安全治理：动作、数据、后果与人机责任
什么时候需要看
如果你只是读取自己有权查看的资料、整理一份不触达他人的草稿，可以先跳过本章。只要任务涉及团队共享、个人或客户资料、自动写入台账或待办、跨系统连接、对外发送、付款、删除、审批，或输出可能影响法律、财务、人事决定，就回到这里确认谁能做、谁要确认，以及失败时如何停。你不必先记住 G0–G3：先看实际动作、数据敏感度和可能后果，再按本章登记。
30 秒结论
G0–G3 只表示动作风险等级；数据敏感度和专业后果必须独立判断，并采用三者中更严格的控制。
G2 只有在工作流正式发布、边界明确且取得共同批准的持续授权后，才可从逐批事前确认转为批准范围内运行和抽检；G3 每次仍须事前确认。
业务负责人始终对最终业务结果负责，不能把责任转移给 AI 或流程维护者；G3 执行者与动作批准人不得为同一人。
为什么重要
只按“读”或“写”判断风险会遗漏两类问题：读取候选人信息虽然不改变系统状态，却涉及个人信息；生成法律、财务或人事判断即使只保存草稿，也可能影响高后果决定。反过来，普通内部数据上的可逆新文件与覆盖原件、外发或删除，也不能使用同一确认规则。
把动作、数据和专业后果拆开后，业务负责人能看清谁承担结果，流程维护者能实现正确的确认与回退，数据/安全责任人能按授权范围设置控制下限。等级不是自动化成熟度，也不是“允许执行”的标签；它只是决定最低控制强度的一个维度。
方法或模型
先独立判断 G0–G3 动作等级
| 等级 | 固定定义 | 默认控制 |
|---|---|---|
| G0 只读 | 不改变业务对象、权限或外部状态 | 已授权数据范围内可自动执行，保留来源和访问记录 |
| G1 可逆草稿写入 | 只新建隔离草稿或新文件；对象可识别、可删除或恢复，不触达外部接收人，不覆盖原件 | 可执行后通知，必须保留原件和恢复路径 |
| G2 业务状态写入 | 创建或更新内部待办、台账、日志、CRM 等业务对象 | 默认每批执行前展示对象、字段和影响并取得明确确认；只有正式发布且取得持续授权的有界工作流，才可在批准范围内运行并接受抽检 |
| G3 高后果动作 | 对外发送、公开发布、付款、审批、删除、主数据修改或其他难撤销动作 | 每次执行前强制确认并保留审计记录；抽检不能替代事前批准 |
“可逆”必须由实际恢复路径证明。只写“可以删除”但无法识别对象、找回原件或验证恢复结果，不满足 G1；覆盖原件也不属于 G1。G2 的“明确确认”必须让批准人看到本批对象、字段和影响，不能用通用弹窗或曾经同意代替。
再判断数据敏感度
| 数据类别 | 典型范围 | 最小处理要求 |
|---|---|---|
| 公开 | 已合法公开且允许当前用途的信息 | 保留来源、日期和使用边界 |
| 内部 | 仅供组织内部使用的一般经营和协作信息 | 限定成员、系统和用途，保留访问记录 |
| 机密/个人或客户信息 | 商业机密、个人信息、客户资料及可反推身份的数据 | 最小授权、限定用途和留存，控制不低于 G2 |
| 受监管或组织秘密 | 受专门法规、合同或组织最高敏感级规则约束的数据 | 按 G3 控制，并服从适用制度和专业要求 |
独立判断专业后果
| 专业后果 | 判断问题 | 典型控制重点 |
|---|---|---|
| 信息辅助 | 输出是否只帮助查找、整理或理解，不直接改变业务决定 | 来源、准确性和适用范围 |
| 日常运营 | 输出是否影响常规任务分配、台账状态、客户跟进或内部运营 | 对象、字段、权限、复核和回退 |
| 法律/财务/人事等高后果判断 | 输出是否可能影响权利义务、资金、录用淘汰、薪酬或其他重大决定 | 具备职责或资质的独立专业复核和明确批准 |
动作等级保持独立判断；机密数据或高后果判断控制不低于 G2；受监管数据、组织秘密或 G3 动作按 G3 控制；组织政策更严格时以组织政策为准。控制升级不会改变动作本身的标签，例如读取个人信息仍是 G0 动作，但必须按不低于 G2 的强度限制授权、记录访问和安排复核。
固定六类责任角色
| 角色 | 固定责任 |
|---|---|
| 业务负责人 | 定义目标、范围、验收和停止条件，批准业务上线并对最终结果负责 |
| 流程维护者 | 维护工作流版本、边界、测试、监控、停用和恢复路径 |
| 数据/安全责任人 | 确认数据分类、最小授权、日志、留存、事件处置和持续授权边界 |
| 使用者 | 在授权范围提供输入、执行任务、检查可见异常并提交验收记录 |
| 内容复核者 | 核对事实、数字、来源、表达和所需专业结论，记录通过或退回 |
| 动作批准人 | 在动作发生前核对对象、范围和影响，批准或拒绝 G2/G3 动作 |
小团队可以兼任角色，但 G3 执行者与动作批准人不得为同一人。流程维护者对运行质量负责，内容复核者对其签署的复核负责，动作批准人对具体动作授权负责；这些分工都不免除业务负责人对最终业务结果的责任。
为 G2 持续授权设置有界登记
G2 默认逐批事前确认。只有通过 团队工作流发布阶段门、范围可枚举并可立即停用的工作流，才可申请持续授权。业务负责人和数据/安全责任人必须共同批准，并记录以下全部字段：
| 登记字段 | 必填内容 |
|---|---|
| 允许的业务对象 | 可创建或更新的对象类型、系统和可识别范围 |
| 字段 | 允许读取与写入的字段白名单，明确禁止字段 |
| 单批上限 | 每次运行可影响的最大对象数或金额等业务上限 |
| 运行频率 | 调度或人工触发频率，以及禁止运行时段 |
| 有效期 | 起止日期；默认不超过 90 天 |
| 日志位置 | 可由责任人访问、检索和导出的审计位置 |
| 抽检频率 | 默认至少每周一次，并说明样本选择规则 |
| 撤销人 | 有权立即停用持续授权的具体角色或人员 |
| 撤销条件 | 权限、字段、接收对象、错误率或其他边界变化的触发规则 |
| 绑定的工作流版本 | 唯一版本号或不可变版本标识，以及对应测试和发布记录 |
| 执行账号/服务身份 | 实际运行所用账号、服务身份及其最小权限范围 |
| 运行环境 | 获批准的系统、租户、空间和生产或测试环境 |
| 批准用途 | 允许处理的业务目的，以及明确禁止的二次用途 |
旧授权只对登记的工作流版本、执行账号/服务身份、运行环境和批准用途有效，不能移用于其他版本、执行主体、环境或用途。权限、字段、接收对象或错误率任一变化时，持续授权无条件立即失效。工作流逻辑或规则、版本、模型、连接器、执行主体或运行环境任一变化时，持续授权也立即失效。工作流应先停用并恢复逐批确认，再经修订、重验和共同批准后重新启用。默认有效期届满也应失效，不能静默续期。
持续授权期间运行日志必须覆盖 100% 的运行，且至少每周抽检。日志至少记录运行 ID、工作流版本、执行主体、对象、关键字段前后值、结果和异常；涉及个人信息、客户信息或其他敏感内容时，只按已批准的日志策略记录必要值、受保护引用或内容摘要，并执行相应的访问和留存期限控制。“100% 留存”是每次运行都有可审计记录，不代表无限制复制或永久保存敏感原值。
G3 不允许持续授权豁免单次确认。每次执行前必须向动作批准人展示接收人或对象、具体动作、关键内容或字段、影响范围和不可逆后果；每次批准都要绑定不可变动作版本或内容摘要、一次性执行 ID 和登记有效期。接收人或对象、动作、关键内容、字段或影响发生变化，有效期届满，发生重复执行，或执行失败后准备重试时，都必须重新展示并取得批准；抽检不能替代事前批准。
G3 审计记录同时保存批准快照标识和实际执行的接收人或对象、动作、关键内容或字段值、结果和异常，以便比对批准内容与实际结果。敏感内容只在授权范围内留痕，可使用受保护引用或内容摘要，不得借审计之名扩大复制、访问或留存范围。
办公动作例子：同一份会议纪要的四种动作
先用普通动作理解等级，再查看表格规则。下面的“确认”是对具体对象、内容和影响的确认，不是点过一次就永久授权；阶段通过不自动获得权限。
| 动作 | 实际例子 | 谁确认、确认什么 | 失败时怎么停 |
|---|---|---|---|
| G0 只读 | 读取已授权的会议记录，提取结论、待办和来源，不改变业务对象或外部状态。 | 使用者确认任务范围；数据/安全责任人确认来源和访问范围；内容复核者确认事实能回到原记录。 | 发现权限失效、来源版本不明或个人资料超出用途时立即停止读取和生成，保留已授权原件，转人工核对，不改用未授权账号。 |
| G1 隔离草稿 | 根据周报输入新建一份隔离的会议纪要草稿或新文件，不覆盖原件、不触达收件人。 | 使用者确认草稿位置和输入版本；内容复核者确认可编辑、可核验；流程维护者确认对象标识、原件保护和恢复路径。 | 草稿落错位置、无法识别对象、覆盖原件或恢复演练失败时立即停用，保护原件，人工接管；修正后验证恢复结果，不能只写“可删除”。 |
| G2 内部台账/待办写入 | 把已确认的会议行动项写入内部台账或待办，显示对象、字段和影响，不对外发送。 | 动作批准人按本批实际对象确认字段、数量、影响和回退；业务负责人确认业务范围；数据/安全责任人确认授权。只有正式发布、边界可枚举且共同批准的工作流才可申请 G2 持续授权。 | 对象或字段不一致、重复写入、权限异常或写入结果不可核对时停止本批和后续调度，先失效持续授权，保护原台账，人工核对并恢复；修订后重验，不能沿用旧批准。 |
| G3 对外发送、付款或删除 | 将会议纪要发给客户、执行付款、删除记录，或做其他难撤销的外部动作。 | 动作批准人每次确认接收人或对象、具体动作、关键内容或字段、影响和不可逆后果；执行者与批准人分离。业务负责人对最终业务结果负责。 | 任一内容、对象、版本、影响变化，执行失败或准备重试时，立即停止并阻断重试，保护原件，人工接管，核对实际影响和批准快照；恢复后验证，之后仍需重新逐次确认。 |
普通读者的最小记录是：输入版本、人工改了什么、遇到什么异常、谁验收了什么、最后产生了什么结果。可用 第 9 章公开案例图谱（含 32 个待核验场景线索） 选择会议纪要或跟进类场景练习；图谱只能帮助理解动作和产物形态，不能替代本组织的授权、专业复核或批准记录。
案例与证据
同一条“客户拜访跟进”工作流可以同时出现多个等级：读取已授权 CRM 记录是 G0；另存不触达客户的邮件草稿且保留原件是 G1；更新内部 CRM 跟进状态是 G2；向客户发送邮件是 G3。即使 G2 更新已经取得持续授权，最后的对外发送仍须逐次确认。运行时按输入版本、人工修改、异常、验收和结果留痕，才能在失败后定位是权限、内容还是动作确认出了问题。
再看候选人状态整理：动作可能只是 G0 读取和汇总，但输入包含个人信息，因此控制不低于 G2；若输出参与录用、淘汰或薪酬等高后果判断，还必须由相应专业责任人复核。提高控制强度不代表允许自动作出人事决定。
千问办公官方帮助中心提供隐私与安全说明。 R9 实际产品能力、数据处理方式和组织配置应以使用时页面与合同为准；本章 G0–G3、角色分工和持续授权期限属于社区治理建议，不是产品官方风险评级或法律意见。
企业行动
为每条准备试点或已运行的工作流补齐一张治理卡：
- 逐动作标记 G0–G3，不按整条流程取一个模糊平均等级。
- 分别标记数据敏感度和专业后果，并应用三者中更严格的控制。
- 指定六类角色；检查 G3 执行者与动作批准人是否分离。
- 验证 G1 原件、对象标识和恢复路径，实际演练一次恢复。
- 为 G2 配置逐批预览和明确确认；确需持续授权时填写全部登记字段并共同批准。
- 为 G3 配置逐次确认、审计记录和失败后的人工接管，不设置抽检豁免。
- 把未授权动作、重大隐私问题和关键业务错误接入第 10 章停止规则。
- 至少每周检查 G2 日志和异常；边界变化时先失效授权，再调查原因。
最小上线证据包括当前工作流版本、授权记录、角色名单、确认界面或记录、日志位置、抽检结果、停用开关和恢复演练。缺少任一必要控制时，缩小范围或保持人工执行。
边界与下一步
本章提供通用治理模型，不替代组织制度、合同义务、监管要求或法律、财务、人事等专业判断。数据类别需要由了解组织数据和适用规则的人确认；专业后果不确定时，按更高等级控制并请求专业复核。
治理等级不会证明工作流有效，阶段门也不会自动授予权限。组织应同时使用第 10 章试点阶段门和自动化接管链，让工作流既通过质量与价值验证，也能在权限、输入或错误率变化时停止、接管和恢复。