AI 法案就绪度

ai-act-readiness
分类写作
作者Alireza Rezvani
许可MIT
评分4.40/5
使用3.7K

/cs:ai-act-readiness — 欧盟 AI 法案强制性审查问题

命令： /cs:ai-act-readiness <system>

欧盟 AI 法案合规操作员在任何 AI 系统部署至欧盟前对其进行压力测试。在任何欧盟市场投放、合格评定或年度合规更新前，必须回答六个引用法条的问题。

运行时机

  • AI 系统准入审查期间（针对新系统或重大变更）
  • 将 AI 系统投放欧盟市场之前
  • 签署欧盟合格声明（第 47 条）之前
  • 年度合规更新期间（第 113 条的分阶段实施将带来新义务）
  • 组织角色发生变化时（根据第 25(1) 条，因实质性修改导致部署者变为提供者）
  • 训练计算量接近 $10^{25}$ FLOPs 时（第 51 条系统性风险阈值）

欧盟 AI 法案六大问题

1. 第 5 条：这是否属于被禁止的 AI 实践？

处罚：最高 3500 万欧元或全球年营业额的 7%。
  • 8 个类别：潜意识操纵、利用弱点、社会评分、预测性警务、无针对性的面部抓取、工作场所/教育中的情绪识别、基于敏感属性的生物识别分类、执法部门的实时公共生物识别 ID。
  • 运行 ai_system_risk_classifier.py
  • 若为“是” $\rightarrow$ 停止。不能投放欧盟市场。除第 5(2) 条的豁免情况外，无例外。

2. 第 6 条 + 附件 III：这是否属于高风险？

附件 III 触发高风险；第 6(3) 条的豁免是有条件的。
  • 8 个类别：生物识别、关键基础设施、教育、就业、基本服务、执法、移民、司法。
  • 仅在满足第 6(3)(a)-(d) 条且不对自然人进行画像（Profiling）时，豁免才适用。
  • 画像将覆盖豁免（第 6(3) 条最后一句）。
  • 运行 ai_system_risk_classifier.py

3. 第 43 条：对于高风险系统，采用模块 A 还是模块 H？

生物识别 $\rightarrow$ 默认模块 H（公告机构）；其他 $\rightarrow$ 若采用协调标准则为模块 A。
  • 运行 conformity_assessment_planner.py
  • 模块 A（附件 VI）：内部控制；若采用第 40 条协调标准，则推定为合格。
  • 模块 H（附件 VII）：完整的质量管理体系 (QMS) + 公告机构（适用于生物识别或缺乏标准的情况）。
  • 附件 IV 技术文档：投放市场前需提供 8 项内容。

4. 第 25 条：公司扮演什么角色？

提供者的义务最重；实质性修改会将部署者转变为提供者。
  • 提供者 (Provider, 第 3(3) 条)：投放市场者；承担全部第三章义务 + 第 73 条报告义务。
  • 部署者 (Deployer, 第 3(4) 条)：承担第 26 条义务 + 若为公共部门则承担第 27 条 FRIA 义务。
  • 进口商 (Importer, 第 3(6) 条)：承担第 23 条合格验证义务。
  • 分销商 (Distributor, 第 3(7) 条)：承担第 24 条 CE 标志验证义务。
  • 授权代表 (Authorized representative, 第 22 条)：非欧盟提供者必须指定。
  • 运行 ai_act_obligation_tracker.py

5. 第 50 条：透明度义务是否得到满足？

2025 年 8 月 2 日起生效。
  • 第 50(1) 条：向自然人披露 AI 交互（聊天机器人、虚拟代理）。
  • 第 50(2) 条：将合成内容标记为 AI 生成。
  • 第 50(3) 条：披露情绪识别 / 生物识别分类（除第 5 条禁止项外）。
  • 第 50(4) 条：将深度伪造（图像、音频、视频）披露为 AI 生成。

6.

第 51-55 条：这是否属于通用人工智能 (GPAI)？是否具有系统性风险？ GPAI 采用并行轨道；训练算力超过 10^25 FLOPs 即具有系统性风险。
  • 第 3(63) 条：通用人工智能模型定义
  • 第 51 条：系统性风险推定（训练算力 ≥ 10^25 FLOPs）或由委员会指定
  • 第 53 条：所有 GPAI 提供商 —— 附件 XI 技术文档、附件 XII 下游信息、版权政策、训练数据摘要
  • 第 55 条：系统性风险 GPAI 的额外义务 —— 模型评估、对抗性测试、事件报告、网络安全
  • 第 54 条：非欧盟 GPAI 提供商必须指定授权代表

工作流

bash
# 1. 风险分类
python ra-qm-team/skills/eu-ai-act-specialist/scripts/ai_system_risk_classifier.py systems.json

2. 若为高风险：合规性评估

python ra-qm-team/skills/eu-ai-act-specialist/scripts/conformity_assessment_planner.py system.json

3. 各角色义务矩阵

python ra-qm-team/skills/eu-ai-act-specialist/scripts/ai_act_obligation_tracker.py roles.json

4. 跨框架复用 (ISO 42001 等)

python ../../skills/compliance-os/scripts/cross_framework_mapper.py program.json

输出格式

markdown
# EU AI Act 就绪状态：<system>
日期： YYYY-MM-DD
条款引用： 以下每项判定均引用具体条款。

决策事项

[分类 | 合规路径 | 义务范围 | 年度更新]

风险分类


  • 等级：禁止 (prohibited) | 高风险 (high_risk) | 有限风险 (limited_risk) | 最小风险 (minimal_risk)


  • 引用：第 X(Y) 条 + 附件 Z（如适用）


  • 依据：<引用条款的理由>


  • GPAI：是/否


  • 系统性风险 GPAI：是/否（根据第 51 条 10^25 FLOPs 阈值）


合规性评估（若为高风险）


  • 模块：A | A_with_caveats | H | 行业特定 (sectoral)


  • 引用：第 43 条 + 附件 VI/VII


  • 是否需要公告机构：是 | 否 | 可选


  • 附件 IV 资料包状态：已完成 | 进行中 | 未开始


义务矩阵


  • 总义务数：N


  • 按截止日期阶段：2025-02-02=A, 2025-08-02=B, 2026-08-02=C, 2027-08-02=D


  • 最高优先级未完成义务：<条款 + 描述>


透明度（第 50 条）


  • 50(1) 交互披露：是 | 否


  • 50(2) 合成内容标记：是 | 否 | 不适用


  • 50(3) 情感识别披露：是 | 否 | 不适用


  • 50(4) 深度伪造披露：是 | 否 | 不适用


跨框架复用


  • ISO 42001 证据是否适用于第 17 条 QMS：是/否


  • ISO 27001 证据是否适用于第 15 条网络安全：是/否


  • GDPR DPIA 是否可用于第 27 条 FRIA：是/否


判定结果

🟢 READY-FOR-EU (就绪) | 🟡 GAPS-IDENTIFIED (发现差距) | 🔴 NOT-READY (未就绪) | 🚫 PROHIBITED (禁止)

前三大行动项

[3 个具体的后续步骤，包含负责人 + 关联条款的截止日期]

需要法律审查

[标记给外部法律顾问的条款级歧义：新案例、GPAI 阈值争议、第 5 条边界案例、第 25 条重大修改问题]

路由

  • /cs:compliance-readiness — 用于多框架视图（结合 ISO 42001 + GDPR）
  • /cs:aims-audit — 用于 ISO 42001 深度审计
  • /cs:caio-review — 用于执行级 AI 战略决策
  • /cs:gc-review — 用于新案例法律审查（GPAI 阈值、第 5 条边界、重大修改）
  • /cs:decide — 用于记录判定结果
  • /cs:freeze 30 — 针对欧盟发布承诺（监管风险敞口）

相关资源

  • 相邻模块: ../../skills/compliance-os/, ../aims-audit/, ../comp
liance-readiness/, ../../../ra-qm-team/skills/gdpr-dsgvo-expert/

---

版本： 1.0.0