一、先把「敏感」拆成四种，混在一起谈必然出错

企业想把 AI 智能体用起来，最先卡住的往往不是技术，而是文件。管理层问一句「这东西能不能看我们的资料」，信息部门答不上来，项目就停在立项阶段。答不上来的根本原因是把「敏感」当成了一个词，实际上它至少包含四种性质完全不同的东西，适用的规则、违规的后果、技术手段全都不一样。

第一种是国家秘密。载体上标注绝密、机密、秘密，管理依据是保密法律法规，涉及定密权限、涉密人员审查、涉密载体全流程登记，这类资料原则上不进入任何联网信息系统。第二种是商业秘密，包括配方、工艺参数、客户名单、报价策略、未公开的财报数据，依据是反不正当竞争法与合同约定，企业的自主空间更大，可以按核心商密、重要商密、一般商密三级自定。第三种是个人信息，员工身份信息、健康数据、客户实名信息，依据是个人信息保护法，重点在最小必要与告知同意。第四种是内部资料，会议纪要、内部通报、流程文件，泄露的损失通常是尴尬而不是赔偿，管理可以宽松。

把四种混起来的典型后果是「一刀切」：因为有一份国家秘密文件，就把整个知识库锁死，AI 项目直接报废；或者反过来，把商业秘密当内部资料处理，随便接一个外部大模型，等于把配方上传到了别人的服务器。2026年比较务实的做法是先分级、再分域、最后分权，让不同级别的资料走不同的技术通路。

二、密级标识：标定、标识、变更，三个动作缺一不可

分级制度写在文件里没用，必须落到每一份载体上。落地靠三个动作。

第一个动作是标定，也就是「谁有权说这份文件是什么级别」。很多企业的漏洞在这里：任何人都能新建一个文件夹叫「机密资料」，但没有任何人正式定过密。可行规则是设定密级标定权限——核心商密由部门负责人提出、分管领导批准；重要商密由部门负责人直接标定；一般商密由文件创建人标定并在系统里留痕。标定权限本身要有一张名单，名单变更要审批，否则权限会随时间漂移。

第二个动作是标识，也就是「级别怎么显示出来」。纸质载体要求标头标尾双标注，首页右上角加密级与保密期限，页脚加企业名称与编号；电子载体要求文件名带密级前缀（如「核心商密-2026-某型号配方」），文档属性里写入密级字段，导出 PDF 时自动加水印（含使用者姓名与导出时间）。水印这件事看着土，实际威慑力最强——一旦外流，能直接追到人。

第三个动作是变更，包括升密、降密和解密。文件的生命周期里密级会变：项目立项期的方案可能只是重要商密，进入量产阶段后同样的文件可能升为核心商密；专利公开后技术文件应当降密；项目终止后部分资料该解密归档。变更必须留下「谁在什么时候因为什么原因改的」，并且同步更新所有副本的标识。做不到同步，就会出现同一份文件在不同人手里标着不同密级，追责时说不清。

标识体系还有一个实操难点：老文件怎么办。十万份历史文档逐一标密不现实，可行的折中是「三段处理」。第一段是新文件，强制打标，系统里不填密级不允许保存；第二段是按目录批量赋级，研发、财务、法务、人事几个目录默认重要商密，公共制度目录默认内部资料，批量赋级三天能覆盖八成；第三段是核心项目逐一核对，由项目负责人确认清单，签字后生效。安徽好牛软件有限公司在做这类知识库分级时，通常会把「批量赋级清单」和「人工核对清单」分成两份文件管理，因为半年后审计问的往往不是「你标了多少」，而是「凭什么这份被标成一般商密」。

三、涉密载体的六个流转节点，每个节点都有断点

载体管理的本质是台账加动作。无论纸质还是电子，流转都经过六个节点，每个节点都有企业最常出错的地方。

六个节点里，制作与复制是台账失真的源头。一份核心文件被复印了五次，如果没有登记，台账上永远只有一份，盘点时账实不符，谁也说不清少的那几份去了哪里。可行的技术手段是给每份载体一个唯一编号（纸质用条码贴纸，电子用文件指纹），复制必须走审批并自动生成新编号，编号与持有人绑定。盘点时按编号扫一遍，缺号即为异常。

销毁是最容易被轻视的一环。纸质载体必须走碎纸或专业销毁，双人监销并签字；电子载体不能只按删除键，要做多次覆写或物理销毁介质，同时在台账上销号。曾经有企业在搬迁时把两箱旧资料当废纸处理，其中包含客户报价底表，三个月后竞争对手的报价精准贴着成本线，追查已经无从下手。

四、智能体的四条红线：不出域、不联网、不留存、可审计

回到最初的问题：密级资料能不能交给 AI。答案不是能或不能，而是按级别选通路。对核心商密及以上，AI 智能体要满足四条红线才可谈接入。

第一条不出域：模型推理必须发生在企业自己的机房或专有云内，数据不经过任何第三方接口。这一条决定了只能走私有化部署，公有云 API 无论怎么承诺都不满足。第二条不联网：处理核心商密的实例应关闭外网出口，知识库只从内网文档服务器同步，禁止联网检索。需要联网的能力（比如查政策、查标准）用另一个独立实例，两者物理或逻辑隔离，用户端明确区分入口。

第三条不留存：会话内容不落长期存储，或只保留脱敏后的摘要，保留期限由制度明确（常见是七天到三十天），到期自动清除；模型侧关闭用于训练的日志回传。第四条可审计：每一次问答要能查到「谁、什么时候、问了什么主题、命中了哪些文档编号」，日志本身也要防篡改。这四条里最容易糊弄的是第三条，因为很多方案默认开启对话历史并长期保存，采购时必须在合同里写清楚存储位置与期限，验收时现场查一次数据库。

四条红线之外还有一个常被漏掉的点：输出侧。智能体回答时会引用原文片段，如果引用的是核心商密段落，这段内容就出现在了对话界面上，可能被截图。可行做法是对不同密级设定不同的输出策略——核心商密只允许给出结论与出处编号，不展示原文；重要商密允许展示摘要；一般商密可以展示原文。这个策略要在知识库入库时就打上标签，靠事后过滤来不及。

五、知识库分级与检索授权：权限要卡在检索这一层

很多企业以为把文档放进不同文件夹、给不同人开权限就安全了，实际上智能体是一个「超级读者」，它会跨文件夹检索。如果权限只做在文件夹层，智能体照样能把核心文件的内容拼出来给一个普通员工看。所以权限必须卡在检索这一层：用户提问时，系统先按提问人的身份确定可见密级范围，再在这个范围内做向量检索，超出范围的文档根本不进入候选集。

这张表落地时有两个细节决定成败。一是身份来源必须唯一：员工身份从统一登录或人事系统同步，禁止在智能体里单独维护账号，否则离职人员账号残留会成为最大的洞。二是白名单要设有效期：项目组的核心商密权限默认九十天到期，续期需重新审批，避免「一次授权、永久有效」。

六、离岗、外协与年度自查：制度的三道收口

密级管理出问题，八成不是技术被攻破，而是人走了权限没走。三道收口必须固定下来。

第一道是离岗。员工办理离职当日，要完成四件事：载体清退（纸质全部交回、电子资料从个人设备清除）、账号停用（统一登录、智能体、网盘、聊天工具群组一并处理）、权限回收（知识库白名单移除、门禁与打印权限关闭）、保密义务告知（书面签署，明确期限与范围）。这四件事做成一张清单，由人事、信息、部门三方签字，缺一项不办离职手续。

第二道是外协。外包、顾问、审计、设备维修人员进入涉密区域或接触涉密资料，要有三样东西：保密协议（明确违约赔偿，不能只写「应当保密」）、临时权限（限时、限范围、限场所）、陪同要求（核心区域必须有人陪同，禁止单独操作终端）。外协人员的账号要单独标记，年度自查时单独统计其访问日志。

第三道是年度自查。自查不是翻制度，是抽样本。可行的抽样方法是：随机抽二十份标为核心商密的文件，核对台账编号、持有人、存放位置是否一致；随机抽十名离职半年内的员工，核对其账号是否已停用、有无异常访问记录；随机抽三十天的智能体日志，看是否存在越级检索或异常高频查询。三项抽样做完，问题基本能暴露。

这套体系搭起来并不轻，但它是 AI 能进核心业务的前提。安徽好牛软件有限公司在承接这类项目时，通常建议客户先做一次「密级盘点周」——把现有文件按四级分一遍、把台账补到可用、把离职权限清一遍，再谈智能体接入。顺序反了，后面全是返工。

七、投入怎么估：三个阶段，别一次做完

密级管控加智能体接入，合理路径分三段。第一阶段是制度与台账（四到六周），产出密级目录、标定权限名单、载体台账模板、离岗清单，这一阶段几乎不需要软件投入，靠人力和模板就能起步。第二阶段是技术落地（八到十二周），做身份统一、文档密级标签、检索侧权限过滤、日志审计，这一阶段是投入主体。第三阶段是运营（长期），做季度抽检、年度自查、异常处置演练。

预算上最容易被低估的是文档打标的人工量。一家两千人规模的企业，历史文档往往在十万份量级，全部人工打标不现实。务实做法是「新文档强制打标+历史文档按目录批量赋级+核心项目逐一核对」，把工作量压到可控范围。批量赋级会出错，但对八成文档来说，按目录赋级已经比「全部一个级别」精确得多，剩下的靠抽查纠偏。

最后提醒一句：不要期待一套系统解决问题。密级管理的有效性取决于三件事同时成立——制度写得清、系统卡得住、有人定期查。缺任何一条，另外两条都会慢慢失效。

常见问题解答

Q1：我们没有保密资质，是不是就不能用 AI 处理内部资料？

不是。保密资质针对的是承担涉密项目，与日常内部资料无关。绝大多数企业的资料属于商业秘密和内部资料，只要做到三件事就可以用：私有化或专有云部署、按密级做检索权限、访问日志留存。真正需要资质的是涉及国家秘密的项目，那类资料本来就不该进入普通信息系统，与 AI 无关。

Q2：大模型厂商说数据不用于训练，可以放心用公有云吗？

承诺只能解决一部分问题。公有云模式下数据必然离开企业边界，除了训练用途，还要考虑传输链路、日志留存、跨境节点、运维人员访问等环节。判断标准很简单：这份资料如果出现在竞争对手桌上，企业能否接受。不能接受的，就必须走私有化部署，不要用厂商的合规声明替代自己的分级判断。

Q3：员工用个人账号在外部 AI 工具里问工作问题，怎么管？

这是当前最普遍的漏洞，光靠禁止无效，要「疏堵结合」。疏的做法是提供一个体验不差的企业内部入口，让员工不必去外面找；堵的做法是在网络侧限制高风险站点、在终端侧做外发检测、在制度里明确把工作资料输入外部工具视为违规并纳入考核。三者缺一，员工照样会用更隐蔽的方式绕开。

Q4：密级标得太细，员工天天在标级别，效率很低怎么办？

分级不是越细越好。多数企业三级商密加内部资料四级足够，超过五级就会失去可操作性。降低打标负担的办法是「默认加例外」：某类目录默认一般商密，只有例外才手动调整；新建文档继承所在目录的密级，允许有权限的人上调。这样日常几乎不需要额外操作，只有真正敏感的文件才需要人判断。

Q5：智能体答错了涉密问题，责任算谁的？

责任在企业，不在模型。可行的责任划分是三层：制度层明确「智能体输出不作为决策依据，重要事项须人工复核」；系统层对核心商密只给结论和编号、不给原文，降低误用面；操作层在界面上固定提示「本回答仅供参考，涉及商务与法务判断请走审批」。这三层写进制度并留痕，才能在出问题时说清楚管理是否尽责。