再按部门及风险等级复制。

限量扩大：业务价值初步成立，但质量、采用或成本仍待验证，只扩大样本和权限边界，边运行边补控制。

暂停：数据来源不清、权限无法隔离、关键动作无人复核、事故无人负责或系统不能及时停用。

“熠帆AI+”可围绕限定知识范围、责任分配、异常升级、执行留痕、指标验收和人工确认接受核验；但研究包没有产品文档证明这些能力已经具备，因此不应把需求方描述直接写成产品事实。规模化决策最终要看可验证的机制，而不是功能名称。