欧盟AI法案合规指南：德国项目怎样识别角色、风险与证据

结论先行：AI Act合规不是给模型贴上“低风险”标签便结束。德国项目需要先界定具体AI系统与预期用途，再识别供应链角色、禁用做法、高风险领域、透明度规则和通用模型接口，并把数据、测试、说明、日志、人工监督与上市后管理连接起来。管理层应让每个判断都有条文依据、负责人和可更新证据。

从用途而不是模型名称开始

登记系统解决的任务、输入、输出、决策位置、使用者、受影响人群和部署环境。相同基础模型用于内部文案、招聘筛选或关键基础设施时，分类与后果可能完全不同。

明确哪些功能是真正AI系统，哪些只是普通软件或人工流程。边界不清时保留架构图、产品说明和判断理由，并让业务、技术与法务共同签字，避免单方为了销售便利缩小系统范围。

逐个法律主体分析开发、委托开发、品牌提供、进口、分销、部署、重大修改和预期用途改变。中国母公司、德国子公司、云厂商、模型提供者、集成商与客户可能同时形成多层责任。

把角色映射到合同、技术控制和对外名称。若德国实体以自己名称提供系统，或修改导致用途和风险变化，不能只引用上游免责声明；合同责任分配也不能消除法规直接规定的义务。

先检查禁止性做法，再核对附件与条文中的高风险场景，随后判断特定透明度义务和其他一般要求。分类表记录事实、版本、适用条款、排除理由和需要补证的问题。

不要因系统“只给建议”就自动排除高风险，也不要因使用生成式模型就一概认定高风险。关键在输出如何进入人员、信贷、教育、执法或基础服务等具体决策以及是否满足条文条件。

对高风险系统，把风险管理、数据治理、技术文档、记录、透明信息、人工监督、准确性、鲁棒性和网络安全分配给产品迭代。每项控制标明证据格式、批准人和与发布版本的关系。

对非高风险系统也处理AI素养、透明沟通、数据保护、合同和安全。合规范围较轻不等于无需治理，尤其当客户依赖输出、系统接触个人数据或可能造成显著业务损失时。

使用或提供通用模型时，分别记录模型层信息、下游系统用途、集成限制和双方所需资料。关注AI Office发布的正式解释、行为准则与模板，但不要把参加倡议视为自动满足全部法定义务。

下游团队需要模型能力、限制、训练与版权相关信息、评估和事件渠道；上游也需要知道重大集成变化。无法取得必要证据时，应限制用途、增加独立测试或选择可审计供应商。

法规适用、指南、标准和机构安排会分阶段形成。合规台账记录官方来源、公布状态、适用节点、系统影响和下一动作，不从媒体摘要推导统一期限。

产品每次改变模型、数据、功能、客户群或自动化程度时触发复核。重大事件、性能漂移、投诉和供应商通知进入统一升级流程，决定暂停、修复、告知或重新评估，并保存管理层依据。

本指南围绕德国AI项目的系统盘点、供应链角色、风险分类、透明度与合规证据整理执行顺序。EU AI Act、欧盟委员会、德国联邦机构及专业平台的一手资料已于2026年7月24日逐项核对；系统用途、合同角色、数据来源或模型版本变化后，应重新判断适用义务。

内容边界：不把通用法案说明延伸成机器CE、生产线安全或具体行政处罚预测。指南服务中国企业在德国布局AI产品、采购、投资与合作，不构成监管接受、项目获批、补贴取得、模型性能或商业回报承诺。