金融行业 AI 助手的 5 条硬要求（绕过任何一条都过不了审计）

私有化部署 · 等保合规 · 数据不出网 · 操作留痕 · 权限隔离

TL;DR — 银行 / 证券 / 保险 / 消金这些场景，AI 助手落地不是"做个 App 就行"。合规审计的 5 条硬要求（私有化部署、数据不出网、操作留痕、权限隔离、最小化输出）绕不过去任何一条。本文讲为什么 + 怎么落地。

硬要求 1：私有化部署，模型不能出公司

银保监要求：客户资料、信贷数据、内部制度文档，AI 助手读取 / 处理必须在公司内网完成

《网络安全法》《数据安全法》《个人信息保护法》对金融行业的合规要求高于一般企业。客户问"我的信用卡年费是多少"，这个问题本身是合规边缘——客户身份信息 + 银行数据 + AI 模型调用组成了一条数据链路。任何一个环节传到第三方（例如 OpenAI API），都踩线。

✅ 部署方案：整套 AI 服务（数据库 + 向量库 + 主服务）必须部署在公司内网或专属云。如果用 LLM，要么私有化（如开源 vLLM + Qwen/DeepSeek），要么用商用但走专属 AZ（如 Azure OpenAI / 阿里灵积）。**永远不要把生产数据发给 public API**。

硬要求 2：数据不出网络边界

AI 工具调用必须可控：能调本地数据库，但不能任意调外部 API

AI 助手常有 "调用外部接口" 能力（天气 / 物流 / HTTP）。金融行业禁止 AI 自由调用外部接口——任何出网行为都是潜在数据泄露。要预先定义允许的工具白名单，AI 不能"创造"新工具。

✅ 修法：工具白名单模式。AI 服务配一个 allowlist 配置，只允许 AI 调"查制度""查制度附录""转人工"等公司内部工具。**所有外网 API（搜索 / 翻译 / email）默认关闭**。审计能直接打印这份白名单。

硬要求 3：操作留痕，谁问 / 谁答 / 答什么 / 引用哪里

监管要求：所有 AI 交互必须能事后审计

合规检查经常要查"某员工某天问了 AI 什么"、"AI 回了什么"、"引用了哪份文档"。如果只存 IM 平台本地存档，等于把合规凭据放在别人数据库里——监管不认。

✅ 修法：所有 AI 对话在两端镜像存：(1) IM 平台本地存档（飞书/企微自带的）；(2) 公司自己的存储（关系数据库 + 对象存储），结构化记录：(a) 用户、(b) 提问原文、(c) AI 回答原文、(d) 引用的知识库片段（含文件名 + 段落）。前者应付平台合规，后者应付监管审计。两份存档，不是冗余，是法律要求。

硬要求 4：权限隔离，部门 × 工具双维度

客户经理能用 AI 查客户资料 = 安全；客户经理能用 AI 跑 sql = 灾难

权限隔离是金融行业老话题，但 AI 把它放大了 10 倍：传统给人分配权限，现在还要给 AI 分配的可用工具分配权限。两层权限错配是事故高发区。

✅ 修法：双维度授权：员工岗位 × AI 可用工具。例如：客户经理 → AI 工具 = ["查制度", "查客户公开信息"]；风险分析师 → AI 工具 = ["查制度", "查询内部数据(需审批)"]。不能改 / 跑代码的岗位，绝不能让 AI 改 / 跑代码。**审批流要从工具维度走，不要从 AI 维度走。**

硬要求 5：最小化输出，敏感信息主动脱敏

AI 直接回了客户身份证号给另一个客户 → 监管重罚

AI 助手最容易"翻车"的不是答错，而是把客户 A 的资料回给客户 B——尤其在 RAG 检索时引用错了文档。最小化输出的意思是：AI 永远不应该在回复里出现超出问题必要的敏感字段。

✅ 修法：输出端加过滤器——在 AI 服务最后一步，过滤所有敏感信息（身份证 / 卡号 / 手机号 / CVV）。同时，知识库检索必须用当前用户的 ID 作为查询条件，不能 "无脑搜索"。比如客户问"我的额度多少"，AI 必须按当前用户的 ID 查他自己的额度，**不能查所有客户的额度再让 AI 选**。

SOP：金融行业落地 6 个月到位的清单

M1：网络与部署架构评审 — 安全部门、合规部门、法务部门评审部署方案。
M2：私有 LLM 部署 — 推荐 vLLM + Qwen2.5 72B 起；或商用专属 AZ。
M3：工具白名单配置 — 哪怕 M1 时只用 3 个工具（M2 上线前不接外部），全留接口。
M4：审计字段 + 双存档 — 两条存档链路 + 字段定义标准 + 数据保留 5 年。
M5：权限矩阵 — 部门 × 工具矩阵，第一次配就要审计签字，不能后补。
M6：试点 1 个部门、30 天 — 选风险控制部 / 合规部，他们对 AI 接受度高、出错率敏感。