关于 ai-privacy-impact-template
为高风险 AI 系统提供 GDPR DPIA 与 AI Act 合规评估的整合模板，适用于开展隐私、安全和基本权利评估的团队。它将两套要求纳入统一的风险评分、缓解措施和文档结构。
主要功能
- 01整合 GDPR DPIA 与 AI Act 评估
- 02提供加权风险评分矩阵
- 03对应两套法规的评估要求
- 04列出技术与组织缓解措施
- 05涵盖监控、记录及质量管理
适用场景
- 01为高风险 AI 系统开展联合评估
- 02汇总隐私与基本权利风险
- 03编制合规缓解措施和评估文档
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/ai-privacy-impact-template确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
综合 DPIA 与 AI Act 符合性评估模板
概述
根据欧盟 AI Act，高风险 AI 系统必须同时接受 GDPR 第 35 条规定的 DPIA 和 AI Act 符合性评估。本技能提供了一份整合模板，可同时满足这两套框架的要求，避免将两项评估分开进行。综合评估可确保 GDPR 隐私风险分析与 AI Act 安全及基本权利评估保持一致，减少重复工作，并提供一份涵盖两方面法规要求的统一风险评分矩阵。AI Act 第 26(9) 条明确要求部署者在履行 AI Act 义务时使用 DPIA 结果。
综合风险评分矩阵
风险维度
| 维度 | 来源 | 权重 |
|---|---|---|
| 数据主体的隐私风险 | GDPR 第 35(7)(c) 条 | 30% |
| 对基本权利的影响 | EU AI Act 第 9(2)(a) 条 | 25% |
| 准确性与可靠性风险 | EU AI Act 第 15 条 | 20% |
| 透明度与可解释性方面的不足 | GDPR 第 13(2)(f) 条 + AI Act 第 13 条 | 15% |
| 人工监督的充分性 | GDPR 第 22 条 + AI Act 第 14 条 | 10% |
评分等级（按维度）
| 分数 | 等级 | 说明 |
|---|---|---|
| 1 | 极低 | 风险可忽略；控制措施有效 |
| 2 | 低 | 风险较小；标准控制措施足够 |
| 3 | 中 | 风险中等；需要加强控制措施 |
| 4 | 高 | 风险显著；需要采取强力缓解措施 |
| 5 | 严重 | 风险极高；可能需要暂停处理 |
总体风险分类
| 加权分数 | 分类 | 所需行动 |
|---|---|---|
| 1.0-1.5 | 低 | 标准监控 |
| 1.6-2.5 | 中 | 加强监控并定期审查 |
| 2.6-3.5 | 高 | 主动采取缓解措施，并由 DPO/董事会监督 |
| 3.6-4.5 | 极高 | 依据第 36 条进行事前协商；在采取缓解措施前暂缓部署 |
| 4.6-5.0 | 严重 | 不得部署；必须进行根本性重新设计 |
GDPR DPIA 要求（第 35(7) 条）
| 要素 | 参考条款 | 综合评估章节 |
|---|---|---|
| 系统性描述处理活动 | 第 35(7)(a) 条 | 第 2 节：AI 系统描述 |
| 必要性与比例性 | 第 35(7)(b) 条 | 第 3 节：必要性评估 |
| 风险评估 | 第 35(7)(c) 条 | 第 5 节：综合风险登记表 |
| 缓解措施 | 第 35(7)(d) 条 | 第 6 节：缓解措施 |
AI Act 符合性评估要求
对于高风险 AI 系统（附件 III），第 43 条规定的符合性评估要求如下：
| 要素 | 参考条款 | 综合评估章节 |
|---|---|---|
| 风险管理系统 | 第 9 条 | 第 5 节：综合风险登记表 |
| 数据治理 | 第 10 条 | 第 2 节：训练数据治理 |
| 技术文档 | 第 11 条 | 完整的综合评估文档 |
| 记录保存 | 第 12 条 | 第 7 节：监控与日志记录 |
| 透明度 | 第 13 条 | 第 4 节：透明度评估 |
| 人工监督 | 第 14 条 | 第 4 节：人工监督 |
| 准确性、稳健性、网络安全 | 第 15 条 | 第 5 节：技术风险评估 |
| 质量管理体系 | 第 17 条 | 第 8 节：质量管理 |
缓解措施框架
技术措施
| 措施 | GDPR 相关性 | AI Act 相关性 | 优先级 |
|---|---|---|---|
| 差分隐私 | 训练数据保护 | 鲁棒性（第 15 条） | 敏感数据场景下为高 |
| 模型输出扰动 | 模型反演保护 | 准确性权衡（第 15 条） | 中 |
| 公平性约束 | 非歧视（第 5(1)(a) 条） | 偏见预防（第 10 条） | 高风险场景下为高 |
| 可解释性工具（SHAP/LIME） | 第 13(2)(f) 条逻辑解释 | 可解释性（第 13 条） | 高 |
| 输入/输出 PII 过滤 | 数据最小化（第 5(1)(c) 条） | 准确性（第 15 条） | 生成式 AI 场景下为高 |
| 加密（静态/传输中） | 安全性（第 32 条） | 网络安全（第 15 条） | 标准 |
| 访问控制（RBAC） | 安全性（第 32 条） | 网络安全（第 15 条） | 标准 |
| 异常检测 | 泄露检测（第 33 条） | 鲁棒性（第 15 条） | 中 |
组织措施
| 措施 | GDPR 相关性 | AI Act 相关性 |
|---|---|---|
| AI 伦理审查委员会 | 问责制（第 5(2) 条） | 质量管理（第 17 条） |
| 模型卡 | 透明度（第 13-14 条） | 技术文档（第 11 条） |
| 定期偏见审计 | 公平性（第 5(1)(a) 条） | 偏见监控（第 10 条） |
| AI 事件响应 | 泄露通知（第 33-34 条） | 上市后监控（第 72 条） |
| 员工 AI 风险培训 | 问责制 | 人工监督（第 14 条） |
| 文档和记录保存 | 问责制（第 5(2) 条） | 记录保存（第 12 条） |
执法相关性
- AI Act 第 26(9) 条：高风险 AI 的部署者在履行 AI Act 义务时，应使用 GDPR 第 35 条 DPIA 信息——综合评估落实了这一要求。
- AI Act 第 43 条：高风险 AI 系统的符合性评估程序。
- GDPR 第 35 条：DPIA 要求——综合模板满足第 35(7) 条的所有要素。
集成点
- ai-dpia：综合模板扩展了 AI DPIA 方法
- ai-act-high-risk-docs：符合性评估文档与高风险要求保持一致
- ai-bias-special-category：偏见评估结果纳入综合风险登记册
- ai-automated-decisions：人工监督评估整合第 22 条和第 14 条的要求
评论
支持 Markdown