商的AI披露里有些说法很常见：提效百分之多少、服务多少万人次、上线多少智能体。有一类应用几乎从不出现在这些数字里，那就是查自己人的。

江海证券今年在合规风控上做了整链条的改造，公开出来的效果有两条：合规咨询与合同初筛这两类重复工时合计下降超过六成，风控日报从跨日编制变成当日收盘后40分钟内产出。同期它把从业人员投资行为排查、利益冲突自动核查、账户托管比对这些功能也做进了系统。

前面那两条是对外的成绩，后面那部分是对内的。两者的披露待遇完全不同，这个差别里藏着合规AI最真实的处境。

先把合规从后端挪到前端

江海的做法里有一个选择值得注意：它没有直接用公有云的通用大模型，而是走内网本地化部署。公开的理由是三条风险，客户信息泄露、回答幻觉、监管条文更新不同步。对中小券商来说，第三条尤其致命，法规和自律规则更新频繁，模型训练数据落后一个版本，给出的建议就可能直接踩线。

底座是三类知识库的整合：外部法规、内部制度、监管处罚案例，文档总量数千项，用标签管理和时效管控做动态更新。在此之上用向量检索和本地化微调，做出适配反洗钱、制度运维、全业务咨询的多岗位智能体。

其中一个设计最能说明它的思路：问答结果全部溯源到原始文件。合规咨询这件事，最怕的是答了却说不清依据，答得慢反倒没那么要紧。溯源机制把"为什么这么说"变成可查的东西，一线才敢用。

效果是把合规从后端挪到了前端。过去业务人员拿不准，要发邮件或者打电话问合规，等几个小时甚至隔天；现在是7×24小时可问，响应到分钟级，一线在签单之前就能自己查一遍红线。江海自己的说法是合规管理由"后端灭火"前移到了"前端提示"。

然后是查自己人

同一个平台还挂了另一组功能，性质完全不同。

从业人员投资行为排查、利益冲突自动核查、账户托管比对，再加上权限分级、操作日志留痕、数据加密和异常访问报警。这些功能的作用对象主要是内部的人，外部风险只是顺带覆盖。

这类应用在行业里其实并不少见。据财联社的报道，中银证券把智能监测铺到投顾沟通、市场解读、营销宣传、客户服务的全场景，用来识别违规荐股、收益承诺和不当营销；国信证券要求投顾用AI校验自身专业度，同样一个问题，先问自己怎么答，再看AI怎么答，八十分以下的服务能力被认为已经跟不上客户要求。中信建投公开过一套四重防线的设计，覆盖数据、权限、审计与合规四个层面。

这些动作的共性是，它们的收益不体现在任何一份对外披露的提效数字里。一个系统帮投顾少花两小时写报告，可以写成提效；一个系统查出某位员工的投资行为越界，写出来对谁都没好处。于是披露里出现的永远是前者。

这类投入为什么还在往上走，答案在监管节奏里。据经济参考报的梳理，2025年《证券公司网络和信息安全三年提升计划》收官，中证协就风险数据管理示范实践征求意见，并表管理指引推动全口径、穿透式风控，中小券商的数据治理短板和合规成本压力同步显性化。压力是自上而下传导的，跟这套系统能不能算出回报没有关系。

合规AI的收益天然进不了账

江海公开了工时下降六成，但没有披露这个项目的单独投入，也没有披露减损金额。截至报道发稿，这两个数都没有。

这不是疏忽，是合规类项目普遍面临的处境。业务类AI的收益是"多做了什么"，多写的报告、多触达的客户、多压掉的工时，都能计量；合规类AI的收益是"没发生什么"，避免的一次处罚、避免的一场纠纷、避免的一次声誉损失，全部是反事实，在任何会计口径里都无法入账。

所以合规AI永远算不出投入产出比，能算的只有工时。这也决定了它的投入逻辑：业务AI靠回报预期推动，合规AI只能靠监管压力推动。压力来了，预算就有了；压力没到，这笔钱怎么算都算不平。

对要做这件事的机构，这条推论有实际用处：别拿投入产出比去审批合规AI项目，它永远批不过。替代的审批依据是两样东西，监管的明确要求，以及漏报可能带来的风险敞口有多大。用错了尺子，好项目会被砍掉，而砍掉它的理由听上去还很合理。

风险敞口怎么估，可以换个问法：上一次同类问题被查出来，处置花了多少人力、多长时间，监管的罚则区间落在哪一段，这个数字乘以发生频率，就是这套系统的价值上限。它仍然进不了账，但至少能让审批的人知道，自己在为什么量级的事情花钱。

误报的成本压在一线身上

合规AI的验收标准也和业务AI不同。业务系统看提效，合规系统要看两个率：漏报率和误报率。而这两个率的成本承担者不是同一个人，漏报的后果由机构承担，误报的后果由被误判的员工承担。

这一点决定了合规系统的采纳曲线比业务系统陡峭得多。一个投顾如果被系统误判了一次违规，要花时间写说明、接受问询，这个成本实实在在落在他个人身上，而系统正常运行带来的收益记在机构账上。成本收益不对称，一线的最优策略就变成了少用、少问、少留痕，用"少问少错"来降低自己被误判的概率。

系统越没人用，数据越少，模型越不准，误报就越多，于是用的人更少。这个负循环在业务系统里也存在，但在合规系统里会更快形成，因为一线的规避动机更强。

所以合规AI上线之后，用使用率考核它是危险的。真正要盯的是申诉量：误报之后有多少人走了申诉，申诉的处理时长多久，有多少最终被认定为误判。这个数字不进任何报告，但它决定了系统半年后还有没有人用。

先服务后监督

还值得说一句的是江海的部署顺序。

它先上的不是行为排查，而是7×24小时的合规咨询。这个顺序看着随意，实际上很关键：先上线的那部分，一线是受益者，拿到的是即时可用的答案；后上的那部分，一线是被监督对象。如果反过来，先上监督功能，一线从第一天起就把这个系统当成查自己的工具，配合度会直接掉到底，后面再好的咨询功能也推不动。

顺序在这里本身就是设计的一部分。合规AI的特殊之处在于，它的用户同时是它的被监督者，这个双重身份决定了推行方式不能等同于普通工具上线：先让使用它的人得到好处，再让它去查这些人。

上之前需要先定四件事

合规AI和别的AI项目不一样的地方，大部分不在模型能力上，在规则和顺序上。动手之前，有四件事建议先定下来。

结论的边界。哪些场景允许系统直接给出结论，哪些场景系统只能给出线索、由人去判断。这条线不划清楚，系统给出的每一条结论都会变成责任纠纷的起点。

溯源机制。每条结论能不能回到原始文件、回到具体条款，并且把版本和更新时间一起显示出来。合规领域里，说不出依据的答案等于没有答案。

误报的申诉路径。申诉由谁受理、多久给结论、认定误判之后有没有反馈到模型侧。没有这条路径，一线就会用自己的方式规避，系统的数据源会先枯竭。

部署顺序。先上服务，后上监督。这个顺序不写在任何方案模板里，但它决定了这套系统能不能活过前六个月。

说明：本文所引事实均来自上列公开渠道，机构与人物表述均为转述，未直接引用原话；文中关于合规类项目收益不可计量、误报成本归属与部署顺序的分析为作者独立判断；企业披露数据未经独立第三方审计，若相关权利方认为本文表述存在不当引用，请及时联系我们处理。