什么是生成式AI（生成式人工智能）？企业引入前必知的优势、风险与注意事项

可以把这份会议纪要粘贴到AI助手里做总结吗？

企业采用生成式AI前，应先明确“目标业务”“使用者”“输入数据”和“输出审核负责人”这4点，再比较工具。如果这4点没有明确，即使工具功能再方便，也很难判断其安全性和投入产出比。

企业开始在业务中使用生成式AI，往往就源于开头这种来自一线的实际问题。销售或职能部门提出需求，信息系统部门或数字化转型推进部门需要判断是否可行，管理层则会进一步考虑“能否在全公司推广”。但如果哪些信息可以输入、由谁审核输出、遇到问题向谁咨询都没有明确，企业就很难安全地把生成式AI真正落地到业务中。

我既协助企业设计生成式AI落地方案，也参与企业级AI软件开发。从管理层的投资决策和开发者的数据流、权限设计这两个视角来看，决定落地成败的并不只是模型性能。能否把使用目的、业务流程、信息管理、培训和评估指标设计成一套完整的运营机制，并在组织内稳妥推广，同样至关重要。

本文面向希望在业务中应用生成式AI的企业管理者，以及数字化转型推进、信息系统、经营规划、法务和职能部门负责人，系统介绍基础知识、预期效果、风险、工具选型、内部指南、概念验证（PoC）和正式推广。有关法律法规和合同的内容仅为一般性参考，不构成针对具体情形的法律意见。实际运营时，请结合企业自身的业务、数据和合同条件，必要时向律师等外部专业人士咨询。

企业推进生成式AI时，可以先按以下顺序梳理，以减少关键决策事项的遗漏。

1. 了解生成式AI的特点以及与企业自身相关的风险
2. 确定使用目的、目标业务、使用者和评估指标
3. 完善内部指南、权限、培训和咨询机制
4. 通过范围受限的PoC验证效果、质量、风险和运营负担
5. 正式推广后继续监测使用情况，并更新规则和系统

后文将围绕工具选型前的准备、内部指南、PoC评估方法和落地步骤，逐项说明具体判断要点。

生成式AI并不是部署后就能自动产生价值。只有明确目标业务并设计好人工审核流程，才能更稳妥地支持起草、总结、信息整理和内部知识检索等工作，让员工把更多时间用于判断、沟通和业务改进。

什么是生成式AI

生成式AI是指根据输入的指令或数据生成文本、图像、音频、视频和代码等新内容的一类AI。在企业场景中，更适合把它作为辅助起草、总结、分类、检索和创意整理的工具，而不是无需人工参与就能直接产出成品的系统。

传统AI已广泛用于需求预测、欺诈检测、图像分类等围绕既定目标进行判断或预测的场景。生成式AI能够接收自然语言指令，并结合上下文生成内容，因此无需专业操作，也能支持较广泛的知识型工作。

不过，生成式AI并不能像人类那样理解事实，也无法保证回答正确。它会基于从大量数据中学习到的语言模式，预测并生成最可能接续输入的内容。因此，即使输出自然流畅、看起来很有说服力，也可能包含事实错误或无法核实的依据。

在实际业务中，应把生成式AI定位为“起草助手”“信息整理助手”或“检索与构思的起点”，并明确由人负责设定目标、核实事实、处理例外情况和最终审批。

生成式AI较适合用于没有唯一正确答案的起草、总结、分类、改写和创意构思等工作。对于合同签署、授信、人事评价、法律判断和安全相关判断等错误后果较严重的业务，则不应把决策完全交给生成式AI。

选择企业级生成式AI服务时，这一职责划分同样适用。预先明确哪些环节可以交给AI、哪些环节必须由人审核，以及在什么情况下应停止处理，更有利于兼顾效率与风险管理。

为什么企业如今正在加快引入生成式AI

企业正在加快采用生成式AI，一方面是因为自然语言交互式AI服务快速普及，另一方面是文本起草、信息整理等知识型工作的负担较重，同时AI治理框架也在持续完善。生成式AI并不能解决所有问题，但已经成为辅助知识型工作的一项现实选择。

企业内部存在大量文本信息，例如销售邮件、提案、会议记录、内部制度、咨询记录和调研笔记。创建、审核和检索这些信息都需要时间，不同人员之间的质量和流程也可能存在差异。生成式AI很容易与这类以文本为中心的工作结合，因此往往具备跨部门应用的空间。

例如，销售部门可用它准备商务沟通材料和邮件草稿，职能部门可用它起草内部咨询回复，市场部门可用它梳理内容结构和表达方案，经营规划或数字化转型部门则可用它整理调研议题。最终判断仍应由人作出，但从零开始制作初稿，或从长篇资料中提取审核要点等工作，可以由生成式AI辅助完成。

评价生成式AI的价值，不应只看“直接替代了多少人工工作”。它能否缩短起草和整理时间，让员工把更多精力用于客户沟通、例外判断、质量审核和业务改进，同样是衡量落地效果的重要因素。

在制度层面，日本于2025年6月4日公布并部分施行《人工智能相关技术研究开发及应用推进法》（通常简称“AI法”），并于同年9月1日全面施行。2025年12月19日，日本政府又发布了关于确保人工智能相关技术研发与应用适当性的指南，进一步提出风险导向、利益相关方参与和全生命周期治理等原则。

此外，日本相关部门发布的《AI业务主体指南》（AI Guidelines for Business）已于2026年3月31日更新至1.2版。该版本纳入AI智能体和具身AI等技术发展，并继续从AI开发者、提供者和使用者等角色出发，强调全生命周期的风险识别与治理。

读完这些法律和指南，并不等于企业自身的应对方式就自动明确了。更重要的是梳理企业以何种角色使用AI、会涉及哪些数据和业务，并在必要时与法务、安全和个人信息保护负责人共同确认。

企业负责人首先应了解的生成式AI原理

企业负责人首先需要理解的是：生成式AI如何生成回答、错误可能在哪里出现，以及如何让系统检索并引用内部数据。无需掌握模型背后的数学公式，但如果只记住术语和功能名称，就很难做好工具选型和风险判断。

LLM

LLM是“大语言模型”（Large Language Model）的缩写。它会从大量文本数据中学习语言模式，并根据输入的上下文预测和生成文本。LLM并不像数据库那样原样检索训练数据，也不会自动保证回答正确。在业务应用中，除模型本身外，还应确认所用服务的数据管理、检索联动和管理员功能。

提示词

提示词是向生成式AI提供的指令或输入信息。明确目的、目标读者、前提条件、可用信息、输出格式、禁止事项和审核要点，更容易获得符合预期的输出。不过，提示词写得再详细，也不能保证结果一定准确。原始数据不足或相互矛盾、模型能力限制以及服务端设置都会影响输出。

幻觉

幻觉是指生成式AI生成看似合理、实际却与事实不符或无法核实的内容。数字、专有名词、引用、法律法规、判例、合同条件和产品规格等，都应与第一手信息或可靠资料核对。即使要求系统“如果不知道就回答不知道”，也无法完全避免错误。

RAG

RAG是“检索增强生成”（Retrieval-Augmented Generation）的缩写。它会先从内部文档或数据库中检索与问题相关的信息，再参考这些内容生成回答，可用于内部FAQ、制度检索和手册检索等场景。其质量不仅取决于检索准确性，还会受到源文档质量、更新时间、文档切分方式、访问权限、引用展示方式以及无法回答时的处理规则影响。

微调

微调是对现有AI模型进行进一步训练，使其更适应特定任务或输出风格的方法。如果目标是让系统使用频繁更新的内部信息，RAG或其他数据接入方式往往更合适。在落地初期，更现实的做法是先梳理目标业务、数据质量、提示词、RAG和审核流程，只有这些手段仍无法满足需求时，再考虑微调。

工具选型时，如果只问“哪个模型性能最高”，很容易偏离真实业务需求。更重要的是综合评估：输出质量是否达到目标业务要求、错误是否容易发现、数据能否得到有效管理，以及费用和响应时间是否处于可接受范围。

引入生成式AI可期待的效果

采用生成式AI后，企业可能获得的主要收益包括缩短工作时间、减少质量差异、改善内部知识获取以及辅助员工学习。不过，单纯部署工具不会自动带来效果。应先记录上线前的基准值，并在包含审核和修改在内的完整业务流程中进行测量。

引入生成式AI时需要注意的风险

采用生成式AI时，至少要关注信息泄露、事实错误、知识产权、影子IT和成本这5类风险。风险很难完全降为零，因此更现实的做法是评估发生概率和潜在影响，并提前明确预防措施、检测方法以及问题发生后的责任人。

企业引入生成式AI，不应从“工具选型”开始

企业采用生成式AI，应先定义业务需求和运营条件，而不是一上来就比较工具名称或模型性能。如果目的不明确，企业很容易把精力花在并不需要的功能上，同时遗漏关键的安全和管理要求。

我在设计落地方案时，会优先确认以下4点。

1. 希望改善哪项业务的哪个环节
2. 哪些部门、岗位和员工将使用
3. 可能输入、引用和保存哪些数据
4. 由谁审核输出，发生问题时由谁应对

明确这4点后，才能进一步确定所需的生成质量、检索能力、权限、日志、合同条件和费用上限。例如，只使用公开信息起草文本，与检索包含客户信息的内部文档相比，对数据管理的要求会有很大差异。

日本经济产业省于2025年2月18日发布了AI使用与开发合同检查清单；Baker McKenzie对该清单的英文解读概括了输入数据、输出成果、权利归属和第三方共享等主要检查事项。企业可以把这类清单用于法务审查前的初步梳理，但具体合同是否合适，仍需结合企业自身的使用方式判断。

首先需要确定的，不是使用哪种AI，而是希望在什么条件下、以何种方式改变哪项业务。

从工程角度比较工具时，我不仅会评估正常情况下的生成质量，还会关注错误回答是否容易被发现、系统能否停止或回退，以及管理员能否掌握使用情况。对于企业系统来说，失败时是否可控，与正常情况下是否好用同样重要。

在落地初期，可以把目标业务限定为一到两项，例如使用公开信息起草邮件、校对内部文本，或总结不含机密信息的资料。这类场景更容易衡量效果与风险，也有助于逐步明确后续所需条件。

为什么需要面向全体员工开展技能再培训

面向全体员工开展技能再培训，并不意味着所有人都要接受同样的高阶操作培训。如果公司决定使用生成式AI，至少应让全体员工理解“哪些内容不能输入”“AI回答可以信任到什么程度”“不确定时应该向哪里咨询”。再根据不同使用人员和岗位安排有针对性的实操培训，会更符合实际。

培训的目的不是背诵所谓“好用的提示词”，而是理解生成式AI的局限，安全处理信息，正确审核输出，并形成由人承担业务责任所需的判断能力。

通用培训应涵盖生成式AI基础、提示词、允许输入的信息、幻觉、著作权和内部规则。面向实际使用部门开展培训时，不应随意使用真实业务数据，而应优先使用模拟数据或经过批准的数据进行练习。

培训主题可包括不含机密信息的邮件草稿、会议纪要总结、内部文本改写和调研项目梳理等。把输入前的数据确认和输出后的事实及表述审核都纳入同一次练习，员工就更容易同时理解操作方法和业务责任。

培训效果不能只看参加率。还应确认员工能否识别禁止输入的信息、能否完成必要审核、能否使用获批环境，以及遇到困难时能否主动咨询。

培训结束后，还应提供持续的咨询渠道，并维护常见问题、经过批准的提示词模板、优秀案例、失败案例和规则更新通知。生成式AI服务和功能会持续变化，因此培训也需要定期更新。

内部指南中应确定的事项

内部指南至少应规定“允许使用的业务”“禁止输入的信息”“输出审核”“可用工具”以及“日志与审计”。此外，还应明确例外申请、咨询渠道、安全事件报告和修订负责人，帮助一线人员快速作出判断。

一开始就制定覆盖所有情况的规则并不现实，可以先发布优先级较高的要求，再根据实际问题和未遂隐患持续更新。指南不是制定后存档即可的文档，而应随着实际运营不断维护。

如果只列出禁止事项，员工就无法判断“到底可以用来做什么”。请以相同的详细程度说明允许使用、禁止使用和满足条件时可以使用的示例。

让PoC取得成功的推进方法

生成式AI的PoC应验证3点：“是否产生业务价值”“质量和风险是否处于可接受范围”“正式上线后能否持续运营”。仅仅证明技术能运行，或让用户试用过一次，并不足以支持正式部署决策。

开始PoC前，应记录当前业务耗时、质量、处理量、费用和咨询量。没有上线前的基准值，就无法判断采用生成式AI后是否真正得到改善。

如果PoC的KPI只有使用次数，就无法判断真实业务价值。应综合评估端到端耗时、修改时间、输出质量、审核工时、持续使用率、咨询数量、错误、安全事件和运营费用。

例如，以会议纪要为验证对象时，不仅要测量AI生成总结的时间，还应统计准备录音或转写文本、修正错误、确认决议事项和负责人，并整理到可以向相关人员共享为止的总耗时。

质量评估不应只依赖使用者感想，还要评估必填项目遗漏、事实错误、表述问题和修改位置。如有可能，应按照预先确定的标准，比较相同输入下由人独立完成的成果与AI辅助完成的成果。

从工程师角度看，不仅要保留成功案例，也要以可复现的形式保留失败案例。记录在哪种输入下出现错误、参考数据是否不足、权限设置是否存在问题，从而判断应改进提示词、数据、模型、界面还是业务流程。

此外，PoC期间负责人通常会提供充分支持，因此环境可能比正式上线后更易使用。请预估正式上线后的使用者数量、咨询量、权限管理、数据更新、故障应对和费用，验证运营能否持续。

在确定正式上线条件的同时，也要确定重新验证和停止的条件。如果质量未达到标准、修改工时没有减少、信息风险无法管理，或运营负担超出预期，就需要考虑调整目标业务或实施方式。

引入生成式AI的基本步骤

企业采用生成式AI，可以拆解为基础认知、指南、用例选择、PoC和正式推广5个步骤。具体顺序可根据企业规模和现有管理体系调整，但技术、业务、培训和治理需要同步推进。

对于希望按项目梳理使用人员、参考数据、提示词和AI功能的企业，我们开发的Kanata也可以作为备选方案之一。对于只使用公开信息、不需要权限管理或内部数据联动的小规模个人场景，更轻量的服务可能更合适。

无论使用哪种服务，系统都不会自动替企业完成责任划分。企业需要把信息分类、权限管理、审核机制和咨询处理嵌入自身业务流程。

适合优先尝试的生成式AI用例

在落地初期，应优先选择输入数据可管理、输出可由人审核且效果容易衡量的用例。相比追求高度自动化，从日常高频的起草、总结和整理工作入手，更容易发现真实运营中的问题。

选择用例时，除预期效果外，还应评估所处理的信息、发生错误时的影响，以及人工审核难度。即使效果看似很大，如果错误影响严重且难以验证，也可能不适合作为引入初期的对象。

例如，使用公开信息撰写邮件草稿相对容易验证；而涉及客户信息的合同判断、人事评价、贷款判断和安全相关判断，则需要连同信息管理和问责与对外说明义务一起谨慎研究。

定义用例时，不应停留在“在销售部门使用”这种部门层级，而应具体到“商务沟通前整理公开信息并生成候选问题”这样的业务流程。这样才能明确输入、输出、审核人员和KPI，也更容易评估PoC结果。

引入生成式AI时容易出现的3类失败

引入生成式AI时容易出现的失败包括：目标模糊就开始实施、指南无法支持一线判断，以及知识和责任只集中在推进负责人身上。这些问题与其说是技术问题，不如说是业务设计和组织设计问题。

总结

企业落地生成式AI的起点，是在签约工具之前明确目标业务、使用人员、输入数据和输出审核负责人。在此基础上，再把指南、培训、权限、PoC和评估指标设计成一套完整的运营机制。

考虑引入时，至少应确认以下项目。

• 将生成式AI用于哪项业务的哪个环节
• 允许输入、引用和保存哪些信息
• 由谁按照什么标准审核生成内容
• 公司批准哪些工具和账号
• 向使用者、管理人员和推进负责人培训哪些内容
• 在PoC中如何测量时间、质量、风险和费用
• 正式推广后由谁负责运营、审计和改进
• 由谁确认服务和公共指南的更新

全面禁止生成式AI并不能消除所有风险，完全放开使用也不会自动带来业务成果。企业真正需要建立的是一种可控状态：员工知道如何安全使用，组织能够掌握数据、质量、费用和责任边界。

从AI顾问的视角，我会检查业务与组织设计；从工程师的视角，我会检查数据流、权限、日志以及失败时的控制机制；从管理者的视角，则要判断这些设计是否真正服务于业务目标和投资决策。缺少其中任何一环，都很难实现可持续的企业级应用。

可以先把目标业务限定为一项，记录当前耗时、质量、输入数据和审核流程，再在获批环境中开展小规模验证，并把结果反馈到指南、培训和工具要求中。从小规模开始，不只是为了控制投入，更是为了用真实业务数据逐步明确企业自身所需的运营条件。

Q&A