AI 员工接上业务系统之前，先钉死这四件事

AI 员工和聊天机器人的差别，在于它会动手：读表、改文件、发消息、进旧系统点按钮。动手就意味着它使用的是某个真人的权限。安全评审如果还停在“模型厂在哪里”，会漏掉真正出事的地方：这个账号能碰到什么。

下面四项是接入前就要写进岗位的控制，不是上线后再补的文档。

权限按这一件事收，不按这个人收

人的账号往往能进很多系统，因为一个人兼着好几个角色。AI 员工只做一件事，就只给这件事要用的读和写。

做报价汇总的，能看指定供应商和物料表，不能看工资。做工单起草的，能读这一张工单，不能群发客户。能写的范围更窄：先写到草稿或待确认队列，不直接覆盖正式数据。

可易桌面端跑在员工自己的电脑上，用的是这台电脑上已经登录的权限，这一点要在评审里说清楚。云端值守是另一条：电脑关上之后继续跑的任务，必须单独列出它夜里还能访问哪些连接，不能默认继承白天那个人的全部会话。

数据出不出网，按字段写

有的材料可以交给外部模型，有的不行。不要用“我们很注意安全”代替一张表。

至少分开三列：可以出网的字段、必须留在内网的字段、以及日志里要打码的字段（手机号、证件号、账号余额）。需要数据不出网的，走私有化或内网模型，由网关统一接入，而不是让每个岗位自己配一把密钥。

模型网关在这里的作用是把密钥、额度和审计收口。人走了密钥还在、预算没有上限，是比模型本身更常见的事故。

每次调用都要能追溯

出了问题，要能回答：哪个岗位、哪一次任务、调用了哪个工具、花了多少、输出交到了哪里。追不回这五项的系统，不适合碰生产数据。

审计记录保留的时间跟业务记录走，而不是跟聊天窗口走。聊天可以清，任务记录不能只活在某个人的浏览器里。

哪一步必须人点头

删除、付款、对外发送、改正式主数据，这四类默认不自动执行。AI 员工可以起草、可以预填，提交前停下来，说明它依据了什么。

停下来不是不信任模型，是把责任留在签字的人身上。没有这个停点，权限收得再窄，也挡不住一次自信的误操作。

四项都写进岗位说明之后，再发账号。缺任何一项，就还停在试点，不接入正式系统。

本文依据

控制项依据可易产品已公开的能力边界整理：桌面端使用本机权限、云端值守、模型网关的密钥与审计、以及交付前按标准停下。不涉及未公开的合规认证细节。