ai-act-high-risk-docs

欧盟《人工智能法案》高风险 AI 系统文档

概述

欧盟《人工智能法案》（法规 2024/1689，于 2024 年 8 月 1 日生效，高风险系统相关义务自 2026 年 8 月 2 日起适用）为人工智能系统建立了基于风险的监管框架。高风险 AI 系统——即附件 III 所列系统，或作为附件 I 所涵盖欧盟协调立法产品的安全组件使用的系统——在投放欧盟市场前，必须满足全面的文档、透明度和治理要求。Cerebrum AI Labs 必须为每个高风险 AI 系统准备完整的技术文档、实施风险管理体系、确保数据治理，并进行合格评定。

高风险分类

与 Cerebrum AI Labs 相关的附件 III 类别

类别	附件 III 参考条款	Cerebrum AI Labs 系统	分类
就业和员工管理	附件 III，第 4(a) 段	CV Screening AI — 自动筛选求职申请	高风险
基本服务获取	附件 III，第 5(b) 段	Credit Scoring AI — 金融产品信用评估	高风险
执法	附件 III，第 6(a) 段	不适用	不适用
生物识别	附件 III，第 1(a) 段	Facial Verification AI — 入职时身份验证	高风险
教育和职业培训	附件 III，第 3(a) 段	不适用	不适用

分类决策树

Is the AI system listed in Annex III?
├── Yes → High-risk (unless exception applies under Art. 6(3))
│   └── Does the system make decisions materially affecting natural persons?
│       ├── Yes → High-risk confirmed
│       └── No → May qualify for Art. 6(3) exception (narrow, profiling, preparatory)
│
├── No → Is it a safety component of a product under Annex I legislation?
│   ├── Yes → High-risk (subject to third-party conformity assessment)
│   └── No → Not high-risk under AI Act
│
└── Is it a general-purpose AI model with systemic risk? (Art. 51)
    ├── Yes → GPAI systemic risk obligations
    └── No → GPAI transparency obligations only

技术文档要求（第 11 条）

附件 IV — 必需的文档内容

第 1 节：一般说明

文档要素	Cerebrum AI Labs CV Screening AI 的内容
预期用途	根据资质匹配情况自动筛选和排列求职申请
提供商名称和联系方式	Cerebrum AI Labs, 42 Innovation Drive, Dublin, Ireland
AI 系统版本	v2.4.1（2026 年 3 月部署）
硬件/软件要求	托管于欧盟基础设施（AWS eu-west-1）、Python 3.11、PyTorch 2.2
产品集成	集成至 Cerebrum TalentFlow ATS 平台

第 2 节：系统要素详细说明

要素	所需文档
开发方法	模型架构、训练方法、设计选择及理由
计算资源	训练计算资源（GPU 小时数）、能耗
训练数据	数据来源、收集方法、规模、标注方法、预处理
验证和测试	测试数据集、指标、结果、已知限制
输入数据规范	预期输入格式、质量要求
输出说明	输出格式、置信度分数、决策阈值

第 3 节：监控、运行和控制

要素	所需文档
人工监督措施	第 14 条要求：覆盖能力、决策审查流程
准确性的技术措施	准确率指标、漂移检测、重新训练触发条件
网络安全措施	数据加密、访问控制、对抗鲁棒性测试
边缘情况下的性能	已知故障模式、边界条件、性能退化行为

第 4 节：风险管理

要素	所需文档
风险管理体系	第 9 条风险管理流程文档
已知和可预见的风险	包含严重性和可能性的风险登记册
缓解措施	针对每项已识别风险的控制措施
剩余风险评估	可接受的剩余风险的合理性说明

风险管理体系（第 9 条）

Cerebrum AI Labs 的持续风险管理流程

阶段	活动	频率
识别	识别对健康、安全和基本权利构成的风险	初始评估 + 每季度
分析	估算风险的严重程度和可能性	初始评估 + 每季度
评估	根据接受标准比较风险	初始评估 + 每季度
缓解	实施风险降低措施	持续进行
监控	跟踪生产环境中的风险指标	持续进行
审查	审查并更新风险评估	每季度

风险登记表 — CV 筛选 AI

风险 ID	风险描述	严重程度	可能性	缓解措施	剩余风险
R-001	筛选建议中存在性别偏见	高	中	针对受保护属性进行偏见测试，对训练数据进行去偏	低
R-002	歧视非母语人士	高	中	多语言评估，采用与语言无关的特征	中
R-003	招聘人员过度依赖 AI 建议	中	高	强制人工审查，设置置信度阈值	低
R-004	对新型职位的资格匹配不准确	中	中	回退到关键词匹配，标记以供人工审查	低
R-005	训练数据记忆导致隐私泄露	高	低	在训练中采用差分隐私，审计数据记忆情况	低

数据治理（第 10 条）

训练数据要求

要求	Cerebrum AI Labs 的实施情况
相关性和代表性	训练数据来自 12 个 EU 国家/地区的 50,000 份求职申请，并按性别、年龄和国籍进行平衡
偏见审查	在训练前后对受保护属性（性别、年龄、族裔、残障）进行统计均等性分析
差距识别	发现残障申请者代表性不足；通过合成示例进行补充
数据质量	自动化数据质量检查：完整性 >95%，标签准确率 >98%（经人工验证的样本）
个人数据处理	已完成 DPIA（DPIA-AI-2026-001）；合法依据：第 6(1)(f) 条，合法利益；已移除特殊类别数据

合格评定（第 43 条）

Cerebrum AI Labs 的评定程序

系统	评定类型	依据
CV 筛选 AI	内部合格评定（第 43(2) 条）+ 质量管理体系	附件 III，第 4 段 — 非生物识别系统，非关键基础设施
信用评分 AI	内部合格评定（第 43(2) 条）	附件 III，第 5 段
人脸验证 AI	通过公告机构进行第三方合格评定（第 43(1) 条）	附件 III，第 1 段 — 生物识别

内部合格评定步骤

1. 确认已建立质量管理体系（第 17 条）
2. 根据附件 IV 准备技术文档
3. 根据第 9 条进行风险管理评估
4. 根据第 10 条确认数据治理情况
5. 根据第 13 条确认透明度和信息提供情况
6. 根据第 14 条确认人工监督情况
7. 根据第 15 条确认准确性、稳健性和网络安全
8. 起草 EU 符合性声明（第 47 条）
9. 加贴 CE 标志（第 48 条）
10. 在 EU 数据库中注册（第 49 条）

上市后监控（第 72 条）

活动	频率	负责人
性能指标监控	持续进行	ML 工程
偏见漂移检测	每周	负责任 AI 团队
事件报告	按需（根据第 73 条，严重事件须在 15 天内报告）	DPO + 法务
用户反馈收集	持续进行	产品团队
风险登记表更新	每季度	风险管理
技术文档更新	发生重大变更时	ML 工程 + 法务

关键法律参考资料

• 《欧盟人工智能法案》（法规 2024/1689） — 全文，于 2024 年 8 月 1 日生效
• 《人工智能法案》第 6 条 + 附件 III — 高风险分类标准
• 《人工智能法案》第 9 条 — 风险管理系统要求
• 《人工智能法案》第 10 条 — 数据和数据治理要求
• 《人工智能法案》第 11 条 + 附件 IV — 技术文档要求
• 《人工智能法案》第 13 条 — 透明度和向部署者提供信息
• 《人工智能法案》第 14 条 — 人工监督要求
• 《人工智能法案》第 43 条 — 合格评定程序
• 《人工智能法案》第 72 条 — 上市后监测义务
• 《人工智能法案》第 73 条 — 严重事件报告
• 《通用数据保护条例》第 22 条 — 自动化个人决策（对《人工智能法案》的补充）
• 欧洲数据保护委员会和欧洲数据保护监督员关于《人工智能法案》提案的第 5/2021 号联合意见 — 人工智能监管的数据保护视角