关键时间节点与法规更新
欧盟《人工智能法案》（EU AI Act）的实施时间表在2026年夏季发生了重要调整，企业必须依据最新法规更新其合规认知。根据 Regulation 2026/1744（数字综合法案），关于AI的规定于 2026年7月27日 正式生效。在此之前，第5条规定的禁令以及第4条的AI素养义务自 2025年2月 起已适用；第50条规定的透明度义务则自 2026年8月2日 起生效。值得注意的是，又有两项新的禁令将于 2026年12月2日 生效。对于高风险系统，特别是附录3中涵盖的招聘工具等类别，其合规要求从原定的2026年8月推迟至 2027年12月2日 才开始适用，而附录1产品的合规要求则延后至 2028年8月。如果企业去年的注册表显示的时间线与此不同，那么该记录已经过时。这一时间线的变动是合规工作的第一课，任何基于旧时间表制定的计划都需要重新审视。
"If your register from last year says otherwise, it's out of date. That's lesson one."（如果你去年的注册表显示的是其他时间，那它就过时了。这是第一课。）
案例背景：Lator Limited的AI应用场景
为了具体演示如何建立AI系统清单，视频引入了一家虚构的中欧中型企业——Lator Limited。该公司代表了典型的欧洲商业环境，其内部使用了四种主要的AI系统：一是外购的简历筛选工具（CV screening tool）；二是基于通用模型构建的网站客户聊天机器人；三是类似Copilot风格的内部办公助手（嵌入在每个人的电子邮件中）；四是用于标记可疑支付的内建欺诈检测模型。这些场景涵盖了从招聘、客户服务到内部效率提升及风险控制等多个维度，具有极高的代表性。通过剖析Lator Limited的案例，观众可以清晰地看到不同AI系统在分类、角色认定及义务承担上的差异。这种基于真实业务场景的分类方法，比抽象的理论讲解更具实操指导意义。
"Lator has for AI uses a bought-in CV screening tool, a customer chat... an assistant in everyone's email, maybe a model that flags suspicious payments."（Lator的AI用途包括外购简历筛选工具、客户聊天机器人……每个人邮件中的助手，以及标记可疑支付的模型。）
建立AI系统清单：基础结构与角色认定
合规工作的第一步是建立一个详细的AI系统注册表。视频建议使用电子表格作为初始工具，因为它免费且易于操作。一个完整的注册表应包含19列关键信息：ID、系统名称、业务负责人（具体到人名而非部门）、一句话描述预期用途（分类取决于此）、使用者、受影响人群、自建或外购及供应商。其中，"预期用途"至关重要，因为系统的分类直接取决于它被设计用来做什么。
在角色认定上，需严格区分"提供者"（Provider）与"部署者"（Deployer）。如果Lator开发或委托他人开发系统，并以自己的名义投入服务，则其为提供者（依据第3.3条）；如果Lator在自身权威下使用他人的系统，则为部署者（依据第3.4条）。大多数公司对其使用的AI工具而言通常是部署者。此外，还需记录分类结果（如第5条筛查、附录3点号等）及合规义务的证据链接和审查日期。这种结构化的记录方式确保了每个AI系统都有据可查，责任到人。
"The intended purpose in one sentence because the classification hangs on what the system is intended to do."（用一句话描述预期用途，因为分类取决于该系统被意图用于做什么。）
高风险系统判定：简历筛选工具案例分析
以Lator的简历筛选工具为例，分类过程遵循固定顺序。首先检查是否属于第5条禁止的行为。虽然某些供应商提供读取候选人情绪的面试附加功能（在工作场所进行情感识别被第5条1款f项禁止），但Lator的工具并未使用此功能，且需保留供应商的书面确认作为证据。其次，检查是否属于附录3第4点a项涵盖的高风险系统。该工具用于招聘或选拔，特别是过滤求职申请和评估候选人，因此落入附录3第4点a项的范围。
接着判断是否可豁免。虽然第6条3款可能允许某些系统不被视为高风险，但该工具对候选人进行排名，属于"画像"（Profiling）行为。根据规定，涉及人员画像的系统始终被视为高风险。因此，该工具被归类为高风险系统。Lator作为部署者（Deployer），需承担第26条规定的义务，这些义务将于 2027年12月2日 生效。这一案例展示了如何结合具体功能（如排名/画像）来确定系统的法律风险等级。
"Under article 6, paragraph 3, a system that profiles people is always high risk."（根据第6条第3款，对人进行画像的系统始终是高风险系统。）
透明度与低风险场景：聊天机器人、助手与欺诈模型
对于其他三类AI系统，分类结果截然不同。首先是基于通用模型构建的客户聊天机器人。它不属于第5条禁令或附录3的高风险范畴，但由于面向客户交互，适用第50条1款关于透明度的义务。因为Lator基于通用模型构建并以其名义运行，它极可能被视为提供者。这意味着必须告知用户他们正在与AI系统对话（除非显而易见），该义务自 2026年8月2日 起生效。若为外购成品，则Lator仅为部署者，需验证供应商已完成透明度披露。
其次是内部办公助手。它不属于禁令或高风险范畴，且用于内部起草文档时不触发第50条透明度义务（因非面向外部用户），属于最低风险。但需注意，如果HR未来将其用于候选人排名，则可能重新落入附录3范畴。最后是内建欺诈模型。虽然附录3.5b涵盖信用评分，但明确排除了用于检测金融欺诈的AI。因此，该模型属于最低风险。Lator作为自建系统的提供者，需保留这一推理过程以备审查。
"Annex 3.5b covers creditworthiness and credit scoring but it explicitly excludes AI used to detect financial fraud minimal risk."（附录3.5b涵盖信用度和信用评级，但明确排除了用于检测金融欺诈的AI，属于最低风险。）
合规义务管理与电子表格的局限性
所有四类系统均需遵守第4条关于AI素养（AI literacy）的义务，即采取措施支持使用这些系统的人员提升相关能力。在义务管理方面，视频详细列出了简历筛选工具（高风险部署者）需履行的第26条义务：按说明使用、指派具备能力和权限的人类监督人员、保持输入数据相关性、监控系统并告知提供商风险或严重事件、保留至少6个月的日志，以及在工作场所使用时通知工人代表并告知候选人高风险系统参与了决策。
视频随后分析了使用电子表格管理这些义务的局限性。虽然免费灵活，但当分类变更时，义务标签页不会自动更新；证据列仅为文件夹链接，无法追踪文件版本变化（如"V3 final edited"）；且缺乏自动提醒机制来应对即将到来的合规截止日期。当法规时间线因数字综合法案而变动时，手动更新所有表格极易出错且效率低下。这凸显了从静态记录向动态合规管理工具过渡的必要性。
"The obligations tab is copied from the register. So when one classification changes, nothing updates."（义务标签页是从注册表复制的。因此，当分类发生变化时，什么都不会自动更新。）
自动化合规工具的优势与差距对比
视频接着展示了在GR Compliance平台中执行相同任务的过程。该平台内置AI治理模块（付费版功能），包含风险与安全下的"AI与应用安全"部分。在系统库存中，每个系统都有唯一代码、EU AI Act结果及内部层级。打开简历筛选器的AI法案标签页，分类器按固定顺序提问：第5条、附录1/3点号及子项、第6条3款画像情况、角色认定等。系统顶部显示规则集版本（2026-10），引用数字综合法案，且无特定AI模型调用，表明这是基于固定规则的自动化分类。
与电子表格相比，GR Compliance的优势在于自动生成义务列表并关联日期。对于简历工具，系统根据回答生成了5条第26条义务（包括人类监督、告知提供商和工人代表），每条均显示角色状态及生效日期，无需手动复制粘贴。每次重新运行都会保存为新记录，导出CSV可保留目的、法律角色及模型版本等信息。然而，工具仍有不足：生成的列表未包含第4条AI素养义务及单独的日志保留行，这些仍需手动追踪。这种对比客观展示了自动化工具在处理复杂法规逻辑时的效率优势及其当前的功能边界。
"Here, five lines were generated from the answers and the dates come from one rule set instead of being typed into each row."（在这里，五条行是根据答案生成的，日期来自一个规则集，而不是手动输入到每一行中。）
结论
建立和维护AI系统清单是应对欧盟《人工智能法案》的基础性工作。通过Lator Limited的案例，我们明确了分类的核心逻辑：首先筛查第5条禁令，其次判断是否落入附录3高风险范畴（特别是涉及招聘和人员画像的场景），最后确认透明度义务及最低风险场景。时间线的更新（如高风险招聘工具合规推迟至2027年12月）要求企业动态调整其注册表。虽然电子表格可作为起步工具，但随着系统数量增加、人员变动及法规更新，其手动维护的缺陷日益凸显。自动化合规工具能通过固定规则集自动生成分类结果和关联义务，显著降低出错率并提高审计追踪能力。然而，企业仍需注意当前工具在AI素养和日志管理等细节上的缺失，结合人工复核以确保全面合规。最终，一个结构清晰、证据链完整且能随法规演进的AI注册表，是企业构建可信AI治理体系的基石。