ai-governance

用途：为 CIA 平台的 AI 使用提供治理指引，确保 AI 辅助开发遵循 Hack23 ISMS 政策与监管要求，适用于配置或更新 GitHub Copilot 智能体工作流、集成 AI/ML 政治数据分析、合并前审查 AI 生成代码、评估 EU AI Act 风险分级、实施数据分析提示工程、审计智能体输出的偏差或准确性。不适用于无 AI 参与的标准代码审查、无 AI 组件的人工数据分析、与 AI 服务无关的基础设施变更。\n\n主要能力：按 EU AI Act 分级——政治数据分析（NLP、趋势检测）为有限风险，需透明度义务；Copilot 代码生成为极小风险；政治风险评分为高风险（附件三第 8 类），需合格性评估与人工监督；选民行为预测为高风险，需偏见测试、可解释性与定期审计。合规清单涵盖记录用途、风险分级、人工监督、审计追踪、偏见评估、透明度告知与训练数据治理。\n\nOWASP LLM 缓解：提示注入需校验智能体输出、禁止修改安全配置、限制文件访问并用 CodeQL 扫描；不安全输出处理需对 AI 生成代码运行 CodeQL 与 OWASP 审查；敏感信息泄露要求不向提示传递敏感数据；过度依赖要求分析附置信度、人工复核、交叉验证与 UI 标注。\n\n用法：智能体权限默认只读，contents: read，仅授予 pull-requests: write、issues: write、actions: read，禁止 admin、security_events write 与 secrets 访问。输出经语法校验、安全扫描、测试执行、代码审查、合并审批五步流水线。\n\n限制：资料未提供安装命令、版本、价格与平台信息；偏见预防需覆盖 8 个瑞典政党，具体指标暂未提供。