"我们公司在使用人工智能吗？"这个问题的答案，可能与大多数管理团队的设想不同。即使组织尚未选定官方工具，员工也已自行试用生成式人工智能工具来概括文本、起草邮件或汇总数据。在这种情况下，真正的问题不再是"是否应该使用？"，而是"应该如何管理？"
这一话题今天被提上议程，是因为有了新数据。根据TÜİK（土耳其统计局）2026年10月2日发布的《人工智能统计》公报，表示使用生成式人工智能的个人比例2025年为19.2%，2026年升至37.6%。本文从职场角度探讨这一数字意味着什么，以及如何将无序使用纳入治理框架。我们已在关于公司内部政策的文章中单独探讨了个人数据和KVKK（土耳其数据保护法）层面的问题；本文的重点是让使用本身变得可见、可管理。
数据：个人行动迅速，组织更为谨慎
TÜİK公报不仅给出了总体比例，还给出了使用目的。在使用人工智能的个人中，86.4%将其用于私人目的，而37.3%表示将其用于职业目的。较年轻的年龄组使用率更高：16-24岁年龄组为64.9%，25-34岁年龄组为55.7%。新进入职场的一代正把这些工具作为日常习惯带入工作。
在企业方面，同一公报描绘了更为谨慎的情景。在员工10人及以上的企业中，2026年使用任何人工智能技术的比例为14.0%。由于这两个比例衡量的是不同单位（个人和企业），无法直接比较。即便如此，它所传递的信号值得注意：员工的个人使用可能已走在企业采用的前面。
组织保持谨慎的原因也可以从公报中看出。尚未使用但正在考虑使用人工智能的企业，除缺乏专业能力外，还提到对法律后果的不确定性（66.4%）以及数据保护和隐私方面的顾虑（65.4%）。当组织因这些顾虑决定观望时，使用并不会停止，只是脱离了组织的视野。
这一情况并非土耳其所独有。根据OECD 2026年1月发布的数据，OECD范围内41.1%的就业人员使用生成式人工智能工具。
无序使用的风险在哪里？
根据Gartner于2025年3月至5月对302位网络安全负责人开展的调查，69%的组织怀疑员工在使用被禁止的公共生成式人工智能工具，或已掌握相关证据。Gartner指出，未经批准的工具可能导致知识产权流失、数据泄露和安全风险，并预测到2030年，超过40%的组织将发生与未经授权使用相关的安全或合规事件。
美国国家标准与技术研究院（NIST）针对生成式人工智能的风险概况更具体地描述了这些风险。概况中的风险包括：个人或敏感数据的泄露或未经授权使用、生成以自信口吻呈现但内容错误的内容，以及人们对系统过度信任。当员工未经核对就把工具生成的文本或计算结果发给客户时，这三种风险可能同时出现。
在同一公告中，Gartner还指出了一种不太显眼的风险：过度依赖人工智能可能随着时间推移削弱组织内部的专业能力和判断力。无序使用不仅是数据问题，也是能力问题。
以管理代替禁止
在这种情况下，全面禁止看似有吸引力，但Gartner的数据表明，禁令本身并不能终止使用。Gartner的建议可归为三点：在全组织范围内制定清晰的工具使用政策、定期审计未经批准的使用，以及将生成式人工智能风险纳入软件即服务（SaaS）评估流程。
以下步骤是根据这些建议以及NIST概况中的实施建议归纳的一般框架。NIST框架供自愿使用；各组织需要结合自身规模、行业和监管义务加以调整。
- 建立清单。 NIST概况建议将组织的生成式人工智能系统纳入人工智能清单。可以从一份简短、不带指责意味的调查入手，询问员工使用哪些工具、用于哪些任务、使用何种账户。现有软件中新增的人工智能功能也应列入清单；我们已在关于嵌入式人工智能的文章中对此作了单独探讨。
- 充实清单记录。 根据NIST，记录可包括人工监督角色、与所处理的个人、机密或敏感数据相关的特别考虑事项，以及所用底层基础模型的版本及其访问方式。为每个工具指定一名业务部门负责人，便于保持记录的时效性。
- 发布获准工具清单和可接受使用规则。 NIST概况建议为生成式人工智能制定透明的可接受使用政策。将清单分为三级较为实用：可自由使用的工具、获准用于特定任务的工具，以及不应使用的工具。如果没有提供获准的选项，员工更可能转向自己找到的工具。
- 将规则同样适用于外部相关方。 NIST建议将使用政策更新为同样涵盖承包商、顾问及其他第三方人员。所有代表组织开展工作的人都应遵守同一规则。
- 开展按岗位的培训。 培训不应止于如何使用工具；还应说明哪些信息不得输入、如何核实输出，以及在哪些环节人工判断不可或缺。Gartner建议确定哪些任务需要人工判断。
- 监控使用情况并定期审计。 NIST概况建议对已部署的生成式人工智能系统进行监控，尤其关注错误内容和网络风险。可以将获准工具的使用报告与对未经批准工具流量的定期检查结合起来。监控的目的不应是惩罚，而是根据实际需求更新清单。
- 明确事件报告途径。 NIST建议制定将生成式人工智能引发的事件传达给相关人员的角色、政策和程序。不慎输入机密信息的员工应向谁报告、在多长时间内报告，必须事先写明；保持沉默只会让问题更严重。
结论
TÜİK数据显示，生成式人工智能在一年内已成为土耳其普遍的个人习惯，而且相当一部分使用者也在工作中使用。当组织因法律和数据保护顾虑而谨慎行事时，员工的使用仍在继续。因此，第一步不是禁止，而是可见性：清单、获准工具清单、培训和监控。当这四个要素同时到位时，员工已在使用的工具就能转化为可审计的生产率来源。
从Orient Global的角度看，对大多数组织而言，一份简短的使用清单和一份三级工具清单是稳妥的起点。
为何物流经验在此很重要。 管理过仓库的人都知道，没有盘点过的库存是无法管理的，同样的逻辑也适用于人工智能工具：先建清单，再有获准清单、按岗位培训、例行审计和书面的上报途径，而这些正是物流运营每天所依赖的控制手段。Orient Global的一位顾问是在运营、物流和供应链领域拥有30多年经验的资深高管，包括管理全国范围的仓储和运输运营，以及组建并带领100多人的团队。作为一名工业工程师，他如今通过人工智能与自动化，将这种供应链管理纪律带给中小企业。了解我们的顾问。
本文仅供一般参考，不能替代法律意见。
#interimmanagement #forwarddeployedengineering