Gartner 年度 CIO 调查：钱和价值之间的落差
先把主样本说清楚。Gartner 于 2026 年 5 月至 7 月开展「2027 年 CIO 与技术高管议程」调研，覆盖 2,002 名 CIO 及技术高管，结果在 10 月 19 日的大会主题演讲与 10 月 20 日的中文新闻稿中发布。核心读数如下：
| 指标 | 数值 | 口径 |
|---|---|---|
| AI 支出变化 | 两年增长 18 倍 | Gartner 年度 CIO 调查，2,000 余名 IT 高管 |
| 实现显著或变革性价值 | 13% | 2,002 名 CIO 及技术高管，2026 年 5–7 月 |
| 看到部分正向价值 | 58% | Q2 2026 Gartner 调查，1,000 余名职能领导者 |
| AI 用例推进的整体成功率 | 约五分之一 | Gartner 中文新闻稿表述 |
| 成本优化压力持续增长 | 58% | 受访 CIO 比例 |
| 预计 AI 推高技术解决方案总拥有成本 | 51% | 受访 CIO 比例 |
把这几行放在一起，会看到一个不太舒服的组合：支出在涨、压力在涨、预期成本也在涨，但价值兑现率停在 13%。Gartner 研究副总裁 Alicia Mullery 的原话是「数量不等于价值」。
本文要提醒一处口径：13%（显著或变革性价值）与 58%（部分正向价值）来自两个不同样本，前者是 CIO、后者是职能领导者，不能直接相减。但两者并存本身说明了一件事——「有收益」与「变革性收益」之间隔着一整段距离，把前者当成后者汇报，是当前 AI 价值叙事里最常见的一处滑移。
那 50 个百分点：71% 对 21%
本文认为这组数据里最该被记住的一对数字，来自 Q2 2026 的 Gartner 调查（覆盖 2,000 余名 CIO 与技术高管）：
| 指标 | 数值 |
|---|---|
| 预计 12 个月内部署智能体 AI 的组织 | 71% |
| 当前已具备智能体 AI 治理能力的组织 | 21% |
| 缺口 | 50 个百分点（本文推算） |
| 部署意向与治理能力的比值 | 约 3.38 : 1（本文推算） |
Gartner 杰出副总裁分析师 Kristin Moyer 的评价很直接：「这是不匹配的。在这种情况下，创造价值的速度不可能超过 AI 制造风险的速度。」
本文对这组数字补两条限定。其一，两个百分比的分母是同一批受访者，因此 50 个百分点的缺口在口径上成立；但「部署」与「治理能力」都没有给出统一定义，不同组织的自我认定标准差异很大，治理能力这一项尤其容易被高估——装了审批流不等于有治理。其二，21% 是「当前」值、71% 是「未来 12 个月」值，两者本来就不是同一时点。真正的风险不在于这个静态缺口，而在于如果治理能力的建设速度跟不上下一年的部署速度，缺口会继续扩大。
过去两年行业把「上没上线」当成进度条，现在进度条快走完了，才发现没人定义过「什么时候该停下来」。治理能力在多数组织里不是缺工具，而是缺一套有主人的停止机制。
停止准则：设了的人成为先锋的可能性是 2.3 倍与 2.6 倍
Gartner 在调查里定义了一组「先锋」CIO：既交付了更优业务成果，又获得 CEO 对其 AI 价值的高度认可。然后去问这些人与其他人做了什么不同的事。结论落在两个动作上：
| 动作 | 成为先锋的可能性倍数 | 已实施比例 |
|---|---|---|
| 制定准则判断 AI 试点何时不应转入生产 | 2.3 倍 | 31% |
| 制定准则终止已在生产环境运行的低价值 AI 项目 | 2.6 倍 | 17% |
| 已规划为「人与智能体协同劳动力」重新设计岗位 | 2.4 倍 | 4% |
三个动作的共性很清楚：都是停止、终止与重设，而不是新增。Gartner 的表述是「制定并遵循这些标准是一项集体行动，CIO 需要愿意且能够放弃低价值投资的业务伙伴」。
第三行的落差最刺眼：规划了岗位重设的人成为先锋的可能性高 2.4 倍，但只有 4% 真正做了规划。这说明智能体对组织的影响目前仍停留在技术部署层面，尚未传导到工作设计层面。
另有报道补充了两个相关读数：平均组织从 2024 年的 10 个 AI 用例增至一年后的 42 个；在试点与生产两阶段都设置停止点的受访者约占 11%。这两个数与上表的 31% 与 17% 可以互相印证，下一节做联合推算。
Optro：授权先到，监督后到
如果说 Gartner 描述的是节奏差，Optro 的报告描述的是权限差。这份名为《Authority without oversight: The 2026 agentic enterprise report》的调研于 10 月 8 日发布，样本为 417 名治理、风险、合规与审计负责人，来自北美与欧洲、员工规模 250 人以上的组织，并补充了客户顾问委员会的定性访谈。
| 发现 | 比例 |
|---|---|
| 同意工作流应适配 AI 能力 | 96% |
| 已重新设计工作流以安全容纳智能体 | 9% |
| 授权智能体批准或拒绝交易 | 38% |
| 允许智能体修改控制或策略 | 34% |
| 允许智能体更改用户权限或访问权 | 27% |
| 曾基于不准确的智能体决策或输出采取行动 | 34% |
| 见过智能体采取非预期行动 | 30% |
| 经历过涉及智能体的控制失效 | 25% |
| 员工实际花更多时间复核、验证或纠正 AI 输出 | 46% |
把「96% 同意应该改工作流」与「9% 真的改了」放在一起，是这份报告最有冲击力的一对数字。认知与行动之间差了 87 个百分点。本文的解读是：这不是意愿问题，而是工作流的改造牵涉岗位职责、审批链与系统边界，改动成本远高于部署一个智能体。于是组织选择了阻力最小的路径——把智能体嵌进既有流程，而不是重设流程。
权限那三行也值得放在一起看：38% 授权智能体批准或拒绝交易、34% 允许修改控制或策略、27% 允许更改访问权限。按本文推算，授权扩张与流程改造的比值约为 4.2 比 1（38% 对 9%）。智能体拿到的权限，是建立在未经改造的流程之上的。
Optro 的 AI 治理总经理 Guru Sethupathy 的表述是：需要一种有纪律的运营模式，让智能体的权限与组织治理它的能力相匹配。报告还指出传统 GRC 架构依赖静态、向后看的系统记录，可能使组织落后长达三个月。
46% 的员工花更多时间复核意味着什么
「46% 的受访者表示员工实际上花更多时间在复核、验证或纠正 AI 输出上」这一行，值得单独讨论，因为它直接关系到 ROI 账本。
多数智能体项目的收益模型是：把某项工作从 N 小时压到 M 小时，节省 N 减 M。但如果复核时间增加，真实模型应该改成：节省 =（原工时 − 智能体工时）− 新增复核工时。Optro 的 34% 曾按错误决策行动、30% 见过非预期行动，都指向复核不是可选项，而是必需项。
本文据此做一条推断（报告未给出量化口径）：在需要人工复核的场景里，账面节省会被复核成本吃掉一部分，净收益低于立项时的测算。这个推断有两个不确定项——报告未给出复核时间的具体增幅，也未区分复核是替代了原有复核还是净新增。因此只作方向性提示，不作量化结论。
但有一个实践含义是清楚的：把复核工时计入 ROI 表，并且单列一行。如果一项智能体部署的净收益在计入复核后转负，那它本来就不该上。这个判断比任何成熟度模型都更能决定项目去留。
BDO：董事会自称准备好，但能力自评只到 36%
治理的缺口向上追溯，会追到董事会层面。BDO 于 2026 年 6 月调研了 200 余名美国董事，结果在 10 月 19 日前后被报道：
| 问题 | 比例 | 对照 |
|---|---|---|
| 董事会具备清晰的 AI 采用与网络风险治理框架 | 80% | — |
| 信任高管管理不断演变的网络风险 | 88% | — |
| 非常自信董事会自身具备监督 AI、网安与数据治理的技能 | 36% | 15% 完全不自信 |
| 将 AI 与网安加速变化列为未来 6–12 个月最大关切 | 57% | 高于贸易政策与地缘政治 |
| 认为网安与数据保护是董事会最需要的技能 | 45% | 去年为 35% |
| 称议程扩张把网安与 AI 监督排到了后面 | 约四分之一 | — |
这里有一个典型的结构：对流程的信心（80%）高于对自身能力的信心（36%）。董事会相信公司有框架，也相信高管能执行，但对自己能不能看懂、能不能问到点上，只有三分之一的人非常自信。
把这一层与前面两层串起来，可以得到一条完整的因果链：董事会的监督能力自评偏低 → 对 AI 项目的价值与风险难以提出有效质询 → 停止准则这类「减分项」难以进入考核 → 项目只增不减 → 治理能力跟不上部署速度。Gartner 那句「我们非常擅长启动 AI，但不擅长停止 AI」，落点就在这里。
需要说明：BDO 样本为 200 余名美国董事、调研时间为 6 月，与 Gartner（2,002 名、5–7 月、全球）及 Optro（417 名、北美与欧洲）在地域与时间上均不同，三者不可直接合并统计。
穆迪视角：防御能力开始进入信用维度
还有一条外部约束正在形成。穆迪评级在 10 月 21 日前后警告，防御能力薄弱将越来越多地推高组织的借贷成本。其依据是：随着算力成本下降与开放权重模型能力上升，攻击将变得更自动化、更持续，防御良好与防御薄弱的发行人之间的差异，会从运营问题变成信用问题。
基线数据同样不乐观：穆迪分析了约 9,500 家受评发行人，其中 60% 的网络中至少存在一个未修补的已知被利用漏洞，修补一个漏洞的中位时间接近三个月。
这条与智能体治理的连接在于：智能体一旦被授予交易审批、控制修改或权限变更的能力（Optro 的 38%、34%、27%），它就成为攻击者眼中的高价值目标。而三个月的中位修补周期，与智能体以机器速度行动的特征严重不匹配。治理能力不只是合规要求，正在变成一项财务变量。
本文推算：五个值得记下来的数
| 推算项 | 计算 | 结果 | 限定 |
|---|---|---|---|
| 部署与治理的缺口 | 71% 减 21% | 50 个百分点 | 两项均为自我认定，治理项易被高估 |
| 授权扩张与流程改造的比值 | 38% 除 9% | 约 4.2 比 1 | 不同报告口径，仅作量级对照 |
| 两阶段停止准则的联合覆盖 | 31% 与 17% | 独立假设下约 5.3%；实际应落在 17%–31% 区间 | 两者正相关，独立假设不成立 |
| 报道口径的交叉验证 | 两阶段都设停止点约 11% | 落在上述 17%–31% 区间下沿之外、5.3% 之上 | 提示二者相关性强，且「两阶段都有」比单项更稀缺 |
| 新增用例缺少双阶段规则的比例 | 用例从 10 增至 42，新增 32 个；按 11% 覆盖折算 | 新增用例中约 3.5 个带双阶段规则，约 28.5 个不带 | 假设新增与存量覆盖率相同，未获数据支持 |
最后一行是本文认为最值得警惕的。用例数一年翻了四倍多，而带完整停止规则的仍是少数。增量跑得比规则快，缺口就会持续扩大。这个推算依赖「新增与存量覆盖率相同」的假设，缺乏数据支持，只作方向参考。
与国内口径的对照
把海外这三份材料与国内近期口径对照，方向一致但结构不同。国内侧近期公开材料反复强调三道门槛——数据关、系统关、组织关，并把落地顺序排为数据治理、哑设备与边缘改造、行业模型与专用智能体、多智能体编排、人工审批与全程审计。
两相对照可以看出一处差异：海外调研把缺口归因于「停止机制缺位」，国内材料把缺口归因于「前置基础不足」。这两种归因并不冲突，而是对应不同阶段——国内大量组织仍处在数据治理与系统改造阶段，尚未大规模进入「项目太多需要砍」的阶段；海外样本中 62% 至 71% 已进入生产部署，问题才转移到停止与治理。
这个对照对国内团队的实用价值是：海外的停止准则经验值得提前引入，而不是等到部署规模上去之后再补。Gartner 的 2.3 倍与 2.6 倍是在已经大规模部署的样本中测出的，说明停止机制的价值随部署规模上升而上升；在规模尚小时建立它的成本最低。
另需说明一组国内读数：此前有行业材料给出治理相关的三个比例——62% 将数据权限与安全合规列为跨系统执行的首要障碍、70% 给智能体的权限超过同等人类员工、80% 报告过执行超出预期。这与 Optro 的 38%、34%、27% 在方向上收敛，但样本与定义不同，不可直接比较。详见本栏目此前的中国智能体产业相关报告。
六步清单：把停止权变成一个有主人的动作
综合三份材料，本文给出一份可执行的六步清单。核心思路是：治理能力的差距，多数不是工具差距，而是「谁有权喊停」这件事没定。
- 给每个智能体指定一个具名的人类负责人。不是部门、不是项目组，是一个人。负责人对智能体的权限范围、行为记录与退役决定负责。
- 按自治程度分级授权，而不是按部门一刀切。只读助手走轻量检查，能写能发能动钱的走最严控制。用一份分级表替代「要么全锁、要么全信」的默认设置。
- 在每个阶段设置明确的停止点，并事先写好判定条件。试点阶段写「什么情况下不转生产」，生产阶段写「什么情况下终止」。Gartner 数据显示，做了这两件事的人成为先锋的可能性分别是 2.3 倍与 2.6 倍。
- 把复核工时单列进 ROI 表。Optro 报告里 46% 的组织员工复核时间在增加，34% 曾按错误输出行动过。不计入复核的收益测算会系统性高估。
- 建立一份统一记录，覆盖审批、控制、事件与模型问责。Gartner 建议设立 AI 治理平台作为系统记录，并与 CFO 与法务共同管理。这份记录同时是审计与外部问询的主要依据。
- 把董事会的能力建设排进议程。BDO 数据显示仅 36% 的董事非常自信具备监督技能。可操作的做法是：每季度给董事会一份智能体清单，含权限等级、事故记录与已停用项，把质询建立在事实上而非感觉上。
采购问询表：八个必须问出口的问题
面向供应商时，上述问题可以转成一份问询表。本文建议至少问清下面八条，并要求书面答复：
| 问题 | 为什么必须问 |
|---|---|
| 智能体可以执行哪些动作，权限边界在哪里配置 | 对应 Optro 的 38% 交易审批授权，边界必须可配置而非内置 |
| 异常如何处理，谁收到通知 | 30% 的组织见过非预期行动，告警链路要落到具名人 |
| 如何防止重复或越权动作，是否支持幂等与回滚 | 近期可靠性基准显示故障恢复是普遍弱项 |
| 保留了哪些审计证据，能否导出 | Gartner 建议的治理平台需要可导出的底层记录 |
| 是否支持按自治等级分档授权 | 一刀切授权是治理缺口的主要来源 |
| 中断支付、重复工单、部分完成审批这几类场景的行为 | 需要用失败注入测试的答案，而非顺畅路径演示 |
| 停用与导出的完整路径是什么 | 退役能力是停止机制的组成部分，常被忽略 |
| 成本如何计量，能否按智能体维度出账 | 51% 的 CIO 预计 AI 推高总拥有成本，需要可归因的账单 |
冷静判断：这是不是又一轮治理焦虑
把三份材料放在一起，很容易读成又一轮「AI 有风险、需要治理」的重复提醒。本文认为这一次有两点不同。
其一，缺口被量化成了同一个量纲。71% 对 21%、38% 对 9%、80% 对 36%，这三组数分别对应部署与治理、授权与流程、信心与能力。它们指向同一个结构：行动侧的数字总是高于控制侧的数字。这种一致性不是巧合，而是说明扩张与约束在组织里由两套不同的机制驱动，前者有预算有 KPI，后者没有。
其二，解法被指向了「减法」。Gartner 的三组倍数（2.3、2.6、2.4）全部来自停止、终止与重设这类动作，而不是新增平台、新增流程或新增委员会。这是一个反直觉但有力的信号：治理能力的提升，可能更多来自「敢于砍掉低价值项目」的组织能力，而不是采购更多治理工具。
也要说明这份交叉分析的边界。三份报告的样本地域、时间、角色各不相同，且 Gartner、Optro、BDO 的数据均来自自我申报；Optro 与 Sinch 一类厂商委托研究存在天然的立场倾向，本文已尽量引用其原始口径并标注来源。穆迪的部分属于信用评级视角，与治理成熟度不是同一维度。
还有一个被三份材料共同忽略的变量：规模。所有比例都没有给出智能体数量的分布。一个跑 5 个智能体的组织与一个跑 500 个的组织，面对的治理难度不是一回事。在补齐这一维度之前，任何跨组织的横向比较都只能作趋势参考。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。