AI监管困境：为何“分布式评估网络”比全球中枢更可行？

事件概述

随着全球AI合规浪潮的推进，一个隐蔽但致命的结构性矛盾日益凸显：监管机构在技术上无法独立验证前沿AI模型的安全性，只能依赖企业提交的安全评估数据。这种“考生自批试卷”的模式使得监管流于形式。针对近期30多国呼吁建立“全球AI监督机构”的趋势，政策专家Komaitis指出，解决之道不在于设立高高在上的全球中枢，而在于构建分布式的底层评估能力。

核心信息

1. 监管者的能力赤字与结构性矛盾

• 现状： 能够独立测试和挑战前沿AI的第三方机构极少，而少数科技巨头垄断了算力、数据和专业知识。
• 后果： 政府虽制定规则，却无法掌握底牌，被迫采信企业自报的数据。这种不对称性使得监管闭环看似完整，实则脆弱。

2. 互联网治理的历史镜鉴：分布式优于集中化

• 案例回顾： 1988年Morris蠕虫危机后，美国成立CERT（计算机应急响应小组），但并未将其打造为全球最高权威。相反，各国、各行业自发成立了大量事件响应团队，并通过1990年成立的FIRST论坛实现跨境信息共享。
• 治理逻辑： 有效的全球治理不是靠单一中心指挥，而是“就近建设能力，再通过标准互联”。当系统过于复杂时，分散责任并建立互操作机制是更优解。

3. AI治理的反向启示：补齐“地基”而非增加层级

• 现状对比： 与互联网不同，AI的基础设施高度集中，但治理能力极度薄弱。
• 策略调整： 不应简单复制IETF或CERT的组织形式，而应吸取其制度精髓——在风险发生的具体场景（如特定国家、行业）建设评估能力，并确保这些能力之间可以互通。

4. 重新定义“数字主权”

• 误区： 数字主权不等于技术完全自给自足或全产业链国产化。
• 正解： 数字主权是指一国能在自身的法律、经济和社会背景下，自主决定AI的使用方式及风险承受度。这要求政府具备独立的评估能力，否则将沦为依赖企业结论或他国标准的附庸。

5. 构建分布式、可互操作的评估网络

• 区域价值： 不同地区的评估机构能发现本地特有的风险（如语言偏差、公共部门应用风险）。例如，内罗毕的研究员可能发现硅谷评估忽略的风险，新德里的机构可能理解欧洲实验室看不到的部署条件。
• 互操作性要求：
  • 可比性： 伦敦与内罗毕的评估结果应具有可比性。
  • 可复现性： 新加坡开发的基准应在其他地方可复现。
  • 情报流动： 漏洞信息和经验教训应跨国界自由流动。
• 配套机制： 需建立通用的评估标准、可信敏感信息共享机制、机构认证制度以及受控的模型访问通道，确保没有任何单一参与者垄断治理知识。

值得关注

• 政策风向转变： 从追求“全球统一监管机构”转向支持“区域性独立评估+国际标准互联”，这可能成为未来国际AI治理的主流路径。
• 产业影响： 头部AI公司将继续主导技术话语权，但区域性评估机构的兴起将为非西方视角的风险评估提供合法性，可能影响跨国AI产品的本地化合规策略。