01治理是一套决定系统，不是一份文档#gov-what-why
客户桌上那本《AI 管理办法》证明不了他有治理。治理像塔台放行，不像飞行手册——手册常年不变，放行每架次都要给一次。判断水位只看三样东西当场填不填得出来：
三格里哪一格填不出来，哪一格就是这家公司治理的实际水位——这是开场十分钟就能问出结果的一组问题。
一条用途从提出到退役，只有五个地方需要拍板
治理、安全、评估、运营是四条线
客户问「你们这套 AI 靠不靠谱」，把四件事塞进了一个问题里。先拆再答，是不答偏的起点。
| 这条线 | 管什么 | 产出 |
|---|---|---|
| 治理（本页） | 某条用途准不准用、由谁批、何时失效 | 带日期的决定与它的依据 |
| Security | 攻击面与防护手段、监管条目 | 威胁模型与四道闸 |
| Evaluation | 这条用途做得对不对、达没达标 | 评估集与分数 |
| AI-Ops | 上线后跑得怎么样、坏了怎么办 | trace、告警、回滚 |
四条线互为输入：治理要的证据来自评估与运营，治理给出的边界又约束安全与运营的动作。
「制度都写了，为什么还出事」
治理不保证不出事——不出事是防护和评估的活。它保证出事那天说得出谁批的、凭什么、当时接受了哪些残余风险，处置因此快得多。同样的道理反过来用：治理牵头的是法务还是技术不要紧，要紧的是他有权叫停。美国联邦那套把这份权力放在首席 AI 官（CAIO，Chief AI Officer）手里——高影响用途做不到最低要求就必须安全停用，个别要求的豁免由他书面批、每年重新确认、可随时撤销，批准或撤销后 30 天内报美国管理和预算办公室（OMB），且这份职责不得下放。
欧盟《人工智能法》第 26 条第 6 款：高风险系统的部署方保存系统自动生成日志的期限须与预期用途相称，且至少 6 个月——「半年后有人问起翻得出来」不是修辞，是条文。核实 2026-08-02，来源 欧盟《人工智能法》条文。不可外推边界：只覆盖高风险系统的部署方，只讲留存下限、不含日志内容与调取方式；该法各项义务的适用起点已经延后，具体时点只在 Security 那一册登记一次，本页不复制。
OMB M-25-21 的停用与豁免机制核实 2026-08-02，来源 OMB M-25-21 备忘录原文。不可外推边界：这是美国联邦机构管自己用 AI 的规则，不适用于企业；企业能借的是「谁有权叫停、豁免多久重新确认一次」这个骨架，条款照抄前须按自身法域裁剪。
02按用途登记，不按模型登记#gov-registry
清单建完就死，多半死在登记单元选错了。登记的是「谁在什么场景下用它做什么决定」，像药盒上的适应症，不是分子式。同一套权重、同一个 API key、同一条网关路由，只要落到两个决定上，就得是两条记录。
用途 A
给 HR 起草职位描述初稿，人来定稿。错了改一版，影响到此为止。
用途 B
给 500 份简历打分排序，低分不进面试。错了有人丢掉机会，且本人不知道。
按模型登记会怎样
两条并成一行，风险档只能取一个——要么把 A 管死，要么把 B 放过去。
法律也这么切
欧盟法案按预期用途分类，筛简历落在附件三第 4 类；同一批文案拿去定向投放职位广告，又落回名单。
六格填不满，这条记录就不能拿来拍板
字段不是越多越好，标准只有一条：少了这格，批的人没法拍板。
| 字段 | 填什么 | 空着会怎样 |
|---|---|---|
| 用途一句话 | 谁用它、给谁做什么决定 | 并成「用了大模型」，分不了档 |
| 业务负责人 | 出事时接电话、签风险的那个人 | 没人接，决定就悬着 |
| 影响对象 | 决定落在谁身上：候选人、客户、员工 | 填不出，说明还没想清楚 |
| 人在不在环 | 人是能推翻它，还是只点确认 | 这一格直接决定风险档 |
| 模型与数据 | 模型版本、供应商、喂了哪些数据 | 换模型时不知道该重审谁 |
| 失效条件 | 什么变化会让这次批准作废 | 批准变成终身有效 |
「模型版本」只是六格里的一格——它是这条记录的属性，不是记录本身。客户拿模型注册表来充 AI 清单，问一句就露底：这里每个模型，业务上对应哪几条用途？
欧盟法案给「影响对象」这一格加了硬约束：第 26 条第 7 款要求雇主在职场投用高风险系统前告知工会代表与受影响员工。核实 2026-08-02，来源 欧盟《人工智能法》条文。不可外推边界：讲的是义务落到谁头上，不含生效时点；时点见 Security 那一册。
NIST AI RMF（AI Risk Management Framework，AI 风险管理框架）把「有没有一套清单机制」单列为 GOVERN 1.6，配套 Playbook 建议：以政策定义清单的建立与维护流程、指定专人负责、范围至少覆盖全部模型或高风险场景中的系统，清单属性含文档、源码链接、事故响应计划、数据字典与责任人联系方式。核实 2026-08-02，来源 NIST AI RMF Playbook。不可外推边界：自愿性方法论建议，不是强制的清单字段要求，客户拿它当「合规清单模板」是误用。
影子 AI 靠挖不靠问
换模型是变更，改用途是新记录
判据只有一个：给谁做什么决定，变了没有。
新开一条记录
同一个助手从「内部问答」扩到「对外答客户」——影响对象变了，重走一遍分档与评估。
记成变更
模型从某版换到下一版，用途一字未改——挂在原记录下，触发复审但不新建。
责任也会跟着变
欧盟法案第 25 条：改了预期用途让系统变成高风险、贴上自己的名称或商标、对已上市系统作实质性修改，使用方就被视为提供方。
内部登记是母账，对外那几张表都从它取数
先把内部这本记全，对外的表才填得出来。反过来做，永远在补材料。
| 哪一本 | 谁要求的 | 登什么 | 对不上会怎样 |
|---|---|---|---|
| 内部用途登记 | 你自己 | 全部 AI 用途，含挖出来的影子 AI | 后面三本都没有底稿 |
| 欧盟数据库登记 | 欧盟法案第 49 条 | 附件三高风险系统；自认不高风险的也要登 | 登记与实际用途不符 |
| 中国备案与登记 | 网信办 | 对公众提供服务的模型与应用 | 路线判错，周期差几个月 |
| 美国联邦用途清单 | OMB M-25-21 | 各机构按用途公开清单，每年更新 | （拿来看别人怎么登） |
中国这条的路线分诊与周期见 用途登记与中国备案要求怎么对接，条目与时点在 Security 那一册，这里只强调一件事：三本对外的表都从同一本内部账取数，两头各记一份必然漂移。
OMB M-25-21（2025-04-03 发布，取代 M-24-10）要求各机构维护并每年公开更新 AI 用途清单，登记与报送单位是用途而非模型；国防部与情报体系另有安排。核实 2026-08-02，来源 OMB M-25-21 备忘录原文。不可外推边界：美国联邦机构自用规则，不适用于企业——它的价值是给你一份别人已经公开的登记样例，不是一份可照搬的义务。
登记表活不下去，是因为它没长在取用通道上
挂在钥匙上
没有登记记录，就不发 API key、网关不给路由。这是唯一真正管用的一招。
每月自动对账
拿网关日志和登记表对一次差集，有调用没记录的先挂起再补登。
字段能少则少
六格填得完，三十格没人填。每多一格，这张表就早过期一个月。
建在哪个系统里其实不重要，别新开一个没人登录的系统——挂在已有的工单或资产系统上最省事，让申请 API key 的流程顺手把六格填了。用途少到一只手数得过来时，一张表格就够，不必上平台；但只要有一条用途落到外部个人身上，这张表就得有，哪怕只有三行。
云替你收资产，替不了「谁批的」
云上能自动收的是有哪些资产；这条用途谁批的、什么时候失效，没有一个云服务替得了。三家的资产发现能力也不对等，别在方案里写成一句「云原生自动合规」。
| 能自动收的 | 收不到的那部分 |
|---|---|
| 云内在跑的模型、端点、Agent 与 MCP 服务器（Google Cloud Security Command Center，即 SCC 的 AI Protection，Standard/Premium/Enterprise 三层级可用、Enterprise 层级 2027-05-21 停用，MCP 服务器发现另需按项目启用 App Hub API） | 官方文档写明影子 AI 资源在控制台的 SCC 中不受支持——浏览器里那部分得靠别的路子 |
| 第三方 AI 站点的使用面（Microsoft Purview DSPM for AI，Data Security Posture Management，数据安全态势管理） | 需开按量计费，多数能力依赖浏览器扩展与设备接入，影子 AI 发现通常还要与 Defender for Cloud Apps 的云发现组合使用 |
| 模型版本与端点（SageMaker、Gemini Enterprise Agent Platform Model Registry） | 注册表不知道用途、负责人、影响对象与失效条件——那几格你自己建 |
| 控制项与技术证据的自动归集 | 「谁批的、凭什么」得人写；调用日志证明「谁调了」，证不了「这条用途被批过」 |
三云资产发现能力现状与 AWS Audit Manager 状态核实 2026-08-02，来源 各云官方文档。选型提醒：Audit Manager 官方文档页顶已公告不再向新客户开放（存量账号可继续用），别写进新方案；它的生成式 AI 最佳实践框架 v2 共 110 项控制（72 项自动 + 38 项手动、8 个控制集），覆盖 Bedrock 与 SageMaker AI，文档同时声明这些控制不用于验证系统是否合规、也不保证通过审计。不可外推边界：这是各云当期能力，不代表三家覆盖面对等或可互换；这一类事实按 30 天节奏复查，出方案前逐项对当期官方文档。
03组织风险分层与法律分类是两把尺子#gov-risk-tiering
「我们这个算不算高风险」是两个问题，分开答才答得准。一把量法定义务，一把量内部流程——像海关申报与自家安检，过了一个不免另一个。
欧盟四档里，只有一档真的会改你的架构
| 档位 | 是什么 | 对企业意味着 |
|---|---|---|
| 禁止 | 社会评分、职场与学校的情绪推断等 | 不能做，没有合规方案 |
| 高风险 | 附件三 8 个领域，按预期用途对号 | 一整套义务，会改架构 |
| 透明度 | 聊天机器人、合成内容标记 | 要告知、要打标，多是产品侧的事 |
| 最小风险 | 其余绝大多数用途 | 按自家规矩走 |
禁止清单出自第 5 条，职场与教育机构的情绪推断有医疗或安全用途的例外；透明度义务出自第 50 条。附件三 8 个领域依次是：生物识别、关键基础设施、教育与职业培训、就业与劳动者管理、基本公私服务与福利的可及性、执法、移民庇护与边控、司法与民主程序。跟企业最相关的四类：就业（招聘筛选、评估候选人、绩效与晋升）、信用评估与信用评分（欺诈检测除外）、人寿与健康保险的风险评估与定价、教育（入学录取与学习成果评估）。
落在名单里还有四个出口，但用了要自证
欧盟法案第 6 条第 2 款与第 3 款、附件三、第 5 条、第 50 条核实 2026-08-02，来源 欧盟《人工智能法》条文。不可外推边界：这是分类规则，不等于某个产品的合规结论；这里读的是原始刊登文本，修正版次、义务生效时点与执法节奏只在 Security 那一册登记一次，本页不复制。
内部定档看四个变量，不看用没用大模型
| 变量 | 怎么打这一档 |
|---|---|
| 影响谁 | 决定落在外部个人身上，比落在内部流程上高一档；本人不知情、没处申诉，再加一档 |
| 可不可逆 | 发出去的钱、删掉的数据、发出的邮件收不回来；可逆的错误便宜得多 |
| 人在不在环 | 人是能推翻它，还是只点个确认？走过场的复核，按「没有人在环」算 |
| 爆炸半径 | 它能碰到多少系统、多少数据，自主度越高越大 |
四项各打一档取最高。这样吵架就吵在变量取值上，不是吵「我觉得还好」。美国联邦那套的判据值得抄一句：输出是不是这次决定的主要依据。
OMB M-25-21 对「高影响 AI」的判据是：其输出成为对权利或安全具有法律、实质、约束或重大影响的决定或行动的主要依据，有没有人工监督不改变这一判定；备忘录另列 15 类推定为高影响的用途，机构若认定其中某个用途实际不属高影响，须书面报首席 AI 官备案。核实 2026-08-02，来源 OMB M-25-21 备忘录原文。不可外推边界：这是美国联邦口径，不能直接套到企业或他国分档——能借的是判据的写法，不是那份 15 类清单。
两把尺子错配的三种情形
| 情形 | 例子 | 该怎么办 |
|---|---|---|
| 法律不管，组织高危 | 内部裁员名单预筛，不对外 | 法律没名单，风险照样在，按最高档走 |
| 法律管，业务觉得低危 | 「不就是个招聘助手」 | 名单上有名字就按名单来，感觉不作数 |
| 法定义务被删了 | 科罗拉多改法删掉了影响评估义务 | 义务没了风险没变，别顺势撤内部流程 |
第三种最容易让人松劲，也最该在客户面前说清楚：法律是底线不是目标。错误的简历筛选照样让人丢掉机会，删掉的是别人写在纸上的义务，不是这件事本身的风险。
科罗拉多州 SB26-189 于 2026-05-14 签署、义务 2027-01-01 起，取代 2024 年的 SB24-205：框架从「高风险 AI 系统」换成面向自动化决策技术的告知、解释与人工复核要求，部署方的影响评估与风险管理程序义务被删除。反向的例子是纽约市第 144 号地方法（Local Law 144）：自动化雇佣决策工具要每年做独立偏见审计并公开摘要，使用前至少提前 10 个工作日告知候选人，一直没松。核实 2026-08-02，来源 州与市两级立法原文与实务解读。不可外推边界：SB26-189 只管科罗拉多一州，第 144 号地方法只覆盖纽约市的用工场景，两条都不是通用口径；美国单州立法还在变，别当终局。
用途分诊器：这个用途该走哪一档
把两把尺子连着走一遍：勾完这条用途的属性，得到组织风险档、法律分类结论、必走的那几步（影响评估／独立复核／登记／告知）和证据包该含哪几件。判据全部来自本页正文，不新增事实。这是分诊，不是合规意见——法定结论以当期法条与你的法务口径为准。
04影响评估在架构冻结前做#gov-impact
影响评估交出来的不是一份存档文件，是几条会改架构的约束——人在环插在哪一步、留什么日志、给不给申诉入口、数据能不能按人删。这四件在架构冻结前提出来是设计输入，冻结之后再提就是拆墙。它的结论也不是「安全」，是谁接受了哪些残余风险，并且签了字。
晚一步为什么就白做
产出的四条约束
人在环放哪
复核插在推荐之后还是执行之前，是两套接口。上线后再插，等于重做一遍流程。
留什么日志
要能复盘一次决定，就得留下当时的输入与依据。事后补日志，补不出历史。
申诉入口
被拒的人怎么找到人工复核。没预留入口，只能靠人工救火。
能不能删
数据要能按人删除，会反过来约束怎么存、怎么训。冻结后再谈删除，代价最大。
六格写不全，这份评估就签不出字
欧盟法案第 27 条和美国那份联邦备忘录列的清单高度重合，取交集就够用。六格不是模板，是六个必须有人回答的问题。
| 要写的 | 具体是什么 | 漏了会怎样 |
|---|---|---|
| 用在哪、用多久 | 这条用途嵌在什么流程里，多久用一次 | 评的是想象中的系统 |
| 影响谁 | 会被这个决定落到身上的人群 | 风险大小算不出来 |
| 什么伤害 | 写具体：被误拒、被多收费、被泄露 | 没法设控制措施 |
| 人怎么盯 | 复核插在哪一步，能不能推翻结论 | 人在环变成走过场 |
| 出事怎么办 | 伤害真发生时的补救与申诉路径 | 事后临时想办法 |
| 谁签字接受 | 独立于开发的人复核，风险接受人签名 | 没人担，等于没结论 |
美国那份还多要两格：与现有流程相比的收益与成本、重评的时间表与触发条件。拿哪一份当模板都行——这六格与 ISO/IEC 42005:2025（AI 系统影响评估指南，ISO/IEC 42001 的配套件）的评估文档要求同源。
欧盟法案第 27 条基本权利影响评估（FRIA，Fundamental Rights Impact Assessment）的内容清单与适用主体、第 3 款报送与第 4 款「可交叉引用或纳入数据保护影响评估（DPIA，Data Protection Impact Assessment）的相关部分」，以及 ISO/IEC 42005:2025（2025-05-28 发布，第 1 版）核实 2026-08-02，来源 欧盟《人工智能法》条文、ISO/IEC 标准条目。不可外推边界：第 27 条只压在受公法管辖的机构、提供公共服务的私营主体，以及信用评分与人寿健康保险的部署方身上，其余部署方法律不强制自己做；起算时点在 Security 一处登记，本页不复制一份。ISO/IEC 42005 是指南性标准，不产生合规资格，也不能当认证依据。
结论不是「安全」，是「谁接受了哪些残余风险」
把「有没有风险」这种没法证伪的问法，换成五步能对答案的动作。
「独立复核」不是走个流程
美国那份联邦备忘录把这件事写得最死：影响评估须在部署前完成、并在生命周期内定期更新，文档里要有未参与开发的独立复核人出具的意见，意见原样留档并交给风险接受人，末尾是风险接受人签名。牵头的可以是业务负责人，复核的人必须没参与开发——这一条兼不了。
美国管理和预算办公室 2025-04-03 发布的 M-25-21 备忘录对高影响 AI 的七条最低风险管理实践、影响评估文档要求与独立复核条款，核实 2026-08-02，来源 OMB M-25-21 原文。不可外推边界：这是美国联邦机构自用的义务，不适用于企业；企业照抄前须按自身法域裁剪，也不因此产生对客户的合同责任。
它不解决什么：三个最常见的误用
这一段比前面几段更值钱——它决定你在客户面前不会把话说满。
它不是评测
它答「会伤到谁、怎么兜」，不答「准不准」。准不准是评估集的活。分数很高，照样可能有严重的影响问题。
它替不了数据保护影响评估
法条允许引用其相关部分，不是取代。两份盯的对象不同：一个盯数据怎么收怎么存，一个盯这个决定落到人身上会怎样。
它不是一次性的
换模型、扩人群、加权限都要重评。归档之后再没人看，是最常见的死法——什么变化必须触发重评，见变化触发。
05五种决定：批准、条件批准、例外、暂停、退役#gov-decision
同一句「先别上」，背后可能是五种完全不同的处置。只给「能」和「不能」两个答案，等于把中间那三种藏进沉默里——藏起来的不是决定，是风险。「不批准」是缺省答案，它不需要设计，也不占一格；需要设计的是这五种，以及它们之间怎么迁移。
五种决定之间怎么迁移
| 决定 | 什么时候给 | 必须同时写下 | 有效期 |
|---|---|---|---|
| 批准 | 风险已知，现有控制够用 | 批的是哪个用途、哪个版本 | 到下次复核日 |
| 条件批准 | 可以上，但有几件事没做完 | 条件、验收句、日期、负责人 | 条件到期即失效 |
| 例外 | 不满足某条要求，业务仍决定做 | 偏离了哪一条、补偿措施 | 最短，通常按季 |
| 暂停 | 出现新证据，先停下再说 | 停哪些流量、谁能恢复 | 到复评结论出来 |
| 退役 | 不再使用，或被别的方案替换 | 停用日、证据封存、通知谁 | 义务可能还在跑 |
条件批准最常用，也最容易写成一句空话
「加强监控后上线」这种条件，三个月后没人能判定它做到没有。区别条件批准和「先上线再优化」的，是三样写死的东西。
验收句
条件要写成一句能判真假的话，别用「加强」「优化」。反例：加强人工抽检。正例：每周抽检 200 条，误拒率低于 2%。
到期日
条件必须带日期，到期没做到就自动降回暂停。没有日期的条件，六个月后会变成「一直在推进」。
守门人
写名字，不写部门——部门不会在周五下午点头。判定的人最好不是提条件的人，也不是交付的人。
一个例子
筛简历模型的条件是：头两个月所有被拒简历人工复核。两个月到期复核率不达标，用途自动降回暂停，不用再开会。
例外的价值在于把风险从暗处搬到桌面上
例外是什么
明知不满足某条要求，业务上仍决定先做，并把这件事记下来。它承认的是一次取舍，不是承认那条要求不重要。
三样必备
偏离了哪一条、为什么、谁批的。补偿措施：这条控制不做，改用什么顶上。到期日通常按季，不给「长期例外」。
怎么看健康
该盯的是过期未清的例外条数，不是例外总数。总数为零而事故照出，说明例外都躲在暗处。
边界
例外挡不住法定义务——法律要求的那几条给不了例外。例外也不能用来绕开「谁有权批」，只能绕开技术要求。
暂停按钮要先接好线
临时找人、临时想办法，就是事故被拖长的那几个小时。
停用机制要事先建好并指定责任人，出自 NIST AI 风险管理框架 MANAGE 2.4；高风险系统的部署方发现使用可能带来风险时须及时（无不当延迟）通知提供方或分销方以及市场监管机构，并暂停使用，出自欧盟人工智能法案第 26 条第 5 款。核实 2026-08-02，来源 NIST AI RMF Playbook、欧盟《人工智能法》条文。不可外推边界：NIST 那条是自愿性框架条目，不等于法定停用义务；欧盟那条只约束高风险系统的部署方，不覆盖全部 AI 应用，适用时点在 Security 一处登记。
退役最少被设计，义务却常常在停用之后还挂着
「不用了」不是一个动作，是四件必须做完的事。
停流量
先断入口，再下线服务；留一段只读期用来回溯。
封证据
模型版本、评测报告、日志按法定年限封存，不随服务一起删。欧盟法案要求高风险系统的技术文档，投放市场后保存十年。
通知人
受过这个系统影响的人、监管，以及依赖它的下游。纽约市 Local Law 144：招聘工具停用后，摘要还要挂满六个月。
处置资产
模型权重、微调数据、向量索引各自的去向要写明。别让「退役」变成「没人再看，但服务还在跑」。
欧盟人工智能法案第 18 条技术文档保存 10 年、纽约市 Local Law 144 实施细则 §5-303(c) 要求偏见审计摘要在该工具最后一次用于雇佣决定之后继续公示至少 6 个月，核实 2026-08-02，来源 欧盟《人工智能法》条文、美国各州与地方法规。不可外推边界：10 年只覆盖高风险系统的文档，不是全部证据的年限，且欧盟这套的适用起点已延后，当期时点在 Security 一处登记、本页不复制；LL144 只管纽约市的自动化雇佣决策工具，不是通用年限。各类证据分别留多久，见证据包那张留存期轴。
谁能拍板看的是用途的暴露面，不是模型大小
同一个模型，写职位描述和筛简历，走的是两条授权线。
| 用途档位 | 典型例子 | 谁作决定 | 独立复核 |
|---|---|---|---|
| 低 | 内部写作助手、会议纪要 | 业务负责人自批 | 不要求，抽查 |
| 中 | 对外客服问答、检索问答 | 业务与风险两签 | 上线前一次 |
| 高 | 筛简历、授信、医疗建议 | 治理委员会 | 独立方，逐版本 |
| 法定高风险 | 落进法规清单里的用途 | 委员会加法务 | 按法规要求走 |
客户常问「我们已经有上线审批流程了，为什么还要单开一套」。上线审批问的是「做完没有」，治理决定问的是「这个用途能不能用、条件是什么」——同一个模型换个用途，代码一行不改，风险却换一档。可以共用工单系统，不能共用一张表。发布门禁、金丝雀这些技术动作在别处，这张表只管谁有权说话。
「重要性由模型用途与暴露共同决定」出自美联储 2026-04-17 发布的 SR 26-2，该文取代 SR 11-7 与 SR 21-8；核实 2026-08-02，来源 美联储 SR 26-2。不可外推边界：这是美国银行监管口径，不适用于非受监管企业；SR 26-2 脚注明确写明生成式与代理式 AI 模型不在本指引范围内，能借的只有它的分层思路，不能拿它当生成式用途的合规依据。
06证据包怎么组装#gov-evidence
证据包的标准只有一条：让不在场的人能重做这次判断。它更像一本实验记录本，不像交上去的作业。判断一份材料算证据还是算背景，用三个判据就够。
常见的假证据
截图、汇报 PPT、供应商白皮书——它们说明有人做过事，答不了「换个人来看，会不会得出同样的结论」。厂商的模型卡证明的是模型在厂商测试条件下的表现。
顺序反了最伤
证据是决定的输入，不是决定之后补的材料。补出来的证据包，最容易在第一次真出事时全线垮掉。
一个用途的证据包，少于这六件就没法拍板
六件不是模板，是六个必须有人回答的问题。深浅按用途档位缩放——档位低的可以写得短，但不能少件。
| 证据件 | 它回答哪个问题 | 谁出 | 缺了会怎样 |
|---|---|---|---|
| 用途说明与边界 | 用在哪、明确不用在哪 | 业务方 | 下次扩用途时无从判定 |
| 影响评估 | 会影响谁、最坏是什么 | 业务与风险 | 风险只剩技术那一半 |
| 评测报告 | 在我们自己的数据上多少分 | 交付方 | 只剩厂商宣传口径 |
| 数据来源与权限 | 数据哪来的、谁有权看 | 数据方 | 越权检索没人负责 |
| 人在环上的设计 | 哪一步人能改、能拒 | 业务方 | 出错时没人能兜 |
| 监控与日志接线 | 上线之后靠什么看得见 | 平台方 | 事后什么都复核不了 |
「模型很强」不是证据，「在你这份集上多少分」才是
同一个模型换一份评测集，分数可以差出两档。
哪一档要附什么
低档：抽检记录加一句结论就够。中档：自有评测集跑一轮，谁做的评测要标明。高档：评测由独立方做，再加一份红队报告。
证据绑版本
评测报告上要写死模型版本和提示版本。任一换版，这份报告对新版就不作数——换版没重测，用途按原条件降回暂停。
多久重测一次
报告要写有效到哪天，到期没重测就当没有。高档用途通常按季重测，低档跟着换版走。
这里只管一件
评测集怎么建、判官怎么校准是另一册的活。本册只问：这份结果够不够支撑这一次决定。
证据留多久，法规已经替你写死了几个数
先查这条用途落在哪几部法上，按最长那条设，再往下减；反过来做，补不回已经被删掉的那一段。第二件事是去对云上的默认值——默认保留期常常比法定要求短一个数量级。
补差额
把法定年限减去云上默认值，差出来的天数写进方案，不是写「需要进一步梳理」。差额是一个具体天数。
锁不可改
对象存储的保留锁，让日志到期前删不掉。锁保证删不掉，保证不了内容是对的。
记退役后
有几条年限从「停用那天」起算，不是从上线那天起算——退役清单里那件「封证据」就是接这条的。
欧盟人工智能法案第 18 条（技术文档自投放市场或投入使用起保存 10 年）、第 19 条与第 26 条第 6 款（自动生成日志按与预期用途相称的期限保存，至少 6 个月）、纽约市 Local Law 144 实施细则 §5-303(c)（摘要在最后一次用于雇佣决定之后继续公示至少 6 个月），核实 2026-08-02，来源 欧盟《人工智能法》条文、美国各州与地方法规。不可外推边界：10 年与 6 个月只覆盖高风险系统那条线，不是全部证据的年限；6 个月是下限不是上限，个人数据保护法可能要求更长；欧盟这套的适用起点已延后，当期时点只在 Security 一处登记，本页引用不复制。LL144 只覆盖纽约市的自动化雇佣决策工具。
Google Cloud Logging 的 _Required 桶固定保存 400 天且不可配置，_Default 桶默认保存 30 天，项目内的 _Default 与自定义桶可配置为 1 至 3650 天；Amazon Bedrock 的模型调用日志默认关闭，需手动开启并指定 CloudWatch Logs 或 S3 目的地；Google Cloud 的数据访问审计日志默认关闭（BigQuery 除外），管理活动审计日志始终开启且不可关闭；AWS Audit Manager 自 2026-04-30 起不再支持在新账号中启用，停用服务后已收集的证据保留 2 年。核实 2026-08-02，来源 各云官方文档。不可外推边界：这些是各云当期的默认开关与该服务的生命周期状态，30 天一查；不代表你这个项目现在的实际设置，也别外推到其他云的合规工具。
一份证据最值钱的一句，是它证明不了什么
写不出这句话，说明还没弄清它的适用范围。格式固定：这条结论支持 ___ 的判断，不支持 ___ 的判断——写不出来，这份材料就还不能进包。
评测报告
支持「这份集上的表现」的判断，不支持「生产分布上的表现」的判断。不能外推到没测过的语种、渠道和客群。
红队报告
支持「这些攻法当时没打穿」的判断，不支持「换个攻法也打不穿」的判断。模型或提示一换版，这份结论就要重做。
影响评估
支持「那一刻想清楚了谁会受影响、最坏是什么」的判断，不支持「控制真的建起来了」的判断——那要看监控与抽检记录。
合规平台的自动取证
技术类控制能自动取证，流程类还得人工。AWS 文档写明：这套控制项不用于验证系统是否合规，也不保证通过审计。
这条纪律对着客户也照用。客户要证据包时，能给的是结论与边界——评测口径、有效期、它证明不了什么；原始日志和评测集样本涉及数据权限，按数据分级和合同走，给之前先问清他要拿给谁看。
上云怎么落地
证据包特有的三格，同一环节给多厂商代表选项，不绑死单一供应商。用途注册表与调用日志那两格在按用途登记一节，这里不重列。
| 技术环节 | 代表性云服务（多厂商，非绑定） | 给客户一句话 | 该追问什么 | 责任边界 |
|---|---|---|---|---|
| 证据归档与检索 | S3、Azure Blob、GCS 归档层加标签 | 证据要能按用途和版本翻出来 | 三年后审计来问，谁去翻、怎么翻？ | 云存得下，索引字段得你自己定 |
| 保留期与不可删改 | S3、Azure、GCS 三家都有对象锁 | 默认保留期普遍短于法定年限，差额自己补 | 你们受哪条年限约束？现在设了多少天？ | 锁保证删不掉，保证不了内容是对的 |
| 评测结果绑版本 | Model Cards、Azure ML 实验记录 | 评测报告要挂在一个版本号上 | 换版本时，旧报告会被标失效吗？ | 平台记得下指标，绑用途要自己接 |
三家对象锁的产品名分别是 S3 Object Lock、Azure 不可变 Blob（时间保留加法务保留）、Cloud Storage Bucket Lock；Model Cards 在 SageMaker 与 Vertex AI 都有。核实 2026-08-02，来源 各云官方文档。不可外推边界：这是当期的产品名对照，不代表几家能力对等或可一一互换；服务能力、默认值与生命周期状态会月级变动，出方案前按当期官方文档逐项复核。
07什么变化让原来的批准失效#gov-change-triggers
批准批的不是一个模型，是一组前提——这辆车、这条路、这个司机，换掉一样就不是原来那件事了。前提有四条腿：
失效分两种：主动失效是有人改了东西，触发重新决定；被动失效是什么都没改，批准到期了也得再看一次。最危险的那类变化不带代码改动——版本升级看得见，用途扩展看不见，后者出的事更多。
六类变化会让批条失效，各自该做的事不一样
| 变化 | 典型信号 | 该做什么 | 谁发起 |
|---|---|---|---|
| 用途扩展 | 同一模型被接到新场景 | 重新分档，可能重做评估 | 业务方 |
| 模型或版本换 | 换厂商、换版本、改提示 | 按档位复评，重跑评测 | 交付方 |
| 数据变了 | 新数据源、权限范围变 | 查权限与来源合法性 | 数据方 |
| 人退出环 | 人工复核从必选改可选 | 按高一档重新判定 | 业务方 |
| 供应商变更 | 退役公告、默认参数改动 | 确认影响面，排迁移 | 平台方 |
| 法规变了 | 分类、义务或时点调整 | 重对法律分类 | 法务 |
「重新评估」不是一个档位，是三个：只登记、局部复核、重新完整评估。把复评做成一件小事，它才会真的被做。
最隐蔽的一种：代码一行没改，风险换了一档
从调用侧看
同一把密钥出现没登记过的调用来源——技术上最早的那个信号，通常比业务方主动报备早几周。
从合同侧看
新场景先进需求单，不进变更单：业务当它是新功能，治理这边一个字都没收到。
监管也这么看
SR 26-2 写得直白：把模型用到预期用途之外会带来额外的不确定与风险。它给的动作是补做分析、复核现有控制，不是默认放行。
发现之后改哪一格
新用途另开一条登记，重走分档与评估。旧批条不作废，但它盖不住新用途——那条流量先停到批下来。
还有一层要提前跟客户说清：改变用途使系统变成高风险，你的身份会从部署者翻成提供者，义务跟着换一套（怎么换见下一节）。这件事由「改用途」触发，不由合同措辞决定。
「把模型用到预期用途之外」的表述核实 2026-08-02，来源 美联储 SR 26-2（Model Use 一节）。不可外推边界：这是美国银行业监管里的稳妥做法表述，不是强制条款，也不适用于非受监管企业；生成式与代理式 AI 明确不在这份指引范围内。
「实质性修改」有法律定义，不是你说了算
定义三要件（同时成立）
投放市场或投入使用之后发生的更改；初次符合性评估里未预见、未计划；影响了合规性，或改变了已评估的预期用途。
关键豁免
初次评估时已预先声明并写进技术文档的变化，不算实质性修改。持续学习与定期重训想不触发重评，就得在第一次评估时把变化范围写清楚。
这条定义会直接改两个决定：架构上，「模型会怎么变」要提前写成可声明的范围，而不是事后解释；商务上，重评估的成本与周期要提前算进合同，别等触发了再谈变更单。
第 3(23) 条定义与第 43(4) 条豁免核实 2026-08-02，来源 欧盟《人工智能法》第 3、25、43 条。不可外推边界：这套定义只在高风险系统那条线上成立，别拿去套所有 AI 应用；中国口径要另看备案与登记规则，见本页第 9 节与 Security 第 8 章。
接口没变、行为变了：治理接的是告警之后那一步
漂移怎么被发现是运维侧的事，这里从告警响了开始——先分清是哪一种，再判档。
| 收到的信号 | 按哪条走 | 复评期间怎么处置 |
|---|---|---|
| 同名模型换了权重 | 按「模型换了」走 | 没出结论前：高档用途限流，低档照常跑。退役公告给的是迁移窗口，复评要在窗口内跑完 |
| 旧版本要退役 | 按「模型换了」走 | |
| 平台改了默认参数 | 先看能力边界动没动：只是分数上下波动，登记一笔就够；边界变了才按重新评估走 |
结论落地只动两处：批条上的模型版本改掉、旧批条标失效日；证据包里重开的是评测报告和监控接线，用途说明沿用——这也是局部复核能便宜下来的原因。
法律基础本身也会变
科罗拉多那部 AI 法就是现成的例子：原法（SB 24-205）原定延期至 2026-06-30 生效，被起诉后法院准许暂缓执法；替代法 SB 26-189 于 2026-05-14 签署、废止并重订原法条款，原法义务未及生效，新法义务自 2027-01-01 起，框架从算法歧视与注意义务转成披露与权利型。批条里要写清依据的是哪一版，否则法条一换，没人说得出哪些用途需要回炉。
科罗拉多的立法变动核实 2026-08-02，来源 科罗拉多州议会法案页与法律分析。不可外推边界：只管科罗拉多一州，而且还在变，别当终局；新法删掉的是部署方的法定义务，不是风险本身。
08各框架分别能证明什么、不能证明什么#gov-frameworks
客户把一摞证书和框架名摆到桌上，问的其实只有一句：这些能不能兑现「我们合规了」。把这些纸当体检单看——血常规正常，不代表这个人没病。没有一张纸能证明「这个用途现在是安全的」，每张纸只答它自己那一格。
五张纸，各答一格
| 这张纸 | 谁出的 | 能证明什么 | 不能证明什么 |
|---|---|---|---|
| ISO/IEC 42001 证书 | 第三方认证机构 | 组织有一套 AI 管理体系在运转 | 不给任何单个用途做背书 |
| NIST AI RMF 自评 | 自己填，无认证 | 按统一骨架把风险盘过一遍 | 谁都能自称做过，无人核验 |
| 欧盟符合性声明 | 提供者自己签署 | 该高风险系统满足法定要求 | 只覆盖法律点名的那张清单 |
| SR 26-2（原 SR 11-7） | 美国银行监管三家 | 模型有独立验证与有效挑战 | 生成式与代理式明确不在范围 |
| 年度偏见审计 | 独立审计方 | 某工具某时点的选择率比值 | 换版本即失效，不等于公平 |
对客话术差在一个词上：客户说「我们过了 42001」，你要接的是「那这个用途的记录是谁批的、凭什么证据、什么时候复核」——体系证书答不了这三问，而这三问恰恰是采购真正要的东西。
SR 11-7 与 SR 21-8 已于 2026-04-17 被 SR 26-2 与 OCC Bulletin 2026-13 取代，核实 2026-08-02，来源 美联储 SR 26-2 官方页、NIST AI RMF 与 Playbook。不可外推边界：SR 26-2 是美国银行业监管口径，只对受监管机构，不是通用治理标准；修订版把生成式与代理式 AI 以「新颖且快速演进」为由排除在适用范围外，那一块得用自己的治理接住，别指望它兜底。
42005 教你怎么做评估，42006 管的是审你的那个人
42005 给你用
2025-05-28 发布，讲 AI 系统影响评估怎么做——什么时候做、在生命周期哪些阶段做、留什么文档。不认证、不需要外部审核。
42006 管审核方
2025-07-07 发布，规定认证机构的审核员能力与审核工时怎么算。它约束的是发证那一方，不直接落到你身上。
拿到证书先看两行
证书上的适用范围是企业自己划的，看它圈没圈你要买的那个系统；再看发证机构有没有对应的认可资质。
两份标准的发布日期与定位核实 2026-08-02，来源 ISO/IEC 42005 与 42006 出版物页。不可外推边界：42005 是指导文件，不产生合规资格、不能当认证依据；42006 约束的是发证机构，用户组织拿它证明不了自己什么。
义务不看合同怎么写，看你实际做了什么
| 身份 | 主要义务 | 要留多久 | 一句话陷阱 |
|---|---|---|---|
| 提供者（provider） | 技术文档、日志能力、符合性声明 | 文档 10 年，日志至少 6 个月 | 把系统卖出去不等于责任卖出去 |
| 部署者（deployer） | 按说明书用、指定有能力的人做人工监督 | 日志至少 6 个月 | 告知劳动者与被影响的人也是义务 |
| 变身（第 25 条） | 贴自己牌子、做实质性修改、把非高风险改成高风险 | 按提供者算 | 合同写「我们只是用户」不管用 |
同一套系统，身份不同，要留的东西完全不同。所以对客第一件事不是讲框架，是先把双方身份定下来，再列出改成什么样会触发身份互换——那张互换清单就是变更触发清单的法律那一半。
身份认定与留存期核实 2026-08-02，来源 欧盟《人工智能法》第 18、19、25、26 条。不可外推边界：10 年与至少 6 个月只覆盖高风险系统那条线，不是所有证据的通用年限，日志那条是下限不是上限；这批高风险义务的适用起点已经延后，具体时点在 Security 第 7 章登记一次，本册只引用、不复制。
同一个模型，写招聘文案和筛简历要分成两条记录
贯穿本册的那个例子，摆到四张纸上就散开了——这也是「按用途登记」最容易讲通的一次演示。
| 这一步 | 写职位文案 | 筛简历与排序 | 为什么不一样 |
|---|---|---|---|
| 欧盟风险分类 | 只做文案生成落透明度义务 | 附件三 4(a) 点名，高风险 | 定向投放招聘广告也算在内 |
| 要不要 FRIA | 不要 | 公共部门或公共服务部署者要做 | 第 27 条按主体加用途双条件 |
| 偏见审计 | 不适用 | 纽约市用工场景要年度审计 | 落在「就业决定」这一步 |
| 42001 证书 | 覆盖不到这一格 | 覆盖不到这一格 | 体系认证不给单个用途背书 |
基本权利影响评估（Fundamental Rights Impact Assessment，FRIA）的适用主体是：受公法管辖的机构、提供公共服务的私营主体，以及附件三 5(b) 信贷评估、5(c) 人寿与健康保险风险评估定价的全部部署者。不在这三类里，不等于其他部署者的义务就没了——只是不走 FRIA 这一件。
附件三 4(a)、第 27 条适用主体与纽约市偏见审计核实 2026-08-02，来源 欧盟《人工智能法》附件三与第 27 条、纽约市 Local Law 144。不可外推边界：LL144 只覆盖纽约市岗位的用工场景，不是通用的公平性证明；一次审计报的是某工具某时点的选择率比值，换版本、换人群就不成立，交代公平性得说清多久重测、超阈值时谁有权停。
09用途登记与中国备案要求怎么对接#gov-china-interface
内部按用途登记的那张表，怎么跟按服务走的备案对上？备案数的是盒子，你的表数的是盒子里的每件东西——两把尺子，量的不是同一个东西，所以必须靠一列编号把它们钉在一起。
两把尺子分别量什么
| 算法备案 | 用途登记 | |
|---|---|---|
| 一条记录是什么 | 一条服务一条备案 | 一个用途一条记录，同一个模型可以拆出好几条 |
| 编号给谁看 | 对外的那一个 | 对内的那本账，登记表加一列填对应的备案或登记编号 |
| 什么挂在它上面 | 只回答上线那道门过没过；适用范围与分诊三问见 Security 第 8 章 | 风险档、影响评估、复核节奏都挂在用途上，不挂在模型上 |
那一列编号是这节最实的一件事：填不上的行，要么补进某条备案，要么写明它不对公众提供、只走内部登记。这一列也是查变更的入口——用途一变，顺着编号就知道备案里第几项跟着要改。内部员工自己用的那些用途同样进登记表，不备案不等于不用管，不进表就是影子 AI。
算法备案的钟按工作日走，别等下次季度评审
四个法定时限核实 2026-08-02，来源 《互联网信息服务算法推荐管理规定》第 24、25 条（中央网信办原文）。不可外推边界：这四个时限只管算法备案这条线，大模型备案另有一套材料与周期，别混着报给客户；备不备案的分诊三问在 Security 第 8 章，本节不重讲。
过了备案，不等于每个用途现在还在批准状态
备案证明什么
这个服务上线前，安全评估与算法备案手续走完了。《生成式人工智能服务管理暂行办法》第 17 条只落在有舆论属性或社会动员能力的服务上。
它不证明什么
不证明服务里每个用途都还在批准状态，也不证明换了模型版本之后那些评估还成立。这两件只能靠自己的登记与复核记录回答。
框架 2.0 怎么用
《人工智能安全治理框架》2.0（2025-09-15 发布）是技术文件、非强制。拿它当登记表的风险项来源可以，当备案评分表不行。
服务下线也别只在内部把用途标成停用：终止之日起 20 个工作日内要办注销，外面那条备案还挂着，就等于对外还宣称在提供这个服务。
《暂行办法》第 2、17 条与《人工智能安全治理框架》2.0 核实 2026-08-02，来源 中央网信办官网原文。不可外推边界：未向境内公众提供服务的研发应用不适用《暂行办法》，但这不等于免除数据安全与个人信息义务；框架 2.0 是自愿采纳的技术文件，不是备案审核的评分依据。
10跑起来需要的角色、节奏与工具#gov-operating
前九节讲的是这条环怎么转：按用途登记 → 两把尺子定档 → 影响评估出架构约束 → 作出五种决定之一 → 证据包 → 变化触发回炉。这一节回答客户最后那三个问题：要几个人、多久跑一次、先买平台还是先做一张表。三个答案都很朴素——三顶帽子、三个钟、先做表。
最小配置是三顶帽子，只有一条不能兼
用途负责人
说得清这个用途要替谁做什么决定、影响哪些人。答不上来的用途，说明还没到该批的时候。
独立复核人
做有效挑战——找证据的漏洞，不是走个流程。关键是不参与建设：建的人不能自己批。
决定人
有权说不，也有权给条件与期限。决定要落款、要有到期日，不能只是「会上说了」。
能兼与不能兼
三顶帽子两个人戴得下，小公司一个人戴两顶也成立；「建的人不能自己批」这条兼不了，它一破，独立复核就只剩签字动作。客户说「我们没有这号人」时，答案不是新招人：找一个没参与这个用途建设的人就行，安全、风控、另一条线的技术都算——要紧的是他有权说「证据不够」，且这话算数。
人员能力是欧盟《人工智能法》第 4 条的法定义务，自 2025-02-02 适用（2026 年修正后改为提供方与部署方「采取措施支持」员工素养，不保证任何个人达到特定水平），由成员国市场监管机构自 2026-08-02 起监督执行；欧盟委员会明确未规定「足够」的具体水平，也不要求任何证书。核实 2026-08-02，来源 欧盟《人工智能法》。不可外推边界：没有法定合格线，培训记录能证明「训过」，不能当合规证明。
三个钟同时跑，只跑季度评审那个必出事
事件钟接进来的告警长什么样、哪类漂移该触发哪一步，在什么变化让原来的批准失效；法定钟那两个工作日数字的适用范围，在用途登记与中国备案要求怎么对接。
先有一张字段固定的表，再谈买平台
证据链别绑死在一个云产品上：AWS Audit Manager 已转入维护模式，2026-04-30 起不再支持在新账号中启用，存量账号可继续使用，停用后已收集的证据保留 2 年；官方指向 AWS Config Conformance Packs 作为替代，但 SOC2、GDPR 没有对应模板。可比的治理与证据类产品名另有 Microsoft Purview DSPM for AI（DSPM，Data Security Posture Management）与 Microsoft Foundry（原 Azure AI Foundry，2025-11-18 更名）、Google Cloud Dataplex、Vertex AI Model Registry、SageMaker Model Registry 与 Model Cards、ServiceNow AI Control Tower。核实 2026-08-02，来源 各云与厂商官方文档。不可外推边界：维护模式不是下线；这批只是产品名对照，不代表几家能力对等或可一一互换，形态按 30 天节奏复查。各环节的云落点见上云怎么落地。
四个数字能看出治理是真在跑还是纸面上的
登记覆盖率
随机问三个团队在用什么，能不能在表里找到。找不到的那些，就是影子 AI 的规模。
决定中位天数
从提交到有决定。业务等得起才不会绕过你——超过两周，绕行就开始了。
过期例外存量
有多少例外过了期还没复核，最诚实的一个数。例外没有到期日，等于永久批准。
触发响应比例
上次模型换版本，多少条登记跟着动了。一条没动，说明触发清单是摆设。
这四个数字也是「治理会不会拖慢我们」那句质疑的正面回应：拖不拖慢不看流程图有几个框，看决定中位天数。四个数字里至少两个填得出来，且能说清填不出的那两个卡在哪——做到这一步，才算这套东西真在跑。
11售前速查#gov-cheatsheet
进客户会议室之前，这一册要能默出来的就四张：五句最常被问的话、四问定流程、六个数字、一张交付清单。速查的价值不在「答得出」——答不上来的往往不是知识，是没备好那半句「接着说什么」，那一列才是把对话往下推的东西。
客户最爱问的五句，先给一句话再往下接
| 客户问的 | 一句话答 | 接着说什么 |
|---|---|---|
| 你们有 ISO 42001 吗 | 证书证明有体系在跑，不背书单个用途 | 看这个用途自己的记录 |
| 出了事谁负责 | 先定提供者还是部署者 | 改了用途身份会互换 |
| 数据会不会拿去训练 | 合同条款加平台开关，两处都给证据 | 截图能给，能写进合同 |
| 备案要多久 | 服务备案 5–8 个月，应用登记周级 | 先分诊你属哪一种 |
| 治理会不会拖慢我们 | 分档：低风险自助登记 | 盯从提交到有决定的天数 |
前两句的展开在各框架分别能证明什么（证书能兑现什么、身份怎么互换）；「备案要多久」的时长与分诊口径在 Security · 中国合规 登记，本册不复制一份，只讲两张表怎么对上，见用途登记与中国备案要求怎么对接；最后一句的答法是报数字，见四个数字。
四问定这个用途要走多重的流程
| 问一句 | 答「是」怎么走 | 为什么这么切 |
|---|---|---|
| 输出直接作用于个人？ | 高档：影响评估加独立复核 | 录用、授信、定价、诊疗 |
| 对境内公众提供服务？ | 进备案与登记分诊 | 《暂行办法》的适用门槛 |
| 会对外发布生成内容？ | 落内容标识义务 | 标识办法已进执法期 |
| 业务触达欧盟？ | 查附件三清单与你的身份 | 高风险是法律点名的 |
从上往下问，遇到第一个「是」就按那一档走。四问都否：自助登记加年度复核。任何一问后来变成「是」，按变更触发重走一遍（见什么变化让原来的批准失效）。第一问的定档细则在两把尺子与影响评估在架构冻结前做，第四问要查的附件三清单与提供者／部署者身份同在两把尺子那一节。
记得住的数字只有这六个
每个都要连着那句「不能外推」一起说——说错了比不说贵。
| 数字 | 是什么 | 售前怎么用 | 不能外推 |
|---|---|---|---|
| 10／20／30 工作日 | 算法备案的变更／注销／受理时限 | 变更别等季度评审 | 只管算法备案，大模型备案是另一套 |
| 至少 6 个月 | 高风险系统的日志留存下限 | 提留存方案的底线 | 只对高风险那条线；适用起点已延后 |
| 10 年 | 技术文档留存期 | 解释为什么要归档 | 从投放市场或投入使用起算，同样只对高风险 |
| 2025-05-28／2025-07-07 | ISO/IEC 42005 与 42006 的发布日 | 客户问「还有什么标准」 | 42005 不用来认证；42006 约束的是发证机构 |
| 2026-04-17 | SR 26-2 取代 SR 11-7 | 金融客户话术要换 | 生成式与代理式不在范围 |
| 2026-04-30 | AWS Audit Manager 关新账号 | 别把证据链绑死一家 | 存量账号仍可继续用 |
10 年（技术文档）与至少 6 个月（自动生成日志）出自欧盟《人工智能法》第 18、19、26 条，核实 2026-08-02，来源 欧盟《人工智能法》。不可外推边界：只覆盖高风险系统那条线，不是全部证据的年限；6 个月是下限不是上限，个人数据保护法可能要求更长；这批高风险义务的适用起点已经延后，当期时点只在 Security 登记一次，本册引用不复制。
10／20／30 工作日出自《互联网信息服务算法推荐管理规定》第 24、25 条，核实 2026-08-02，来源 中央网信办官网原文。不可外推边界：管的是算法备案信息，不覆盖大模型备案那一套材料与周期。
2025-05-28／2025-07-07 为 ISO/IEC 42005 与 42006 的发布日，来源 IEC Webstore 出版物页；2026-04-17 为 SR 26-2 取代 SR 11-7 与 SR 21-8 的日期，来源 美联储 SR 26-2；2026-04-30 为 AWS Audit Manager 不再对新账号开放的日期，来源 AWS 官方文档。均核实 2026-08-02。不可外推边界：42005 是指导文件、不产生认证资格，42006 约束的是发证机构而不是用户组织；SR 26-2 是美国银行监管口径，其脚注写明生成式与代理式 AI 模型不在范围内，非受监管企业不适用；Audit Manager 是维护模式不是下线，存量账号仍可用，云产品形态按 30 天节奏复查。
治理跑起来，交付的其实就是这几件
客户要的不是一份治理白皮书，是这几件能不能当场拿出来。左边是交付件，右边是验收那天要能出示的东西——同一件事的两个视角，别做成两张各填一遍的表。
| 交付件 | 验收时要能出示什么 | 展开在 |
|---|---|---|
| 用途登记表，带「对应备案或登记编号」那一列 | 同一模型的不同用途分条登记，每条带人群、决定、数据、地区、供应商 | 按用途登记 |
| 风险分档规则：谁进高档、谁自助登记 | 组织风险层级的判定依据，以及它与法律分类分开写的说明 | 两把尺子 |
| 影响评估记录 | 架构与数据冻结之前完成的评估，含不可接受结果清单 | 影响评估 |
| 决定记录：五种决定、落款人、到期日 | 谁批准、范围与条件、失效日期、到期怎么自动撤销 | 五种决定 |
| 证据包目录：每条结论指得到哪份材料 | 从政策追到当前生产配置的一条完整链路，抽三项验证 | 证据包怎么组装 |
| 变更触发清单：哪些变化让批准失效 | 哪些变更自动暂停该用途，以及恢复要补哪些证据 | 变化让批准失效 |
| 复核排期：事件、周期、法定三个钟 | 每行登记都有下次复核日与触发口，到点有人被提醒 | 三个钟 |
| 三顶帽子的分工一页纸 | 现在谁在戴哪顶、哪一顶空着；建的人没有自己批 | 三顶帽子 |
| 人员能力记录：谁受过训、训的什么 | 训练记录本身；没有法定合格线，别拿它当合规证明 | 人员能力 |
最易过期的三处
撞了别人的地盘就深链过去，别在这儿重讲一遍——威胁与防护手段、中国备案条目、怎么测、发布门禁与急停、权限执行点与血缘、模型许可证条款，各归各家，去处见本页各节的串联条与页尾的相关模块。
12上云怎么落地#cloud
前面各节讲的是这套决定系统该怎么转。这一节换个视角：治理的苦力活在云上有哪些现成件、这句话对客户意味着什么、该顺着追问他什么、以及哪一格云替你做不了。按落地阶段排，不按章节排——现场是从「先看清有什么」一路推到「存住」的。
一句话立在前面：云上能自动收的是「有哪些资产」；「这条用途谁批的、什么时候失效」云替不了。同一环节给多厂商代表选项，不绑死单一供应商；只列有真实关联的环节。
第一步 · 先看清有什么
| 技术环节 | 代表性云服务（多厂商，非绑定） | 给客户一句话 |
|---|---|---|
| AI 资产发现 | Google Cloud SCC（SCC，Security Command Center）AI Protection、Defender AI-SPM（AI-SPM，AI Security Posture Management） | 先把云里在跑的模型、端点、Agent 扫出来 |
| 用途清单与影子 AI 发现 | Microsoft Purview DSPM for AI；同类可选 Google Cloud Dataplex、ServiceNow AI Control Tower | 让「公司里有多少 AI 在跑」变成一张查得到的表 |
顺着追问什么：扫得到云内资源，扫得到浏览器里的用法吗？扫哪些账号与资产，SaaS 里内嵌的那些 AI 功能算不算？这两问的答案直接决定客户报给你的那份场景清单是不是真数——差额就是影子 AI 的规模，也是登记覆盖率这个数字第一次能落地的地方。
云替你做不了什么：扫出来的是资产，不是用途——一条用途要替谁做什么决定、谁批的、什么时候失效，那几格得人建（见按用途登记）。谷歌官方文档写明影子 AI 资源不在 Security Command Center 控制台的发现范围；Microsoft 侧覆盖第三方 AI 站点的 Purview DSPM for AI 需要启用按量计费，多数能力依赖浏览器扩展与设备接入，影子 AI 发现通常还要与 Defender for Cloud Apps 的云发现组合使用。员工在外部工具里的用法，平台自己发现不了。
第二步 · 记下来、追得上
| 技术环节 | 代表性云服务（多厂商，非绑定） | 给客户一句话 |
|---|---|---|
| 模型与版本的系统记录 | SageMaker Model Registry 与 Model Cards、Vertex AI Model Registry、Microsoft Foundry | 注册表管模型版本与端点，换了版本能追到哪天换的 |
| 调用可追溯 | 网关调用日志、CloudTrail / Cloud Audit Logs | 登记表和实际调用每月对一次差集 |
顺着追问什么：注册表里每个模型，业务上对应哪几条用途（一个模型两个用途就是两条记录）？版本变更推不推到审批流，还是只留在控制台？所有模型调用都过网关吗，直连的有多少——直连那部分就是差集对不上的来源。
云替你做不了什么：注册表记的是模型资产，不回答「这个用途现在还批不批准」（见按用途登记）；日志证明的是「谁调了」，证不了「这条用途被批过」（见五种决定）。版本换了要不要让批准回炉，是变更触发那一节的事，控制台不会替你判。
第三步 · 收证据
| 技术环节 | 代表性云服务（多厂商，非绑定） | 给客户一句话 |
|---|---|---|
| 证据与合规映射 | Purview 合规管理器、AWS Audit Manager（已不对新账号开放） | 控制项映射到条款，技术证据能自动收一部分 |
| 证据自动采集 | AWS Config Conformance Packs；同类可选 Azure Policy 加 Purview、Google Cloud SCC | 审计时不用临时四处翻截图 |
| 评测结果绑版本 | Model Cards（SageMaker 与 Vertex AI 都有）、Azure ML 实验记录 | 评测报告要挂在一个版本号上 |
顺着追问什么：这批证据要证给谁看——内审、客户还是监管？三方口径不同，收的东西也不同。哪些控制项自动采、哪些必须人工上传（这个比例决定运营人力）？换版本时，旧的评测报告会被标失效吗，还是留在那儿继续被人引用？
云替你做不了什么：自动收的是配置状态与技术证据，「谁批的、凭什么批」得人写、人签（见证据包怎么组装）；平台记得下指标，把指标绑到某条用途上要自己接。AWS 官方文档同时声明，其生成式 AI 最佳实践框架的控制项不用于验证系统是否合规、也不保证通过审计——控制项只收证据，不产出结论。选型上还有一条：Audit Manager 已不对新账号开放，证据链别绑死在一家（见先表后平台）。
第四步 · 存住，且删不掉
| 技术环节 | 代表性云服务（多厂商，非绑定） | 给客户一句话 |
|---|---|---|
| 证据归档与检索 | S3、Azure Blob、GCS 归档层加标签 | 证据要能按用途和版本翻出来 |
| 保留期与不可删改 | S3 Object Lock、Azure 不可变 Blob（时间保留加法务保留）、Cloud Storage Bucket Lock | 默认保留期普遍短于法定年限，差额自己补 |
| 日志与文档留存 | 对象存储加生命周期与不可变（WORM，Write Once Read Many） | 法定留存期有地方落，且删不掉 |
顺着追问什么：三年后审计来问某条用途当初凭什么批的，谁去翻、怎么翻（问的是索引字段，不是存储容量）？你们受哪条年限约束，现在设的是多少天？谁有权删，删了留不留痕？还有一句最容易问出缺口的：模型调用日志现在开着吗——Amazon Bedrock 的模型调用日志默认关闭，Google Cloud 的数据访问审计日志默认关闭（BigQuery 除外），而管理活动审计日志始终开启且关不掉。
云替你做不了什么：对象锁保证的是删不掉，保证不了内容是对的；云存得下，索引字段得你自己定；云替你存，不替你决定该存多久（见留存期）。默认值与法定年限之间的差额要当场摆出来——日志保留的默认值以 Google Cloud Logging 的 _Default 桶 30 天为例（其余各家自查），而高风险系统的日志下限是至少 6 个月、技术文档是 10 年。先按最长那条设，再往下减。
云服务名、默认值与生命周期状态核实 2026-08-02，来源 各云与厂商官方文档。不可外推边界：这是「哪个环节有云上现成件」的地图，不是选型结论——各家覆盖面不对等、不可一一互换；服务能力、默认值与生命周期状态会月级变动（按 30 天节奏复查），出方案前按当期官方文档逐项复核。
法定留存年限（技术文档 10 年、自动生成日志至少 6 个月）出自欧盟《人工智能法》第 18、19、26 条，核实 2026-08-02，来源 欧盟《人工智能法》。不可外推边界：只覆盖高风险系统那条线，6 个月是下限不是上限；适用起点已延后，当期时点在 Security 登记，本节只引用不复制。本节各产品的安全态势用法归 Security，这里只取一件事：把扫出来的资产喂进用途登记表。
13现场高频追问#qa
只收会改变某个决定的问题——会改变技术方案、风险判断、验收方法、对客沟通或下一步行动。答不上来的不立题。
全部来自讲义对练页与本次网页化补题，日期 2026-08-02。
法条与监管口径核实 2026-08-02，来源 欧盟人工智能法案条文、美国州与市立法、美联储 SR 26-2。不可外推边界：欧盟那几条只覆盖高风险系统那条线，适用起点已延后，时间线在 Security 第 7 章登记、本页不复制；科罗拉多 SB26-189 只管一州，纽约市第 144 号地方法只覆盖该市用工；SR 26-2 是美国银行监管口径，脚注明确生成式与代理式不在范围内。
我们已经有一本 AI 管理办法，也有上线审批流程，还要单开一套治理吗？2026-08-02
办法是规则，治理是按规则天天在出的决定。追问三件事：现在有几条 AI 用途在跑、每条谁批的、批准在什么条件下失效——这三格填不出来，办法就还没落到地上。上线审批也替不了：它问的是「做完没有」，治理决定问的是「这个用途能不能用、条件是什么」。同一个模型换个用途，代码一行不改，风险却换一档。可以共用工单系统，不能共用一张表。
这题决定你在客户那里是「再加一份文档」还是「补一层决定」。前者会被当成纯成本，后者能挂在已有流程上。三格是当场就能问出水位的探针，不用先做评估。
下一步 挑一条已上线的用途，当场把三格填一遍，填不出的那格就是缺口。
依据 谁批的、凭什么、何时失效 · 五种决定
上治理会不会把我们上线拖慢？2026-08-02
治理该谁牵头，法务还是技术？我们没有「独立复核人」这号人。2026-08-02
我们已经有模型注册表了，这不就是 AI 清单吗？2026-08-02
注册表登的是模型版本和端点，是资产账。治理要的是用途账——同一个模型给 HR 起草职位描述、给 500 份简历打分排序，是两条记录、两个风险档。资产账是清单里的一格，不是清单本身。法律也这么切：欧盟按预期用途分类，筛简历落在附件三第 4 类，同一批文案拿去定向投放职位广告又落回名单，而写作助手只落到透明度义务上。
这题决定客户会不会以为「买了平台就有清单了」。分清资产账与用途账，后面的分档、影响评估、失效条件才有挂靠的对象。
下一步 拿注册表里任一模型问一句：业务上它对应哪几条用途、各自谁批的。
依据 同一个模型，两个用途 · 法律分类怎么切
影子 AI 怎么找？发问卷行不行？表建完没人维护怎么办？2026-08-02
问卷只收得到愿意填的人。先挖事实：网关调用日志、云账单、企业身份系统里授权过的第三方 AI 应用、办公套件与 CRM 里悄悄开出来的 AI 功能、跑在个人账号下的脚本与 Agent——这五处收的都是已经发生的事，挖完再拿这份清单去对业务。维护靠通道不靠自觉：没有登记记录就不发 API key、网关不给路由，每月拿调用日志和登记表对一次差集，有调用没记录的先挂起再补登。字段能少则少，六格填得完，三十格没人填。
客户最爱把这件事外包成一次盘点。盘点会过期，长在取用通道上的表不会——这也是同一笔预算里唯一有复利的那部分。
下一步 先跑一次差集，挖出一条原来不知道的用途，这张表才会有人信。
依据 影子 AI 靠挖不靠问 · 登记表长在取用通道上
我们这个只是辅助，人最后拍板，算高风险吗？2026-08-02
法条里确实留了这道门：窄程序任务、只对已完成的人工结果做润色、只找与历史决定的偏差且不替代人的判断、为后面那次评估做准备，四个出口。但有两个前提。一是人要真能推翻，不是走过场点确认——走过场的复核按「没有人在环」算。二是只要对自然人做画像，上面四条一概不算数。用了出口也不免检：要在上市前写下判定依据并在欧盟数据库登记，监管来问拿得出来。
「我们只是辅助」是最常见的降档理由，也是验收时最容易被推翻的一句。把它变成一份写得出来的判定依据，方案里的人在环设计才会认真做。
下一步 把「人能不能推翻」写成可验收的一句：复核插在推荐之后还是执行之前，被拒的人走什么路径。
依据 四个出口与画像一票否决 · 人在环放哪
美国那边法律松了，我们是不是可以简化流程？同一条用途欧盟和美国判出两个档，听谁的？2026-08-02
科罗拉多 2026 年改法确实删掉了部署方的影响评估与风险管理程序义务：SB26-189 于 2026-05-14 签署、取代 2024 年的 SB24-205、义务 2027-01-01 起，框架从高风险 AI 换成面向自动化决策技术的告知、解释与人工复核。但义务没了风险没变——错误的筛选照样让人丢掉机会。反向的例子是纽约市第 144 号地方法，一直没松：年度独立偏见审计、公开摘要、使用前至少提前 10 个工作日告知。两把尺子判出不同答案时取严的那把，内部只留一个档；内部档不能低于法律档，反过来可以——法律没管的用途，组织照样能定成最高档，内部裁员名单预筛就是这种。
客户拿「某地放松了」当降本理由时，真正的风险敞口没变，变的只是谁来发现它。取严是唯一不用每年重判一次的处理方式，也省掉了同一条用途在两个法域来回改流程的开销。
下一步 在登记表里把法律分类和组织分档写成两列分别留痕，别合并成一个「风险等级」。
依据 两把尺子与三种错配
影响评估和我们做的模型评测是一回事吗？上线前一周做来得及吗？2026-08-02
不是一回事，也来不及。评测答「准不准」，靠评估集打分；影响评估答「会伤到谁、有多重、谁来兜、怎么申诉」——分数很高，照样可能有严重的影响问题。来不及是因为它的产出是几条架构约束：人在环插在推荐之后还是执行之前、留什么日志、留不留申诉入口、数据能不能按人删。这四件冻结之后再改就是重做，所以它该赶在方案定稿前，不是上线评审时。已经做过数据保护影响评估的不用重做：欧盟法案第 27 条第 4 款允许交叉引用或纳入它的相关部分，两者盯的对象不同，一个盯数据怎么收怎么存，一个盯这个决定落到人身上会怎样。
这题直接决定方案书里评估这一项排在第几周。排晚了，客户拿到的是一份没人能执行的存档——归档之后再没人看，是它最常见的死法。
下一步 把四条架构约束写进技术方案的接口设计页，不要放进附录；指标怎么测走 Evaluation 的建集与指标设计。
条件批准和「先上线再优化」有什么区别？例外太多，是不是说明治理没做好？2026-08-02
区别是三样写死的东西：一句能判真假的验收、一个日期、一个名字。「加强人工抽检」判不了真假，「每周抽检 200 条、误拒率低于 2%」判得了；到期没做到，用途自动降回暂停，不需要再开会；判定的人最好不是提条件的人，也不是交付的人。例外为零更可疑，通常说明流程被绕开了——健康的样子是例外有数、每条有到期日和补偿措施、有人认领、总量在降，该盯的是过期未清那几条。法定义务给不了例外，例外也绕不开「谁有权批」，只能绕开技术要求。
条件批准是售前最常签下的那一种决定，也最容易被写成空话。写不成可验收的句子，交付时这条就是扯皮点：三个月后没人能判定它做到没有。
下一步 把你正在推的那条用途的条件改写成一句能判真假的话，配上日期和名字。
出问题时到底谁能喊停？停用之后是不是就没事了？2026-08-02
事先指定，别临时找。NIST 的 AI 风险管理框架把停用单列一条：机制先建好、责任落到人。要先写清按下去停什么（全停、停写操作，还是转人工）、默认多久出复评结论（5 个工作日，否则往上升级）、复评只有三条去路（恢复、改条件批准、退役）。欧盟法案对高风险系统的部署方更硬：发现风险要及时通知并暂停使用。停用之后义务常常还挂着：退役是四件事——停流量、封证据、通知受影响的人与下游、处置模型权重与微调数据；纽约市第 144 号地方法要求偏见审计摘要在工具最后一次使用后再挂满 6 个月。
急停按钮不接线，事故那天多出来的就是找人的那几个小时。这一格在方案里最容易被跳过，验收时又最容易被追问。
下一步 技术动作（急停、回滚指针）在 AI-Ops 的急停与分级；本册要定的是名字与时限：谁能按、谁能替、多久必须给出结论。
供应商的模型卡和白皮书算不算证据？客户要我们把证据包交给他，能给吗？2026-08-02
算背景，不算这个用途的证据。它证明的是模型在厂商测试条件下的表现，证明不了它在你的数据、你的提示、你的人在环设计下的表现——能进包的是你自己那份评测报告，报告上要写死模型版本和提示版本，任一换版，这份报告对新版就不作数。交给客户的是结论和边界：评测口径、有效期、它证明不了什么；原始日志和评测集样本涉及数据权限，按数据分级和合同走。给之前先问清他要拿给谁看——审计、他的客户还是监管，口径不同。
这两问常在同一次会里出现，答法是同一条：证据的标准是让不在场的人能重做这次判断。能重做的才给得出去，不能重做的给了也没用，截图和汇报材料只说明有人做过事。
下一步 给手上最硬的那份证据补一句：这条结论支持什么判断，不支持什么判断——写不出来就还不能进包。
证据要留多久？云平台不是都有日志吗？2026-08-02
取你落在的几部法里最长那条，再往下减；反过来做，补不回已经被删掉的那一段。欧盟法案：高风险系统的技术文档 10 年，自动生成日志提供方与部署方各至少 6 个月；纽约市第 144 号地方法的审计摘要在最后一次使用后再挂 6 个月。云上的默认值常常短一个数量级，而且好几处默认是关的：Bedrock 的模型调用日志默认关闭，Cloud Logging 默认日志桶只存 30 天。差额自己补，再用对象存储的保留锁让它到期前删不掉。
留存期是方案里少数几个「现在不设、以后补不回」的参数，也是审计来了第一个被翻的。锁保证删不掉，保证不了内容是对的——所以先定该留什么，再定留多久。
下一步 查一遍这条链路的日志开没开、默认存多久，和落到你头上的法定年限做个差，把差额写成一个具体天数。
买了合规平台自动收证据、云厂商说平台自带合规，够不够？我们该买哪个治理平台？2026-08-02
云采的是配置状态，人工判断与签字采不了，用途该不该批更采不了。AWS 自己的文档写明：那套控制项不用于验证系统是否合规，也不保证通过审计。工具本身也会退役——Audit Manager 自 2026-04-30 起不对新账号开放，存量账号仍可继续用，官方指向 AWS Config。买不买平台看规模：二十个用途以内先别买，一张字段固定的表加评审纪要就够；跨部门之后优先接进已有的服务管理或治理平台，别另起一套；要出审计证据了，再上云侧自动采集，人工判断仍要人上传。工具让你找得到、追得上，谁敢签字这件事买不来。
平台先行是治理项目最常见的死法：系统上线了、字段没定、没人登录。把顺序倒过来——先定字段，工具随时能换，证据链也不至于绑死在一家产品上。
下一步 报价前先问客户现在有几条用途在跑；二十条以内的，把预算放在把这张表跑起来上。
依据 先有一张字段固定的表 · 上云怎么落地
我们只是把模型从 v1 升到 v2，也要重新走一遍吗？模型持续学习、定期重训呢？2026-08-02
看档位，不是每次都从头再来。判断标准是能力边界有没有变，不是版本号变没变：只是分数上下波动，登记一笔就够；低档用途登记即可，高档用途要重跑评测、更新证据包，复评没出结论前先限流。持续重训取决于第一次评估时说了什么——欧盟法案对「实质性修改」的定义有一条关键豁免：初次符合性评估时已预先声明并写进技术文档的变化，不算实质性修改。所以「变化范围怎么写」是个架构决定，要在第一次评估前定，事后补不上。
这题的答案会直接写进合同：重评估的成本和周期算给谁。把允许的变化范围提前声明清楚，是唯一能把这笔钱省下来的做法，也决定了持续学习这套架构还能不能上。
下一步 在第一次评估里写清模型允许怎么变——重训频率、数据范围、指标下限，别留到事后解释。
业务偷偷把它接到新场景了，怎么办？2026-08-02
先停新场景那条流量：旧批条盖不住它。再按新用途另开一条登记，重走分档与评估——这一步别省，新场景往往比原来那条高一档。发现靠两侧：调用侧看同一把密钥有没有出现没登记过的调用来源，合同侧看新场景是先进需求单还是变更单。监管也这么看：SR 26-2 说把模型用到预期用途之外会带来额外的不确定与风险，给的动作是补做分析、复核现有控制，不是默认放行。
最危险的变化不带代码改动——用途换了，代码一行没动，版本号也没变，所有技术监控都不会响。这是治理相对于运维不可替代的那一格，讲清楚了，客户才明白为什么监控齐全还要这套。
下一步 给批准依赖的四个前提（用途、系统、数据、人的位置）各配一个「它变了我怎么知道」的信号来源，配不上的标成缺口；漂移类信号从 AI-Ops 的漂移监测接过来。
客户在我们的模型上贴自己的品牌，责任怎么算？我们只是拿现成大模型做个应用，法规轮得到我们吗？2026-08-02
先定身份。提供者管技术文档、日志能力与符合性声明；部署者管按说明书用、安排有能力的人做人工监督、日志至少留 6 个月，在工作场所投用还要告知工会代表与受影响员工。但欧盟法案第 25 条列了三种情形会让下游方变成提供者——贴自己的名称或商标、对已上市的高风险系统作实质性修改、改变预期用途使系统变成高风险。身份一变，义务整套跟着变，合同里写「我们只是用户」不管用。这句话要在签合同之前说清。
这是售前最贵的一句口误。身份认定看的是实际做了什么，不看合同怎么写；等到贴牌那天再谈，技术文档那套义务已经落到自己头上了。
下一步 拿手上一个真实项目写出双方各自是提供者还是部署者，再列出改成什么样会触发身份互换；对客的责任落点与合同话术走 Solution-Patterns 的方案共性方法。
你们有 ISO 42001 认证吗？没有我们不能采购。我们做了 NIST 自评、做了偏见审计，够不够？2026-08-02
这几张纸各答自己那一格，没有一张说「这个用途现在是安全的」。42001 证书证明组织有一套 AI 管理体系在运转，不给任何单个用途背书，适用范围还是企业自己划的——拿到证书先看两行：范围圈没圈你要买的那个系统，发证机构有没有对应的认可资质。NIST 自评的价值是用同一套骨架把风险盘了一遍，短板也在这儿，没有外部核验，谁都能说自己做过。年度偏见审计报的是某工具在某时点的选择率比值，换版本、换人群就不成立，它证明你那天测过，不证明系统公平。该看的是这个用途自己的记录：谁批的、凭什么证据、什么时候复核。客户若再问「除了 42001 还有什么」，两份最常被漏掉：ISO/IEC 42005（2025-05-28 发布）讲影响评估怎么做，不认证也不需要外部审核；ISO/IEC 42006（2025-07-07 发布）规定的是认证机构的审核员能力与审核工时，约束的是发证那一方。
把「我们合规了」拆成每张纸各自能兑现什么，采购那句「没有证书不能买」就有了替代答案：用途级的决定记录，补的正是证书补不了的那一格。
下一步 把「我们已经通过 42001」翻译成三句敢在客户面前说的具体话，每句后面挂一份材料。
依据 每张纸能证明什么 · 42005 与 42006
我们是银行，按 SR 11-7 那套模型风险管理走行不行？2026-08-02
那套已在 2026-04-17 被 SR 26-2 与 OCC Bulletin 2026-13 取代。能借的是它的分层思路：重要性由用途与暴露共同决定，这和内部分档是一个路子。但修订版在脚注里写明生成式与代理式 AI 模型不在本指引范围内——你要卖的那部分正好不覆盖，得用客户自己的治理接住，别指望它兜底。
金融客户会拿现成的模型风险管理流程当挡箭牌：「我们这套跑了十几年」。它对传统统计模型仍然管用，缺的恰好是新增的那一块，话术要当场换，否则方案会被塞进一个盖不住的框里。
下一步 把这条用途归到「借它的分层、另建它不覆盖那一段」上：五种决定、证据包与变更触发照走。
我们已经拿到备案号了，治理是不是就算做完了？换了底座模型要不要重新备案？2026-08-02
备案证明的是这个服务上线前那道门过了。它不回答服务里每个用途现在还批不批准，也不回答换版本之后那些评估还成不成立——这两件只能靠自己的登记与复核记录回答。备案数的是服务，你的表数的是用途：登记表要加一列「对应备案或登记编号」，填不上的行就是没人认领的缺口。换底座模型先看变的是不是备案里填过的项：填过的项变了，法定时限是变更之日起 10 个工作日内办变更手续，不是等下次季度评审；服务终止的是 20 个工作日内办注销——只在内部把用途标成停用，外面那条备案还挂着，就等于对外还宣称在提供这个服务。
治理记录跑季度钟，备案跑工作日钟。两个钟不记在同一张表上，逾期是迟早的事，而且逾期这件事不会有人来提醒你。
下一步 给登记表补上编号那一列，再写一份不超过八条的「哪些变化要在 10 个工作日内动备案」清单；适用范围与分诊三问走 Security 的中国监管合规。
标准、联邦口径与云上默认值核实 2026-08-02，来源 ISO/IEC 官方条目、OMB M-25-21、NIST AI RMF 与 Playbook、中央网信办规章原文、各云与厂商官方文档。不可外推边界：42005 是指导文件、不用于认证，42006 约束的是发证机构而不是用户组织；M-25-21 是美国联邦机构自用规则，企业照抄前要按自身法域裁剪；NIST AI RMF 是自愿性方法论，自评无人核验；备案 10／20／30 个工作日只管算法备案，大模型备案的材料与周期是另一套；云侧能力与默认值是各家当期状态，不代表几家覆盖面对等或可互换。
15来源与核实#sources
本页时效性数字均经联网核实后写入，核实日期同为 2026-08-02，完整登记（事实 × 核实日期 × 信源 × 等级 × 节奏 × 不能外推）见本模块 MANIFEST，共 43 项信源。引用任何数字前先核日期。
| 来源 ID | 信源 | 支持什么 | 不能支持什么 |
|---|---|---|---|
src-eu-aiact |
欧盟《人工智能法》(Regulation (EU) 2024/1689) 条文与附件三，EUR-Lex 官方文本及条文导航副本 | 四档分类与附件三清单、第 6 条第 3 款四个出口与画像例外、提供者与部署者义务、第 25 条身份互换、第 27 条基本权利影响评估、留存期（技术文档 10 年、日志至少 6 个月）、实质性修改的定义与豁免 | 只覆盖高风险那条线，不是全部 AI 应用；适用起点已延后，时点在 Security 登记；条文导航副本转录的是 2024 年原始刊登文本 |
src-omb |
美国管理和预算办公室 OMB Memorandum M-25-21 原文 PDF（whitehouse.gov） | 按用途而非按模型登记并每年公开更新、「主要依据」这条高影响判据、七条最低风险管理实践与影响评估内容、做不到即停用、豁免由首席 AI 官批并在 30 天内报送 | 联邦机构自用规则，不适用于企业，照抄前须按自身法域裁剪；国防与情报体系另有安排 |
src-nist |
NIST AI RMF 1.0 与配套 Playbook（GOVERN 与 MANAGE 部分），美国国家标准与技术研究院 AI 资源中心 | 清单机制要成文、有人负责、覆盖到高风险场景；停用与脱离机制要事先建好并指定责任人 | 自愿性方法论，自评没有外部核验，不构成法定停用义务或强制字段要求 |
src-us-states |
科罗拉多州议会 SB26-189 法案页、纽约市关于自动化雇佣决策工具的最终规则原文与 Local Law 144 实务解读，另经多家律所分析交叉核对 | SB26-189 于 2026-05-14 签署、取代 SB24-205（义务 2027-01-01 起）并删除部署方影响评估义务；纽约市年度独立偏见审计与公开摘要、提前 10 个工作日告知、停用后摘要再挂 6 个月 | 一部只管科罗拉多一州，一部只覆盖纽约市用工场景；美国单州立法还在变，删掉的是法定义务不是风险本身 |
src-iso |
IEC Webstore 官方条目 ISO/IEC 42005:2025 与 ISO/IEC 42006:2025 | 42005 于 2025-05-28 发布，是 AI 系统影响评估指南、42001 的配套件；42006 于 2025-07-07 发布，规定认证机构的审核员能力与审核工时 | 42005 不用于认证、不需要外部审核；42006 约束发证方，不直接落到用户组织；42001 证书不给单个用途背书 |
src-fed-sr |
美联储 SR 26-2 letter 页与 PDF 全文（federalreserve.gov），另有律所客户备忘录转述 | 2026-04-17 起 SR 26-2 与 OCC Bulletin 2026-13 取代 SR 11-7 与 SR 21-8；重要性由用途与暴露共同决定；模型用到预期用途之外要补做分析并复核现有控制 | 美国银行监管口径，不适用于非受监管企业；脚注明确生成式与代理式 AI 不在适用范围内 |
src-china |
中央网信办官网原文：《互联网信息服务算法推荐管理规定》、《生成式人工智能服务管理暂行办法》、《人工智能安全治理框架》2.0 发布稿 | 备案填报 10 个工作日、变更 10 个工作日、注销 20 个工作日、受理 30 个工作日；有舆论属性或社会动员能力的服务须做安全评估并履行备案；框架 2.0 于 2025-09-15 发布、为技术文件 | 只管算法备案，大模型备案的材料与周期是另一套；适用范围与分诊三问在 Security 登记；框架 2.0 非强制，不是备案的评分依据 |
src-cloud-tools |
各云与厂商官方文档：Google Cloud Security Command Center AI Protection 与 Cloud Logging 配额页、Microsoft Learn 的 Purview 相关页、AWS Audit Manager 生成式 AI 最佳实践框架 v2 与可用性变更公告、Bedrock 模型调用日志页 | AI 资产发现的当期能力与官方写明的盲区（影子 AI 资源不在控制台发现范围）；Cloud Logging 默认日志桶 30 天；Bedrock 模型调用日志默认关闭；Audit Manager 自 2026-04-30 起不对新账号开放，其 110 项控制（72 自动 + 38 手动）不验证系统是否合规、也不保证通过审计 | 各云当期能力与默认值，不代表三家覆盖面对等或可互换；也不代表某个项目的实际设置 |
复查节奏核实 2026-08-02，来源 各云与厂商官方文档。不可外推边界：云产品名、形态与默认值按 30 天复查，法条与标准状态按 90 天；表里任何一行都不构成某个具体产品或某条用途当前的合规结论。