安全部门遇到新出的 AI 功能，第一反应往往是先关上，等数据去向弄明白了再放开。放到公司配发的 iPhone 上，这件事能不能做、能做到多细，要看两样东西：系统版本，以及这台手机是不是被监管（supervised）的设备。个人手机能不能用、哪些机型在名单里，另一篇专门说了，这篇只管公司那台。
管理端能管到哪一层
Apple 平台部署指南里有一页《Apple Intelligence declarative configuration for Apple devices》，页面标的发布日期是 2026 年 9 月 17 日。这份声明式配置在 iPhone 上要求 iOS 26.4 起，「Requires supervision」一栏写的是 Yes，注册方式列的是 Automated Device Enrollment（Device Enrollment 只适用于 macOS）。员工自带、没走自动设备注册的个人手机，这一层是管不到的。
配置里能关的东西分三类：
- 整项功能的开关有 Allow Genmoji、Allow Image Playground、Allow Image Wand、Allow Writing Tools、Allow Visual Intelligence，关掉后对应功能在设备上停用。
- 按 App 细分的有：Mail 下的 Allow Smart Replies 和 Allow Summary，Notes 下的 Allow Transcription 和 Allow Transcription Summary，Safari 下的 Allow Summary，日历和提醒事项的 Allow Natural Language Editing。
- 另外两项是 Force On-Device Only Dictation 和 Force On-Device Only Translation，打开后听写和翻译只走设备端。
有个小坑：开发者文档里 AllowVisualIntelligence 这个键标的是 iOS 27 起才有，iOS 26.4 上对应的是已经标了弃用的 AllowVisualIntelligenceSummary。部署页底下也提醒，不是每家设备管理服务都把这些设置做全了。后台里找不到某一项，就得去查自家 MDM 厂商的文档。
千问那几个入口
按 Apple 新闻稿的说法，千问接在 Siri、写作工具和视觉智能里，写作工具里还有一个让千问从零创作的功能。上面这份配置的设置表里没有任何一项写着千问，所以只能说未见单独针对千问的开关。
开发者文档里另有一份外部智能集成配置，声明类型是 com.apple.configuration.external-intelligence.settings，iOS 26.4 起可用：Enabled 设为 false 会停用外部智能集成，AllowSignIn 管能不能登录，AllowedWorkspaceIDs 可以限定只用某个工作区。千问算不算这里说的外部智能集成，文档没写，Apple 也没在新闻稿里提。比较靠谱的办法是等 Beta 出来，拿一台监管状态的测试机下发配置，自己看千问入口还在不在。
退一步讲，手头能用的办法是关整项功能。关掉 Allow Writing Tools 和 Allow Visual Intelligence，按理说千问在这两处的入口也会跟着消失，这一点同样建议在测试机上确认。代价是 Apple 自己的改写、校对、摘要也用不了。Siri 的配置（com.apple.configuration.siri.settings）里有 Enabled 一项，能把 Siri 整个关掉，只是这样波及的范围就大了。
没被监管的手机怎么办
自带设备（BYOD）这一块，新的声明式配置管不到，只剩老的限制（Restrictions）描述文件。开发者文档把 allowExternalIntelligenceIntegrations 这个限制键标成了弃用，让改用上面那份外部智能配置。说明里另外写着，iOS 上这个键眼下还能用在未监管设备和用户注册上，以后会改成需要监管，到时在未监管设备上会被忽略。也就是说，这条路现在还走得通，什么时候失效没给日期。跟千问有没有关系，文档同样没写。
管不到设备的地方，只能回到制度上：哪些业务数据不能在个人手机上处理，写进规定里，比指望一个开关可靠。
上线前怎么排
- 先挑几台监管状态的测试机，升到支持的系统版本，再下发配置。
- 对照自家 MDM 文档，列出厂商实际支持的键，后台没有的就记下来，别默认能管。
- 等 11 月的 Beta 出来，在测试机上逐个入口点一遍，看千问还能不能调起来。
- 测下来没问题再按部门分批推，出了问题回滚范围小。
站里之前聊过 Microsoft 365 租户里 Claude 的开关，思路是一样的：管理端官方列了哪些键就是哪些，没列的就别当成有。
被 IT 要求「先别开」的同事，如果不确定自己的手机是不是监管设备，直接问管设备的人就行，别自己去删描述文件。
你们公司准备等正式版出来再决定，还是一开始就把写作工具整个关掉？