法规、标准与地区复核
本节目标
区分自愿风险框架、国际原则、管理体系标准、组织政策和具有法律效力的规则，并建立按角色、用途和地区复核的工程接口。治理团队的工作是把权威结论转成可执行控制与证据，不是自行扮演法律顾问。
五类材料不要混用
- 法律/监管规则：是否适用取决于管辖连接、主体角色、用途、行业、数据与生效时间；正式文本、实施规则和主管机关解释优先。
- 标准：规定要求或给出指南，可能被合同、认证方案或法规引用；购买或认证不自动证明具体系统合规。
- 风险框架/Playbook：提供共同语言和建议，通常可按情境裁剪，但不是法律分类器。
- 原则/建议：提供价值和政策方向，需要转成角色、流程、控制与证据。
- 组织政策：可以比外部最低要求更严格；必须写清适用范围、决策权与例外。
同一系统常同时受数据保护、消费者、反歧视、知识产权、网络安全、产品安全、劳动、医疗/金融等既有规则影响，不能只搜索标题含“AI”的法律。
当前官方基线（截至 2026-07-22）
NIST AI RMF
NIST AI RMF 1.0 是自愿、跨行业、用例无关的风险管理资源，以 Govern、Map、Measure、Manage 组织生命周期活动；NIST 官方页面 明确标注 1.0 正在修订，Playbook 将在修订后更新。项目可以引用采用的具体版本和条目，但不能笼统写“符合 NIST”。生成式 AI 的补充风险与行动见 NIST AI 600-1。
OECD AI Principles
OECD AI Principles 初次采用于 2019 年，2024 年 5 月更新，强调包容与福祉、人权和公平、透明与可解释、稳健/安全以及问责；正式建议文本见 OECD/LEGAL/0449。它们适合校准影响评估和透明目标，但不替代特定地区义务。
ISO/IEC 标准
ISO/IEC 42001:2023 是已发布的 AI 管理体系要求标准；ISO/IEC 42005:2025 是已发布的 AI 系统影响评估指南；ISO/IEC 42006:2025 为审核和认证 AI 管理体系的机构增加要求，并补充 ISO/IEC 17021-1。42006 的对象是认证/审核机构，不能据此把一次 AIMS 认证描述成具体 AI 系统、模型、产品或服务已获安全/合规认证。官方简介不足以代替受版权保护的完整标准；需要实施、审核或认证时，应合法取得适用版本，并由合格人员确定范围和证据。
欧盟 AI Act
Regulation (EU) 2024/1689 正式文本 是核对基础条例原始条文、角色与范围的入口，但它不能单独代表后续修法后的完整时间线。以下是截至 2026-07-22 的法规状态快照，不是某一组织的合规结论：
| 层次 | 已核验状态 | 工程上不能据此省略什么 |
|---|---|---|
| 基础条例 | 2024-08-01 生效；禁令、定义和 AI literacy 义务自 2025-02-02 适用；治理规则与 GPAI 模型义务自 2025-08-02 适用。 | 仍须判定自己的提供者/部署者等实际角色、系统用途和其他部门法义务。 |
| 一般适用日 | 欧盟委员会当前页面写明多数规则将在 2026-08-02 适用；本页快照日尚未到该日。 | 不能把“即将适用”写成“当前已适用”，也不能把日期当成对任一用例的自动分类。 |
| 2026 AI Omnibus 修法 | PE 30 2026 REV 1 可在 EUR-Lex 查阅；理事会于 2026-06-29 宣布最终通过，并称将在《欧盟官方公报》刊登后第三日生效。 | PE 文本、新闻稿与委员会说明不是已合并的、可单独替代正式公报的适用法文本；在决策记录中要保存 OJ/ELI、刊登日与当时的合并文本。 |
| 高风险系统时间 | 理事会公告列出独立高风险系统 2027-12-02、嵌入受监管产品的高风险系统 2028-08-02；委员会当前政策页也列出这两个日期。 | 委员会标准化页面将其表述为最迟日期，并说明支持工具可影响更早适用；正式公报、委员会决定、最新指南和具体行业规则优先于本表。 |
因此，实施者应把“资料状态”与“法律结论”分开保存：checked_at、正式文本/ELI、版本或合并日期、仍未解决的问题、负责确认者和下一次复核触发器。欧洲议会于 2026-06-16 完成一读通过，理事会的 2026-06-29 公告 和委员会的 AI Act 时间线 是定位当前状态的第一方入口；若它们与正式公报或后续合并文本不一致，以后者为准。
地区与适用性复核表
对每个系统维护以下记录，并由有权专业人员确认：
- 谁是开发/提供、部署/使用、进口/分销、雇主、数据控制/处理等实际角色？
- 组织、基础设施、供应商、用户、受影响者和输出使用分别位于哪里？
- 用途是否涉及就业、教育、信贷、医疗、公共服务、生物识别、安全产品等受特别关注领域？
- 处理何种个人/敏感/儿童/受保护信息，是否跨境或用于训练与监控？
- 适用材料的正式名称、版本、条款、状态、生效日、主管机关和解释来源是什么？
- 义务映射到哪个控制、证据、负责人和截止日？哪些结论仍需法律意见？
- 哪些变化会改变角色、分类、地区连接或适用时间？何时复查？
保存“检索日期”和链接，但动态网页不能代替正式文本快照与专业判断。若来源冲突，把冲突和未决状态升级，而不是选择最宽松解释。
练习与自测
假设中国团队采购美国托管模型，为欧盟客户提供招聘辅助排序。不要直接给合规结论；列出角色、地区连接、就业用途、数据、供应商、需核对的正式文本和负责确认的专业人员，并说明模型所在地为何不是唯一判断因素。
- 能区分框架、原则、标准、内部政策和法律规则。
- 每个时效性结论都有状态、版本/日期和第一方入口。
- 能把法律结论留给有资质人员，再转换为工程控制和证据。
- 不用“采用 NIST/ISO”或供应商认证声称系统已合规。
下一步与资料基线
下一步完成 项目：离线 AI 治理包。本页资料获取日期：2026-07-22，适用时间、正式公布和修法状态属于高时效信息，任何生产决策前必须重新访问上述第一方入口。本节不构成法律意见。