118 页的 PDF，10 条原则，外加一套 10 页的可打印海报，2025 年 2 月 10 日由英国政府数字服务局发布，全部免费下载。它是 2024 年 1 月那本《Generative AI Framework for HMG》的升级版，改名的同时把范围从生成式 AI 扩到了各类 AI。写给谁看，封面上那句说明很清楚：公务员和在政府机构里工作的人。

手册开篇就把十条原则列齐，每条一句话，后面各有专章展开。

• You know what AI is and what its limitations are
  
• You use AI lawfully, ethically and responsibly
  
• You know how to use AI securely
  
• You have meaningful human control at the right stage
  
• You understand how to manage the AI life cycle
  
• You use the right tool for the job
  
• You are open and collaborative
  
• You work with commercial colleagues from the start
  
• You have the skills and expertise needed to implement and use AI
  
• You use these principles alongside your organisation's policies and have the right assurance in place
  

十条里最难真正落地的，是第 4 条和第 10 条。第 4 条要求在合适的阶段保留实质的人工控制，第 10 条要求在组织政策之外另有一套保证机制。这两条都不是写进说明书就算完成，得落到流程、审批节点和复核记录上。反过来，第 1、3、6 条最容易表态，因为它们可以靠培训或者一句「我们只用审核过的工具」应付过去。

目录的分段很清楚，页码也标得细，按页翻就能找到要用的那部分。

协作与起步放在 32 页：定义目标（33）、为 AI 做用户研究（33）、识别用例（36）、搭建 AI 支持结构（37）。采购在第 39 页起：商业论证（39）、既有指引（40）、市场路径（41）、写需求（42）、新兴市场里的采购流程（44）、采购与伦理对齐（45）。安全与负责任使用占 46 到 59 页，下面依次是伦理（46）、安全与稳健（47）、透明与可解释（49）、公平与偏见（51）、问责（53）、可申诉与救济（56）、社会福祉（57）。法律考虑从 60 页起，包括数据保护、合同、知识产权与版权、平等、公法原则、人权、立法。数据保护与隐私单列 64 到 73 页，八个子项对应问责、合法性与目的限制、透明与个人权利、公平、数据最小化、存储限制、人工监督、准确性。

安全那一块从 74 页开始，讲怎么安全部署（74）、有哪些风险（78）、AI 能带来什么安全机会（87）、以及一组按 OWASP 风险评级方法打分的场景（88）。治理从 96 页起，包括设立 AI 治理委员会、伦理委员会、建 AI 系统清单（98）、团队的治理结构、风险管理、AI 质量保证（100）。附录从 103 页开始，是五个公共部门项目的实例。

一件是第 98 页的 AI 系统清单。手册要求机构把在用的 AI 与机器学习系统全部登记成一份活的清单，每个系统要写清用途、使用方式与相关风险，数据要素、归属方、开发和关键日期，还有使用协议、结构与工具。它特意说明这份清单和 ATRS 是两件事：ATRS 是政府部门和部分执行机构必须用的算法透明度公开登记，面向公众；清单是内部台账，用来做审计、看清风险分布。

另一件在安全那节的末尾，是一组实用建议，句子写得很硬：不需要 AI 的时候不要用；不要让生成式 AI 的回复自动触发发邮件、改记录这类不可逆动作，这些场合必须有人在环；把大模型写的代码一律当作不安全代码，未经代码评审不要进生产环境；除非能接受提示注入的风险，否则不要把聊天机器人放到面向公众的政府网站上。

这两件东西比原则好用的原因在于，它们把「有人工控制」这种抽象要求换成了具体动作：谁在哪个节点看什么、什么动作必须先停。

第 103 页起的五个案例里，NHS.UK 评论自动审核那个写得最细。因为评论文本可能含个人信息，项目组用自然语言处理生成合成数据来扩样本，再由专家审核员逐批验证质量；工具里专门做了自杀与自伤内容的检测器；上线前做了临床安全评估，把临床风险逐条列出并给出缓解办法；对训练出的三个模型分别做了偏差分析；同时留了人工复核通道，用户对自动处理结果不满意可以要求人工重看。这些做法在原则层面是看不到的，只能从案例里抄。

手册的适用对象是英国政府机构，采购那一整套（市场路径、商业协议、供应商透明度要求）、ATRS 这个公开登记制度、《2018 年数据保护法》、公法原则，都绑在英国的制度上，换一个国家就得换对应物。

但原则 1、3、4、5、6、9 可以搬到任何组织：知道 AI 是什么、知道怎么安全用、在正确阶段保留人工控制、管住全生命周期、选对工具、配齐技能。这几条不依赖具体法律。第 2 条「合法、合伦理、负责任」看起来最通用，照抄成合规清单反而会跑偏，因为它要求的是落到本地法域的具体义务，不是一句口号。

手册 PDF、10 页海报、HTML 版入口，以及这份材料的开放许可原文与署名写法，都放在下面，回帖就能看到。