今年，几乎每一个管理委员会都做出了同一个决定：将AI应用到企业系统中，而当他们深入细节时，几乎所有人也都发现了同样的事实：将AI应用在边缘业务(比如聊天机器人、Copilot辅助工具或仪表盘)非常容易，但要将其集成到真正核心的遗留系统中却极其困难。在金融、保险以及大部分公共部门中，这个核心依然是运行在大型机上的COBOL系统，伴随着数十年的补丁，以及用“不完整”来形容都算温和的文档。

而这恰恰是合规风险所在，也是大多数项目脱轨的地方。

我在受监管行业工作了三十年，这种模式不断重复。IT团队往往将系统现代化视为一个交付问题——快速交付、关闭单据、上线生产，但在受监管行业中，这本质上是一个合规问题，成功的衡量标准不在于你交付了什么，而在于你能否为交付的内容辩护并举证，改变这种思维方式就等于赢得了半场胜利。

被虚幻光环包围的COBOL翻译

前景看起来确实很诱人，如今，语言模型可以在极短的时间内读取数千行COBOL代码，生成文档、做出解释，并给出对应的Java或Python实现，所需时间仅为人工团队的一小部分，这确实有效，我也亲眼看到它将原本需要数周的分析工作大幅缩短。

然而问题不在于代码，而在于那些从未被记录在案的业务规则。在一个高度监管的银行环境迁移项目中，最大的风险并非来自常规程序，而是来自一个已经运行了15年且没有任何文档记录的计算特例：它只存在于代码中，以及一位现已退休的分析师脑海里。当你让模型去“翻译”这段逻辑时，它不是在翻译，而是在用统计学上看起来正确的内容去填补空白——而且是以无可挑剔的自信态度去这么做。

在仪表盘上，AI幻觉只是一个令人头疼的错误，但在金融机构的计算引擎中，幻觉就是一个合规事故、一次客户投诉，甚至可能引发监管机构的罚款。

正是因为工具如此高效，人们很容易产生一种诱惑：跳过最耗时的环节，即与真正理解逻辑的人一起重建该逻辑，这是最糟糕的决定，AI带来的高效诱惑，恰恰出现在出错代价最高的关键节点上。

监管机构的预期——以及5月发生的改变

DORA(数字运营韧性法案)自2025年1月生效以来，要求非常明确：运营韧性、ICT资产管理、业务连续性以及第三方风险控制，核心系统的现代化同时涉及这四个领域，NIS2则增加了安全与通知层。而当部署的系统属于高风险类别时，AI法案也会引入其自身的监管框架。

尽管DORA、NIS2和欧盟AI法案的侧重点不同，但它们有一个共同的要求：能够对已部署的系统展现出控制力、可追溯性和问责能力，这是这三个监管框架之间的纽带，也是现代化项目从第一天起就必须保护的核心。

这里有必要澄清最近的一个误解，随着2026年5月《数字综合法案》的达成，附件三中的高风险义务被推迟至2027年12月。许多高管将“欧盟推迟AI法”这一头条新闻解读为一种宽限，这是一个危险的解读。透明度义务仍将于2026年8月生效，合成内容标记将于2026年12月生效，最重要的是，底层风险并未改变。即使在2026年，错误的自动化决策依然受到GDPR、行业特定法规以及相关监管机构的管辖。截止日期推迟了，但责任并未改变。

如何在不触发风险的前提下推进

我没有万能公式，但我有应用于此类项目的五项原则：

• 先梳理资产，再进行现代化，你无法保护或迁移未被清晰梳理的内容，资产、依赖关系、数据流：如果这些架构图不存在，项目的首要交付物是构建图谱，而不是编写代码。

• AI提议，人工确认，模型可以加速分析和重构的初步草案，但关键的业务规则必须由理解该业务的工程师确认，而不是由模型决定，如果找不到理解该规则的人，在修改任何内容之前，必须先与业务部门一起重建逻辑。

• 端到端可追溯，每一个由AI生成的重构都必须被记录：输入了什么、输出了什么、谁批准的以及为什么批准，这不是官僚主义，这正是审计人员会调取的内容，也是让变更具备可辩护性的关键。

• 注意代码的存放位置，将核心系统源代码倒入外部模型，这不仅是技术问题，更是一个数据传输和保密性问题，DORA要求对第三方实施控制，GDPR要求对数据实施控制，这个决定应该在项目开始时做出，而不是在项目结束后。

• 管控影子AI，如果企业不提供安全使用AI的渠道，团队就会自行私下使用，失去监管，治理不是一味禁止，而是提供一条受控且被赋能的安全路径。

技术领导力的转变

在受监管的行业中，CIO面临的挑战不再仅仅是现代化遗留系统，而是如何以一种能够承受审计人员、监管机构和风险委员会审查的方式去实现现代化。

领导这类项目不再是协调交付进度，而是让整个重构过程具备可辩护性，这意味着要对那些能节省两周时间但会留下不可追溯漏洞的捷径说“不”，这意味着要把治理视为加速器(因为文档健全的变更能够更快通过审批)，而不是阻碍。

AI是企业消除遗留技术债务的绝佳工具，但在银行、保险或公共管理领域，不受控制的速度不是优势，而是在第一次检查时就会暴露出来的负债，快速实现现代化或许是一种竞争优势，但具备可追溯性、受控且具备辩护能力的现代化，才是使其保持可持续性的根本。

因此，我将多年来学到的经验总结如下：一个安全的解决方案既不是最慢的，也不是最昂贵的，而是那个能够挺过第一次审计的解决方案。

企业网D1net(www.d1net.com)：

国内头部to B IT门户，旗下运营国内头部的甲方CIO专家库和智力输出及社交平台-信众智(www.cioall.com)。旗下运营19个IT行业公众号(微信搜索D1net即可关注)。

版权声明：本文为企业网D1Net编译，转载需在文章开头注明出处为：企业网D1Net，如果不注明出处，企业网D1Net将保留追究其法律责任的权利。