管控的第一个动作是把资料分成两类。一类可以进入外部模型，一类只能走内部通道。这份分类清单是后面所有措施的依据，也是被客户或总部问起时能出示的东西。封禁域名这件事可以往后放。
这件事在企业里的进展通常有固定顺序。先是几个人开始用 AI 提高效率，然后管理者发现有人把合同或客户名单粘进了对话框，接着下发一条禁止使用的通知，再过了两周发现通知没有实际效果。
更常见的原因是规则只有禁止，没有给出可走的路。
先承认一件事，技术上禁不干净
任何企业级技术手段都无法覆盖员工用个人手机、私人账号或未登记的工具处理资料的行为。办公网可以封禁域名，但手机流量不受此约束。终端管控可以限制已登记设备，但管不到员工自己带的那台笔记本。
把这一前提说清楚，后面的目标才立得住。治理的目标是让企业内部可控的通道清晰、可审计、可说明，而不是宣称已经杜绝了数据外泄。任何声称能做到后者的方案，都值得追问具体手段。
这个判断也会影响对外沟通。当客户或总部问起数据处理方式时，答"我们禁止员工使用 AI"是站不住的，答"我们定义了数据出口规则、保留了内部通道的调用记录"才是可核查的。
按数据类型划边界，不按工具划
把规则挂在工具名称上有两个问题。工具会不断出现新的，规则跟不上；同一个工具既能处理公开资料也能处理敏感资料，按工具一刀切必然误伤。
可行的做法是按数据类型划分。这一步可以借助企业已有的数据分类分级成果，把资料按敏感程度分成两类处理。
可以进入外部模型的用途，通常包括公开资料的翻译与润色、通用知识问答、不涉及企业信息的代码片段调试、行业公开信息的整理。
只能走内部通道的用途，通常包括涉及客户个人信息的内容、财务与合同数据、未公开的技术资料与源码、报价与成本数据、员工个人信息。
规则按数据类型写，工具更迭时不必重新制定。同时也方便员工自己判断，因为员工最清楚手里这份资料属于哪一类。
管控手段能覆盖到哪一层
企业常见的管控手段有三层，能力与代价各不相同。
入口层。 统一内部 AI 服务的访问入口与身份认证，复用已有的 AD 域或统一身份。这一层能覆盖的是走企业通道的使用行为，对个人渠道不起作用。
内容层。 在内部通道上判断数据是否属于禁止外发的类别，对命中规则的操作给出提示或拦截。这一层的效果取决于分类规则的准确度，规则太粗会频繁误报，员工会想办法绕开。
记录层。 保留内部通道的调用行为记录，包括调用者、时间与涉及的数据范围。这一层不阻止行为，但让使用情况可被复核。
三层配合起来的作用是把内部通道管住，同时对内部通道之外的行为保持清醒认识。在实际部署中，记录层往往是最先落地也最有价值的一层，因为它同时服务于合规说明与规则复核两个目的。
内部通道好不好用决定规则能不能立住
有一个容易被忽略的事实。员工绕开管理，多数时候是因为合规的路径太慢或太麻烦。
如果内部知识库查一份资料需要走三步、等两分钟，而外部工具粘贴一下就给答案，那么即使禁令写在墙上，实际使用也会转移到外部。这件事的根子在效率上，不在纪律上。
所以内部通道的建设标准应当是比外部工具更方便。具体做法包括把接入放进员工已经在用的企微或钉钉，让查询在原有界面里完成；把高频问答场景预先调优，减少员工反复追问的次数；把常用文档与制度做成可直接检索的形式。
优先覆盖发生频率最高、数据最敏感的场景，先把最痛的部分解决。剩余场景可以逐步补充，不必等全部就绪才上线。相关的形态与部署方式可参考企业私有化 AI 知识库方案。
留痕的用途是说明而不是监控
这一点需要在制度里写清楚，否则执行时会引起误解与抵触。
审计的对象是内部 AI 通道的调用行为与数据范围，用途有两个。一是当客户审核、总部检查或投标要求说明数据处理方式时，能够出示具体措施与记录；二是据此判断规则是否需要调整，例如某个部门频繁触发提示，可能是规则过严，也可能是内部通道缺少对应功能。
方案不涉及对员工个人设备和私人通信的监控。把这条边界写进制度并告知员工，比含糊其辞更容易获得配合。
日志留存期限可以结合企业所属行业与监管要求约定，不必一刀切。
从一份清单开始
不需要等预算到位或系统上线才开始。第一步可以只是把资料分成两类，写成一份一页的清单，说明哪几类可以进入外部模型、哪几类必须走内部通道。
这份清单的价值在于它同时是三件东西。员工的行为依据、管理者授权的依据、对外说明的依据。
配套的动作是四项，确认企业内已在使用哪些 AI 工具与用途、把清单发到实际使用这些工具的岗位、为高频且敏感的场景安排内部通道、约定清单的复核周期。
完整的措施组合与实施顺序整理在企业 AI 使用治理与数据边界方案里。涉及标识义务、备案适用性等其他合规问题的判断，可以参考企业用 AI 的合规边界专题中的依据梳理。