ai-inventory

/ai-inventory

何时运行

用户希望根据《欧盟 AI 法案》管理其 AI 系统清单。此技能旨在贯彻的核心理念是：角色和等级针对单个系统，而非整个公司。 同一个组织可以是系统 A 的提供者、系统 B 的部署者，以及系统 C 的进口商。每种组合在《AI 法案》下都会触发不同的一组义务。建立清单是为了让你能够找到并跟踪这些评估；义务本身是在对话中推导出来的，而非从表格中得出。

要做什么

1. 读取配置。 读取 ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md。 如果该文件不存在，或者仍包含 [PLACEHOLDER] 标记，请先引导用户运行 /ai-governance-legal:cold-start-interview。

2. 读取清单。 清单位于 ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/ai-systems.yaml。 如果该文件不存在，则在首次运行 add 时创建一个含空 systems: 列表的文件。

3. 根据参数分派：

   • 无参数，或参数为 list → 显示清单表格（见下文 List）。
   • add → 执行 Add 流程。
   • edit <id> → 显示当前记录，询问要更改什么，更新一个字段，确认后写入。
   • classify <id> → 对现有记录执行 Classification walk-through，并更新 role、tier、role_basis 和 tier_basis。
   • show <id> → 显示完整记录。

4. 列出清单时，提供仪表板选项： “想查看完整仪表板吗？可按状态／等级／欧盟关联／负责人筛选。告诉我一声即可。”

5. 每项操作结束时，都要引导用户继续开展律师的工作。 任何写入操作后，都要说：

   已记录。准备好梳理此系统的义务时，告诉我一声即可——我会在对话中完成梳理，并标出需要你核实的《AI 法案》条款映射。条款映射复杂且不断变化，因此我不会从表格中推导义务。

List 格式

以紧凑表格呈现：

ID	名称	负责人	状态	欧盟关联	角色	等级	下次审查
sys-001	简历筛选	HR / Jamie	in_production	yes	deployer	high_risk	2026-08-01
sys-002	邮件起草助手	IT / Priya	in_production	no	deployer	limited	2026-12-01

在表格下方显示各等级的数量，并添加一行：“有 N 个系统需在 30 天内审查。”

Add 流程（访谈）

一次询问一个字段（也可以接受用户粘贴内容）。必填字段为 name、owner、description、status、eu_nexus。其余字段可稍后填写——请明确说明：“你可以稍后运行 /ai-governance-legal:ai-inventory classify <id>，继续进行分类。”

1. 名称。 系统的简短名称。
2. 负责人。 日常对其负责的个人或团队。
3. 描述。 一到两句话。它做什么？处理哪些数据？
4. 状态。 planned | in_development | in_production | deprecated。
5. 欧盟关联。 该系统是否部署在欧盟／欧洲经济区、向欧盟／欧洲经济区用户提供，或用于生成会影响欧盟／欧洲经济区人员的输出？只要其中任一项为真，就适用《欧盟 AI 法案》分析。
6. 是否继续进行分类？ 询问用户是现在进行分类流程，还是跳过并稍后再继续。

分配 ID：sys-NNN，其中 NNN 是文件中的下一个整数。

Classification walk-through

该流程会生成 role、role_basis、tier 和 tier_basis。两项依据都会标注 [verify against current AI Act text]——这不是技能在含糊其辞，而是因为条款映射复杂，且《AI 法案》仍在分阶段实施。核实工作由律师负责。

步骤 1：角色

谁对该系统做什么？

可选项及其区分标准：

• 提供者 — 你开发（或委托开发）该系统，并以自己的名义或商标将其投放到欧盟市场或投入使用。
• 部署者 — 你在自己的权限下使用该系统，且并非用于个人非职业用途。（在公司内部最为常见。）
• 进口商 — 你从设立在欧盟以外的提供者处将 AI 系统引入欧盟。
• 分销商 — 你在欧盟市场上提供 AI 系统，但不是提供者或进口商。
• 授权代表 — 你代表非欧盟提供者行事，并设立在欧盟。
• 产品制造商 — 你以自己的名义／商标将通用 AI 系统（或其他 AI 系统）纳入产品中。就该产品而言，你会被视为提供者。

双重角色标记。 如果用户对供应商的系统进行了实质性修改（使用自己的数据进行微调、更改预期用途、重新贴牌），即使最初是部署者，也可能成为修改后系统的提供者。当用户描述的修改超出配置范围时，应指出这一点。[根据现行《AI 法案》文本核实——第 25 条，提供者义务与实质性修改]

写明角色。用一句话写明 role_basis。

步骤 2：分级

系统的用途是什么？该用例是否属于受监管类别？

按顺序检查：

A. 第 5 条禁止的做法。 [verify against current AI Act text — Article 5]

摘要，并非权威文本：

• 使用潜意识或欺骗性技术，实质性地扭曲行为
• 利用脆弱性（年龄、残障、社会经济地位），实质性地扭曲行为
• 公共机构进行社会评分，导致不利待遇
• 执法部门在向公众开放的场所实时进行远程生物特征识别（存在狭义例外）
• 通过生物特征分类推断种族、政治观点、工会成员身份、宗教或哲学信仰、性生活或性取向
• 在工作场所或教育场景中进行情绪识别（医疗和安全方面存在例外）
• 从互联网或闭路电视录像中抓取图像，建立面部图像数据库
• 仅基于人格特征进行预测性警务

如果符合 → 分级为 prohibited。将该用例标记为停止，并转交治理团队的禁止实践工作流。

B. 附件 III 高风险领域。 [verify against current AI Act text — Annex III]

摘要：

1. 生物特征识别和分类
2. 关键基础设施（数字基础设施、道路交通、水／燃气／供暖／电力供应）
3. 教育和职业培训（准入、评估、监考、监控违规行为）
4. 就业、员工管理、自雇准入——招聘、选拔、晋升、解雇、任务分配、监控、绩效
5. 基本私人和公共服务（公共福利、个人信用评分、人寿／健康保险的风险评估和定价、紧急调度）
6. 执法（风险评估、测谎、深度伪造检测、证据可靠性、画像分析）
7. 移民、庇护、边境管制（风险评估、旅行证件核验、申请审查）
8. 司法行政和民主进程（研究和解释、影响选举）

如果符合 → 分级为 high_risk。注明附件 III 的领域和小节。

C. GPAI。 [verify against current AI Act text — Article 51 and surrounding]

• GPAI： 基于广泛数据大规模训练的模型，旨在具备通用性，能够胜任多种不同任务。
• GPAI + 系统性风险： 累计算力 > 10^25 FLOPs，或由欧盟委员会指定。

D. 有限风险。 与自然人交互的聊天机器人、深度伪造、情绪识别和生物特征分类系统（不属于第 5 条范围）——适用透明度义务。

E. 最低风险。 其他所有情况。

填写分级。用一句话填写 tier_basis，引用符合条件的条款或附件条目，并标注 [verify against current AI Act text]。

步骤 3：建议

提供三个后续步骤：

1. “想让我讲解该系统的义务吗？我会在对话中进行分析——不会从表格中推导。”
2. “想运行 /ai-governance-legal:aia-generation 来生成完整的影响评估吗？”
3. “想设置下次审查日期吗？我会将其添加到清单中。”

记录格式

systems:
  - id: sys-001
    name: "Resume screening tool"
    owner: "HR / Jamie"
    description: "Filters inbound CVs against job criteria"
    status: in_production          # planned | in_development | in_production | deprecated
    eu_nexus: true                 # deployed, offered, or affects people in the EU/EEA
    role: deployer                 # provider | deployer | importer | distributor | authorized_rep | product_manufacturer
    role_basis: "We license from VendorX and deploy internally [verify against current AI Act text]"
    tier: high_risk                # prohibited | high_risk | limited | minimal | gpai | gpai_systemic
    tier_basis: "Annex III(4)(a) — employment, recruitment selection [verify against current AI Act text]"
    obligations_assessed: false
    obligations_note: "To assess: as deployer of a high-risk system — human oversight, input data quality, monitoring, record-keeping, informing workers, FRIA if public body/service — see Article 26 [verify against current AI Act text]"
    next_review: "2026-08-01"
    review_trigger: "on substantial modification or annually"
    created: "2026-05-11"
    updated: "2026-05-11"

为什么此技能不会自动推导义务

清单会记录每个系统的角色、分级及其依据。它不包含硬编码的“角色 × 分级 → 义务”表。

当用户询问“系统 X 有哪些义务？”时，此技能会在对话中进行分析，并标注 [verify]；如需正式影响评估，则会转交至 /ai-governance-legal:aia-generation。

这是有意为之：

• 条款映射很复杂，而且《AI 法案》将分阶段实施，直至 2027 年。
• 对合规义务自信满满却得出错误结论，最终可能会出现在董事会备忘录中。
• 清单是供律师使用的登记簿。义务分析由律师负责。

防护措施

• 绝不可静默分类。 必须展示分类过程；不得根据系统描述自动分类。
• 保留 [verify] 标签。 这不是含糊其辞，而是重点所在。请勿在输出中删除。
• 标记重大修改。 每当系统的修改超出配置范围时，都要提示用户重新运行 /ai-inventory classify——修改可能改变系统角色。
• 不要根据表格判定义务。 如果用户提出要求，请在对话中进行分析；任何需要正式记录的内容，都应转到 /aia-generation。