一家中型AI厂商的合规官，收到客户一份问卷：证明你在全生命周期管理模型风险、幻觉、偏见与隐私。在此之前，诚实的回答是"我们有制度"。2026年11月1日之后，这个回答不够了。
关键要点
- YD/T 7173-2026《人工智能 安全治理 系统风险管理能力要求》依工信部公告2026年第18号发布，2026年7月15日发布，2026年11月1日实施。
- 它是行业标准（recommended），不是强制性国标（GB），合规压力通过采购与认证传导，而非首日法定罚则。
- 标准定义三大能力体系：组织建设能力、流程管理能力（识别—评估—应对—改进）、风险防护能力（八项属性）。
- 由中国信通院（CAICT）联合20余家企事业单位、高校与科研院所起草。
- 截至2026年10月29日，该标准尚未生效；11月1日才实施，企业只有数天而非数月去对齐。
标准到底要求什么
文件范围窄而可操作。它规定AI研发与应用主体开展风险管理应具备的管理与技术能力，而非禁止某类模型或用途。骨架是三大能力体系。
其一是组织建设能力：清晰的三级问责链——领导决策、管理层审批、执行层落地——外加培训、专项资源、全生命周期文档留存，以及向监管、供应商、用户通报重大风险的机制。
其二是流程管理能力：风险识别、评估、应对、持续改进的闭环。不可接受的风险定义为隐患，分重大、中度、一般；应对给出规避、降低、接受、转移四选项，并保留评估与应对双报告。
其三是风险防护能力：系统应体现可靠、可控、安全、公平、透明、可解释、隐私保护、可问责八项属性。
为何是行业标准而非法律
这决定了规则如何落地。强制性国标可带直接法律效力；行业标准（YD/T）给出预期基线，靠客户采购要求、ISO/IEC 42001等认证、试点评估间接执行。信通院称已用该框架助国内制造企业谋求ISO/IEC 42001认证，并有10余家AI企业据此建设风险管理能力。
对海外读者，区别就是头条：中国用技术标准治理AI，速度比立法快，并顺着供应链外溢。无法展示三大能力体系的厂商，法律上或许还能运营，但很难卖给审慎的企业与政府客户。
发布时间也经过设计。7月发布、11月实施的安排，给大厂商短跑道、给小厂商可抄的模板，而非一段足够让合规溜走的漫长过渡。由于文件是技术性的而非禁止性的，海外供应商也比面对禁令更易采纳——这正是信通院将其定位为国际共识"产业实践"而非"墙"的原因。一份外国厂商读得懂、对得上的标准，对中国买家比一道他们无法满足的规则更有用。
下一步去哪
信通院规划三步：面向供需双方做标准解读与宣贯；在金融、医疗等典型场景开展应用试点，沉淀可复制经验；启动2026年人工智能风险管理能力成熟度评估。配套的智能体服务风险管理专项也在推进，聚焦工具供应链安全、记忆安全、推理执行与平台运营。
标准也把中国放进全球对话。信通院明确将其与欧盟《人工智能法》、美国NIST人工智能风险管理框架、新加坡2026年人工智能安全共识并列，既为国内规则，也为国际共识提供产业实践。
诚实的局限
标准属"推荐"性质，故我未夸大强制力；压力来自采购与认证，而非首日法规。起草单位数量在信通院的"22家"与国标平台的更长名单间略有出入，故我写"20余家"以求稳妥。我未核实是否有省份已在本地采购中强制该标准；信通院提及金融、医疗试点，但未说及强制规则。实施日（2026年11月1日）取自全国标准信息平台，状态为"即将实施"，确认在本文日期尚未生效。
普通人现在能做什么
- 若向中国企业与政府销售AI，务必在2026年11月1日前把风险管理文档对齐三大能力体系。
- 若你是国内AI厂商，用标准给出的"一表三单"工具箱，准备信通院计划的2026年能力成熟度评估。
- 若做海外合规，把YD/T 7173-2026与ISO/IEC 42001对照阅读；信通院明确二者关联，对齐或有助于跨境认证。