法律、监管与政策

法律合规不是模型本身的一项属性，而是一个带有时间条件的判断。这个判断针对特定系统及其预期用途、实施该用途的主体、所在司法辖区、相关规则的生效日期，以及分析所依据的来源版本。任何一项发生变化，结论都可能随之改变。同一个通用模型用于一种产品时可能合法，换一种产品却可能属于被禁止的用途；同一家公司在一笔交易中可能是部署者，在下一笔交易中又可能成为提供者。

因此，法律是工程输入，不能等到上线后再补办手续。进入哪个市场，会影响数据权利、文档、界面提示、人类复核、日志、事件报告时限，甚至决定系统能否提供。相关约束会一直延伸到 第 6 章、第 74 章、第 59 章、第 56 章、第 57 章、第 53 章 和 第 60 章。

本章给出一套识别并持续维护合规结论的操作方法。本章不构成法律意见。法律顾问需要结合具体事实解释法律，工程团队则必须维护这种解释所依赖的事实与证据。

先确认来源与效力状态

并非所有治理文件都是法律。实用的法律登记表应先记录来源类型及其当前效力状态，再从中提取要求。

这些用词不能混用。已制定不一定意味着已经生效；签署不等于批准；批准也不一定意味着已经对该缔约方生效。一项法案草案、一套自愿准则、一份官方指引和一项可执行的监管规则，可能都涉及同一项控制措施，但法律效力并不相同。应保留每项来源、发布日期、版本和获取日期，而不是只存下一段笼统称为“AI 规则”的转述。

先分类，再映射控制措施

合规工作应从系统清单开始，而不是从模型名称开始。部署经常变化，因此下面的流程必须反复执行。

最终结果应当依次回答六个问题：

1. 盘点服务及其数据、决策、用户、受影响的人和目标市场。
2. 识别每条供应链上的所有主体及其角色。
3. 按照 AI 专门法与既有法律，对系统和预期用途分类。
4. 映射横向法律和行业法律，再核对生效日期、过渡期与例外。
5. 把每项义务映射到控制措施和制品，并指定负责人和审查人。
6. 持续监测系统与治理来源两方面的变化。

欧盟《人工智能法案》：多套分类并行，不是一座金字塔

欧盟第 2024/1689 号条例是一部横向 AI 法律，但它并不会把所有系统塞进四个互斥层级。其结构同时包含被禁止的实践、高风险分类、透明度义务，以及一套并行适用于通用人工智能模型的制度。欧盟其他法律和成员国法律仍然继续适用 (European Parliament and Council of the European Union 2024)。

适用范围与基于用途的义务

第 2 条覆盖的对象不只是设立在欧盟境内的公司。它适用于把系统或通用模型投放欧盟市场的提供者，无论提供者设立在哪里；也适用于欧盟境内的部署者、特定供应链主体，以及输出在欧盟使用的部分第三国提供者或部署者。这是法律直接规定的适用范围。另一个概念 布鲁塞尔效应（Brussels effect） 描述的是企业出于经济考虑，把面向欧盟的设计复用于其他市场；它不能替代法定适用范围分析 (Bradford 2020)。

主要路径包括：

• 被禁止的实践。 第 5 条规定了在满足法定构成要件时不得实施的行为。“社会评分”或“生物识别”等标签只是简称，实际分析必须检查条文中的条件与例外。
• 高风险系统。 第 6 条第 1 款通过附件 I，涵盖符合指定产品法与合格评定条件的某些安全部件和产品。第 6 条第 2 款与附件 III 涵盖生物识别、关键基础设施、教育、就业、基本服务、执法、移民和司法等领域列明的用途。第 6 条第 3 款为部分附件 III 系统提供了一条范围受限的非高风险认定路径，但画像系统不能使用该路径。并非每一项高风险评估都需要第三方审计。
• 透明度。 第 50 条针对直接交互、机器可读标记、情绪识别、生物特征分类、深度伪造和部分公共利益文本，分别规定提供者或部署者的义务。仅说“给合成媒体加标签”过于粗糙，因为责任主体、输出类型、披露方式和例外各不相同。
• 通用人工智能。 第五章在模型提供者层面适用，与下游系统的分类并行。因此，一项下游用途还可能另外触发高风险义务或透明度义务。

高风险系统提供者需要在相关条款适用时，落实风险管理、数据治理、技术文档、日志、人类监督、准确性、稳健性、网络安全、合格评定、登记、上市后监测和事件处置。部署者承担不同义务，例如遵循说明、安排具备能力的监督人员、监测使用情况、保存受控日志，以及支持受影响个人的程序或数据保护程序。只有第 27 条指定的部署者和用途才需要开展基本权利影响评估，不是每一项高风险部署都需要。

通用模型与系统性风险

第 53 条要求通用人工智能模型提供者维护技术文档，向下游提供者提供集成所需信息，制定版权合规政策，并发布足够详细的训练内容摘要。欧盟境外的提供者还可能需要指定授权代表。符合条件的开源模型可以免除部分技术文档义务和下游信息义务，但版权政策与训练内容摘要义务仍然适用；系统性风险模型不适用这项豁免 (European Commission 2025)。

训练算力超过 10^25 FLOP，会构成高影响能力的可反驳推定，而不是自动作出的最终分类。提供者可以提交有依据的反驳；即使不以这项推定为路径，委员会也可以依据法定标准指定模型。通用人工智能系统性风险模型的提供者还必须开展模型评估、形成文档的对抗性测试，评估并缓解系统性风险，不得无故拖延地报告严重事件，并保护模型及其基础设施的网络安全 (European Parliament and Council of the European Union 2024; European Commission 2025)。

当前过渡时间表

分类记录中必须包含日期。已经制定的欧盟第 2026/1744 号《数字综合法案》于 2026 年 7 月 27 日生效，并修改了原有时间表 (European Parliament and Council of the European Union 2026)。

这张表只是一个时间点的快照，不是永久不变的事实。应当保留分析所依据的正式法案和合并文本。《数字综合法案》本身已经说明，不能把某个日期硬编码进上线清单后便停止监测。

角色会沿价值链转移

同一个组织可能同时承担多个角色。应按系统、市场和具体交易分别记录角色。

角色会因行为而改变。根据第 25 条，重新贴牌、实质性修改，或改变预期用途并使系统成为高风险系统，都可能让进口商、分销商、部署者或第三方成为提供者。采购合同可以分配证据与协作责任，但不能消除法定角色。

因此，供应商审查不能止于“这个模型合规”。还要问清楚：哪个法律实体针对哪个修订版本和预期用途作出了什么主张，以及本次集成是否改变了角色或分类。

美国：多重权限交叠，并非监管真空

截至本章审查日期，美国不存在一部适用于私营系统的综合性横向联邦 AI 法律，但这并不意味着法律真空。消费者保护、反歧视、就业、信贷、隐私、医疗、产品安全、知识产权、合同及其他行业规则，同样可以约束由 AI 参与完成的行为，就像约束由其他软件完成的同类行为一样。

联邦文件的适用范围也不相同。白宫管理和预算办公室备忘录 M-25-21 约束所涵盖的联邦机构自身使用 AI，并明确不为公众创设权利或义务。M-25-22 约束所涵盖的联邦采购，其要求可以通过采购和合同条款传递给供应商，但它并不是一部普遍适用于私营市场的 AI 法律 (Office of Management and Budget 2025; Office of Management and Budget 2025)。NIST 的《人工智能风险管理框架》和《生成式人工智能专章》以治理、映射、度量和管理四项职能组织自愿风险工作。它们不是法律，也不是 NIST 认证。只有当法律、法规、命令或合同纳入某项控制措施时，这项控制才会产生约束力 (Tabassi 2023; National Institute of Standards and Technology 2024)。

州法律必须逐个主体、逐个日期分析：

这些例子不能拼成一套全美通用的层级制度。加利福尼亚州的事件时限、科罗拉多州对不利结果的复核、伊利诺伊州对雇主使用的限制，以及联邦采购条款，分别依附于不同事件和主体。一项联邦优先策略或行政命令，本身并不等于认定所有州规则都无效。

国际文书与标准

欧洲委员会《人工智能与人权、民主和法治框架公约》是一项条约，设计目标是在满足生效条件后约束缔约方。公约于 2024 年开放签署，欧盟于 2026 年批准，但截至 2026 年 8 月 5 日仍未达到生效门槛。因此，登记时必须逐个参与方区分已签署或已批准，不能写成普遍可执行的现行法律 (Council of Europe 2024)。

OECD 人工智能原则是一项不具有法律约束力的理事会建议。它为人权、透明度、稳健性、安全、可追溯性和全生命周期风险管理提供共同词汇，但本身既不认证产品，也不创设报告义务 (Organisation for Economic Co-operation and Development 2024)。

ISO/IEC 42001:2023 规定了组织的人工智能管理体系要求。组织可以就明确界定的管理体系范围接受第三方认证。ISO 本身并不认证组织，证书也并不证明某个具体模型安全、正确或符合法律。除非法律或合同将其纳入，否则该标准属于自愿标准 (ISO/IEC 2023)。不同框架之间的对照表只能说明对应关系，不能证明等价。

由此可以区分两条彼此独立的轴线：

• 法律效力： 已制定的法律、具有约束力的规则、已经生效的条约、合同、指引、标准或自愿政策。
• 保证对象： 组织管理体系、系统分类、模型评估、数据权利、事件流程，或某一项具体法律要求。

一次严格的管理体系审计，仍可能很少涉及具体模型的行为；一次严格的行为评估，也可能完全没有覆盖数据权利。即使审查由独立机构完成，也不会因此自动成为法律意见。

既有法律仍然适用于系统

AI 专门法是在既有义务之上叠加要求，而不是取代它们。法律映射至少应涵盖：

• 数据保护与隐私。 GDPR 可能适用于收集、训练、推理、画像、数据主体权利、安全、影响评估、留存、删除和个人数据泄露报告。第 33 条规定的 72 小时泄露报告时限，与 AI 安全事件的报告时限并不相同 (European Parliament and Council of the European Union 2016)。因此，数据清单和删除证据应当与 第 59 章 一起维护。
• 消费者保护。 即使没有适用的 AI 专门分类，对能力、披露、价格、背书或安全作出欺骗性声明，也可能违反相关规则。
• 就业与信贷。 反歧视、通知、准确性、解释和复核规则，可能适用于具体决策和部署者，而不只是上游模型。
• 产品安全与责任。 AI 组件可能从其集成的产品继承行业义务和证据要求。
• 知识产权与合同。 版权、数据库权利、许可、条款、保密义务和商业秘密控制，会影响语料获取、输出使用、模型访问和证据共享。

版权没有全球统一答案

训练与语料获取必须分开分析，并且必须按司法辖区、来源、许可、用途和诉讼程序阶段分别分析。美国 2025 年的地区法院判决说明了为何不能轻率概括。Bartz v. Anthropic 对其审理范围内的训练用途认定合理使用，但把盗版副本的获取和留存分开处理。Kadrey v. Meta 根据案卷作出简易判决，并强调原告没有证明相关市场损害。Thomson Reuters v. Ross 涉及另一种与法律检索市场竞争的非生成式系统，法院驳回了合理使用抗辩 (United States District Court for the Northern District of California 2025; United States District Court for the Northern District of California 2025; United States District Court for the District of Delaware 2025)。

这些裁判都受特定司法辖区、具体事实和诉讼程序阶段限制。不能据此断言所有训练都属于合理使用，也不能据此认定某个具体语料库的获取方式合法，更不能回答其他国家的例外如何适用。和解不会创设判例。工程上的应对方式是维护来源记录：保留来源、获取方式、许可或例外分析、权利保留信号、数据变换、排除项、删除路径和模型修订版本。公开可访问不等于获得许可。

在欧盟，《人工智能法案》对通用模型版权政策和训练内容摘要的要求与版权法并行存在，但这些要求并不判定被纳入的每一部作品是否合法。训练内容摘要也不一定是逐行公开的语料清单。技术控制措施应落实实际采用的法律解释，包括在适用时处理权利保留，而不是自行发明一条全球通用的退出规则。

前沿模型自愿政策：有用、可修订，也有边界

前沿模型开发者会发布政策，把能力阈值、评估、防护等级，有时还包括安全论证，连接在一起。这类结构可以让发布理由更明确，也可以被法律或合同纳入。例如，加利福尼亚州 SB 53 要求受监管的大型前沿模型开发者发布、实施并更新一套前沿 AI 框架 (California State Legislature 2025)。

除非具有约束力的来源将某项义务纳入，否则这些公司文件仍属于自愿的自我治理。政策作者可以修订公司政策，内部管理层可以保留发布决定，公开评估机构也可能只获得限时访问。因此，Anthropic 的负责任扩展政策、OpenAI 的准备度框架和 Google DeepMind 的前沿安全框架，应当作为证据体系相互比较，不能当作法律 (Anthropic 2026; OpenAI 2025; Google DeepMind 2026)。

它们的共同模式仍然具有实用价值：

1. 在发布决定之前，先定义危害路径和能力阈值。
2. 在明确说明访问条件与外部支撑的前提下，运行旨在充分激发相关能力的评估。
3. 当阈值或不确定性规则触发时，采用部署防护和安全防护。
4. 编写安全论证，把证据、假设、剩余风险和批准决定连接起来。
5. 保留偏离政策之处、政策版本、审查人和最终决定。

政策是治理证据。它并不能证明阈值完整、评估激发了所有能力、防护措施可以泛化，或剩余风险可以接受。

把要求转化为证据

模型卡和数据说明书是有价值的文档模式 (Mitchell et al. 2019; Gebru et al. 2021)，但不能自动替代特定法律要求的技术文档、合格评定、影响评估、上市后监测计划或事件报告。可以复用其中内容，却不能把不同制品的名称视为可以互换。

可追溯链条应当明确写出：

来源条款及其版本
  -> 适用性与分类理由
  -> 要求与责任主体
  -> 技术或组织控制措施
  -> 制品与系统修订版本
  -> 审查人、批准、留存与主管机关访问
  -> 监测触发条件与报告时限

一项控制措施可以支持多项要求，一项要求也可能需要多项控制措施。映射必须保留这种多对多关系。还要记录负面证据，例如所依赖的例外、缺失的供应商证据、尚未解决的法律冲突，或某项控制未覆盖新的模态。

事件路由应当单独列表，因为不同报告时限不能相互替代：

一个事件可能同时触发多行。事件服务应按事实和司法辖区进行路由，保留知悉和发现时间戳，并由法律负责人决定哪些时限适用。

法律登记表

登记表应纳入版本控制，并与发布记录绑定：

legal_register:
  system_and_model_revisions: []
  intended_purpose_and_prohibited_uses: []
  markets_jurisdictions_and_effective_dates: []
  actors_roles_and_contractual_allocation: []
  legal_sources_status_and_versions: []
  classification_and_risk_category: []
  sectoral_and_horizontal_obligations: []
  data_sources_rights_and_retention: []
  required_controls_and_evidence: []
  assessment_registration_and_authority_contacts: []
  transparency_human_oversight_and_appeal: []
  monitoring_incident_and_reporting_clocks: []
  change_triggers_and_reclassification: []
  exceptions_conflicts_and_legal_owner: []
  last_review_next_review_and_approver: []

登记表旁边还应保存来源快照或稳定标识符。一个只写着“欧盟《人工智能法案》：绿色”的看板，如果没有条款、主体、用途、日期、证据和修订版本，反而掩盖了真正需要回答的问题。

回归场景

应像测试其他生产控制措施一样测试合规控制。至少对以下场景重新执行分类与证据检查：

• 市场扩张： 现有服务进入新的司法辖区。
• 角色变化： 经销商重新贴牌，或集成方作出实质性修改。
• 模型替换： 服务别名切换到新的基础模型或提供者，但相关证据没有更新。
• 新增预期用途： 通用助手被集成到就业、信贷、教育、医疗或公共服务决策中。
• 通用人工智能模型指定： 模型越过算力推定门槛，或被委员会指定。
• 开源条件： 许可、分发方式、商业化方式或系统性风险状态，使原先假定的豁免不再成立。
• 过期指引： 控制措施仍在引用已经撤回或被取代的官方指引。
• 期限转换： 某项条款开始适用，但已部署的修订版本没有变化。
• 标准撤回： 认证或合同仍然引用已过时或被撤回的标准版本。
• 事件时限： 同一事件触发隐私、AI 安全、合同和行业报告路径，而且起算时间各不相同。
• 主管机关要求： 组织必须在要求的范围内找到精确日志、文档和未经删节的证据。
• 留存冲突： 审计或诉讼保全要求，与删除请求或最小化保存计划发生冲突。
• 透明度标识： 后处理移除了机器可读标记或必须向用户展示的提示。
• 绕过人类监督： 产品更新移除了分类时所依赖的复核或申诉路径。
• 供应商证据： 上游提供者停止供应必要文档，或改变了合同中的责任分配。
• 司法辖区冲突： 一个市场要求披露的信息，受到另一份合同或另一项法律的限制。

每个场景都应明确检测控制、阻断行为、产生的证据、升级负责人和重新批准路径。没有发布阻断效果的警告，不算回归测试。

争议所在

若干边界仍未确定。登记表应当如实记录，不应把不确定性改写成绝对结论。

• 哪些系统应承担固定合规成本？ 广泛的文档与评估义务可以提高问责水平，但也可能偏向有能力吸收成本的组织。范围例外能够保护小型主体，也可能让后果严重的用途缺少治理。
• 算力能否代表能力？ 算力门槛可观测，却只是间接指标。算法效率、微调、工具访问和系统组合都可能改变风险，而原始训练算力不会以同样方式变化。
• 透明度应当开放到什么程度？ 监管机构和下游提供者需要证据，但公开披露也可能暴露个人数据、商业秘密、安全控制或危险能力细节。删节和监管机构访问规则只能缓和冲突，不能消除冲突。
• 独立保证究竟应当意味着什么？ 访问范围、抽样方法、适用标准、评估能力、利益冲突、整改权限和结果发布，都会影响审计强度。仅有独立性，并不会让一项范围有限的测试变得全面。
• 谁能控制开放权重系统？ 上游文档可以随权重一起传播，但下游微调、重新包装和部署可能改变预期用途、防护措施与法律角色，超出原提供者的观察范围。
• 版权规则何时才会稳定？ 不同司法辖区、获取方式、市场证据、模态和救济手段，仍可能得出不同结果。在法院和立法机关解决这些问题之前，产品设计必须保留调整空间。

下层约束

法律会通过具体设计要求触及每一层。数据权利分析会改变 第 6 章 和 第 59 章 中的语料准入与删除。技术文档义务需要 第 74 章 提供可追溯谱系。人类监督和申诉需要 第 56 章 提供产品与授权路径。透明度与事件义务会在 第 57 章 和 第 53 章 中增加运行时元数据、日志和路由。保密要求会限制哪些证据可以离开 第 60 章 所述的边界。留存和监管机构访问义务则会改变 第 65 章 中的存储、备份和检索。

这些约束也会带来成本和延迟。必需的复核路径、来源标记、日志、合格评定流程或特定市场部署都会增加工作。第 76 章 必须把这些工作计入成本，但成本并不能决定是否可以忽略一项适用义务。

合规必须经得起系统变更

合规备忘录只描述一个时点。合规运营则要持续维护一条完整链路，从当前事实和权威来源，一直连接到分类、控制措施、证据、审查、监测与重新分类。系统还要分清哪些主张是法律结论，哪些是官方指引，哪些是标准，哪些只是自愿承诺。

实用规则很简单：不存在抽象意义上“合规”的系统。具名组织需要用证据证明，某个具名修订版本在具名日期、具名司法辖区内用于具名用途时，依据具名来源满足已经识别的要求。任何一个名称或日期发生变化，合规结论都要重新打开。