如何在“治理”尚不明确的情况下管理自主AI代理？

正面临向董事会展示我们的AI代理部署已得到控制的压力，但句子中的“治理”一词承载了太多意义，且尚无人在操作层面明确定义。清单、政策文件、行为日志、监控仪表板，可能都需要，但鉴于这个领域还如此年轻，我正在努力弄清楚合理的标准是什么。对于那些必须向董事会或审计委员会回答这个问题的人：你们实际上向他们展示了什么？不是寻求供应商的推销，只是想了解其他安全领袖今天认为哪些证据是可信的。