2024 年 3 月 13 日，欧洲议会通过《人工智能法案》。表决之后，舆论多集中在禁用清单与通用人工智能条款，但决定多数企业合规成本的是高风险系统的义务体系。按照法案安排，高风险义务自 2026 年 8 月 2 日起适用，附件一所列产品另有 2027 年 8 月 2 日的时间点。
高风险按用途划分
法案不按模型参数或技术路线划分风险，而按系统的实际用途。落入高风险的路径有两条：一是作为附件一所列产品的安全部件，二是属于法案列明的特定用途类别。同一套模型，用于内部文档摘要与用于招聘筛选，可能对应完全不同的义务。
这个划分方式带来一个实务难题：企业往往先有产品，再找用途描述。分类工作必须在产品定义阶段完成，否则到了合格评定环节才发现需要重构，成本会成倍上升。
义务的三层结构
高风险义务可以归为三层。
管理体系。 风险管理体系要求在产品全生命周期内持续识别、评估与缓解风险，不是上线前做一次评估。数据治理要求训练、验证与测试数据集具备适当的来源、代表性与偏差控制。质量管理体系则把这些要求固化为可审核的流程。
文档与记录。 技术文档需要说明系统设计、开发过程、训练方法与测试结果；记录保存要求系统在运行中自动记录事件，使事后追溯成为可能；透明度要求向部署者提供必要信息。
运行控制。 人类监督要求设计上保留有效的人工干预能力，而非仅写一句「有人负责」。准确性与鲁棒性、网络安全则要求系统在正常与异常条件下都能维持可接受的表现。
技术文档是能力的证明
把技术文档理解为一份说明书写得太窄。监管与公告机构看的是文档能否证明三件事：风险已被识别、控制措施确实实施、测试结果可以复现。文档与实际开发过程脱节，是最常见的失败点。
可行的做法是把技术文档与研发流程绑定：需求变更、数据版本、测试记录同步归档，模型更新时同步更新文档。这样在合格评定或客户尽调时，文档是现成的，而不是临时拼装。
CE 标记与公告机构
部分高风险系统需要公告机构参与合格评定，另一些可走内部评估程序。涉及公告机构的，质量管理体系通常也在审核范围内，现场审核关注的是流程是否真实运行，而非文件是否齐全。
CE 标记不是终点。标记之后仍有上市后监测、事件报告与变更管理的义务。产品迭代快的 AI 企业，容易在「重大变更是否需要重新评估」这一问题上出错，建议在变更管理流程中预设判断标准。
进入欧盟市场前的准备顺序
合理的顺序是先分类、再差距分析、最后补文档。分类决定适用哪套程序，差距分析决定资源投向，文档是前两步的产物。反过来先写文档，往往会写成一份与义务无关的材料。
时间上，2026 年 8 月 2 日看似尚远，但公告机构资源、测试周期与供应链配合都需要提前排期。对同时面向多个法域的企业，还需把欧盟要求与其他市场的规则对齐，避免重复建设。
涉及欧盟市场准入与高风险义务的评估，参见欧盟 AI 法案服务；多法域并行时的路径安排，参见多法域合规服务；系统的网络安全与事件响应，参见网络安全合规服务。
本文依据欧洲议会 2024 年 3 月 13 日通过的《人工智能法案》及公开信息编写，仅供参考，不构成法律意见。