上周，医院的安全团队在 Microsoft Teams 上约了一次简短的 touch-base。理由写在告警系统里，措辞比日常英语更生硬：在我这台由医院配发的笔记本上，监测到一次针对 Microsoft Edge 凭据库的 DPAPI 提取——用句不太精确的话说，有程序读走了浏览器加密保存的登录凭据。这类字眼很容易让人紧张。在美国的语境里，一位受雇于公立机构、持绿卡的亚裔工程师，其「可疑行为」最终通向警察与法院，并不是纯粹修辞上的可能——《计算机欺诈与滥用法》（CFAA）的历史里，检方一度主张违反雇主的电脑使用政策即可能构成联邦计算机犯罪；二〇二一年最高法院虽然收窄了这部法律的解释（Van Buren 案），机构的风险记忆却比判决更长。
我的回答很简单：告警是我自己造成的。我在医院的内部网络里，私有化部署了一套 AI 自动化——模型是中国公司开源的 Qwen，跑在一般的笔记本电脑根本带不动的硬件上；我的单位笔记本上只跑一个开源代理，隔着内网调用它，把日常运维中的重复劳动脚本化。我读的是我自己存在浏览器里的凭据，干的是我职位上被授权的活。安全同事的回答也很职业：一般而言，这种行为属于 unauthorized；若严格一点表述，可以叫 credential compromised。我问：按本院政策，这是被禁止的吗？回答：不是。
我没有争辩 unauthorized 这个定性，只是记下了那一刻学到的区分：「未被禁止」与「获得授权」，属于两套不同的治理语言。前者是法无明文不处罚的思维，后者是科层组织无许可不行为的思维。我那台跑在自己会话里的自动化，恰好掉在两套语言的夹缝中。
二、授权是一种采购状态
先把一个经济学常识放回桌面：企业之所以存在，是因为它用层级替代了一部分市场交易（科斯七十年前解释过的老问题，至今仍是理解职场一切「规矩」的钥匙）。雇主的特别之处，不在于员工更聪明，而在于组织购买了在特定边界内调配资源与风险的权力。工具由组织配发、流程由组织定义、错误由组织的保险单兜底——这是层级制的传统交换条件。
个人 AI 代理第一次让这个交换条件出现了新的裂缝。过去的私人工具——自己的计算器、自己写的脚本、自己订阅的词典——不携带身份，不触碰系统边界，所以从未被当成治理对象。BYOD 时代智能手机入侵过一次边界，组织的应对是装一个监控代理，勉强维持了旧框架。而 AI 代理在性质上不同：它持有凭据、执行动作，它是第一个「带身份证的员工影子」。当影子做了正式员工被授权做的事，组织的授权体系并没有为影子准备任何格子。于是出现了一个耐人寻味的对称：医院花重金采购的某套统治级电子病历系统——业内人都知道指的是 Epic——以其封闭接口与黑箱数据流闻名，供应商进程在我这台电脑上做的事情远多过我那个小代理，只因它写在采购合同里，天生「被授权」；而一个读自己密码、干自己活的员工脚本，因为不走采购流程，成了 unauthorized。在机构的语义里，授权原来是一种采购状态，而非行为性质。凡沿着资本与合同流动的，即安全；凡沿着个体与习惯流动的，即风险。
把这个观察再放大一格，就是医疗行业的政治经济学。美国的医疗体系把一个社会应当共享的基础能力，做成了对家庭预算与时间的持续占用，中游的采购链条上躺着少数几家封闭平台。封闭本身不是原罪，但当一个机构一边把效率外包给黑箱，一边对员工手里透明的小工具响起警报时，它保护的未必是安全，而是流程本身所代表的控制感。
三、一封邮件的两种算术
那次 touch-base 之后，我做的第二件事是给直属经理写了一封邮件：安全团队联系了我，事情经过如下，您若有任何不同意见，请告知。这个动作，放在不同的职场社会里是两道不同的算术题。
在东亚许多组织里，这类邮件多半被读作「给领导出难题」：你遇了风浪，还要领导表态，先扣分，再追究；事情本身反而没人细究。在美国的机构文化里，留痕（paper trail）承担的是相反的功能：我主动披露，您知情，您沉默，即同意；将来若有追究，追责的对象是「违反了已告知的规则」，而不是「做过的事」。两者都是风险分配机制，只是分配给了不同的角色：前者把风险留给组织内的位置，后者把知情权连同责任一起交给上级。
我的算术还要多加一项系数。作为华裔背景的绿卡持有者，本地同事的最坏情况是换一份工作；我的最坏情况，理论上可以沿着职业惩戒、信用记录、移民身份的链条继续往下走。对风险的敏感不是胆小，是每个人面临的代价函数本来就不同。这封邮件会换来什么——负责任的透明被接住，还是仅仅递出了一次表态的机会——我还不知道。它是一面小小的罗夏测验：从它的命运里，可以读出这家机构把员工当作风险，还是当作同事。
四、模型国籍、数据路径与真正的国家安全问题
安全圈一定会问的那个问题，我也自问：你用的可是中国的开源模型。这问题背后有两种焦虑，一种合理，一种混淆。合理的部分是：凡是把数据交给外部处理的架构，都应问「数据去了哪里、谁有审计权」。混淆的部分是：把「模型国籍」当成安全属性本身。在这套部署里，模型在院内网络的内侧，数据不出防火墙；凭据不出本机，上下文只给最小需求；病人数据根本不进模型——也就是说，真正被自动化处理的，是我与机器之间那些最不需要隐私的琐事。但组织的直觉很难按数据路径来校准，因为数据路径看不见；按国籍来校准就方便得多，国籍至少印在包装上。
这其实揭示了一个普遍事实的雏形：当员工普遍用私人 AI 处理公务时，国家安全与病人隐私（HIPAA 所保护的那一域）的真正风险，不在于某一次 DPAPI 告警，而在于没有人能画出数据流图——包括那些正派采购的黑箱在内。今天规则不划这条线，不是因为想不清楚，而是因为划线的代价是有人要坐到「为个人生产力工具负责」那张桌子后面。机构的三条路因此都通向同一处：明禁是假装；提供要担责；装看不见最便宜——平时你安静地提效，出事时你个体担责。
我倒想提出第四条路，一种可以叫「默认授权」的制度想象：凡满足本地优先、无 PHI 接触、可登记、可撤销的个人代理，视为职务行为的许可延伸；组织保留抽查权，而不保留事前审批权。它的实质，是把「授权」从采购状态归还给行为性质——就像门禁系统认人，而不认人使用的品牌。当然，任何这样的制度都需要一个愿意写政策的人，和一批愿意试点的机构。在医疗这个行业里，这两样东西都比芯片短缺。
五、一个反事实：如果医院 IT 完全交给 AI 维护
把我这一次小小的告警放大到制度的尺度，问一个反事实的问题：如果医院的 IT 系统——从集成接口到病历数据库的运维——整体改由 AI 自动化维护，会发生什么？答案可能让提出这个问题的人自己都不安，因为它在每一个维度上都是双刃的。
先看就业。美国医院系统里养着一个庞大的中间层：系统管理员、集成分析师、实施顾问、培训专员、合规官员，以及——最关键的——经理的经理。这一层里相当部分的工作内容，说穿了是「在人与系统之间搬运上下文」，恰恰是 AI 代理最擅长替代的文体。冲击的讽刺之处在于：护士与医生离病人越近越安全，职位离接口越近越危险；而离接口近的，往往正是那些不需要临床执照、曾经体面的中等技能岗位。一个把这类岗位批量蒸发的劳动力市场，政治会如何消化，过去十年的经验已经给了我们相当充分的想象力。
再看管理。美国医疗机构的治理，说到底是一套签字制度：变更要有工单，工单要有审批，一个简单的数字改动，也要专门的经理人定期审阅、定期批准。这个仪式在防什么？严格说，它防的不是错误——机器审校比人更不易疲倦——而是责任的无人认领。监管链条（联邦医保中心的规则、州卫生部门的检查、HIPAA 安全条款的审计、医院评审机构的标准）在法理上预设了一个「理性的人类监督者」；法律责任、职业保险、合规框架，全都建在「出事了可以走到某个人面前」这个古老假设上。AI 运维真正颠覆的，不是技术，是这个假设：当签字的人不再理解被签字的系统，签字就从判断退化为见证。全自动化会把这层虚伪逼到墙角——要么承认机器可以被问责（而我们的法律还没有为法人之外的问责设计格子），要么承认人的签字早已是仪式。
隐私的账最微妙。直觉上，让 AI 日夜触摸病历系统令人不安；但病人隐私今天最主要的泄露面，其实是人类员工的便利：调阅自己好奇的病历不需要理由，一张截图、一份剪贴板导出的报表，走的路径没有任何审计。机器运维可以比人类更苛刻——细粒度授权、最小上下文、全程留痕，恰恰是它天生擅长的事。也就是说，纯粹从事故概率看，全自动化下的隐私可能更好；但它换来的是另一种不对称：人的窥探无法定价，机器的全知无法申辩。一个只由算法看守的病历库，技术上更安全，政治上却更难被信任——而医疗制度从来是按可信任感、不是按事故率设计的。
最后是研究，也是这场革命里真正受益的一方。健康数据若能由自动化持续清洗、标注、对齐，真实世界研究的门槛会塌方式下降：罕见病不再有沉默的队列，副作用信号在千万份病历里自动浮现，每个病人贡献的数据第一次接近被完整兑现。科学会因此更富有。但请注意行业资产负债表的方向：封闭平台的护城河，恰恰建立在人为中介的复杂度上——集成要计费，配置要计费，「让系统说话」本身就是标价的服务。自动化把复杂度变成自来水，也就把一批收费项目变回基础设施。对科学研究是解放，对医疗行业则多半是一场破坏面很大的革命；而这两个词在同一个账本上。
也许可疑者（包括我先前自己）会把「长期半自动化」当成最可能的路径——个体未经授权地采用，机构等待一次事故再写政策，系统在中间态里维持均衡。但对人性松弛一点的人都该怀疑这个均衡。只要人还留在环路里，他就不会维护这个环路，而会不断「创造」新的环路：新的审批、新的路径、新的「必要」复杂性——因为环路本身就是他存在的理由。审批的功能一旦从判断变为免责，它的数量就不再受判断力的约束，只受想象力约束；帕金森那条老定律于是以镜像形式复活：审批不像工作那样填满时间，它像通货膨胀一样填满系统。半自动化因此不是一条可以久住的中间道路，而是收费站不断加盖车道的过程：自动化的效率红利被流程逐一吃回，直到某一次冲击——人手短缺、供应商提价、一次事故、一笔预算——逼出跳变。
告警响过一次之后，制度真正的选择仍然只有那两个：把这条路设计出来，还是等它从脚下漫过去。只是第二个选项的代价，如今可以更精确地报出来了：不是原地不动，而是用新的复杂性购买旧岗位的体面，账单照例寄给病人与纳税人。
六、定制化基因服务：一项国家竞争力，而 AI 是它的信息地基
到此为止，本文讨论的都还是「运维」，而运维的尽头在题目之外。再把视线放远五年十年：医学正在从治疗疾病转向维护其人——自体干细胞、个体化的基因维护、器官再生。这类服务眼下听来像富人的时尚，但它们的经济特征值得记下来：客户富有，数据稠密，需求近乎无弹性。这不是一个科室，这是国家竞争力的新赛道。谁能把这一行做得便宜、安全、可及，谁就不仅留下本国富人的钱包，还留下人才、企业，以及标准的起草权。
这类服务的硬约束恰恰在信息：一位客户就是一个持续增长的数据集——基因组、影像、随时间累积的化验序列、细胞系的谱系、移植后的免疫应答；其决策频率与参数维度，早已越过人脑的处理极限。在这里，AI 不是效率选项，是认知义肢：不是「用了更快」，而是「不用即盲」。于是本文的真正难题以最尖锐的形式重新出现：美国会不会允许这种新医学与它现有的医疗行业结合？新医学需要与它一样年轻的信息基础设施，而一个以审批为业的中间层，提供的只会是比它更年长的流程。矛盾严丝合缝：长生服务最需要信任 AI，美国医疗治理最不敢信任 AI——问责、签字权、保险与诉讼链条，全部搭建在「负责的人类监督者」这个老假设上。结合失败未必意味着某项服务被禁止；它更可能表现为：创新在本国完成实验，在他国完成规模化，账单与就业随之搬家。而在那些没有 incumbent 平台历史包袱、国家动员能力现成的辖区，最没有可损失的，往往最有可得到的。
至于借助 AI 的过程里，新的社会伦理与职场伦理如何构建——谁签字、谁问责、谁被监测、人的数据之身是否属于自己——已经远远超出这篇博客的能力范围。临别只留一句：肉身的长生，可能比制度的更新先到。届时决定一个社会能否接住它的，不是技术，是它的制度怕不怕自己活得太久。
七、边界的所在
回到题目：AI 应用在职场的边界，不在 AI 一侧。工具的能力曲线从来不会等谁，它能走多远取决于谁替它踩刹车，这半个问题过去二十年已经被反复回答。另外半个问题要严肃得多：组织愿意把「个人代理的合理行为」承认为自己的一部分吗？承认的成本不是安全审查——审查我的自动化，告警系统免费就做了；承认的成本是责任：一旦授权，员工的影子犯错，机构的保险单上就多了一个被保险人。
我不后悔那封邮件。职场 AI 当下真正的边界，写在法律落伍与实践狂奔之间：对个体，可靠的是书面，是「沉默即同意」这一古老程序，是把未授权留在明处；对机构，可靠的是尽快把「个人代理」写进政策语言，而不是留给安全告警系统去即兴立法。告警大概会过去，问题不会。整个问题的形状其实并不新——每一次新技术把个体从流程的监护下解放出来，组织都要重新回答同一个老问题：你信任的是链条，还是人。我拭目以待。
