ARTICLE · 1341999
把合同贴给 AI 就完事了?企业文档审核,90% 的人都用错了路
四条路线的真实边界，和一种更值得做的方案
一份 40 页的采购合同，负责复核的人要审半天。有人把它贴进对话框，有人让智能体跑一遍，还有人干脆搭了个 AI 审批工作台。三种做法看起来只是"工具越来越重"，但真正拉开差距的不是工具，是结论能不能被追责。
引子：凌晨两点，那份合同还压在桌上
公司要跟一个新供应商签合同，条款里压着一条“赔偿上限不超过合同总额”。负责复核的同事那天请假，经办人急着走流程，把合同贴进免费 AI 问了一嘴“有没有问题”。AI 回得又快又自信：“未发现重大风险。”
三个月后出事，赔偿上限成了天花板。复盘时翻遍聊天记录，那份“看起来很专业”的审查，既找不到它依据了哪条原文，也找不到它依据了哪条法。更没人说得清，那个“未发现重大风险”，到底是模型漏看了，还是它压根没看完。
这个场景不是某一家公司的具体案件，是几个团队里听到的相似情形拼成的典型——细节做过合并和脱敏，但每一步都真实发生过。
我不是来劝你别用 AI 的，我自己就是靠它把活干完的人。我想说的是：
你把文档丢给 AI 的那一刻，问的问题就错了。
"帮我看看有没有风险"是个好问题，但也是个人人都会踩的坑——因为答案长得太像答案了。真正的分水岭，从来不是 AI 能不能挑出问题，而是：它挑出的每一条，你敢不敢签字，敢不敢让它替你兜底。
这篇文章不只为法务而写。合同、制度、招标文件、审计底稿、风控清单、财务凭证、供应商准入材料——只要你的岗位要审文档、要留痕、要对结论负责，这套逻辑就适用：法务看条款，内审看底稿，风控看边界，合规看红线，财务看数字。文档不同，底层的问题是一样的。
一、先把分类纠一下：三层分对了，但尺子用错了
讨论 AI 审核，最容易想到的是前三类；真正决定它能不能落地的，其实是第四类：
1. 路线一 · 裸模型：把文档贴进 DeepSeek / 通义千问 / ChatGPT 这样的对话框； 2. 路线二 · 智能体 / AI 办公：交给 WorkBuddy、DeepSeek Harness、Codex、千问办公这类能读文件、能跑工具的产品； 3. 路线三 · 自建工作台：像一套自己写的代码，搭个带规则库、修订对照、审计留痕的 AI 审查工作台； 4. 路线四 · 嵌进审批流：不新建入口，把 AI 初审挂到飞书审批、钉钉审批或自建 OA / 合同系统的节点上。
前三类的直觉很准，但它们并不是三个并列的可选项，而是同一条能力栈上递进的三层：
第一层只有「模型智力」； 第二层加了「工具与上下文」； 第三层加了「规则、流程、证据、责任」。
换句话说，第三层内部依然在调用第一层的模型。它们不是替代关系，是叠加关系。
而第四类不在同一根轴上。它不是"更强的第四层能力"，而是另一根轴：这套能力怎么送到人面前。前三类都是「人去找 AI」，第四类是「AI 在流程里等人」。
这里得说一句可能扫兴的话："四条路线"是个方便讲的叫法。严格说，只有前三条是能力路线；第四条不产生审核能力，它决定的是"能力从哪个口子递出去"——当然它也有自己的工程量（对接、状态机、权限对齐、回写幂等），只是那些工程换来的是"送达"，不是"更准"。所以真实结构是 3×2 的六个格子：
| 路线四 |
这张表藏着一个很多人没注意的事实：六个格子都能落地，但代价和收益差得很远。同样叫"嵌进审批流"，第一行是几天的事，第三行是半年的事；同样叫"系统化审核"，独立入口要说服业务换个系统去用，嵌进流程则是业务根本不知道它存在。
绝大多数失败的项目，不是选错了格子，是以为自己在第三行，实际只做到了第一行——界面做成了工作台的样子，里面其实是一次模型调用。
看懂这张表，也就明白为什么路线三和路线四不冲突：工作台是"能力内核"，审批流是"触发与分发外壳"。理想形态恰恰是把路线三那套规则、证据、处置、留痕做成一个没有界面的服务，界面交给业务本来就在用的飞书 / 钉钉 / OA。
另外还有两条正交的轴别漏：
- 部署轴
：公有云 / 企业版 / 私有化 / 纯本地。它决定"文档究竟去了哪台服务器"，跟用哪种形态无关。 - 责任轴
：AI 只做灵感参考 / 做初筛 / 做终审。它决定"出事谁负责"。
还有一个更根本的差别：审核不是写作。写作里 AI 编一句，你删掉就好；审核里 AI 漏掉一条，你根本不知道它漏了。
所以审核场景不能只看总体准确率。准确率是个平均值，它会把"高风险条款漏了、低风险条款挑得很准"这种情况糊过去。要盯的是三个数：漏审率（该报没报）、误报率（报了但没用）、高风险条款的覆盖率（那些漏一条就要出事的条款，有没有被逐条覆盖）。其中漏审率天然不可观测，只能靠人工标注过的历史文档反推。后面所有架构设计，本质上都是在跟这件事较劲。
判断一套 AI 审核能不能进生产，问五个问题就够了：
1. 每一条结论，能不能点回原文的那一条、那一行？ 2. 结论是谁给的、当时用的是哪个模型、哪一版规则？ 3. 规则改了之后，当时那次审查还能不能重放出来——用的哪版规则、哪个模型、原始输出是什么？ 4. 审完之后，问题由谁处置、改没改、谁签发？ 5. 文档正文与条款文本，究竟发到了哪里？
二、路线一：把文档贴进大模型
它是什么：一次性的、无状态的「第二意见」。贴上全文，问一句"帮我看看有什么风险"，得到一段流畅、自信、看起来很专业的文字。
它确实能做好什么：非敏感草稿的启发式自查、换个角度找盲点、措辞改写、长文摘要、快速理解陌生领域。个人提效非常真实，这点不用否定。
但硬伤也很硬：
1. 幻觉是结构性的，不是偶发的。 ICML 2026 一个 workshop 的预印本研究《LegalHalluLens》（arXiv:2606.18021）在 CUAD 的 510 份商业合同、约 24.9 万条条款级判定上，把"内容幻觉"按类型拆开看：聚合幻觉率约 52%，但时间类只有 29%~35%，数值类、义务/权利类却高达 65%~74%，差 38~41 个百分点；更关键的是，两个聚合错误率都是 52% 的系统，错误方向可能完全相反——一个爱臆造义务，一个爱漏掉义务。
需要说清楚：这是条款抽取/判定任务上的学术评测，不能直接翻译成"AI 审合同一半会错"。但它揭示了一件对企业极重要的事——风险不是均匀分布的，恰好集中在赔偿上限、责任范围、义务边界这些最要命的条款上，而且"平均分"会把这件事彻底掩盖。
2. 长文会"中间遗忘"。 几十页文档塞进上下文，中间条款最容易被略过；简单分块又会切断"按第十二条执行"这类跨条款引用关系。
3. 不可复现。 同一份文档、同一句提示词，两次问结果不一样；换个模型版本又不一样。审核结论无法复现，就无法审计、无法追责、无法在争议时自证。
4. 没有证据定位。 它说"第八条存在风险"，你得自己翻回去找；它甚至可能引一个根本不存在的条款号或法条号。
5. 数据边界。 合同、制度、审计底稿这类材料，天然属于"不该随便出门"的那一类。近两年公安和网信部门的安全提示里反复出现的是同一句话：先给数据分级，再谈能不能上传。原始合同、单据、扫描底稿，原则上不走公网工具。说到底是个很朴素的判断——上传之前先问自己一句：这份东西能不能公开？另外，未脱敏合同如果走境外服务，还要多算一层数据出境。
一句话：它适合"我看看有没有没想到的事"，不适合"这份文件我审完了"。
三、路线二：交给智能体 / AI 办公工具
先说一句边界：WorkBuddy、DeepSeek Harness、Codex、千问办公这类产品，能力差别其实不小——有的强在文件处理，有的强在工具调用，有的强在办公套件联动，能不能碰内网、能不能装插件也各不相同。下面说的是它们共有的那层能力，不是把它们当成同一款产品。
增量在哪：模型从"能说"变成"能做"。能读整个文件、能写脚本做格式与编号检查、能查资料、能多轮追问、能产出结构化报告、能批量处理一批文档、能把结果写回文件。从聊天到干活，这是质变。
所以最适合：POC 验证、重度个人助理、小团队探索期、一次性的复杂分析。想知道"AI 到底能不能挑出我们制度里的坑"，用智能体跑一轮，几小时就有答案——这是最划算的起手式，也别跳过。
但它仍然缺四样东西：
1. 没有"案件"对象。 任务活在会话里，会话一关，这次审了什么、结论是什么、谁看过，就散了。没有工单号、没有状态机、没有归档。 2. 流程靠提示词维持。 今天"先查格式再查条款"，明天换个人写提示词，顺序就变了。流程是软的，管不了、考核不了、也审计不了。 3. 角色与签批缺位。 谁只能看、谁能改、谁能签发、谁能改规则——智能体默认是你一个人全权。 4. 自主性带来新风险。 Agent 会自己决定调哪个工具、改哪个文件。让它"帮忙改一下"，它可能顺手重写了你明确不许动的条款。越权比胡说八道更危险，因为它是"已经做完了"。长会话里还有上下文漂移：前 20 轮定的判断标准，到第 40 轮可能被模型自己重新解释了一遍。
一句话：智能体是最好的探索器和个人副驾，但它默认不产生组织资产。今天积累的经验，明天还在你自己的聊天记录里，不在公司系统里。
四、路线三：自建审查工作台——以及它真正做对了什么
我最近自己搭了一个「制度审查工作台」的原型。它值得说的不是那个三栏界面，而是它把四种东西干净地拆开了。这几条，其实可以直接当作 AI 审核产品的需求清单。
① 确定性与概率分离。 硬红线交给规则引擎：段落内硬换行、连续空行、编号断档、中文语境半角标点、禁用表述词表（"最终解释权归公司""概不负责""公司有权随时"）、模糊授权词（"视情况""酌情""原则上"）、义务用词混用、责任主体缺失。这些是正则 / 词表 / 内置检查器，执行结果稳定复现，不会"今天心情不好就没报"。大模型只做语义疑点：条款冲突、标准不可执行、必备要素遗漏。
但这里要注意一个常被混为一谈的区分：可复现不等于可审计，更不等于判断一定正确。规则执行能被稳定重放，不代表这条规则写得对——写错的正则，每次都会稳定地报同一个错，稳定得让人放心，也错得让人放心。反过来，把模型版本、提示词、文档指纹全存下来，也不代表模型下次一定给出一模一样的结论（温度、并发、服务端版本都可能变）。所以要留的不只是"能重跑"，而是"当初到底跑了什么、出来什么"——规则版本、模型标识、提示词全文、输入文档指纹、原始输出，一起存。
界面上写得非常直白：「仅确定性格式修复，语义问题不自动改」。这一句比很多方案都值钱——它公开承认了模型不能自己动正文。
② 证据链是被强制出来的，不是靠模型自觉。 送审的系统提示词里写死了这些约束：
quote必须是从原文逐字复制的连续片段（10~60 字），不得改写、不得跨段拼接； "只依据下方审查基线判断，不要臆造法律法规条文，无法确定依据时写「需人工核实」"； "不判定合法性、不下结论"，只报问题类型； "没有问题就返回空数组，不要为了凑数编造问题"； 输出结构化 JSON，按「条款号 + 原文片段」去重，最多 20 条按严重度排序； 长文按条款切成不超过 2800 字的单元分批送审，而不是整篇硬塞。
「没有原文出处的结论，一律不展示」——这一条应该写进任何 AI 审核产品的需求文档。
③ 人机处置闭环。 模型建议不进定稿，只进「待处置清单」，逐条三选一：采纳 / 手动修改 / 驳回，状态与原因都留痕。角色分成制度管理员、审查经办人、复核签发人、只读协作者，改规则和处置结论各有权限门槛。配逐条推进游标和字符级修订对照：原文侧标严重度，右侧只显示"预期修复"，模型建议稿单独一栏，不混进正文。
④ 可审计、可回滚。 每次动作串成链式哈希（SHA-256，带上一跳 hash），一键校验、可导出离线核验；每条记录带文档内容指纹和当时使用的规则库版本。另有版本快照与一键回滚。这条最容易被忽略，却是事后能定住的那个点：那天到底按哪一版规则审的？
但别把它的能力说过头。链式哈希提供的是篡改检测——中途改一条，后面全对不上，这个能力足够挡住九成"记不清了"和"当时不是这么写的"。它挡不住有权限的人把数据和整条链一起重写。所以它撑得起"内部可追溯"，撑不起"对外不可篡改"。要往后者走，得再加签名、可信时间戳和独立存储，那是另一个预算量级的事。先把定位说准，比把它吹成不可篡改更有用。
⑤ 规则是可运营的资产，不是写死在代码里的常量。 规则可启停、导入导出、复制、分组；每条内置规则配了正例 / 反例自检用例，点一下就知道哪条规则写坏了（因为改规则的人本来就不写代码）；还能用大白话描述需求，让 AI 生成一条规则并先"试跑"再启用。
更妙的一处：启用中的规则会被自动编进系统提示词当作「审查基线」，规则库一改，模型的判断基线跟着变。这就把"规则"和"模型"接上了，而不是两套各说各话。
⑥ 数据边界。 文档在本地解析，能原地改写 Word 保留格式——这一步不依赖任何外部服务。
代价，也得诚实说
建设成本高，而真正的成本不在系统本身，在规则库的长期维护：谁负责、多久更新、新规出台谁同步、规则互相冲突谁裁决。没有"规则负责人"的工作台，半年后就是没人用的僵尸系统。 灵活性下降：换一类文档、换一套口径，都要改规则、重跑评测。 模型一升级，结论可能整体漂移，必须做回归。 还有两处演示时容易糊过去、上生产才暴露：权限是不是服务端真校验（而不只是界面上能切角色）、留痕的可信等级够不够内控用（见上面第 ④ 条，内部可追溯和对外不可篡改，是两件事）。提前想到，比事后补便宜得多。
能把这几件事提前想到的人，往往也正是最后把原型做成系统的人。
五、路线四：把审核嵌进飞书 / 钉钉 / 自建 OA 的审批流
前面三种有个共同前提：人去找 AI。可审核的价值从来不在界面，在流程里：起草 → 提单 → 初审 → 复核 → 签发 → 归档 → 履约跟踪。
路线四的做法是：不新建入口，在业务本来就在用的审批节点上挂一个 AI 初审。业务照旧提单、照旧上传附件，系统自动产出《审核辅助结论表》，把「通过项」「疑点项」「硬拦截项」分开推给对应角色。
先说清一件事，否则"嵌进审批流"这四个字会骗人：它本身不含能力，挂上去的是哪一层，结果完全不同。
- 节点里点一下、调一次模型
（L1）：几天就能上，业务完全无感，但没有证据定位、不可复现、没有留痕——本质上还是路线一，只是换了个入口； - 节点触发智能体
（L2）：能读附件、能查系统、能产出结构化结论表，但依然没有工单对象和签批权限，说不了"谁改了、谁签发"； - 节点调用自建审核服务
（L3，也就是本文说的路线四）：硬拦截、逐条处置、审计链、可回滚，代价是建设和规则运营成本最高。
同一个词，成本差十倍，责任也差十倍。所以别急着说"我们已经把 AI 嵌进审批流了"，先问一句：挂的是哪一层。
三种宿主，差别比想象中大
一句话选型：审批已经在飞书 / 钉钉上跑，就从平台入手，先把规则清单和评测集做扎实；已经有合同系统 / 自建 OA 且强内控，就从服务端入手，平台只做通知；两个都没有，别急着建系统，先做第六节里的阶段 0 和阶段 1。
一次审核在流程里是怎么跑完的
1. 业务在飞书审批 / 钉钉审批 / OA 提单，上传合同或制度附件； 2. 流程引擎触发 webhook，把附件 ID + 单据元数据（类型、金额、相对方、申请人）推给审核服务，而不是把正文塞进消息里； 3. 审核服务拉取文档 → 本地或私有化解析 → L1 确定性规则 + L2 范本 / 制度比对 + L3 语义判断 → 生成结构化《审核辅助结论表》； 4. 结果回写审批单：硬拦截项卡住当前节点（金额超阈值、必备条款缺失、命中禁用表述），不允许提交下一节点；语义疑点只做提示，@ 复核人逐条处置；通过项折叠，不打扰人； 5. 复核人优先处理 AI 标出的疑点——不必先通读全文，但这不等于免除通读：高风险条款走必审清单，其余按比例抽样，见下面的第四条硬约束； 6. 复核人在审批界面完成采纳 / 修改 / 驳回，处置动作连同理由回流服务端； 7. 归档时把「结论表 + 原文快照 + 规则库版本 + 模型版本 + 处置记录」绑在同一个工单号下；履约阶段再按条款触发提醒； 8. 人工驳回与事后发现的漏审，回流评测集做负样本。
四条硬约束
- 别让业务多登录一个系统。
推广失败最常见的原因不是 AI 不准，是要人改习惯。 - 硬拦截和软提示必须分级。
确定性红线才有资格卡流程；模型给的语义判断永远只是提示，绝不能自动驳回或自动改正文。 - AI 没标出来的，不等于没问题。
这是全文最容易被忽略的一句，也是"提高效率"最容易越界的地方。所以流程里必须留两手：高风险条款人工必审——赔偿上限、责任范围、付款与验收、知识产权归属、争议解决、独家与排他，按行业自己定清单，AI 报没报都要看；低风险文档按比例抽检——专门用来查 AI 漏了什么，而不是查它报得对不对。效率的价值不能建立在"少看一遍"上。 - 留痕要能对齐。
平台审批记录 + 服务侧证据链必须挂在同一个工单号上，并能一起导出。否则内控来查时，平台只有"谁点了同意"，服务侧只有"AI 说了什么"，中间那层"为什么同意"断了。
行业里跑通的形态正是这个
某省级电信运营商 2026 年公开披露过一个合同智审项目：把合同审核规则梳理成六大类 190 条，区分通用合同与 ICT、房屋租赁、IDC 等专用场景，综合使用星辰、DeepSeek、千问等模型做文本解析、要素提取和风险识别，并与 MSS 合同管理系统、虚假贸易防范系统对接，做资信与付款计划的穿透校验；公开报道给出的数字是累计审核近 16 万份、智审准确率 90% 以上、效率提升 70%。
值得琢磨的不是这些数字，而是它写明的机制：「机器初审、人工终审、专家会诊、反馈优化」。这四个词不是四个流程步骤，而是三级责任分层——机器承担召回，人承担判断，专家承担例外，最后一层再把结论反哺回规则。规模化的形态 = 规则库 + 模型 + 流程嵌入 + 人机协同 + 反馈闭环，没有一项是"对话框"。行业里也把这套称作「语义层 + 规则层双轨协同」，决策路径是「模型初筛 → 规则校验 → 人工复核」。这句话本身，就是路线三和路线四的关系说明。
六、更优方案：分层混合架构（可直接照着拆需求）
一个「五层 + 一闭环」：
三条原则：
1. 确定性归机器，模糊性归模型，责任归人。 2. AI 只做初筛不做终审；AI 输出必须带证据定位；没有原文出处的结论不展示。 3. 指标看漏审率与误报率，不看"看起来挺准"；用人工标注过的历史评测集判断，不用感觉判断。高风险条款单独算覆盖率。
按文档类型裁剪
这几类差别很大，「一套提示词打天下」是最常见的误区：
分阶段落地（别一上来就建系统）
- 阶段 0｜先立规矩
：写《AI 工具使用管理办法》+ 数据分级清单（禁止输入 / 脱敏后可用 / 可直接使用），统一采购合规服务、工作账号与离职回收。零成本，但决定后面能不能合规地跑。 - 阶段 1｜建评测集
：挑 30~50 份已经人工审过、有标准答案的历史文档，把已知问题标成「条款号 + 原文 + 问题类型」。没有这份东西，后面所有"效果不错"都是自我感觉。 - 阶段 2｜智能体 POC
：用路线二跑评测集，看漏审集中在哪类条款；把人工反复挑出的问题沉淀成候选规则。 - 阶段 3｜双轨对照
：上规则库 / 工作台，AI 与人工并行审同一批文档，只记录不采信，连续几周比对漏审率与误报率。 - 阶段 4｜嵌入流程并灰度
：选一个宿主（飞书审批 / 钉钉审批 / 自建 OA 节点），用 webhook 把 AI 初审挂上去，先放低风险文档类型，双轨漏审率达标后再扩到合同；别另开入口。 - 阶段 5｜运营化
：指定规则负责人、模型升级必跑回归、人工驳回流回评测集做负样本。
一个诚实的成本判断：年审几百份、一两个人审、风险敞口有限 → 路线二 + 一份规则清单 + 严格的数据规范就够了，别建系统。年审上万份、多角色会签、强监管或强内控 → 才值得走到路线三 / 四。建设阈值不是技术能力，是「漏一条的代价 × 年吞吐量」。
七、十二问自检：拿去对照你现在的方案
1. 每条 AI 结论能点回原文具体某一条吗？ 2. 是否强制附「原文逐字引用」，编不出引用就不展示？ 3. 同一份文档重跑一次，结论会变吗？变了，你查得到为什么变吗？ 4. 能查到"那次审查用的是哪版规则、哪个模型"吗？ 5. 硬红线（金额阈值、必备条款、禁用表述）由确定性规则拦截，还是交给了模型？ 6. 模型有没有被明确禁止「判定合法性 / 编造法条」？ 7. 模型建议是否必须经过人工采纳 / 修改 / 驳回才能进定稿？ 8. 有评测集吗？看的是漏审率，还是"感觉挺准"？ 9. 文档与条款文本发到哪台服务器，界面上写清楚了吗？「本地解析」是否等于「全程不出本机」？ 10. 角色权限是服务端真鉴权，还是只做了界面上的角色切换？ 11. AI 初审挂在现有审批流的节点上，还是又开了一个要业务多登录一次的新入口？ 12. 硬拦截项能不能真的卡住流程节点？语义疑点是不是只做提示、绝不自动驳回或改正文？
这十二问不是用来给方案定性的，是用来算成熟度的。10 题以上答"是"：能力已经接近可进生产，接下来的重点该从技术转到运营——规则负责人、模型升级回归、负样本回流。6 到 9 题：能力大体有了，缺的往往不是技术，是流程和责任划分。5 题以下：多数停在路线一或路线二，原因通常不在执行，而在这条路线本身就不承担"可复现、可追责"。
不用因为分数低觉得被冒犯。这十二问里任何一条做扎实都要花时间，能答"是"六条以上，已经比大多数正在跑的方案强。
结尾
把文档丢给大模型，得到的是一段意见；把智能体接上工具，得到的是一次任务；把规则、证据、流程、责任装进系统，得到的才是一次可被追责的审查；再把它挂进审批流，审查才从"你要记得去做"变成流程里自动发生的一道闸。
AI 审核的分水岭，从来不是用了多大的模型，而是：你敢不敢让每一条结论都能被追到原文、追到人、追到那天的规则版本，并且在没人记得按下按钮时也照常发生。
写到最后，我想替那个复核同事补一句他当时没机会说的话。
他不是不相信 AI，他只是没想清楚一件事：AI 可以替你加班，但它不能替你签字。
把合同贴进对话框的那一刻，你其实已经替公司做了一个决定——你默认了这份文件可以被送出去。而一个真正负责任的 AI 审核，恰恰应该在最容易上头的地方泼一盆冷水：告诉你它哪条结论没有把握、哪条需要人核实、哪条它根本没看完。
所以别再把 AI 当那个"永远说没问题"的同事。把它当成那个会在签字前拉住你、说"等一下，这条我再看看"的人。
如果你只记住一句话，记这句：
让 AI 去挡住它看得见的每一处；但把签字笔，永远握在你自己手里。
