企业砸钱搞AI战略， governance gap（治理缺口）却像家里漏水的水管——平时听不见，爆的时候已经淹了半层楼。Brian Diamond，一个帮大公司擦AI屁股的分管首席AI官，说这事20分钟就能摸底。

他的方法像体检抽血：先拉一张清单，把公司所有AI工具、供应商、数据流向列出来。多数人这时候就懵了——「我们以为只有3个AI项目，结果一数有47个」。影子IT（shadow IT）在AI时代疯狂繁殖，员工用个人账号订阅ChatGPT，数据往哪流没人知道。

第二步查权限。谁有权调用模型？谁能看到客户数据？Diamond见过最荒唐的案例：一个实习生权限比VP还大，因为早期测试账号没人回收。这种漏洞不会出现在董事会PPT里，但会在审计报告里炸雷。

第三步算钱。不是总支出，是「不可解释支出」——那些自动续费、按token计费、账单归属不清的费用。Diamond说，有一家公司发现20%的AI预算流向了已离职员工绑定的信用卡。

20分钟够干什么？够你把这三个问题写在白板上，拍给CFO看。Diamond的原话是：「治理缺口不会自己消失，只会等到足够贵的时候才有人管。」现在查，账单是四位数；等监管敲门，后面加两个零。