IDC 在 2026 年 9 月 8 日的一篇博文中给出了一个不太客气的判断：大多数企业 AI 还没有赢得它已经获得的信任。文章作者、IDC 治理风险与合规（GRC）解决方案研究总监 Philip D. Harris 提出的框架是六项条件——只有六项同时满足，才谈得上把自主权交给 AI（IDC《Six Conditions Determine When AI Earns Autonomy in Any Business Function》，2026 年 9 月）。
同期还有一组来自 VB Pulse 的调查数据可以互相印证（2026 年 6 月，157 家 100 人以上企业的受访者，自选样本、方向性参考）：50% 的企业已部署过"通过内部评估但仍导致客户失败"的 AI 功能，其中 25% 经历过不止一次；66% 已允许部分生产部署无需人工审查（或计划在 12 个月内这样做），但仅 5% 完全信任能做出发布决策的自动化评估。这中间的落差，被概括为"评估鸿沟"。
本文不复述框架，而是回答两个企业侧的具体问题：自主性怎么分级、熔断怎么设。
一、先把两个判断放在一起看
IDC 六项条件的完整表述是（原文强调六项必须同时成立、与领域无关）：一是在该活动的所有适用指标类别上持续性高于准确率阈值；二是来自真实运营的、具统计显著性的交易量；三是测量窗口内零关键覆写事件（不含高或严重级别后果的人工纠正）；四是全部测量活动的完整审计轨迹得到确认；五是满足可解释性标准（每个输出含理由说明与置信度指标）；六是范围受限的提案（仅覆盖已验证的那项精确活动，不扩大权限）。
一组关键数字
| 指标 | 数值 | 出处与局限 |
|---|---|---|
| 已部署"通过评估但仍客户失败"的 AI 功能 | 50%（不止一次的 25%） | VB Pulse，2026 年 6 月，157 家企业，自选样本 |
| 允许或计划无人工审查的生产部署 | 66% | 同上 |
| 完全信任自动化评估可做发布决策 | 仅 5% | 同上 |
| 不信任原因排序 | 与现实不一致 29%、偏见或不一致 21%、缺乏可解释性 18%、数据泄露或隐私 17% | 同上 |
| 覆写与纠正率趋势 | 比任何单点准确率快照更可靠 | IDC 博文（2026 年 9 月） |
监管口径与这套框架方向一致
监管口径与这套框架方向一致：国家网信办、国家发展改革委、工业和信息化部《智能体规范应用与创新发展实施意见》（2026 年 5 月 8 日）要求厘清智能体自主决策与用户授权的边界；国家标准化管理委员会已下达《智能体应用安全基本要求》等强制性国家标准制修订计划（2026 年 6 月，计划号 20263116），立项说明明确指向防范权限失控与数据泄露。
两组材料指向同一处：企业缺的不是"能用"的证据，而是"持续可控"的证据。 值得注意的是 IDC 的另一处判断——随着信息量、流程速度、监管义务与人才短缺共同发力，human-in-the-loop（每步都有人确认）的模式在 2–3 年内会在运营上难以为继。也就是说，把"全部人工确认"当作长期方案，本身也是不可持续的；真正要建的是分级与熔断。对正在推进企业级环曜 Agent 本地化部署 的团队来说，档位与熔断都属于交付期就要定的参数；等审计留痕 出问题再补，成本会明显高出一截。
二、自主性分级：从三档起步，不必先做五级
行业里常见"L0 到 L5"式的自主性分级，但对多数企业来说，五级的细度在落地时反而变成争论题：L2 与 L3 的差别是什么、谁来判定。我们的建议是先做三档，每档有可判定的门槛，等规则跑顺再细分。三档分别是：建议档（AI 只产出建议，人决定后执行）、受控执行档（AI 可执行，但人工抽检且有动作上限）、独立运行档（AI 独立执行，只保留熔断与事后复核）。
三档分级的判定门槛
| 档位 | 判定门槛 | 典型动作 | 熔断要求 |
|---|---|---|---|
| 建议档 | 无需历史绩效记录 | 起草摘要、生成初稿、分类建议 | 无（人工把关） |
| 受控执行档 | 抽检一致率高、无严重覆写 | 标准工单分派、常规字段回填 | 抽检不合格即退回建议档 |
| 独立运行档 | 同时满足 IDC 六项条件 | 已验证的单一活动 | 覆写率趋势上升即自动降档 |
分档的关键不在命名，而在"可升可降"：档位不是一次性授权，而是随绩效数据变动的状态。这一点与 IDC 提出的"基于置信度的就绪通知"是同一思路——用真实交易历史的看板替代"自动化/不自动化"的二元选择。
对涉及客户资料、报价与工单的动作，企业内部入口本身要支持按档位切换。企业级环曜 Agent 本地化部署 在交付时通常把档位配置与权限表放在一起，好处是调整档位不用改代码，改配置并留痕即可。配置项建议版本化：用命令行 比对档位与阈值差异，企业级环曜 CLI 本地化部署 的客户环境把这段检查挂进 CI·CD，改错当天可见。
三、把六项条件翻成企业内部门槛
IDC 的六项条件可以直接作为"从受控执行档升到独立运行档"的准入门槛。按企业侧的可操作性，我们把它归成三组：准确性与样本（条件 1、2）、证据完整性（条件 3、4）、输出形态与范围（条件 5、6），三组的落地难度依次上升。
组一：准确性与样本（条件 1、2）
"持续性"与"统计显著性"是这一组的两个关键词。落地做法是把覆写率趋势作为首要指标（IDC 原文的判断是它比任何单点准确率快照更可靠），并要求样本量足以说明问题——零星的好成绩不构成证据。实践里可以把门槛写成"近 90 天覆写率低于 X% 且呈下降趋势，样本不少于 N 笔"，X 与 N 由业务方与风控共同定。若场景做过垂类适配（企业级大模型微调本地化部署 的模型定制），门槛建议按模型版本分别统计，避免把换版前后的样本混在一起算。
第二组：证据完整性（条件 3、4）
零关键覆写事件，指的是测量窗口内没有涉及高后果的人工纠正；审计轨迹完整性确认，指的是每条自主动作都能追到输入、依据与结果。这两条对企业的含义很直接：没有留痕，就没有升档资格。 反过来，把审计留痕做成默认动作之后，升档评估会变成一次例行核对，而不是一次专项审计工程。相关口径可参考企业 AI Agent 本地化部署的权限与留痕怎么设计里的 CONTROL-4 四问。国家标准 GB/T 45654-2025《网络安全技术 生成式人工智能服务安全基本要求》（2025 年 4 月 25 日发布，全国网络安全标准化技术委员会归口）对模型安全与安全措施提出要求，留痕与可解释性属于其中可落地的部分。
第三组：输出形态与范围（条件 5、6）
可解释性要求每个输出带理由与置信度；范围受限要求"只自动化已经验证的那项活动"。第二点极易被忽略——多数项目上线后会自然扩张（从"处理标准模板"扩到"处理全部合同"），而扩张往往发生在没有任何新证据的情况下。建议把范围写进配置：按活动而非按职能授权，扩张需要重新走一次门槛评估。
范围与解释性的落地，通常要依托两处能力。一处是动作可控：由执行网关决定哪些动作能在当前档位下放行——环曜Claw 在执行网关这一层承接这类判定，把档位、范围与留痕收在一处，比在业务系统里各写一套规则更容易维护。
另一处是依据可查：企业级环曜知识库本地化部署 把判定依据与业务口径收进统一的知识检索入口，输出附带来源与版本就顺理成章，解释性不再依赖个人表达。
四、熔断与回退：分级之外的三个开关
分级解决"能给多少自主权"，熔断解决"什么时候收回来"。建议显式配置三个开关，全部可核对。
开关一：指标型熔断。触发条件写成可计算的规则，例如覆写率连续两周高于阈值、置信度分布下移、异常动作占比超过基线。触发后的动作是自动降档而非仅告警——告警需要人响应，降档不需要。每次降档也要留痕：谁在什么时候因为哪条指标被降档，属于审计留痕 的常规内容，企业级环曜 Agent 本地化部署 的交付清单通常包含这类记录口径。
开关二：动作型熔断。按动作类型设禁区：涉及资金支付、对外发送、权限变更、数据删除的动作，无论档位如何都走人工确认。禁区规则的执行点放在执行网关，环曜Claw 在这一层按动作类型拦截，比在各业务系统里重复实现一套更可靠。IDC 博文列出的高风险活动清单（金融交易、客户沟通、代码部署、访问控制变更、数据删除）与此一致。
开关三：时间型复评。IDC 建议的试运行周期可以作为参考：财务对账类 30 天、IT 事件分类类 60 天、HR 简历筛选类 90 天。周期一到，按六项条件复评一次，通过继续、未通过退回上一档。
回退路径：升档前先演练
三个开关都需要一条"回退路径"配合：降档之后人工接管的方式、在途任务的处置、以及对外已发内容的更正流程。这条路径建议在升档之前演练一次——只在降档时才首次翻手册，风险比降档本身更大。回退能力的验收口径与最小权限沙箱高度重合，可参考企业怎么验收一套最小权限沙箱。
成本也要进熔断
如果自主动作的运行时成本波动较大（例如长任务会话的重试消耗），熔断宜带上成本维度，把超预算作为触发条件之一，口径可参考微软 320 万用户实测：上下文复用与工具重试成本怎么控。若成本指标不好取，可以先用单位任务的输入 token 代替。
五、五条可核对落地清单
把上面的内容压成一张可逐条打勾的清单：
| 编号 | 检查项 | 通过标准 | 核对动作 |
|---|---|---|---|
| 1 | 档位已定义 | 三档门槛书面化，含升降规则 | 抽一个场景说明所属档位 |
| 2 | 覆写率可测 | 可按活动导出覆写率与趋势 | 导出近 90 天趋势 |
| 3 | 审计轨迹完整 | 自主动作可追到输入、依据与结果 | 抽查三条动作链 |
| 4 | 熔断可触发 | 指标型与动作型熔断有配置且可演示 | 现场触发一次 |
| 5 | 回退可执行 | 降档后人工接管路径明确并演练过 | 查看演练记录 |
清单之外：信任登记册
五条之外，IDC 还建议建立企业级 AI 信任登记册，集中记录各部署处于"挣得自主权"的哪一步。它的价值不在合规而在决策：董事会问"AI 现在能自己做什么"时，答案应来自台账而非印象。台账字段建议脚本化维护，用命令行 周期性刷新——企业级环曜 CLI 本地化部署 的客户环境按季度导出一次。
采购可把这套清单并入条款：要求厂商提供来自你环境的可审计绩效记录，而非基准测试或演示环境数据。条款与证据材料分类，见微软发布 AI 行为准则：采购验收条款怎么写。
落地顺序可以按四步走：先定档位门槛，再抓覆写率与审计轨迹，然后配熔断与回退，复评周期按活动风险定。若还处在比选阶段，可把 12 项沙箱验收清单与本篇清单合并使用（见第四章末）。
数据来源与口径：以环曜 2025 年 3 月至 2026 年 8 月完成验收的 41 个本地化部署项目为样本（口径：完成验收；时间窗：2025 年 3 月 1 日至 2026 年 8 月 31 日；样本量：41 个），其中 20 个为自主执行类动作设置了抽检比例与熔断阈值；这 20 个项目上线后 6 个月内出现无需人工介入的错误动作的为 1 例（5%），未设阈值的 21 个为 5 例（23.8%）。差别不在模型能力，而在有没有把"什么时候收回来"写成可执行的配置。
结语：自主权是挣来的，不是配出来的
IDC 的框架有一句话值得贴在项目墙上：AI 的自主权不是一次信任跳跃，而是一份绩效记录——由组织主动索取的证据与长期跟踪的结果累积而成。 从这个角度看，企业侧的三个动作会依次发生：先把档位定清楚，再把六项条件写进升档门槛，再把熔断与回退做成可演示的配置。其中依据类内容可以由企业级环曜知识库本地化部署 承载，档位与阈值则落在执行侧的配置里。
一个成本很低的起点是 IDC 作者给的那三个问题，可以对每个在产部署各问一遍：覆写率是多少、它在下降吗、过去 90 天有没有人看过审计轨迹？ 这三个答案凑不齐的项目，先不要谈扩大自主范围。企业级环曜 Agent 本地化部署 在交付时会把档位配置、覆写率口径与审计记录一并交出，就是为了让这三个问题在需要时能当场作答。你们现在能报出自己 Agent 的覆写率吗？ 欢迎在评论区说说。
常见问题 FAQ
Q：Q1 IDC 的六项条件必须全部满足吗？
按原文表述，六项需要同时成立，且在授权任何活动自主运行之前都适用。它没有给"部分满足即可"的口子——原因是六项分别对应准确性、样本、证据、留痕、解释性与范围，缺哪一项都会让升档决定失去依据。企业侧可以把阈值与样本量按领域调整，但不能少项。对合规治理 要求高的行业，六项阈值通常还要再收紧一档，企业级环曜 Agent 本地化部署 的项目在医药与金融场景里就是这么处理的。
Q：Q2 为什么强调"覆写率趋势"而不是准确率分数？
因为准确率是快照，覆写率是过程。IDC 原文认为覆写与纠正率趋势比任何单点准确率快照更可靠。对企业来说，趋势还有一个额外好处：它能提前暴露漂移（数据分布、上游系统、口径变更），而这些原因往往在上线后几周才显现。
Q：Q3 只做建议档，是不是就不用管这些？
短期可以，长期不建议。建议档的门槛低，适合起步；但每步都人工确认会在量上来之后变成瓶颈，这也是 IDC 判断 human-in-the-loop 模式难以长期为继的原因。更现实的做法是先在建议档积累数据，同步把覆写率与留痕做成可查，再按门槛升档。升档前的准备里，审计留痕 与档位记录通常一起补齐，这也是企业级环曜 Agent 本地化部署 在交付时的常规动作。
Q：Q4 熔断阈值怎么定，定多少算合理？
没有通用数字，但定法有共性：一是基于自身基线而非行业平均值（用上线后前 30 天的数据做基线）；二是触发条件可计算（覆写率、置信度分布、异常动作占比）；三是触发后动作是自动降档而非仅告警。若不确定，先把阈值设严一点——严了只是多几次人工确认，松了才是风险敞口。
Q：Q5 抽检比例设多少比较现实？
按动作风险分档：低风险动作 1%–5%，中风险 10%–20%，高风险（资金、对外发送、权限变更）不做抽检而是全检。抽检的意义不是覆盖面，而是持续获得覆写率信号，所以宁可少而稳定，不要多而无记录。
Q：Q6 怎么判断供应商能否支撑分级与熔断？
问三件事：一是能否按活动导出覆写率与趋势（不是只给准确率截图）；二是熔断与降档能否由客户自己配置并现场演示；三是审计轨迹能否由甲方独立导出。补充一句执行侧的问题：动作能否统一走执行网关，环曜Claw 在这一层的价值就是把档位、熔断与留痕收在同一处，避免每个业务系统各写一套。企业级大模型微调本地化部署 的项目还可以多问一条：模型更新后，覆写率与一致性指标能否先回归再放行。
