搞全球人工智能政策观察这件事儿，我一开始也犯嘀咕——到底该盯哪些东西？是看各国出了什么新法律，还是追着峰会声明跑？后来我慢慢琢磨明白了，观察对象得分成三层来看才不遗漏。最上面一层是主权国家和地区的政策文本，从战略白皮书到具体法案都算；中间一层是国际组织与多边机制里形成的原则、建议和公约；最底下那层其实最鲜活——标准组织、行业协会、企业自律规范，还有各类试点项目的操作细则。这三层叠在一起，才构成一个完整的观察面。
信息源的选择我也踩过坑。最初只盯着政府官网的正式发布，后来发现好多重要信号其实藏在征求意见稿、监管沙盒的阶段性报告、议会听证记录里。欧盟人工智能法案在正式通过之前，那份泄露的草案文本引发的讨论比最终版还热闹。我现在会同时追踪官方公报、立法进程数据库、智库追踪器，还有几个靠谱的科技政策邮件列表。范围上我给自己划了个框：优先覆盖人工智能治理活跃度最高的十五到二十个法域，再按季度扫描一遍其他国家的动态，避免视野盲区。
政策工具箱这东西，看多了会发现各国用得挺有门道。战略规划是最常见的起手式——法国、德国、印度都发过国家级AI战略，篇幅动辄上百页，愿景写得漂亮，落地还得看后续配套。立法监管是硬约束，欧盟走的最彻底，把风险分级写进了法律条文里；美国联邦层面推得慢，州一级反倒跑在前面，科罗拉多、伊利诺伊都出了针对算法歧视或生物识别的地方性法规。标准规范和试点机制属于软硬结合的那一类。ISO/IEC的AI管理体系标准正在成型，企业拿它做合规自查比等法律明确要快得多。监管沙盒在英国、新加坡用得比较顺手，金融领域的AI应用先在小范围试错，跑通了再推广。
我比较关注的是工具箱里不同工具之间的配合节奏。有些国家先出战略再立法，中间隔了三五年；有些直接把标准嵌进政府采购要求里，用市场手段倒逼企业达标。日本走的路子挺有意思——没有专门的人工智能法，靠既有的个人信息保护法和经济产业省的指南来兜底，再配合实证试验项目边试边调。这种柔性工具箱在面对技术快速迭代时，灵活性确实好一些。
观察维度这块，我习惯从五个切口进入。安全维度最直观——各国都在琢磨怎么测评大模型的风险、怎么管住深度伪造、怎么给前沿模型设“刹车机制”。创新维度看的是研发投入、算力基础设施布局、公共数据开放程度。权利保护维度盯的是隐私、反歧视、劳动者权益在AI场景下怎么落地。产业竞争力维度比较的是各国对本土AI企业的扶持力度、出口管制政策、以及全球市场份额的变化。
这五个维度不是孤立的。欧盟把权利保护放在很靠前的位置，产业界就抱怨合规成本太高；美国联邦层面更强调创新和竞争力，州级立法却频频从权利保护角度切入。全球治理维度这几年权重明显上升——联合国、G20、OECD都在推原则性框架，但约束力有限。我跟踪下来一个感受是：安全议题最容易形成国际共识，权利保护的分歧最大，产业竞争力的考量往往藏在国家安全的话语背后。
全球政策版图的分化挺明显。欧盟走的是“规则先行”路线，用统一市场准入来倒逼全球企业适配它的标准。美国是“分散推进”——联邦政府发行政令、部门出指南，州级立法各搞各的，加州和德克萨斯对同一件事的态度可能完全相反。中国采取的是“安全与发展并重”的路径，算法备案、生成式AI管理办法这些工具组合起来，形成了一套有别于欧美的治理逻辑。英国、新加坡、日本更偏向原则导向和敏捷治理，不太愿意过早立硬法。
收敛的迹象也有。深度伪造治理、前沿模型安全测评、AI生成内容标识，这几个议题在主要法域的政策文本里反复出现，措辞差异在缩小。国际标准组织的工作也在拉平各国的技术基线——ISO/IEC 42001管理体系标准出来后，不少企业直接拿它当全球合规的底稿。我判断未来几年会看到更多“分化中的局部趋同”：底层技术标准慢慢靠拢，顶层价值取向各说各话，中间层的监管工具则互相借鉴、混合使用。
各国人工智能监管政策对比：模式、工具与重点
我对欧盟人工智能监管路径的关注，最初是因为它的“风险分级”思路实在太像食品安全的监管逻辑。2024年正式生效的《人工智能法案》把AI系统分成不可接受风险、高风险、有限风险和极小风险四档，每一档对应不同的合规义务。不可接受风险的场景直接禁止，比如社会评分、实时远程生物识别在公共空间的使用，这些在欧盟层面已经没有商量余地。高风险系统要过一套相当繁琐的合规流程——风险管理体系、数据治理、技术文档、人类监督、准确性 robustness 都得达标，还得在欧盟数据库里注册。我翻过几遍法案文本，感觉制定者是把医疗器械和汽车安全的监管经验直接移植过来了。
治理架构这块欧盟玩的是多层联动。布鲁塞尔设了人工智能办公室，负责通用目的模型的监管和跨国协调；各成员国得指定一个国家监管机构，通常是在数据保护局或者通信监管机构的基础上扩编；再加上一个欧洲人工智能委员会，把各国代表凑在一起做政策协调。这套架构的麻烦在于执行资源分布不均，德国、法国有财力养专业团队，一些小成员国可能连专门的技术评估人员都凑不齐。我跟一个在布鲁塞尔做政策咨询的朋友聊过，他说现在最大的不确定性不是法律条文本身，而是各国监管机构到底会多严格地执法——纸面上的罚款上限是全球营收的7%，实际开出的第一张罚单会是什么样，大家都在等。
美国那边的情况完全是另一幅画面。联邦层面到现在没有一部综合性的AI法律，靠的是行政令、部门指南和行业自律拼凑起来的政策体系。拜登时期的第14110号行政令要求前沿模型开发者向商务部报告安全测试结果，特朗普第二任期上来后把这纸行政令撤了，换了个更强调创新和竞争力的框架。这种摇摆本身就说明美国联邦层面在AI监管上缺乏稳定的立法共识。我追踪过国会几轮AI立法讨论，两党在儿童保护、深度伪造这些具体议题上有交集，一到算法问责、民权影响评估这些结构性问题上就卡住了。
州一级倒是热闹得很。科罗拉多州2024年通过的《人工智能法案》把算法歧视的民事责任写进了法律，要求高风险AI系统的开发者和部署者做影响评估；伊利诺伊州早年就有限制雇主使用AI分析视频面试的法规；加州一口气推了好几部——生成式AI透明度、训练数据披露、深度伪造选举内容标识，各管一摊。我在加州和德克萨斯分别跟当地的科技政策研究者聊过，感受特别深：加州的方向是“事前披露加事后追责”，德州的方向是“别管太细，让市场跑起来”。同一个国家内部，监管哲学能差出这么远，企业在跨州经营时得同时应付两套逻辑。联邦机构层面，FTC用消费者保护法去管AI虚假宣传，EEOC盯着招聘算法里的就业歧视，FDA管医疗AI的审批，各管各的领域，缺乏横向协调。这种碎片化格局短期内看不到收口的迹象。
中国的人工智能治理政策我花了比较多时间去理解它的底层逻辑。和欧盟先立法再执法的路径不同，中国的做法更像是“急用先行、小步快跑”——哪个场景冒出来了，先出个规定把底线划清楚，跑一段时间再迭代升级。算法治理是这条路径的典型样本。2022年施行的《互联网信息服务算法推荐管理规定》要求具有舆论属性或社会动员能力的算法服务提供者做备案，备案信息包括算法基本原理、运行机制、应用场景这些。我试着去查过备案清单，公开的部分能看到算法名称和用途简述，细节程度卡在“让监管知道你在干什么”和“不让竞争对手抄走核心逻辑”之间。
生成式人工智能这块，2023年出台的《生成式人工智能服务管理暂行办法》是全球最早专门针对大模型的监管规则之一。它把训练数据合法性、内容标识、用户实名、安全评估这些要求打包在一起，同时留了个口子——对面向境外公众提供服务的生成式AI，不强制适用这套办法，但你要是想在中国境内运营，就得走安全评估和算法备案。我注意到一个细节：办法里明确写了“国家坚持发展和安全并重、促进创新和依法治理相结合的原则”，这个表述不是套话，实际执行中确实能看到监管机构在约谈企业时会把“你们的安全措施做到什么程度了”和“你们的产品迭代速度怎么样”放在一起问。分级分类的思路贯穿始终——按照服务类型、用户规模、应用场景的敏感程度来定监管强度，不是一刀切。这套逻辑和欧盟的风险分级在形式上有相似之处，背后的制度惯性差别很大：欧盟靠统一立法加独立监管机构来执行，中国更依赖部门规章加多部门联合专项治理来推动。
英国、日本、新加坡这几个国家的路子放在一起看特别有意思，它们都不愿意在现阶段立硬法，更相信原则和指南能引导出负责任的行为。英国在脱欧之后搞了个“有利于创新”的AI监管框架，核心思路是不设专门的AI监管机构，让现有的行业监管者——比如金融行为监管局、信息专员办公室、竞争与市场管理局——各自在自己的地盘上适用AI相关的监管原则。2023年的AI安全峰会倒是让英国在 international 协调上抢了个身位，但国内立法一直往后拖，工党政府上台后说要推一部针对前沿模型的法案，具体什么时候落地还没时间表。我读英国科学、创新与技术委员会的听证记录，行业代表的普遍态度是“别急着立法，先把现有的监管工具用好”，学术界和公民社会那边则担心自愿性原则约束不住大企业。
日本的做法更彻底，压根没打算出专门的人工智能法。经济产业省和总务省发了不少指南，覆盖AI开发者的风险管理、企业的AI治理架构这些，但都不具有法律强制力。日本社会的接受度反而挺高，企业把指南当参考、把实证试验当学习机会。我在东京参加过一个AI治理研讨会，听到一个说法印象挺深——“日本对AI的社会信任度相对高，公众讨论更多集中在怎么用好AI，而不是怎么防住AI”。这种文化土壤让柔性治理有了空间。新加坡走的是另一条敏捷路线，AI Verify测试框架和治理沙盒是它的招牌。企业可以拿AI Verify去自测模型有没有达到透明度、公平性这些指标，测试结果不是强制公开的，但监管机构会跟企业坐下来聊测试发现的问题。这种“监管者搭台、企业唱戏”的模式对中小企业和跨国公司的区域总部都有吸引力，不少公司把新加坡当成AI产品进入亚洲市场的合规测试场。
加拿大、巴西、韩国、印度这几个国家的政策探索各有各的拧巴之处。加拿大2022年就提出了《人工智能与数据法案》，把高风险AI系统的合规义务写得很细，结果卡在议会委员会阶段两年多，2024年大选前直接胎死腹中，新政府说要重新构思立法框架。我在渥太华跟一位前政府顾问聊过，他分析说加拿大想同时讨好创新派和权利保护派，法案写得两头不靠，企业嫌负担重、民间组织嫌漏洞多，政治上推不动。巴西参议院2024年底通过了一版AI法案，走的是欧盟式的风险分级路线，但巴西的执行能力是个大问号——监管机构的人力财力跟不上法律条文，别最后变成有法不依、违法难究。
韩国采取的是“先松绑后收紧”的策略，2024年初通过了《人工智能基本法》，框架性条款为主，具体义务留给下位法和总统令去填充。韩国的算盘是先给企业确定性、再根据技术发展逐步加码。印度又是另一种画风。电子和信息技术部2024年发了几份咨询文件，方向在“促进创新”和“保护用户”之间来回摇摆，年初要求AI企业发布前获得政府许可的提案被科技界和创业圈骂到撤回。我跟印度一个AI创业公司的创始人聊过，他说他们最怕的不是监管严，是监管变来变去——“今天说要备案，明天说不用了，后天又换个部门来问同样的问题”。这种政策信号的不稳定对创业生态的伤害比严格监管还大。
把各国横着比一遍，立法强度的梯度挺清楚。欧盟在第一梯队，综合立法加专门监管机构，义务设定最细、罚则最重。中国在法律位阶上不如欧盟，但通过多部门规章和专项行动构建的监管密度相当高，在算法备案和生成式AI安全评估这两个领域走得比欧盟还靠前。美国处在联邦缺位、州级补位的状态，整体立法强度中等偏上但极度不均衡。英国、日本、新加坡、韩国在第二梯队，有框架性立法或者系统性原则，但具体义务的颗粒度和执行刚性明显低于欧盟。加拿大和巴西有立法冲动但落地受阻或效果存疑，印度还在政策方向摸索期。
执行机制的差异直接塑造了企业的合规策略。欧盟企业是真金白银地在建合规团队、请律师做风险分级评估，因为罚款风险和产品下架风险是实打实的。美国企业更多是在州层面打防守战，盯着加州和科罗拉多的执法动态做合规调整，联邦层面反而以游说和观望为主。中国企业合规的重点在算法备案和安全评估的流程管理上，企业内部普遍设了专门的算法合规岗位，这在全球范围内都是比较独特的职业类别。日本和新加坡的企业把合规资源投在自愿性认证和测试上，压力小一些，但也在积累能力。
产业影响这块我听到的抱怨和赞赏差不多一样多。欧洲的AI创业公司公开抱怨合规成本吃掉了种子轮融资的一大块，有创始人跟我说在欧盟做AI产品得先算合规账再算研发账。但欧盟的先发立法也催生了一个合规科技细分市场，做AI风险评估、算法审计的公司在布鲁塞尔周边聚集了不少。美国州级立法的碎片化让跨州经营的AI企业法务成本飙升，科罗拉多和加州两套标准就得养两套合规流程。中国企业在生成式AI领域的合规调整速度很快，大模型上线前的安全评估流程跑一两轮就熟了，这个能力后来在出海时反而成了隐性优势——到中东、东南亚市场面对监管问询时，团队有现成的应答模板。
可借鉴的经验不是简单的“谁抄谁”。欧盟的风险分级方法论值得学，但它的全套合规体系对监管能力要求太高，中小经济体照搬容易消化不良。中国在算法备案和生成式AI专项管理上的快速迭代机制，对技术变化快的领域有参考价值，前提是监管机构保持较高的技术敏感度。英国和新加坡的沙盒加自愿性测试框架适合那些不想一上来就立硬法、但又想给市场明确预期的经济体。美国州级立法的多样性虽然对企业不友好，但对政策研究者来说是个天然的比较实验场——同一个技术问题，不同州给出不同解法，几年后回头看哪些方案跑通了、哪些翻车了，这种经验对任何国家都有用。我个人的判断是，未来两三年各国监管政策的互相借鉴会加速，但彼此之间的制度差异不会消失，企业得习惯在一个“规则有部分趋同、底线要求各说各话”的世界里做全球化运营。
人工智能治理国际组织与多边倡议：机制、议程与协同
我最初系统梳理联合国框架下的人工智能治理议程，是因为一个很朴素的疑问：各国监管政策差得那么远，总得有个地方让它们坐下来聊吧？联合国确实是那个最顺理成章的场子，但它的动作比很多人预期的要慢。2020年的时候，联合国系统内跟AI沾边的机构已经不止十家——国际电信联盟管技术标准，教科文组织管伦理，联合国贸易和发展会议管发展中国家的数字鸿沟，联合国人权高专办盯着AI对隐私和言论自由的影响。各干各的，缺乏一个统揽全局的协调机制。我翻过那几年联合国大会的决议文本，涉及AI的部分大多是嵌在数字合作、可持续发展目标这些更宽泛的议题里，专门针对人工智能的独立议程很少见。
转折点出现在2023年。联合国秘书长古特雷斯搞了一个“人工智能高级别咨询机构”，拉了三十多位来自政府、企业、学术界和公民社会的代表，任务是给国际AI治理提建议。2024年9月，这个机构交了一份最终报告，核心建议包括设立一个全球AI治理对话机制、推动AI能力建设基金、建立风险预警系统。我读那份报告的时候注意到一个细节：它在“约束力”问题上措辞非常谨慎，通篇用的是“自愿性”“非约束性”这类词。这其实反映了联合国体系的现实——它没有超国家立法权，能做的更多是搭台子、定原则、促共识。2025年8月，联合国大会通过决议，决定设立“人工智能独立国际科学小组”和“全球人工智能治理对话”两个机制，前者负责做技术评估和风险研判，后者给各国提供一个定期碰头的平台。这套安排能不能跑起来，关键看大国愿不愿意往里投资源、愿不愿意把敏感议题拿到桌面上谈。
OECD在人工智能原则上的动作比联合国早了好几年。2019年OECD理事会通过了《人工智能原则》，那是最早一批跨国的AI政策框架之一，核心内容包括“包容性增长与可持续发展”“以人为本的价值观”“透明与可解释”“稳健与安全”“问责”五条。我翻过2019年那版原则的制定过程记录，发现它之所以能跑在前面，很大程度上是因为OECD的成员国构成相对同质——都是市场经济体、法治传统相近、监管哲学有交集，谈判成本比联合国那种全球平台低得多。2024年OECD又更新了一版原则，把生成式AI、基础模型这些新冒出来的问题塞进去了，同时强化了“负责任商业行为”的章节。这套原则本身没有法律约束力，但它的影响力在于政策扩散——不少国家的国内AI战略直接引用了OECD原则的表述框架，欧盟AI法案的某些定义也能看到OECD原则的影子。
G20的AI议程走的是另一条逻辑。G20不是规则制定机构，它是大国领导人碰头定调子的地方。2019年大阪峰会通过了“G20人工智能原则”，内容跟OECD那套高度重合，毕竟起草班子有不少重叠。G20渠道真正有意思的地方在于它把AI议题跟数字经济、贸易、就业这些更宽泛的议程搅在一起谈。2023年新德里峰会宣言里有一段专门讲AI，强调的是“负责任、包容、以人为本”，同时点明了发展中国家在AI能力建设上的短板。我跟一个参与过G20数字经济工作组讨论的研究员聊过，他说G20层面达成共识相对容易，因为措辞可以模糊、承诺可以不具体，难的是会后怎么落实——G20没有常设秘书处，轮值主席国一换，议程优先级就可能跟着变。
全球人工智能伙伴关系（GPAI）是我觉得最值得持续观察的一个多边机制。它2020年由七国集团发起成立，后来成员扩展到印度、巴西、南非这些非G7国家，秘书处设在OECD巴黎总部。GPAI的定位是“政策协调加实践分享”，下设几个工作组——负责任AI、数据治理、未来工作、AI与气候。我读过它发布的一些工作论文，质量参差不齐，有的写得挺扎实，有的更像会议纪要。GPAI的短板在于资源有限、产出节奏慢，它的优势在于成员构成比G7宽、比联合国窄，刚好卡在一个能做事又不至于被大国博弈卡死的区间。2024年GPAI新德里峰会宣布要搞一个“AI能力建设基金”，面向全球南方国家，这个方向是对的，但钱从哪里来、怎么花、谁来监督，细节还得很长时间才能落地。
UNESCO的《人工智能伦理建议书》在2021年11月的大会上通过，是第一个真正全球性的AI伦理文件。我完整读过那份建议书的文本，一百九十多个成员国全部签字，覆盖范围在AI伦理领域空前绝后。它的内容框架涵盖了伦理原则、政策行动建议、监测与评估机制，特别强调了对教育、文化、科学研究这些UNESCO传统优势领域的关注。建议书里有一句话我印象很深——“人工智能系统不应被赋予法律人格”——这是对“电子人”讨论的明确回应，也反映了UNESCO作为伦理机构的立场偏好。
落地进展这块，UNESCO自己搞了一个“准备度评估方法论”，帮成员国自查本国在AI伦理方面的制度建设情况。到2025年初，大概有六十多个国家完成了评估或者正在做。我在一个线上研讨会上听过肯尼亚和哥斯达黎加的官员分享评估经验，他们的反馈挺实在：评估过程本身比评估报告更有用，因为逼着政府部门之间坐下来对齐信息。不过建议书毕竟是“建议”，不是“公约”，执行力度全靠成员国自觉。我翻过几份国家落实报告，有的写得认真、有路线图有时间表，有的就两三页纸、泛泛表个态。UNESCO手里没有 enforcement 工具，它能做的是持续监测、公开发布进展排名，用透明度和声誉压力来推动落实。
标准组织这条线容易被政策研究者忽略，但它在AI治理里的实际分量可能比很多多边倡议都重。ISO/IEC JTC 1/SC 42是国际标准化组织里专门管人工智能的小组，2017年成立，到现在发布了三十多项标准，覆盖风险管理、术语、治理框架、偏见检测这些领域。2023年底发布的ISO/IEC 42001是第一个可认证的AI管理体系标准，企业可以像拿ISO 27001信息安全认证那样去拿42001认证。我跟一个参与SC 42标准起草的技术专家聊过，他说标准制定的难点不在技术层面，在“什么算足够好”这个判断上——各国对风险管理的要求不一样，有的国家希望标准严一点、有的希望松一点，最后出来的文本往往是妥协产物。但标准的好处在于它有可操作性，企业拿认证要过审计、要建流程、要留记录，这些动作比原则宣言更能改变组织行为。
IEEE在AI伦理标准上的切入角度不太一样。它的《人工智能设计的伦理准则》2019年就发布了，走的是“工程伦理”路线——不是从监管者角度要求企业做什么，而是从开发者角度告诉工程师应该考虑什么。IEEE标准协会后来推了一系列具体标准，比如透明性、问责、隐私保护这些，偏技术实现层面。我参加过IEEE组织的一场标准研讨会，印象比较深的是参会者构成——工程师占多数，政策背景的人很少，讨论氛围跟联合国或者OECD那种场合完全不同，没有地缘政治的弯弯绕绕，更多在抠技术细节。这种技术社区主导的标准制定路径有它的优势：产出的东西离落地近、企业愿意用；局限性也很明显：缺乏民主问责，公民社会的声音很难进入标准文本。
欧洲理事会的《人工智能框架公约》在2024年5月通过、9月开放签署，是我目前看到的最接近“有约束力的全球AI公约”的文本。欧洲理事会跟欧盟是两码事，它的成员范围更宽，包括英国、瑞士、土耳其这些非欧盟国家，甚至日本、美国、加拿大也参与了谈判。公约的核心逻辑跟欧盟AI法案一脉相承——风险分级、透明度义务、问责机制、人权保护，但约束力打了折扣：签署国承诺在国内法层面落实公约原则，具体的执行和监督机制留给各国自己定。我读过公约的 explanatory report，里面有一段专门解释为什么没有设国际监督机构——谈判过程中大国不愿意让渡主权，最后只能折中成“公约加缔约国会议”的软约束架构。
美国在公约谈判中的角色挺微妙。拜登政府时期美国积极参与谈判、在文本上施加了不少影响，但特朗普第二任期上来后，签署意愿明显减弱。我追踪过2025年初的几次相关听证会，国务院官员的表态是“正在评估公约与国内法的兼容性”，翻译成大白话就是短期内不太可能签。这个变数对公约的全球代表性打击不小——没有美国和中国参与，一个AI治理公约的覆盖面和实际效果都得打问号。欧洲理事会那边倒是坚持“开放签署、逐步扩大”的策略，先把欧洲和愿意跟的国家圈进来，慢慢往外扩。
人工智能安全峰会这条线从2023年英国布莱切利公园那场开始，到现在已经开了三轮。2023年11月布莱切利峰会出了个《布莱切利宣言》，二十八个国家加上欧盟签了，核心内容是承认前沿AI存在“灾难性风险”、承诺开展国际合作做安全测试。2024年5月首尔峰会接棒，加了几个新东西：一个国际AI安全研究所网络、一份前沿AI安全承诺。2025年2月巴黎峰会由法国和印度联合主办，议题重心往“包容性AI”和“发展中国家能力建设”那边偏了一些。我对比过三场峰会的成果文件，感觉有一个明显的演变轨迹——布莱切利那场安全焦虑感最重，首尔那场开始往机制建设走，巴黎那场则把发展议题和安全议题并排放，试图平衡全球南北方的关切。
这种峰会的价值不在产出有约束力的规则，在于维持一个高层对话的惯性。我认识一个参加过多场峰会筹备的政策顾问，他的说法是“峰会最大的作用是让各国AI安全领域的官员互相认识、建立信任，真到需要紧急沟通的时候有渠道”。这话听着有点虚，但国际治理里这种非正式网络确实管用。峰会的短板也明显：参会国有限、议程受主办国偏好影响大、成果文件措辞越来越四平八稳。2025年巴黎峰会宣言里关于“风险”的表述比布莱切利那版软了不少，有观察者批评说这是往“创新优先”方向退。我个人觉得这未必是退步，更像是从紧急状态回归常态治理——第一波恐慌过去之后，各国开始算经济账了。
多利益相关方合作机制这块，我特别关注了几个“非国家行为体”扎堆的平台。比如“人工智能伙伴关系”（Partnership on AI），2016年由谷歌、微软、亚马逊这些大厂发起，后来演变成一个汇集企业、学术机构、公民社会的多边网络。它不制定规则，做的是研究、对话、最佳实践分享。我读过它发布的几份关于基础模型风险评估的报告，质量还不错，但影响力有限——大厂在里面的参与深度参差不齐，有的派个政策经理挂名、有的真投研究资源。公民社会那边对这类平台的批评一直没断过，核心质疑是“自愿性合作能不能管住企业的逐利冲动”。这个质疑没法用理论回答，只能靠时间来检验。
“全球人工智能治理倡议”是中国在2023年10月提出的，内容涵盖发展、安全、治理三个维度，强调“以人为本”“智能向善”“公平普惠”。我仔细读过这份倡议的文本，它跟西方主导的AI治理话语有几处明显的不同侧重：一是更强调发展中国家的代表性和能力建设，二是把“反对技术霸权和市场垄断”写进去了，三是在安全议题上偏重“可控性”而不是“灾难性风险”。这些差异背后是治理哲学的差别，也反映了中国在国际AI治理场域里争取话语权的意图。这份倡议本身是原则性文件，没有具体的执行机制，但它在全球南方国家里的接受度不低，我在几个东南亚和非洲的政策研讨会上听到过引用。
把这几类国际机制横着摆在一起看，约束力、代表性、议题重点、执行落差四个维度上的差异相当清晰。约束力最强的是欧洲理事会公约——有签署、有国内法落实义务，虽然执行靠自觉，但至少在文本层面是硬的。ISO/IEC标准是另一种硬——不是法律硬，是市场硬，企业拿认证要花钱花时间，实际行为改变效果可能比很多软法强。联合国和UNESCO的建议书约束力最弱，但代表性最广，一百九十多个国家签了字，合法性基础是其他机制比不了的。OECD和GPAI在中间地带，成员有限但质量较高，产出偏技术性、偏操作性。
代表性跟约束力之间存在一种结构性张力。成员越多的平台，达成共识越难，文本越模糊，约束力越弱——联合国是典型。成员越少的平台，谈判成本越低，文本越具体，约束力越强——欧洲理事会公约是典型。GPAI和OECD卡在中间，试图在代表性和可操作性之间找平衡，效果见仁见智。这个张力短期无解，因为国际治理的本质就是主权国家之间的协调，想让渡主权换约束力，政治上走不通。
议题重点的分化也有意思。安全议题在峰会渠道和欧盟主导的机制里占C位，伦理议题在UNESCO那里最重，发展议题在全球南方国家和中国倡议里被反复强调，标准议题在ISO/IEC和IEEE那里是核心。这种分化不完全是坏事——不同的机制聚焦不同的议题领域，反而形成了一个松散的分工体系。问题出在协同上：同一个议题在不同机制里被反复讨论，产出大量内容重叠的宣言和报告，真正落地的行动有限。我在好几个场合听到外交官抱怨“AI治理的会议太多了，协调成本太高”，这话听着像凡尔赛，但确实反映了机制拥堵的现实。
执行落差是最实在的痛点。所有国际机制加在一起，目前没有能力强迫任何国家做任何事。UNESCO建议书靠自愿报告，OECD原则靠同行评审，GPAI靠工作组产出，峰会靠领导人政治承诺，欧洲理事会公约靠缔约国自觉。这套体系的本质是“软治理”，它的效力取决于各国国内政治意愿和官僚体系的执行力。我在研究各国落实UNESCO建议书进展的时候发现一个规律：联邦制国家比单一制国家慢，部门协调机制弱的国家比强的国家慢，AI产业规模小的国家比大的国家慢。这种差异不是国际机制能弥合的，它是国内治理能力的投影。
回到我自己的判断上，国际AI治理机制的价值不应该用“有没有约束力”这一个尺子来量。标准组织改变企业行为、峰会网络建立跨国信任、建议书提供规范性话语资源、公约给国内立法提供外部锚点——这些功能各有各的用处，混在一起看反而看不清。真正需要担心的问题有两个：一是机制太多太碎，小国疲于应付、大国选择性参与，最后变成一场没有终点的会议马拉松；二是关键行为体的缺席——美国在公约上的退缩、中国在峰会网络里的若即若离，这种大国参与的波动会让任何机制的实际效果打折扣。未来几年的观察重点，我放在这三个方面：联合国那两个新机制能不能跑出实质产出、欧洲理事会公约的签署国名单会不会扩大到欧洲之外、AI安全峰会的议程能不能在安全和发展之间找到稳定的平衡点。这些问题的答案不会在某一份宣言里揭晓，只能靠持续跟踪、慢慢拼图。
全球人工智能政策前沿议题、趋势与观察建议
生成式人工智能刚火起来那阵子，我翻各国政策文件翻得特别勤。2022年底ChatGPT出来的时候，大部分国家的AI战略还是围绕“负责任AI”“可信AI”这些框架在转，文本里几乎找不到“基础模型”“大语言模型”这些词。到了2023年中期，风向明显变了。欧盟在AI法案的谈判里临时加塞了针对通用目的AI的条款，美国那边白宫拉了十五家头部企业签自愿承诺，中国出台了生成式人工智能服务管理暂行办法。这三件事发生的时间挨得很近，路径完全不同，但指向同一个问题：传统的“一个AI系统一个场景”的监管思路，套不到基础模型身上。
我印象很深的一个细节是欧盟AI法案谈判过程中的拉扯。通用目的AI到底该放在哪个风险等级里，争论了好几个月。按原来的分级框架，高风险的归高风险、低风险的归低风险，但基础模型这个东西它是“一个模型、多种用途”，你不知道下游会拿它干什么。最后的妥协方案是单独辟出一章，给通用目的AI设透明度义务、给有系统性风险的模型加额外要求。这个方案本身是妥协产物，执行起来会碰到很多技术细节问题，比如“系统性风险”的门槛怎么定、算力阈值划在哪儿合适。我跟踪过几轮后续的讨论，发现连“训练算力达到多少FLOPs算系统性风险”这种看似技术性的问题，背后都是产业竞争力和监管成本的权衡。
智能体的政策回应比基础模型更滞后一些。2024年到2025年，能做多步骤任务、能调用工具、能自主决策的AI智能体产品开始多起来，但各国政策文本里对“自主性”的规制还停留在自动驾驶和机器人这些传统领域。我跟一个在智库做AI治理研究的同行聊过，他的判断是智能体带来的核心难题是责任链条变长了——模型开发者、应用开发者、部署者、用户，中间还夹着工具提供商，出了事找谁？现有的产品责任框架和算法问责机制都不太够用。2025年春天欧盟委员会内部传出一份讨论稿，试探性地提了“智能体分级备案”的想法，产业界反弹挺大，觉得合规成本吃不消。这个议题接下来几年肯定会反复发酵。
2023年英国AI安全研究所成立的时候，我专门去翻了它的组织架构和招聘启事。一个国家级的AI测评机构，核心团队几十号人，大部分是机器学习背景的研究者，任务是对前沿模型做部署前的安全评估。这个模式后来被美国、日本、新加坡跟进复制，2024年首尔峰会上还搞了个“国际AI安全研究所网络”把各家串起来。我在一个闭门研讨会上听美国AI Safety Institute的人讲过他们的工作流程，有意思的是他们跟模型公司之间的关系——既不是监管者跟被监管者的关系，也不是纯粹的合作伙伴，更像是一种“带审查性质的技术对话”。测评发现的问题不一定会公开，处理方式是先跟公司沟通、看能不能修。这套非正式机制灵活归灵活，透明度上确实有欠缺，公民社会那边一直有批评声音。
测评方法论本身也是个硬骨头。2024年我读过几份不同机构发布的AI安全测评框架，标准差异大得惊人。有的侧重“能力评估”——测模型在生物安全、网络安全这些敏感领域到底能做到什么程度；有的侧重“对齐评估”——测模型会不会撒谎、会不会绕过安全护栏；还有的侧重“社会影响评估”——测偏见、毒性、信息生态影响。这几类测评背后的学科传统、方法论工具、结论呈现方式都不一样。ISO/IEC 42001给了一个管理体系的框架，但它管的是“组织有没有建流程”，管不了“测评方法本身科不科学”。我个人的判断是，测评这个领域的标准化还处在很早期的阶段，未来三到五年会经历一轮方法论的大浪淘沙。
透明度义务的制度设计这几年走得比预期快。欧盟AI法案给通用目的AI设了训练数据摘要公开、版权合规声明这些披露要求，加州2024年通过的SB 942法案要求生成式AI系统提供内容溯源能力，中国2025年初开始推生成式AI服务的安全评估和算法备案更新。这几套方案的技术路径不一样，但方向是一致的——把“黑箱”打开一点，让外部能看见模型的一些关键信息。我采访过一个参与加州立法讨论的技术顾问，他说立法者最头疼的问题是“披露到什么颗粒度算够”。披露太细，企业说商业秘密保不住；披露太粗，监管者和公众看不出问题。目前的方案基本是折中：训练数据给个高层级摘要，不要求逐条公开；版权合规章节式声明，不要求逐份合同披露。
责任分配这块，立法实践明显落后于学理讨论。欧盟AI法案沿用了产品责任指令的框架，把AI系统类比成产品，按缺陷产品追责的逻辑来分责任。美国那边没有联邦层面的统一立法，州层面的尝试比较零散，科罗拉多州2024年搞了一个AI法案，责任条款写得很原则，实操性不强。中国在生成式AI管理办法里把服务提供者定为主要责任主体，这个思路清晰，但碰到智能体、API调用这些复杂场景也会模糊。我在几次学术会议上听到的讨论，比较有共识的一点是：纯粹靠事后追责不够，得配合事前的风险管理义务和事中的监测机制，三层叠起来才管用。这个共识落到立法文本里还需要很长时间。
数据这条线和AI治理的交叉越来越密。2024年欧盟数据法案开始实施，里面有几条涉及AI训练数据的使用规则，跟AI法案的训练数据披露要求有重叠也有张力。我对比过这两份文本，发现起草班子之间的协调不够充分，企业合规的时候得同时满足两套要求，有些地方还打架。版权议题更热闹，美国那边几起作家和艺术家起诉AI公司的案子2024年陆续有进展，法院的判决思路不太一致，有的侧重“转换性使用”的认定、有的侧重“市场替代效应”的分析。我跟一个知识产权律师聊过，他的说法是“现有版权法框架套AI训练，怎么套都别扭，最后大概率得靠立法打补丁”。
算力政策的交叉议题在国内政策圈讨论得多，在国际比较研究里反而关注不够。美国2023年10月收紧了对华高端芯片出口管制，2024年又加了几轮，这个动作把算力问题从产业政策推到了地缘政治层面。欧盟2024年搞了一个“AI工厂”计划，用公共资金补贴算力基础设施，目的是缩小跟美国之间的算力差距。中国这边“东数西算”工程推进了好几年，2025年又出了一批智算中心的规划。这几条线摆在一起看，算力政策跟AI治理之间的关系挺微妙——算力管制既是国家安全工具，又是产业竞争手段，还间接影响AI安全研究的国际合作。我注意到一个现象：算力受限的国家在AI安全测评上的投入反而更积极，可能是因为模型能力受限制之后，安全研究的相对性价比上去了。
竞争政策这条线是最近才热起来的。2024年欧美反垄断机构对AI领域的并购和合作安排关注度明显上升，微软跟OpenAI的关系、谷歌跟Anthropic的投资、英伟达的GPU供应策略，都被反垄断机构拿去研究过。欧盟2025年初对几家大厂的AI合作安排启动了正式调查，美国联邦贸易委员会也发了几份市场调研令。我读过FTC那份调研令的文本，问题设计得挺细，核心关切是“基础模型层的市场集中度会不会传导到下游应用层”。这个议题接下来几年会很关键，因为它直接关系到AI治理的另一个维度——权力集中问题。几家大厂同时掌握模型、算力、云服务、应用分发渠道，这种垂直整合程度在科技史上不多见。
隐私跟AI的交叉是老议题新热度。GDPR实施这么多年，AI训练数据的合法性基础一直是个灰色地带，2024年欧盟数据保护委员会发了几份指导意见，试图把“合法利益”这个法律基础在AI训练场景下解释清楚，但成员国的数据保护机构之间意见并不统一。中国个人信息保护法2021年实施之后，2024年出了几份针对AI训练数据的配套规章草案，思路跟欧盟有相似之处也有差异。我在一个跨境数据流动的研讨会上听到企业代表的抱怨挺实在：合规成本高还是其次，最难受的是各国规则不衔接，一套数据要拆成好几份、走不同的合规路径。
监管对话和规则衔接这件事，我观察下来有几个层面在同时推进。双边层面，美欧2024年搞了一个“AI安全与治理对话”机制，定期碰头交换政策信息；中美之间在2024年底恢复了一些技术层面的沟通渠道，AI议题在里头占了一定比重。 plurilateral层面，G7搞了一个“广岛AI进程”的跟踪机制，定期发布各国政策落实情况报告。多边层面，OECD的AI政策观察站建了一个各国AI政策数据库，收录了六十多个国家的政策文本，做比较研究挺方便。这几个层面的对话机制各有用处，但彼此之间缺乏串联，同一个国家可能在好几个平台上重复表态，实际产出有限。
互操作性的核心难题在技术标准跟法律规则的衔接上。ISO/IEC的标准是全球性的，企业的AI管理体系认证可以跨国互认，但各国的法律要求差异很大，认证了42001不等于符合欧盟AI法案，也不等于过了中国的算法备案。2025年初欧盟跟美国在标准互认上有一点进展，欧盟标准化组织跟美国国家标准与技术研究院签了一个合作备忘录，但备忘录没有约束力。我跟一个参与谈判的标准专家聊过，他的判断很直白：“技术标准互认相对容易，法律规则互认基本不可能，因为背后是监管哲学和主权选择的差异。”
风险共治这个概念在2024年到2025年被提得越来越多。前沿AI安全峰会那套机制在往风险共治方向走，国际AI安全研究所网络在尝试建立跨国测评结果互认的框架，联合国那个科学小组如果真能跑起来，也能在风险评估上提供一个全球公共产品。我比较关注的是“风险共治”跟“规则趋同”之间的区别——风险共治承认各国规则可以不一样，但要在风险识别、信息共享、应急响应这些环节建立合作机制；规则趋同则是要求各国采纳相似的监管标准。从现实进展看，风险共治的空间比规则趋同大得多，也更符合当前大国关系的状态。
趋势研判这块，我自己梳理了五个方向。第一，监管重心从“原则宣示”往“操作细则”下沉，欧盟AI法案2025年到2026年进入分阶段实施期，各成员国要设监管机构、出配套指南，美国各州的立法会继续铺开，中国在算法备案和生成式AI管理上的实操细则会持续加密。第二，安全议题和发展议题的拉扯会长期存在，全球南方国家在AI治理场域里的声音会越来越大，2025年印度主办的AI峰会、2026年联合国那个对话机制的首次会议，都是观察这个拉扯的好窗口。
第三，大国博弈对AI治理机制的影响会持续加深。美国在特朗普第二任期对多边AI治理机制的参与意愿明显下降，2025年初已经能看到一些迹象——欧洲理事会公约的签署进程放缓、对联合国AI对话机制的出资承诺迟迟不落地。中国在持续推动全球人工智能治理倡议的落地，2024年到2025年在东南亚、非洲、拉美搞了不少双边和三边的治理合作安排。这两个大国在治理路径上的分化，会让未来几年的国际AI治理格局更碎片化。第四，AI治理跟其他政策领域的交叉会越来越密，数据、算力、版权、竞争、贸易、安全，这些领域原来各有各的规则体系，AI把它们搅到一起之后，跨部门协调的成本和复杂度都会上升。我在几个国家观察到的现象是，AI治理的牵头部门往往级别不够高，协调不动其他部门，最后出来的政策文件四平八稳、缺乏实质突破。
第五，企业和公民社会在治理中的角色会继续演化。大厂的自愿承诺在过去两年被寄予厚望，2023年白宫那套自愿承诺、2024年首尔峰会的前沿AI安全承诺，都是这个思路的产物。我跟几个跟踪企业承诺落实情况的NGO研究者聊过，他们的评价比较一致：承诺文本写得漂亮，落实靠自觉，外部监督基本缺位。公民社会那边，2024年到2025年出现了一些新的组织形态，专门做AI治理的监督和倡导，资源不多但声音不小。这个生态接下来几年会怎么长，我自己也没把握，但值得盯着。
持续观察的方法建议，我结合自己做研究的体会说几条。第一条，别只盯着政策文本，得跟执行链条。文本层面各国都写得越来越好看，真正的差异在预算分配、机构设置、人员配置、执法案例这些环节。我自己习惯的做法是，每看到一个政策文件，就去追它的配套预算和执法记录，往往能看出政策优先级和落地力度的真实水平。第二条，多源信息交叉验证。政府文件是一类信源，企业合规披露是另一类，学术研究和媒体报道是第三类，NGO的监督报告是第四类，这几类信源各有各的偏差，交叉着看能补上不少盲区。
第三条，建立自己的政策跟踪台账。AI治理领域变化太快，光靠脑子记不住，我自己的做法是按国别、按议题建双维度的台账，定期更新关键政策节点、重要人事变动、标志性执法案例。这个台账积累几年之后，回头看趋势演变会清楚很多。第四条，多跑现场、多跟人聊。政策文本读多了容易陷入文本主义的陷阱，实际跑一跑监管机构、企业、研究机构、公民社会组织，能听到很多文本里看不到的东西。我在不同国家参加过的那些研讨会、听证会、闭门讨论，信息密度往往比读十份政策文件还高。第五条，保持对“非政策因素”的敏感。AI治理的走向不只取决于政策设计本身，技术突破的节奏、产业格局的变化、地缘政治的波动、公众舆论的起伏，这些非政策因素经常起决定性作用。2022年底ChatGPT那一波冲击就是个典型例子，之前所有的AI政策文本都没预料到基础模型会以那种速度改变整个议题格局。
最后说一点个人的观察心得。做全球AI政策观察这几年，我越来越觉得这个领域的研究者得同时具备两种能力：一种是“钻进去”的能力——读得懂技术细节、看得懂法律文本、跟得上产业动态；另一种是“跳出来”的能力——能在一个更高的层面看出不同政策选择背后的价值权衡和利益博弈。这两种能力都不容易练，但缺了哪一个，做出来的观察都容易偏。纯粹的文本比较容易流于表面，纯粹的技术分析容易忽略制度约束，纯粹的政治经济学批判容易空对空。我自己的做法是，每做一轮国别或议题的比较研究，都逼着自己回答三个问题：这个政策选择解决了什么具体问题？付出了什么代价？谁受益谁受损？把这三个问题答清楚，观察的深度和厚度就上来了。这套方法没什么高深的理论，但管用，我愿意把它分享出来，供同行参考和批评。
