风险评估：上线前审查

上线前风险评估指在 AI 系统投入生产前，用系统化方法识别其可能造成的危害、评估发生概率与影响，并落实缓解措施的过程。它把安全从事后救火转为事前把关，是负责任部署的第一道闸门。

是什么

风险评估通常包含：界定系统的预期用途与部署环境；识别利益相关方与潜在危害；按严重度与可能性打分；针对高风险项制定缓解与监控方案。NIST AI RMF 把这一过程概括为「治理、映射、测量、管理」四个职能的循环。

风险评估循环：
映射(Mapping)   -> 明确场景与风险背景
测量(Measure)   -> 用指标量化风险
管理(Manage)    -> 落实缓解与监控
治理(Govern)    -> 组织层面的责任与制度

许多危害（偏见、泄露、误用）在原型阶段并不显现，只有在真实流量与对抗环境下才暴露。没有评估就上线，等于把未知风险直接交给用户承担。

组建含业务、安全、法务的评审小组；用风险矩阵对每项危害定级；对高风险项要求缓解证据（如评测报告、红队记录）才能放行；把残余风险写入模型卡并持续监控。

评估不是一次性文档，而应随模型迭代与场景变化重复进行。低概率高影响的「尾部风险」也需记录应对预案，不能因为发生频率低而忽略。

上线前风险评估以结构化循环识别并缓解危害，是负责任部署的前置关卡。它应随迭代重复执行，并把残余风险透明披露。

NIST AI Risk Management Framework（含 MAP/MEASURE/MANAGE 职能）。已核验。https://www.nist.gov/itl/ai-risk-management-framework
EU AI Act 风险分级与合规义务。已核验。https://artificialintelligenceact.eu/

本文累计阅读 — 次