AI技术总监（AI安全治理方向）(J15114)

一、AI治理体系与合规框架

1、 治理框架：负责完善并运营集团AI治理体系，包括AI使用政策、风险分级分类、模型与应用准入、上线评审、审计留痕与问责机制，将AI安全纳入集团整体信息安全与风险治理范畴，并定期向管理层汇报；

2、 法规跟踪与落地：跟踪并解读国内外AI与数据相关法规、标准与监管动态，包括生成式AI服务管理要求、算法备案、数据安全法、个人信息保护法、人类遗传资源管理、数据跨境，以及欧盟AI法案（涉及海外业务）等，转化为可执行的内部制度与控制措施；

3、 医药监管合规：确保AI在研发、临床、生产、营销及医疗服务中的应用满足GxP、计算机化系统验证（CSV/CSA）、21 CFR Part 11、数据完整性（ALCOA+）要求，对接FDA、EMA、NMPA对AI/ML应用的监管指引，建立AI系统的验证、变更与持续监控机制；

4、 负责任AI：建立AI伦理与负责任使用准则，覆盖公平性与偏见、可解释性、人工监督、医学与科学内容准确性（幻觉控制）及知识产权风险，明确高风险场景的人工复核要求；

5、 认证与审计：推进ISO 27001、ISO/IEC 42001、等保等体系认证，主导对集团成员企业AI应用的安全与合规审计，推动发现问题整改闭环。

二、AI应用安全

1、 风险研究：持续研究大模型、AI Agent及工具调用带来的新型风险，包括直接与间接Prompt Injection、越权访问与工具滥用、Agent权限失控、敏感信息与知识产权泄露、数据与模型投毒、模型与第三方供应链风险、模型幻觉等；

2、 安全评审与上线门禁：建立分级的AI安全评估机制，对AI场景开展上线前安全评审、红队测试与渗透测试，设定上线门禁标准，上线后持续监测与复评；

3、 安全架构与控制：推动AI安全架构落地，包括AI网关、敏感数据识别与脱敏（DLP）、最小权限与细粒度访问控制、密钥与工具调用管控、提示词与输出审计、日志留存等；

4、 供应商与模型安全：对基础模型厂商、云服务商及AI应用供应商开展安全与合规评估，明确数据处理、模型训练使用与数据留存的合同及技术约束；

5、 事件响应：建立AI安全事件的监测、应急响应与复盘机制，并纳入集团整体安全事件管理流程；

6、 使用规范与赋能：制定员工AI使用规范与指引，治理影子AI，建立AI安全与合规培训体系，防范因不当使用AI工具导致的数据泄露与合规风险。

三、数据安全与隐私保护

1、 数据分类分级：推动研发、临床、生产、商业及患者数据的分类分级与全生命周期管理，明确哪些数据可用于模型训练、检索增强及外部模型调用；

2、 隐私保护：建立面向AI场景的个人信息保护与隐私影响评估（PIA/DPIA）机制，推动去标识化、匿名化、最小化采集及授权管理，确保符合个人信息保护及境内外隐私法规；

3、 数据跨境与合作：评估AI场景中的数据出境、境外云服务及对外合作风险，确保合规路径清晰、可审计。

四、AI技术支撑与业务协同

1、 安全与合规前置：深度参与企业AI技术架构、平台建设与技术选型，推动“安全与合规内嵌设计”，在多模型接入、RAG、Agent编排、MLOps/LLMOps等环节落实控制要求；

2、 平衡创新与风险：与研发、临床、生产、质量、供应链、商业化及医疗服务团队共建，依据风险等级设置差异化的评审与快速通道，在保障安全合规的前提下支持AI场景快速落地；

3、 技术评估：能够负责关键AI应用的架构评审、风险测试与方案验证，为管理层提供基于实际风险与业务价值的判断。

五、团队与组织协同

1、 团队责任：深度融入AI安全与合规团队，含AI安全工程、合规治理、审计与红队能力等；

2、 跨部门机制：与信息安全、法务、质量、医学、监管事务、数据及IT团队建立联席评审与协作机制，明确职责边界；

3、 对外沟通：代表公司参与行业交流、监管沟通与外部审计，跟进行业最佳实践并持续提升公司AI安全与合规成熟度。

职位要求：

一、教育背景与经验

1、 计算机科学、人工智能、软件工程、电子工程等相关专业本科及以上学历，硕士及以上优先；

2、 8年以上信息安全、数据合规或AI相关工作经验，其中至少3年专注于AI安全或AI治理，具备2年以上团队管理经验；

3、 有药企、医疗健康、生命科学等强监管行业经验者优先；有大型集团多成员企业的信息、网络、数据与AI安全经验者优先。

二、AI安全与治理能力（核心）

1、 深入理解大模型、RAG、AI Agent及工具调用的技术原理与典型攻击面，熟悉OWASP LLM Top 10、MITRE ATLAS、NIST AI RMF，对Prompt Injection、越权访问、数据泄露、模型投毒等风险有实战防护或红队经验；

2、 熟悉ISO/IEC 42001、欧盟AI法案及国内生成式AI、算法备案、数据安全、个人信息保护等法规与标准，具备将法规要求转化为可执行制度与技术控制的能力；

3、 有从0到1建立企业级AI治理、AI应用安全评审或AI风险管理体系的经验，能够清晰说明所建机制、覆盖范围与成效；

4、 具备独立开展并主导信息安全及AI应用审计的能力，能够完成审计方案设计、现场执行、报告输出与整改跟踪。

三、信息安全与数据合规能力

1、 精通ISO 27001、等保、SOC 2等安全体系与认证，熟悉数据分类分级、DLP、加密、访问控制、审计与日志管理等数据安全技术领域；

2、 熟悉个人信息保护、隐私影响评估、数据跨境及人类遗传资源管理要求；

3、 持有CISSP、CISP、CISA、CISM、AIGP、CIPP/CIPM等证书者优先。

四、医药行业合规能力

1、 熟悉GxP、计算机化系统验证（CSV/CSA）、21 CFR Part 11、数据完整性（ALCOA+）等医药合规要求者优先；

2、 了解FDA、EMA、NMPA对AI/ML在药物研发、临床试验、药物警戒及医疗器械中的监管要求者优先。

五、技术理解与领导力

1、 具备良好的技术功底，能够与算法、工程、数据团队同频，亲自审阅AI系统架构并开展风险验证，既能制定策略，也愿意深入一线解决问题；

2、 具备出色的跨部门影响力与沟通表达能力，能与科学家、医学专家、业务负责人、法务及监管团队有效对话；

3、 注重实际风险与业务价值，结果导向、自我驱动、责任心强，能够在安全性、可用性与业务发展速度之间做出合理判断。