美国司法部（DOJ）刑事部门最近更新了其《企业合规计划评估》（ECCP）政策文件，该文件是检察官用于评估企业合规计划有效性的标准文件。检察官依靠这些评估来决定是否提起诉讼、评估罚款或要求公司履行某些持续的合规义务，例如签署企业诚信协议。值得注意的是，2024年9月23日对ECCP的修订要求检察官评估公司的合规计划是否包括保障措施，以确保其部署的新技术（包括人工智能，AI）不会导致“故意或鲁莽滥用”，从而违反刑法或公司的行为准则。
背景
《司法手册》（前身为《美国检察官手册》）描述了检察官在对企业组织进行刑事调查时应考虑的具体因素。其中一个关键因素是公司企业合规计划的有效性。ECCP列出了检察官用来评估合规计划是否有效的标准。ECCP不仅作为设计和实施企业合规计划的参考文件，还作为了解DOJ如何做出起诉决定的指导文件。一般而言，至少医疗保健行业的企业应确保其合规计划符合ECCP中列出的标准。
新兴技术/人工智能风险评估
2024年3月，美国副司法部长丽莎·莫纳科指示DOJ刑事部门将新兴技术（包括AI）带来的风险评估纳入ECCP。根据这一指示，ECCP现在包括检察官用于评估公司是否有适当控制措施以减轻使用AI风险的标准。联邦检察官应考虑以下问题：
- 公司是否有识别和管理可能影响其遵守法律能力的新兴内部和外部风险的过程，包括与新技术使用相关的风险？
- 公司如何评估新技术（如AI）对其遵守刑法能力的潜在影响？
- 与AI和其他新技术使用相关的风险管理是否融入了更广泛的企业风险管理（ERM）策略？
- 公司对商业业务和合规计划中使用新技术（如AI）的治理方法是什么？
- 公司如何防止技术使用可能产生的任何负面或意外后果，无论是在商业业务还是合规计划中？
- 公司如何减轻公司内部人员故意或鲁莽滥用技术的可能性？
- 如果公司在其业务或合规计划中使用AI和类似技术，是否有控制措施确保其可信性、可靠性和符合适用法律及公司行为准则的使用？
- 是否有控制措施确保技术仅用于预期目的？
- 用于评估AI的人类决策基线是什么？如何监控和执行AI使用的责任？
- 公司如何培训员工使用新兴技术（如AI）？
上述标准共同表明，将AI作为核心业务运营部分的公司应在合规计划中制定具体政策和程序，以确保其AI软件的部署和持续正常运行。这包括审计AI性能、培训员工正确使用AI以及检测AI或其他新技术的滥用的政策和程序。
数据资源和访问
2024年9月对ECCP的修订还包括关于公司在合规计划中使用和利用数据分析的新标准。例如，更新后的ECCP要求检察官评估合规人员是否可以访问相关数据系统，以便他们能够适当监控公司合规计划的有效性。更新后的ECCP还包括以下问题：
- 公司是否适当地利用数据分析工具来提高合规操作的效率并衡量合规计划各部分的有效性？
- 公司如何管理其数据源的质量？
- 公司如何衡量其使用的任何数据分析模型的准确性、精确度或召回率？
新标准传达了DOJ对公司利用数据工具作为合规努力的一部分，并为其合规人员提供所有必要数据以实施合规计划的期望。
结论
正如莫纳科所说，“使用AI的欺诈仍然是欺诈。” 更新后的ECCP确认DOJ认真对待与AI滥用相关的潜在风险，并将仔细审查企业合规计划以确保这些风险得到解决和缓解。此外，更新后的ECCP明确指出，DOJ期望1）合规人员能够访问履行合规计划职责所需的相关数据源；2）公司投入足够的资源，包括数据分析工具，以支持其合规努力。
(全文结束)
