本文来自微信公众号： Internet Law Review ，编译：《互联网法律评论》，作者：Komaitis
编者按
本文作者Konstantinos Komaitis是互联网治理领域的资深政策专家，曾长期供职于Internet Society。他从一个看似“过时”的领域——互联网的分布式治理架构——出发，为当下最热门的AI监管辩论提供了一个极具启发性的视角。
当30多国领导人联合呼吁建立一个“全球AI监督机构”时，Komaitis冷静地指出：真正的问题不在于缺少一个高高在上的裁判，而在于地面上缺乏足够多的、有能力独立评估AI风险的机构。他用互联网从Morris蠕虫危机中演化出CERT网络的案例说明：有效的全球治理从来不是靠“找到一个总负责人”实现的，而是靠把能力建在离问题最近的地方，再用标准和信任机制把它们连起来。
Komaitis提出的“分布式评估网络”正好切中了我们在模型备案、算法审计、跨境合规等实操层面的真实痛点。
一、当政府成了被监管企业的“证据附庸”
过去两年，AI行业经历了一场疾风骤雨般的备案与合规浪潮。开发者向监管部门提交安全评估报告，大厂发布负责任的AI白皮书，第三方评测机构开始涌现。看上去，一个完整的监管闭环正在成型。但有一个问题很少有人愿意公开讨论：当监管部门拿到一份企业提交的安全评估报告时，他们真的有能力和手段去验证这份报告的真伪吗？
这个问题并非某个国家独有。在全球范围内，一个根本性的结构性矛盾正在浮现：能够独立理解、测试和挑战前沿AI的机构少得可怜，而极少数公司却控制了绝大多数算力、资本、专业知识和最先进模型的访问权限。
结果是，政府想要监管这些公司，却不得不依赖这些公司提供监管所需要的证据。监管者测不了也看不懂，只能相信企业自己报上来的数据——这就像让考生自己批改自己的试卷，再交给考官签字确认。
2026年9月月，芬兰总统与挪威首相牵头，30多个国家联合签署了一份呼吁书，要求对前沿AI实施更强硬的管控，包括强制部署前测试、独立评估、通用标准，以及探索设立一个新的国际机构来协调这一切。
但笔者认为，这份呼吁前半部分的方向是对的，但后半部分——再建一个高高在上的全球中枢——恐怕治标不治本。
真正的答案不在顶层设计，而在基层能力。
二、互联网教给AI治理的一课：分布式
互联网提供了一个被严重低估的范本。它之所以能覆盖全球，靠的从来不是一个统一的权威机构，而是一套分布式的治理体系。IETF制定技术标准，RIR协调区域IP资源，ICANN管理域名标识符——没有哪个组织“运营”互联网，它们各管一摊，通过共同的标准和协议协同运转。这套架构不是从上往下设计的，而是在网络演化中自然生长出来的。问题催生新机构，老机构不断适应，技术能力始终分散在各处。
这种架构并非一次设计完成并从上层强加的；它是随着网络的演进逐步演化的。问题催生了新的机构、实践和协调机制；现有机构进行了调整；技术专业知识仍然保持分布状态。这并没有消除政治或冲突。然而，它确实防止了一个全球网络的治理依赖于单一的权力或专业知识中心。
1988年的Morris蠕虫攻击最能说明问题。当时大半个互联网瘫痪，美国成立了CERT协调中心，但它并没有成为全球网络安全的最高当局。相反，各种事件响应团队在不同网络、不同行业、不同国家纷纷冒出来。1990年FIRST论坛成立，只是为这些团队提供了一个跨境共享信息的机制，而不是把它们统合到一个屋檐下。模式很简单：在问题发生的地方就近建设技术能力，再把这些能力连接起来。
这种方法之所以变得特别重要，是因为一个网络的安全问题就是所有网络的安全问题。在一个网络中发现的漏洞可能会影响成千上万个其他网络。解决方案并非将所有事件置于一个机构之下，而是要确保更多的机构能够识别、调查和响应问题，同时拥有分享所学到的信息的机制。今天的FIRST正是基于这一原则，汇集了政府、商业和学术领域的事件响应团队。
AI目前面临的局面几乎是反过来的：技术基础设施高度集中，而独立的治理能力极度薄弱。教训不在于复制IETF或CERT的组织形式——AI是完全不同的技术，架构远比互联网集中。真正的教训是制度层面的：当一个全球系统过于复杂，无法由一个中心有效治理时，正确的做法不是在顶层再加一层，而是在需要的地方建设能力，再通过共同的流程把它们连接起来。
三、数字主权的真正含义：能自己做判断，而不是什么都自己造
并非每个国家都需要一个前沿模型实验室。但一个国家应该能够发展与AI在其自身环境中实际使用方式相关的专业知识。
新兴的AI安全与评估机构网络正是在这个逻辑下变得重要起来。一位内罗毕的研究员可能发现硅谷的评估人员忽略的语言风险或公共部门应用风险；新德里的机构可能理解欧洲实验室看不到的部署条件。一个地区性的评估中心不仅能判断某个系统“在理论上是否安全”，还能判断它在当地的人群、机构和基础设施中是否适用。
这也重新定义了所谓“数字主权”。在今天的技术环境下，数字主权不应该等同于技术自给自足或所有部件国产化——那是上一个时代的思维。真正的数字主权是：有能力在本国的法律、经济和社会背景下决定AI怎么用；理解它可能带来的好处和伤害；对自己愿意承受的风险做出知情决策。如果一个政府只能依赖开发AI的公司提供证据，或者只能照搬别国的评估结论，那它就谈不上拥有主权。
这需要专业知识。如果一个政府必须完全依赖开发AI的公司，或者依赖其他地方生产的评估结果，那么它就无法有意义地决定AI应如何被使用。因此，答案不是集中化专业知识，而是使其分布化并使之可互操作。在伦敦进行的评估应与在内罗毕进行的评估具有可比性。在新加坡开发的基准应在其他地方可复现。在一个国家发现的漏洞不应停留在那里。方法、证据、事件报告和经验教训应跨越国界流动。
这还需要一整套配套机制：通用的评估和安全标准；可信的敏感信息共享机制；认证制度让机构证明自己有资格接触前沿系统；以及受控的模型访问通道。政府定规则和问责要求，企业提供访问和技术信息，研究者和独立机构测试和挑战系统，公民社会提供关于权利和现实影响的视角。目标不是让每个参与者都坐同一张桌子，而是确保没有任何一个参与者垄断治理AI所需的知识。
互联网之所以变得可治理，不是因为有人最终找到了一个合适的机构把它交出去。而是因为技术责任被分散了，而那些承担责任的人学会了如何协调。
AI治理应该学这一课。