EC-Council发布ADG 2.0：扩展AI治理控制与规则映射，落地仍要对应执行证据

EC-Council于2026年10月1日发布ADG 2.0。按其公告，新版包含12个控制家族、180多项控制，并映射90多套法规、标准与框架；它还向政府、监管者和标准机构提供免费的框架、映射及相关协助。上述数字与服务范围来自发布者。规则映射不代表相关机构已经认可，也不能替代针对具体业务的适用性判断。

AI生成概念示意图，非真实产品照片、软件界面或事件现场。

独立分析：相同的控制名称，可能对应不同工作

治理材料常把访问管理、日志和人工复核写成几个简洁栏目，但栏目名称相同，不意味着实际要求完全一致。谁可以做什么、什么时候检查、需要留下怎样的记录，都可能决定一项控制是否真的起作用。

以下是一项虚构的内部整理练习，不是对任何法规的解释。假设团队有一个负责汇总公开资料的AI助手，准备把“输出需复核”写进工作要求。首先应写清复核对象：是每句话、每个来源链接，还是准备对外发送的整份结果。

随后把负责人、触发时间和处理办法补齐。若复核者发现来源与结论不符，任务应该返回修改、暂停交付，还是交给另一位人员处理？这些可观察的动作，才让一行要求成为能够执行的工作安排。

映射表需要保留差异

把一项内部做法连接到多套外部要求，可以帮助减少重复整理，但连接线本身并不证明两边完全等价。有的要求涉及记录保存，有的强调执行前检查，若只用一句“已经覆盖”汇总，重要差别可能消失。

本文建议在内部材料里保留三种状态：已有证据支持、只覆盖部分内容、尚未判断。部分覆盖并不是失败，它能让负责人知道下一步需要补哪份材料或哪段流程。强行把每一格都填成完成，反而不利于分配真实工作。

证据也应指向具体对象，例如某次复核记录、某个配置版本或一次演练结果。只挂上一份总政策文件，后来很难证明当时哪套规则在运行，更难解释某个例外为什么得到不同处理。

让治理记录跟得上工具变化

AI流程变化时，旧证据可能仍然存在，但已经不再对应当前做法。新增工具、改变执行权限或调整输出用途，都值得触发一次范围明确的复查。需要重新看的是受影响部分，而非机械地重写整份材料。

可以为一项控制安排短小的演练：给出一个普通任务、一个需要暂停的任务，再检查负责人能否沿既定办法处理。演练记录应包含实际观察和未解决问题，避免只留下“培训已开展”或“制度已发布”的结论。

对正在整理AI使用规范的团队而言，这次框架更新可以提供问题目录。真正决定目录是否有用的，是每个问题能否连回负责的人、正在运行的流程与可核对的证据。外部映射帮助找方向，组织自身仍要完成具体解释和持续维护。

来源与核验

EC-Council发布ADG 2.0：厂商发布的原始公告（2026-10-01）。

本文于北京时间2026年10月2日核验。后续分析与假设场景为原创讨论，不代表厂商承诺或独立实测。