关于 ai-transparency-reqs
这是一份面向处理 AI 系统的组织的透明度要求指南，整合 GDPR 信息义务与 EU AI Act 规定。内容覆盖面向个人的说明、自动化决策解释以及系统文档。
主要功能
- 01汇总 GDPR 对 AI 处理的信息要求
- 02说明自动化决策的解释要点
- 03规划分层透明度信息
- 04整理高风险 AI 的监督与文档义务
- 05提供模型卡和系统登记字段
适用场景
- 01编写 AI 处理的隐私告知
- 02说明自动化决策的逻辑与影响
- 03维护 AI 模型卡和系统登记册
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/ai-transparency-reqs确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
AI 透明度要求
概述
AI 透明度处于两套监管框架的交汇处：GDPR 的数据主体知情权（第 13—14 条）和《欧盟 AI 法案》的透明度义务（第 13—14、50 条）。两者共同要求控制者和部署者提供有意义、易于获取的信息，说明 AI 系统的能力、限制、决策逻辑以及个人数据处理情况。本技能落实了这一综合透明度框架，既应对复杂机器学习模型在技术层面的可解释性难题，也履行以通俗语言向受影响个人说明 AI 处理情况的法律义务。
AI 系统的 GDPR 透明度
适用于 AI 的第 13—14 条信息要求
AI 系统处理个人数据时，必须向数据主体提供以下信息：
| 信息要素 | GDPR 条款 | 针对 AI 的具体应用 |
|---|---|---|
| 处理目的 | 第 13(1)(c) 条 / 第 14(1)(c) 条 | 具体的 AI 用例，而非笼统的“改进服务” |
| 合法依据 | 第 13(1)(c) 条 / 第 14(1)(c) 条 | 分别说明 AI 训练和 AI 推理的依据 |
| 合法利益 | 第 13(1)(d) 条 / 第 14(2)(b) 条 | AI 处理所服务的具体利益 |
| 接收方 | 第 13(1)(e) 条 / 第 14(1)(e) 条 | AI 基础设施提供商、模型托管服务 |
| 国际传输 | 第 13(1)(f) 条 / 第 14(1)(f) 条 | AI 处理发生的地点（训练和推理地点） |
| 保留期限 | 第 13(2)(a) 条 / 第 14(2)(a) 条 | 训练数据保留期限、推理日志保留期限、模型生命周期 |
| 数据主体权利 | 第 13(2)(b) 条 / 第 14(2)(c) 条 | 包括 AI 特有的权利：解释、提出异议、人工审核 |
| 自动化决策 | 第 13(2)(f) 条 / 第 14(2)(g) 条 | 关于逻辑、重要性和预期后果的有意义信息 |
| 数据来源 | 第 14(2)(f) 条 | 训练数据来源（说明类别，不一定要列出各个具体来源） |
第 13(2)(f) 条 / 第 14(2)(g) 条——关于自动化逻辑的有意义信息
这是 AI 系统最难满足的透明度要求。欧洲数据保护委员会（EDPB）和第 29 条工作组已作出说明：
“关于所涉及逻辑的有意义信息”的要求：
- 系统层面的解释：概述 AI 系统的工作方式——考虑哪些因素、采用什么方法、模型如何训练。
- 目的和背景：说明为何使用该 AI 系统，以及其输出在决策中发挥什么作用。
- 关键变量：说明影响 AI 输出的主要数据点或特征，但无需披露专有算法。
- 决策标准：说明模型输出如何转化为决策（例如，分数阈值、分类类别）。
- 重要性：说明该决策在实际中对数据主体意味着什么。
- 后果：说明 AI 驱动决策可能产生的影响（包括预期影响和可预见影响）。
不要求的内容：
- 全面披露源代码或模型权重
- 对算法进行数学描述
- 披露专有商业秘密（但这并不免除提供有意义解释的义务）
- 实时解释模型的单次预测（但第 22 条可能对此有所要求）
AI 透明度的分层方法
EDPB 建议采用分层透明度方法：
| 层级 | 内容 | 呈现方式 |
|---|---|---|
| 第 1 层：初始告知 | 处理过程中使用了 AI；一般用途；完整信息链接 | 在交互时呈现（横幅、工具提示、通知） |
| 第 2 层：摘要 | AI 系统说明、使用的关键数据、决策逻辑摘要、可行使的权利 | 隐私声明章节、AI 信息页面 |
| 第 3 层：详细信息 | 完整技术说明、训练数据类别、公平性措施、准确性指标、局限性 | 补充文档、应请求提供 |
| 第 4 层：个体化解释 | 影响特定决策的具体因素、申诉机制 | 应请求提供，或针对重大决策自动提供 |
欧盟 AI 法案的透明度义务
第 13 条——向部署方提供透明度和信息（高风险）
高风险 AI 系统（附件 III）必须经过设计和开发，以确保：
| 要求 | 说明 |
|---|---|
| 可解释性 | 系统设计应使部署方能够解释输出并恰当使用这些输出 |
| 使用说明 | 对功能、局限性、预期用途和可预见的误用情况进行详细说明 |
| 性能指标 | 准确率、稳健性指标，以及针对特定群体的已知局限性 |
| 人类监督信息 | 对人类监督措施的说明，以及如何实施这些措施 |
| 输入数据规范 | 对系统设计用于处理的输入数据进行说明 |
| 训练数据说明 | 有关训练数据的相关信息，包括来源和预处理方式 |
第 14 条——人类监督（高风险）
高风险 AI 系统必须经过设计，以便实现有效的人类监督：
- 明确标示 AI 系统的输出和置信度
- 能够在具体情境中正确解读 AI 输出
- 能够覆盖或撤销 AI 决策
- 能够介入或停止系统（“停止按钮”）
- 了解自动化偏见风险
第 50 条——特定 AI 系统的透明度
| AI 系统类型 | 透明度义务 |
|---|---|
| 与人交互的 AI | 告知对方正在与 AI 系统交互（除非从情境中显而易见） |
| 情绪识别／生物特征分类 | 告知系统的运行情况，并按照 GDPR 合规处理个人数据 |
| AI 生成或操纵的内容（深度伪造） | 以机器可读格式标注内容为 AI 生成 |
| 关于公共利益事项的 AI 生成文本 | 披露文本是人工生成或操纵的 |
第 50(1) 条——AI 交互告知
控制者必须告知自然人，他们正在与 AI 系统交互。适用于：
- 聊天机器人和虚拟助手
- AI 驱动的客户服务系统
- 自动生成电子邮件或消息
- 带有直接用户界面的 AI 驱动推荐系统
- 基于语音的 AI 助手
例外情况：根据具体情形和上下文，显而易见当事人正在与 AI 交互（例如，工厂环境中的机器人）。
AI 透明度文档框架
模型卡要求
对于每个已部署的 AI 模型，都应维护一份模型卡，包含：
| 部分 | 内容 |
|---|---|
| 模型概览 | 名称、版本、类型、开发者、部署日期 |
| 预期用途 | 具体目的、目标用户、部署场景 |
| 范围外用途 | 模型并非为之设计的用途；可预见的误用 |
| 训练数据摘要 | 数据来源（类别）、规模、时间范围、地理范围、已知偏见 |
| 性能指标 | 按相关子群体划分的准确率、精确率、召回率、F1；公平性指标 |
| 局限性 | 已知失效模式、不同人口群体间的性能差异、边缘案例 |
| 隐私属性 | 应用的差分隐私（epsilon）、成员推断测试结果、训练数据提取风险 |
| 人工监督 | 所需的监督级别、审核人员资质、覆盖程序 |
| 更新历史 | 再训练日期、数据更新、性能变化 |
AI 系统透明度登记册
运营多个 AI 系统的组织应维护一个中央登记册：
| 字段 | 描述 |
|---|---|
| 系统 ID | 唯一标识符 |
| 系统名称 | 易读的名称 |
| AI 法案分类 | 不可接受 / 高 / 有限 / 最低 |
| 用途 | 具体处理目的 |
| 受影响的数据主体 | 类别和估计人数 |
| 处理的个人数据 | 在训练和推理阶段处理的数据 |
| 决策权限 | AI 决策支持或自动化决策 |
| 透明度措施 | 通知、说明、文档 |
| 部署方 | 内部 / 外部部署 |
| 注册日期 | 在 EU AI Act 数据库中的注册日期（如属于高风险） |
合规性可解释性技术
全局可解释性（系统级）
用于提供第 13(2)(f) 条所述“关于逻辑的有意义信息”的技术：
| 技术 | 最适用场景 | 局限性 |
|---|---|---|
| 特征重要性（SHAP、LIME） | 识别关键变量 | 可能过度简化复杂的交互关系 |
| 决策规则提取 | 将模型逻辑转换为人类可读的规则 | 对复杂模型而言会损失准确性 |
| 部分依赖图 | 展示特征如何影响预测 | 假设特征相互独立 |
| 反事实解释 | 展示哪些变化会导致不同结果 | 特征较多时计算成本高 |
| 注意力可视化 | Transformer 模型——展示模型关注的内容 | 注意力并不总是等同于重要性 |
局部可解释性（单项决策）
用于保障第 22 条规定的对个别决策的解释权：
| 技术 | 描述 | 用例 |
|---|---|---|
| LIME | 局部可解释的模型无关解释 | 适用于任何模型——用可解释模型近似局部行为 |
| SHAP 值 | 针对个别预测的 Shapley 加法解释 | 特征对特定预测的贡献 |
| 反事实 | “您被拒绝是因为 X；如果 X 是 Y，结果就会不同” | 信贷、招聘、保险决策 |
| Anchors | 预测成立的充分条件 | 对个案进行基于规则的解释 |
| 基于概念的解释 | 影响决策的高层概念 | 特征无法直接解释时 |
执法先例
- Garante v. OpenAI（2023）：要求说明 AI 训练数据处理、模型能力和局限性方面的透明度——隐私声明被认定不足以确保 AI 系统透明度。
- CNIL v. Clearview AI（SAN-2022-019，2022）：罚款 2,000 万欧元——面部识别 AI 处理完全缺乏透明度；数据主体未获告知其图像被抓取和处理。
- Austrian DPA v. CRIF（DSB-D213.636，2023）：信用评分 AI——未能根据第 13(2)(f) 条充分说明自动化决策逻辑；数据主体只收到评分，未获得有关影响因素的有意义信息。
- Dutch DPA v. Tax Authority（SyRI，2020）：法院认定，算法欺诈检测缺乏透明度——公民无法理解系统如何评估他们，侵犯了私人生活权。
- AEPD v. CaixaBank（PS/00421/2020，2021）：罚款 600 万欧元——自动化信用决策未充分说明相关逻辑及其对数据主体的重要性。
集成点
- ai-automated-decisions：第 22 条的解释要求与透明度义务相衔接
- ai-dpia：透明度评估是 DPIA 必要性和比例性分析的一部分
- ai-act-high-risk-docs：AI Act 第 13 条的文档要求与透明度框架相重叠
- ai-deployment-checklist：部署前透明度验证是检查清单中的一项
评论
支持 Markdown