技能介绍

解决什么问题

很多组织已经要求员工申报 AI 工具，也有 SSO、浏览器扩展或网络审计导出，但这些材料通常分散在不同表格里：申报记录说“用了什么、谁在用、涉及什么数据”，发现数据只给出某个窗口内的应用或域名，处置记录又只说明评估、批准、禁止或替代到了哪一步。直接汇总容易把“发现未申报”写成违规，把“申报了但发现里没有”写成没人在用，或者把窗口不匹配的来源混在一起算覆盖率。

shadow-ai-usage-register 做的事情更窄：把用户提供的员工 AI 工具申报清单、发现类导出摘要和处置记录整理成一份带来源定位的静态台账，逐工具回答它是申报还是被发现的、哪些部门在用、声称涉及什么数据类别、处置到了哪一步，以及和上一版相比新增或消失了什么。

技能如何工作

它不做扫描、不接 SSO/CASB/DLP API，也不下发策略，只消费用户给出的脱敏摘要。输入建议包含范围、统计时点、申报窗口、发现来源窗口、覆盖声明，以及申报、发现、处置三类记录。

处理时，技能会把材料拆成六类对象：AI Tool Entry、Declaration、Discovery Record、Disposition、Data Class Assertion、Reconciliation Result。工具名相似、域名相近或同部门不足以自动合并；证据不足时保持分列并标记疑似。随后逐工具输出五种对账结果：已申报且发现、已申报未发现、发现未申报、状态冲突、无法判断，并挂接处置状态：未评估、评估中、已批准、限制使用、已禁止、已提供替代、已弃用声明。

如果提供了上一版台账，它会做增量对账，标出新增发现、新增申报、限定窗口内的消失和处置状态变化。最终还会列出覆盖缺口，例如哪些发现工具没有申报、哪些工具没有处置记录、哪些敏感类别工具缺少数据类别声明，并把这些动作标成“未执行候选”。

适用边界

它适合准备 AI 清单类合规底稿、按部门或数据类别盘点影子 AI 暴露面、跟踪处置状态与缺口。它不适合实时发现、阻断、工具安全评估、员工个人行为调查、权限复核或法务判定。输出是材料截止时点的静态台账，不能证明工具已被停用，也不能推断泄露、故意隐瞒或个人责任。员工姓名、浏览历史、聊天或 prompt 内容、凭证等不应作为输入；人数只按聚合级别登记。