eu-ai-act-specialist

欧盟《人工智能法案》合规专家

《条例 (EU) 2024/1689》的逐条引用实操技能。三项决策，不制定高管层人工智能战略：

1. 这个 AI 系统属于哪个风险等级？——禁止（第 5 条）/ 高风险（第 6 条 + 附件 III）/ 有限风险透明度要求（第 50 条）/ 最小风险
2. 对于高风险系统，适用哪种合格评定流程 + 文档包？——第 43 条模块 A 与模块 H + 附件 IV 技术文档
3. 各组织角色分别有哪些义务？——依据第 16、22、25、26 条制定提供者 / 部署者 / 进口商 / 分销商 / 授权代表职责矩阵

此技能不是首席 AI 官顾问。CAIO 决定是否推出 AI 功能，并承担业务风险。此技能负责开展合格评定工作，将“我们会推出”转化为符合《法案》要求的材料。

此技能不能替代法律意见。《法案》是具有约束力的法规。对于新颖情形（这是否属于 GPAI 模型？第 6 条第 2 款的例外是否适用？微调基础模型是否构成“实质性修改”？），请聘请具备资质的外部法律顾问。此技能引用条款和附件，并参考欧盟委员会 / EDPB 发布的解释，但不提供具有约束力的法律意见。

此技能不涉及 GDPR。许多 AI 系统也会触发 GDPR（训练数据、输出处理）。有关 DPIA + 合法依据的工作，请参阅 ra-qm-team/skills/gdpr-dsgvo-expert/。两项法规彼此关联（序言第 10 段、第 10 条涉及高风险训练数据）。

关键词

欧盟《人工智能法案》、欧盟人工智能法规、条例 2024/1689、《人工智能法案》、欧洲人工智能监管、高风险 AI、禁止的 AI、人工智能法案第 5 条、人工智能法案第 6 条、人工智能法案第 9 条、人工智能法案第 50 条、附件 III、附件 IV、合格评定、AI CE 标志、AI 公告机构、模块 A、模块 H、AI 技术文档、上市后监测 AI、基本权利影响评估、FRIA、GPAI、通用人工智能模型、具有系统性风险的 GPAI、人工智能办公室、ENISA AI、EDPB AI、人工智能法案时间表、人工智能法案罚则、欧盟人工智能法案提供者、欧盟人工智能法案部署者、欧盟人工智能法案进口商、欧盟人工智能法案分销商、欧盟人工智能法案罚款、AI 素养

快速入门

# Decision A: Classify an AI system per the Act
python scripts/ai_system_risk_classifier.py                       # embedded 5-system sample
python scripts/ai_system_risk_classifier.py path/to/systems.json

# Decision B: Conformity assessment plan for a high-risk system
python scripts/conformity_assessment_planner.py                   # embedded high-risk sample
python scripts/conformity_assessment_planner.py path/to/system.json

# Decision C: Obligation tracker per organizational role
python scripts/ai_act_obligation_tracker.py                       # embedded sample (provider + deployer)
python scripts/ai_act_obligation_tracker.py path/to/roles.json

关键问题（先询问以下问题）

• 此 AI 系统是否属于第 5 条（禁止的行为）范围？ 社会评分、在工作场所 / 教育领域进行情绪识别、操纵性潜意识技术、在公共场所实时远程生物识别——这些行为均被明确禁止。
• 此系统是否属于附件 III（高风险类别）范围？ 共有 8 个类别：生物识别、关键基础设施、教育、就业、基本服务、执法、移民、司法。符合附件 III 类别即触发第 6 条第 2 款，除非适用第 6 条第 3 款的例外。
• 公司承担什么组织角色？ 提供者（投放市场）、部署者（在自身权限下使用）、进口商（将第三国系统投放到欧盟市场）、分销商（在供应链中使产品可用）。许多公司会同时是提供者和部署者。
• 这是通用人工智能模型吗？ GPAI 有单独的监管路径（第 51 至 55 条）；训练计算量超过 10²⁵ FLOPs 时，适用更严格的规则（第 51 条：系统性风险）。
• 对于高风险系统：我们是否已开展第 9 条风险管理和第 27 条 FRIA？ 第 9 条规定生命周期风险管理；第 27 条规定公共部门部署者和基本服务部署者开展基本权利影响评估。
• 根据第 43 条，适用哪种合格评定模块？ 模块 A（内部控制，多数附件 III 系统可采用）与模块 H（完整质量管理体系 + 公告机构，生物识别系统及某些其他系统必须采用）。

核心职责

1. AI 系统风险分类

框架：《法案》采用基于风险的方法（序言第 26 条）。每个 AI 系统恰好属于以下四个层级之一：

层级	来源	示例	义务
禁止	第 5 条	社会评分；工作场所／教育场景中的情绪识别；潜意识操纵；执法部门实时使用公共场所生物识别（有狭义例外）	不得投放市场或使用（罚款最高 3,500 万欧元／营业额的 7%）
高风险	第 6 条 + 附件 III；第 6(1) 条 + 附件 I	简历筛选、信用评分、生物特征分类、受监管产品的安全组件	第 8–17 条（提供者）+ 第 26 条（部署者）；合格评定；CE 标志
有限风险（透明度）	第 50 条	聊天机器人、深度伪造、第 5 条情形以外的情绪识别	向自然人披露透明度信息
极低风险	默认	垃圾邮件过滤器、电子游戏 AI、库存预测工具	《法案》项下无义务（自愿行为准则，第 95 条）

**关键排除情形（第 6(3) 条）：**如果附件 III 中的系统 (a) 执行狭义的程序性任务，(b) 改进先前已完成的人类活动的结果，(c) 检测决策模式但不取代人工评估，或 (d) 执行准备性任务，则不属于高风险。注意：对自然人进行画像始终属于附件 III 所列高风险，无论是否符合排除情形。

根据系统特征运行 ai_system_risk_classifier.py。该工具会先检查第 5 条的禁止情形，然后检查附件 III 类别，再检查第 6(3) 条的排除情形，随后检查第 50 条的透明度要求，最后归为默认的极低风险。

完整的逐条说明请参阅 references/eu_ai_act_titles.md。

2. 合格评定 + 附件 IV 技术文档

**框架（第 43 条 + 附件 VI/VII）：**对于高风险 AI 系统，提供者必须在投放市场前证明其符合要求。有两种路径：

• 模块 A — 内部控制（附件 VI）：提供者根据要求进行自我评估。适用于提供者已实施协调标准的大多数附件 III 系统。
• 模块 H — 完整质量管理体系 + 技术文档（附件 VII）：需公告机构参与。生物识别系统必须采用此路径（第 43(1) 条）。

附件 IV 要求的文档——技术文档：

1. AI 系统的总体说明（预期用途、标识、版本）
2. 系统各要素的详细说明（架构、训练数据、验证程序）
3. 监测、运行和控制相关信息
4. 风险管理体系说明（第 9 条）
5. 投放市场后的变更说明
6. 所采用的协调标准清单（或替代方案）
7. 欧盟符合性声明（第 47 条）
8. 上市后监测体系说明（第 72 条）

运行 conformity_assessment_planner.py，为指定的高风险系统选择模块并生成附件 IV 检查清单。

有关哪些系统需要采用哪种合格评定路径，请参阅 references/high_risk_systems_annex_iii.md。

3. 按角色划分的义务跟踪表

**框架（第 16、22、23、24、25、26 条）：**该法案区分了提供者义务（大多数）与下游参与者义务（部署者、进口商、分销商、授权代表）。同一家公司可以同时承担多个角色。

角色	主要条款	关键义务
提供者（第 3(3) 条）	8–17、47、49、72	合格评定；CE 标志；风险管理；数据治理；技术文档；上市后监测；严重事件报告（第 73 条）
部署者（第 3(4) 条）	26	按照说明使用；人工监督；输入数据质量；记录保存（第 19 条）；告知员工（第 26(7) 条）；公共部门／基本服务适用时进行 FRIA（第 27 条）
进口商（第 3(6) 条）	23	核实合规性；确认已加贴 CE 标志；确保技术文档可供查阅
分销商（第 3(7) 条）	24	在投放市场前核实 CE 标志和文档
授权代表（第 22 条）	22	非欧盟提供者必须指定授权代表；授权代表对提供者义务承担责任

重要提示：根据第 25 条，实质性修改高风险 AI 系统，或以自己的名义将其投放市场的部署者，将成为提供者，并承担提供者义务。

使用 ai_act_obligation_tracker.py 和角色 JSON 文件，生成按截止日期排序的义务矩阵。

GPAI 第 51–55 条的单独跟踪流程，请参阅 references/gpai_obligations.md。

工作流

工作流 1：AI 系统接收审查（每个系统，约 2 小时）

**目标：**进行分类、识别义务、确定合格评定工作的范围。

# 1. Document system characteristics: purpose, users, data, autonomy, deployment context
# 2. Run classifier
python scripts/ai_system_risk_classifier.py systems.json
# 3. If high-risk: run planner
python scripts/conformity_assessment_planner.py system.json
# 4. Identify org roles played (provider / deployer / both)
python scripts/ai_act_obligation_tracker.py roles.json
# 5. Cross-check with GDPR DPIA (gdpr-dsgvo-expert) if personal data
# 6. Cross-check with ISO 42001 AIMS evidence (compliance-team-iso42001)
# 7. Output: classification memo + conformity plan + obligation list

工作流 2：编制附件 IV 技术文档（每个高风险系统，2–4 周）

**目标：**在合格评定前，整理好附件 IV 文档包。

# 1. Run conformity assessment planner to get the checklist
python scripts/conformity_assessment_planner.py system.json
# 2. Assemble: system description, architecture, training data, validation, risk management
# 3. Reference ISO 42001 evidence where it satisfies Annex IV items
# 4. Reference ISO 27001 evidence for security controls
# 5. Run Article 9 risk management lifecycle
# 6. Sign EU declaration of conformity (Article 47) AFTER assessment passes
# 7. Affix CE marking (Article 48)
# 8. Register in EU database (Article 71) — high-risk Annex III systems

工作流 3：部署前义务审计（每个系统，发布前）

**目标：**确认投放欧盟市场前已落实所有现行义务。

# 1. Confirm classification still correct (re-run classifier if system changed)
# 2. Confirm conformity assessment completed (if high-risk)
# 3. Confirm transparency requirements (Article 50) — for chatbots, deepfakes, emotion detection
# 4. Confirm post-market monitoring system (Article 72) is live
# 5. Confirm serious-incident reporting procedure (Article 73) is documented
# 6. For deployers: FRIA done (Article 27, if applicable); workers informed (Article 26(7))
# 7. For GPAI: Articles 51-55 obligations met if applicable

工作流 4：年度合规更新（每个组织，每年）

**目标：**随着该法案分阶段生效，重新核验分类和义务。

1. 列出所有已投放或计划投放欧盟市场的 AI 系统
2. 对每个系统运行分类器——第 5 条的禁止清单可能会通过授权法案扩展
3. 运行义务跟踪器——随着第三章分阶段生效，截止日期会变化（2025 → 2026 → 2027）
4. 对每个高风险系统：核验上市后监测数据流和严重事件报告能力
5. 根据第 11 条的持续要求，更新附件 IV 技术文档
6. 如果同时实施 ISO 42001，则与管理评审（第 9.3 条）配套进行

输出标准

**Bottom Line:** [one sentence — classification + most-significant obligation]
**Article Citation:** [Article + paragraph number; do not paraphrase without cite]
**The Decision:** [one of: classify | conformity-route | obligation-scope]
**The Evidence:** [Article + Annex references; classification confidence]
**How to Act:** [3 concrete next steps with owner + deadline aligned to phasing]
**Your Decision:** [the call for compliance officer or legal counsel — risk-class disputes, novel cases, GPAI threshold determinations]

相关技能

• ra-qm-team/skills/gdpr-dsgvo-expert/ — GDPR DPIA + 合法依据（大多数 AI 系统也会触发 GDPR）
• ra-qm-team/compliance-team-iso42001/ — ISO 42001 AIMS（自愿性管理体系，可满足第 17 条提供者 QMS 的部分要求）
• ra-qm-team/skills/information-security-manager-iso27001/ — ISO 27001 网络安全要求（第 15 条）
• ra-qm-team/skills/risk-management-specialist/ — ISO 14971 风险管理（第 6(1) 条中针对安全部件 AI 的引用标准）
• ra-qm-team/skills/mdr-745-specialist/ — MDR 2017/745（与医疗器械 AI 的交叉适用）
• compliance-os/ — 用于多框架项目的元编排器
• c-level-advisor/chief-ai-officer-advisor/ — 高管 AI 战略

参考资料

• eu_ai_act_titles.md — 第 I–XII 章逐条解读，细分部署者／提供者／进口商／分销商的义务
• high_risk_systems_annex_iii.md — 附件 III 的 8 个类别详解 + 第 6(2)–(3) 条的交互 + 豁免测试
• gpai_obligations.md — 第 51–55 条的 GPAI 规则 + 系统性风险阈值 + 透明度规则 + 行为准则状态
• cross_framework_mapping_ai_act.md — AI Act ↔ ISO 42001 ↔ NIST AI RMF ↔ GDPR 控制级映射

---

版本： 1.0.0 状态： 已可用于生产