EU AI Act的风险分级：不可接受、高、有限、最小

EUAIAct的风险分级：不可接受、高、有限、最小本文档提供：四级风险判定操作表一张，按第5条禁止清单、第6条高风险路径、第50条透明度义务的顺序逐级过筛；第5条禁止实践核查表一张，按八类禁止实践加DigitalOmnibus新增项列出条款依据和判定信号；高风险分类双路径判定表一张，区分附件I产品安全路径与附件III领域清单路径，含第6(3)条实质豁免的评估要求；高风险七项技术义务实施表一张，按第9—15条逐项列出动作、输出物和取数位置；有限风险透明度义务执行表一张，按第50条四种情形分列告知方式、告知时间和记录位置；GPAI模型义务分离表一张，区分第53条核心义务与第55条系统性风险额外义务；时间线与合规工具对照表一张，含DigitalOmnibus调整后的关键日期、合格评定和CEmarking路径；某食品企业AI招聘筛选工具从分级判定到并行义务排期的完整案例一个，含三次判断转折；决策规则六条，覆盖禁止实践命中、豁免依据缺失、路径记录、透明度义务独立执行、GPAI声明缺失和时间线调整六个分叉点；三套场景操作对照表一张，逐项列出检查项和交付物增减。2026-11-08表1目录与定位这一节的标题读完你能拿到什么这一节在全文中的功能一、先用一张筛子定级：从禁止清单往下走四级风险判定操作表，含逐级过筛的判定顺序和输出物在查任何义务之前，先锁定一个AI系统落在哪一级二、不可接受风险：第5条的硬边界第5条禁止实践核查表，含八类实践、条款依据和判定信号确认一个系统是否落入禁止区，命中即终止讨论三、高风险：两条路径和一道实质豁免高风险分类双路径判定表，附件I与附件III的分流规则，第6(3)条评估要求判断系统是否属于高风险，以及第6(3)条豁免的依据要求四、高风险义务：第9—15条逐项落地七项技术义务实施表，含动作、输出物和取数位置把高风险合规落到“先做哪一项、交什么”五、有限风险：第50条的透明度动作透明度义务执行表，含四种情形的告知方式和记录位置对聊天机器人、深度伪造、情绪识别等系统执行告知动作六、GPAI模型：第53条和第55条分开处理GPAI模型义务分离表，区分核心义务与系统性风险额外义务在系统之外，处理底层模型的独立义务七、时间线与合规工具：每条义务按自己的截止日走时间线与合规工具对照表，含DigitalOmnibus调整后的日期和CEmarking路径把义务映射到具体截止日期，按义务类型并行排期八、三次判断转折：AI招聘筛选工具的分级与合规完整案例，含起点、三次转折和终点看分级、义务触发和并行排期在一个真实场景里如何串联九、六条决策规则：什么条件走哪条路六条“如果—则—如果—则”格式的决策规则覆盖禁止命中、豁免依据缺失、路径记录、透明度独立执行、GPAI声明缺失和时间线调整十、完整版、精简版、极简版各查什么三套场景对照表，逐项列出检查项和交付物增减按场景选版本，明确每套版本跑哪些项按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、先用一张筛子定级：从禁止清单往下走EUAIAct（Regulation(EU)2024/1689）把AI系统分为四级风险：不可接受、高、有限、最小。分级是逐级过筛的判定动作。判定顺序从最硬的边界开始：先查第5条禁止清单，命中即禁止，后续义务终止讨论；未命中，进入第6条高风险判定；不属于高风险，进入第50条透明度义务判定；第50条的条件也满足不了，归入最小风险。分级判定的输出物是一份《AI系统风险分级记录》，每个系统一行，字段包括：系统名称、用途描述、第5条核查结论（命中/未命中，命中项编号）、第6条高风险判定（附件I路径/附件III路径/不属于）、第50条透明度判定（触发项/条件未满足）、最终分级、判定人、判定日期。判定记录写清命中了哪一条、依据是什么。表2四级风险判定操作表判定步骤打开什么看判定条件输出物取数位置第一步：第5条禁止清单第5(1)条(a)—(h)项，逐项对照系统用途系统用途落入任一项的描述范围，即命中禁止实践《AI系统风险分级记录》的“第5条核查结论”字段《AI系统风险分级记录》的“命中项编号”字段第二步：第6条高风险路径一（附件I）附件I所列产品安全立法清单，对照系统是否为受该立法管辖产品的安全组件或本身即为该产品系统是附件I产品的安全组件，或本身是受管制产品，且失效会危及健康或安全高风险（附件I路径）《AI系统风险分级记录》的“第6条判定路径”字段第三步：第6条高风险路径二（附件III）附件III八个领域清单：生物识别、关键基础设施、教育、就业、基本服务、执法、移民、司法系统用途落入附件III任一领域，进入第6(3)条评估高风险（附件III路径）或非高风险（第6(3)条结论为不构成显著风险）《AI系统风险分级记录》的“第6条判定路径”字段；第6(3)条评估记录第四步：第50条透明度第50条四种情形：人机交互、合成内容生成、情绪识别/生物特征分类、深度伪造系统属于四种情形之一有限风险（需履行透明度义务）《AI系统风险分级记录》的“第50条透明度判定”字段第五步：归入最小风险前四步的条件都满足不了系统落在上述类别之外最小风险《AI系统风险分级记录》的“最终分级”字段最小风险系统没有强制义务。第95条鼓励提供者和部署者自愿制定行为准则，将高风险要求的部分内容适用于非高风险系统。选择自愿遵守时，行为准则的具体承诺写入《AI系统自愿准则承诺记录》，作为内部管理文件，接受监管检查时按自愿承诺内容核查。二、不可接受风险：第5条的硬边界第5条的禁止实践是硬停止：系统命中禁止清单，讨论终止，不存在增加保障措施使其合规的路径。禁止实践的执法从2025年2月2日开始，罚款上限为3500万欧元或全球年营业额的7%，取较高者。八类禁止实践的核心判定信号如下。第一类，潜意识操纵或欺骗性技术：系统部署了超出人意识感知的技术，或故意使用欺骗手段实质性扭曲人的行为，且可能造成重大损害。第二类，利用脆弱性：系统利用年龄、残疾或社会经济状况导致的决策能力下降，扭曲行为并造成重大损害。第三类，社会评分：公共机构或代表公共机构使用AI对自然人进行社会评价或分类，基于社会行为或个人特征产生不利对待。第四类，预测性执法：仅基于画像或个人特征评估自然人实施犯罪的风险。第五类，无差别面部图像抓取：从互联网或监控录像中无差别抓取面部图像以建立或扩充面部识别数据库。第六类，工作场所和教育机构的情绪识别：在工作场所或教育机构中使用AI推断自然人的情绪，医疗和安全原因除外。第七类，生物特征分类：基于生物特征数据推断种族、政治倾向、工会成员身份、宗教或哲学信仰、性生活或性取向。第八类，实时远程生物识别：在公共可访问空间为执法目的使用实时远程生物识别，存在窄幅例外。DigitalOmnibus新增两项禁止，自2026年12月2日起适用：生成非自愿的亲密内容或儿童性虐待材料（CSAM）的AI系统，禁止投放市场和禁止使用。2026年12月2日之前，在范围内的系统提供者需要实施技术保障措施，包括拒绝训练、输出控制和内容过滤。表3第5条禁止实践核查表序号禁止实践条款依据判定信号（命中即禁止）记录位置1潜意识操纵/欺骗性技术第5(1)(a)条系统使用超出意识感知的技术，或故意欺骗，实质性扭曲行为并可能造成重大损害《第5条核查记录》的“命中项编号”字段填“5(1)(a)”2利用脆弱性第5(1)(b)条系统利用年龄、残疾或社会经济脆弱性，扭曲行为并可能造成重大损害同字段填“5(1)(b)”3社会评分第5(1)(c)条基于社会行为或个人特征对自然人进行评价或分类，产生不利对待同字段填“5(1)(c)”4预测性执法第5(1)(d)条仅基于画像或个人特征评估犯罪风险同字段填“5(1)(d)”5无差别面部抓取第5(1)(e)条从互联网或监控录像无差别抓取面部图像建库同字段填“5(1)(e)”6工作/教育情绪识别第5(1)(f)条在工作场所或教育机构推断情绪，医疗/安全除外同字段填“5(1)(f)”7生物特征分类（敏感属性）第5(1)(g)条基于生物特征推断种族、政治、宗教、性取向等同字段填“5(1)(g)”8实时远程生物识别（执法）第5(1)(h)条公共空间实时远程生物识别用于执法，窄幅例外除外同字段填“5(1)(h)”9非自愿亲密内容/CSAM（2026-12-02起）DigitalOmnibus新增系统生成非自愿亲密内容或儿童性虐待材料同字段填“DigitalOmnibus新增”三、高风险：两条路径和一道实质豁免高风险的判定分两条路径，两条路径的后果相同（触发第9—15条义务），合规动作和时间线不同。路径一（附件I）：系统是受欧盟产品安全立法管辖产品的安全组件，或本身即为该产品，且失效或故障会危及健康或安全。附件I涵盖医疗器械、机械、玩具、车辆等。路径二（附件III）：系统用途落入八个领域——生物识别与分类、关键基础设施、教育与职业培训、就业与工人管理、基本服务和公共服务的获取、执法、移民与边境控制、司法与民主进程的行政。附件III路径有一道实质豁免（第6(3)条）：系统用途落入附件III领域，但经评估不构成对自然人健康、安全或基本权利的显著风险，按非高风险处理。提供者负有独立的自我分类义务，必须评估并记录“是否构成显著风险”的结论，结论无论为是或否均须留档。附件III中明确列举的、始终按高风险处理的用途（如远程生物识别）排除在豁免评估之外。DigitalOmnibus对附件I路径做了一项收窄：仅用于非安全目的（用户辅助、优化、服务效率、自动化、便利、非安全质量控制）的AI系统，从附件I路径的入口范围中移出。这项收窄作用于路径一的入口条件，路径二的入口条件和判定规则维持原状。表4高风险分类双路径判定表判定项附件I路径附件III路径第6(3)条实质豁免入口条件系统是受附件I产品安全立法管辖产品的安全组件，或本身即为该产品系统用途落入附件III八个领域之一仅适用于附件III路径形式审查通过后进入合格评定，由公告机构参与（视产品立法而定）进入第6(3)条评估评估结论为“不构成显著风险”，按非高风险处理；结论为“构成显著风险”，按高风险处理豁免/收窄DigitalOmnibus收窄：仅用于非安全目的的系统从附件I路径的入口范围中移出附件III中明确列举的类别（如远程生物识别）按高风险处理，排除在豁免评估之外自我分类评估必须记录，结论无论为是或否均须留档合规时间线2028年8月2日2027年12月2日与所属路径的时间线一致记录位置《高风险判定记录》的“路径”字段填“附件I”同字段填“附件III”；第6(3)条评估记录单独归档《第6(3)条评估记录》的“结论”字段和“依据”字段四、高风险义务：第9—15条逐项落地高风险系统在投放市场之前必须满足第9—15条的七项技术义务，义务在整个运行生命周期内持续保持。七项义务的动作和输出物如下。第9条，风险管理体系：建立、实施、记录并维护一个贯穿系统全生命周期的风险管理体系，包括风险识别、风险分析和风险评价，以及针对已识别风险的缓解措施。输出物是《AI系统风险管理计划》和《风险登记册》，后者每条风险含风险描述、严重性、可能性、缓解措施、残余风险、责任人。第10条，数据治理：训练、验证和测试数据集必须满足质量准则，包括相关性、代表性、无错误、完整性，并审查可能的偏见。输出物是《数据集说明书》，字段包括：数据集名称、来源、样本量、群体分布、标注规范、已知偏见及缓解方式。取数位置写到数据集版本号和标注记录。第11条，技术文档：按附件IV编制技术文档，涵盖系统描述、开发过程、监测机制、风险管理、数据治理、测试结果等。技术文档在投放市场前编制完成，随系统变更更新。第12条，记录保存：系统在设计上具备自动记录日志的能力，日志记录足以追溯系统的运行和决策。部署者负责保留日志。第13条，透明度与向部署者提供信息：系统附有使用说明，包含系统的预期用途、准确度水平、已知局限、人类监督措施、预期寿命等。部署者能够理解并正确使用系统。第14条，人类监督：系统在设计上包含适当的人类监督措施，包括在系统运行中由自然人进行有效监督的能力，以及必要时干预或停止系统的能力。人类监督措施在《人机监督安排表》中定义，字段包括：监督节点、监督人角色、干预权限（建议/批准/否决/停止）、干预记录位置。第15条，准确度、稳健性和网络安全：系统达到适当的准确度、稳健性和网络安全水平，并在整个生命周期中保持一致。输出物是《准确度与稳健性测试报告》，含测试数据集、指标、结果、与声明水平的对照。表5高风险七项技术义务实施表条款义务实施动作输出物取数位置（表名＋字段）第9条风险管理体系建立风险管理计划，登记风险条目并分配缓解措施和残余风险《AI系统风险登记册》“风险描述”“缓解措施”“残余风险”“责任人”字段第10条数据治理编制数据集说明书，审查群体分布和偏见《数据集说明书》“群体分布”字段、“已知偏见及缓解方式”字段第11条技术文档按附件IV编制，随系统变更更新《技术文档》v1.0文档版本号和更新日期第12条记录保存系统自动生成日志，部署者保留《系统运行日志》“时间戳”“输入摘要”“输出结果”“置信度”字段第13条透明度与使用说明编制使用说明，含预期用途、局限、监督措施《使用说明书》“已知局限”段落、“人类监督措施”段落第14条人类监督定义监督节点和干预权限，记录干预动作《人机监督安排表》和《干预记录表》监督安排的“干预权限”字段；干预记录的“干预时间”“干预人”“干预依据”字段第15条准确度、稳健性、网络安全在测试集上评估并记录，与声明水平对照《准确度与稳健性测试报告》“测试数据集版本”“指标名称”“结果值”“声明水平”字段五、有限风险：第50条的透明度动作有限风险触发第50条的透明度义务，第9—15条的技术义务在有限风险下适用不了。第50条覆盖四种情形，每种情形的告知对象、告知时间和记录方式不同。情形一：人机交互。提供者必须设计系统，使自然人被告知正在与AI系统互动，除非从上下文显而易见。聊天机器人、虚拟助手、语音交互系统属于此类。告知在交互开始时发生，以清晰、可理解的方式呈现。情形二：合成内容的机器可读标记。生成图像、音频、视频或文本的AI系统的提供者，必须以确保可被检测为人工生成的方式标记输出内容。对于2026年8月2日之前已投放市场的系统，DigitalOmnibus给予了三个月的宽限期，标记和检测义务的合规截止日为2026年12月2日；其他透明度义务从2026年8月2日起适用。情形三：情绪识别和生物特征分类。部署者必须告知暴露于该系统的自然人系统的运行情况。告知在暴露发生前或发生时进行。情形四：深度伪造和公共利益文本。部署者必须披露AI生成或操纵的深度伪造内容，以及为告知公众公共利益事项而发布的AI生成文本。披露方式为清晰标识。表6第50条透明度义务执行表情形告知对象告知时间告知方式记录位置人机交互与系统互动的自然人交互开始时系统界面显示或语音提示“您正在与AI系统互动”《透明度义务执行记录》的“告知时间戳”“告知方式”字段合成内容标记内容接收者/检测系统内容生成时机器可读标记（元数据、水印等）《合成内容标记记录》的“内容ID”“标记方式”“标记版本”字段情绪识别/生物分类暴露于系统的自然人暴露前或暴露时书面或电子告知，说明系统运行情况和目的《透明度义务执行记录》的“告知对象类别”“告知内容摘要”字段深度伪造/公共利益文本内容接收者/公众内容发布时清晰标识“AI生成/操纵”《深度伪造披露记录》的“内容ID”“披露文本”“披露位置”字段六、GPAI模型：第53条和第55条分开处理GPAI（通用目的AI）的义务作用于模型层面，与系统层面的风险分级并行。一个GPAI模型可以被集成到高风险系统中，模型提供者承担第53—55条的义务，系统提供者承担高风险义务，两层义务各自独立。第53条的核心义务适用于所有GPAI模型提供者，自2025年8月2日起已生效。四项核心义务：按附件XI编制技术文档；按附件XII向下游提供者提供信息；制定版权合规政策，包括尊重第4(3)条DSM指令下的选择退出；基于AI办公室官方模板发布训练内容摘要。以自由和开源许可证发布且参数公开的模型，可豁免第53(1)(a)和(b)项，系统性风险模型排除在该豁免之外。第55条的系统性风险额外义务适用于具有系统性风险的GPAI模型，判定门槛为极高的训练计算量。额外义务包括：模型评估、对抗性测试、系统性风险事件报告、网络安全保护措施。第三国提供者在投放欧盟市场前必须书面指定欧盟授权代表，代表核实技术文档、保存副本十年、回应AI办公室的合理请求并配合当局。表7GPAI模型义务分离表义务层适用对象条款核心动作时间线输出物核心义务所有GPAI模型提供者第53条技术文档（附件XI）、下游信息（附件XII）、版权政策、训练内容摘要2025年8月2日起；此前已投放市场的模型至2027年8月2日《GPAI技术文档》《版权合规政策》《训练内容摘要》系统性风险额外义务训练计算量超过阈值的GPAI模型提供者第55条模型评估、对抗性测试、事件报告、网络安全与核心义务时间线一致《模型评估报告》《对抗性测试记录》《事件报告》第三国提供者非欧盟设立的GPAI提供者第54条指定欧盟授权代表投放市场前《授权代表任命书》七、时间线与合规工具：每条义务按自己的截止日走DigitalOmnibus对高风险义务的时间线做了重大调整。原定2026年8月2日的全面适用日期调整：附件III独立高风险AI系统（招聘、信贷、生物识别、执法、教育等）的义务适用日期延至2027年12月2日；附件I产品内嵌式高风险AI系统（医疗器械、机械、玩具等）的义务适用日期延至2028年8月2日。第5条禁止实践从2025年2月2日起已适用；GPAI核心义务从2025年8月2日起已适用，AI办公室的执法权从2026年8月2日起已生效；第50条透明度义务中的人机交互告知等从2026年8月2日起适用，合成内容标记的宽限期至2026年12月2日。合规工具方面，高风险系统的合规路径以合格评定为核心，最终以CEmarking和欧盟符合性声明（EUdeclarationofconformity）为市场准入标志。合格评定由提供者执行，公告机构的参与视产品立法而定。CEmarking由提供者加贴，符合性声明按第47条编制。协调标准是证明符合第9—15条技术义务的主要工具，DigitalOmnibus推迟高风险义务的动因之一正是协调标准未能按时就绪。表8时间线与合规工具对照表事项适用日期谁需要做合规工具/动作记录位置第5条禁止实践2025-02-02起所有提供者/部署者第5条核查，命中即停止《第5条核查记录》GPAI核心义务（第53条）2025-08-02起；存量模型2027-08-02前GPAI模型提供者技术文档、版权政策、训练摘要《GPAI合规包》GPAI执法权生效2026-08-02起AI办公室——第50条透明度（人机交互等）2026-08-02起提供者/部署者交互告知、情绪识别告知《透明度义务执行记录》第50条合成内容标记（宽限期）2026-12-02前生成式系统提供者机器可读标记《合成内容标记记录》DigitalOmnibus新增禁止2026-12-02起相关系统提供者拒绝训练、输出控制、内容过滤技术保障实施记录附件III高风险义务2027-12-02起附件III系统提供者第9—15条、合格评定、CEmarking《高风险合规包》附件I高风险义务2028-08-02起附件I产品安全组件提供者第9—15条、合格评定（公告机构参与）、CEmarking《高风险合规包》＋公告机构证书八、三次判断转折：AI招聘筛选工具的分级与合规以下案例为示例案例，细节为合理设定。人物用“某食品企业人力资源技术与合规负责人”。该案例的关键判断分叉集中在附件III路径的实质豁免依据、部署者义务与提供者义务的分离、以及时间线按义务类型拆分三处，第四次转折未发生。起点：企业计划采购一套AI招聘筛选工具，用于简历初筛和候选人排序。工具由外部供应商提供，企业作为部署者使用。供应商声称“工具只做效率优化，属于非高风险”。第一次转折。按表2逐级过筛，第5条未命中。第6条路径二：系统的用途是就业与工人管理中的招聘和候选人评估，落入附件III第4项“就业、工人管理”领域。供应商的主张是“只做效率优化”，系统落入附件III领域的事实成立。进入第6(3)条实质豁免评估。评估的问题是：该系统对自然人的健康、安全或基本权利构成显著风险的程度。合规负责人查看了供应商提供的工具说明：系统基于简历文本做关键词匹配和排序，排序结果供HR参考，最终录用决定由HR做出。初步判断：系统供HR参考、录用决定由HR做出，显著风险可能较低。供应商说明中缺少训练数据的群体分布和偏见测试。简历筛选工具的已知风险之一是对特定群体（如女性、少数族裔、非传统教育背景）的简历产生系统性低排。没有偏见测试数据，第6(3)条评估的“不构成显著风险”结论缺乏依据。合规负责人要求供应商提供训练数据的群体分布和偏见测试结果，在数据补齐之前，评估结论暂定为“高风险（附件III路径）”，按高风险配置合规资源。供应商在两周内提供了部分数据：训练集简历样本中女性占比低于行业基准，分层偏见测试结果尚未完成。第6(3)条评估结论最终定为“构成显著风险”，系统属于高风险。第二次转折。系统被定为高风险后，合规负责人按第9—15条排合规计划。第9条风险管理体系、第10条数据治理、第11条技术文档、第12条记录保存、第13条使用说明、第14条人类监督、第15条准确度与稳健性。其中第10条和第15条要求的数据和测试，供应商尚未提供。供应商表示“技术文档和测试报告是提供者的义务，部署者按说明使用即可”。合规负责人核对条款后发现：第9、10、11、12、15条的主要义务方是提供者（供应商），第13条要求提供者向部署者提供使用说明，第14条的人类监督由部署者实施。作为部署者，企业需要确保：使用说明中定义了人类监督措施，监督措施在实际流程中被执行，日志被保留。部署者的合规动作是在供应商文档的基础上，建立自己侧的监督记录和日志保留。合规计划按“提供者义务”和“部署者义务”分列。供应商侧要求其在2027年12月2日前交付第11条技术文档、第10条数据集说明书、第15条测试报告。企业侧在第14条人类监督上定义干预权限（HR有权否决排序结果并记录否决依据），在第12条上配置日志保留（系统运行日志保存不少于6个月），在第13条上核对使用说明中的已知局限是否覆盖了简历筛选场景的偏见风险。供应商的交付时间线嵌入合同，交付节点前系统上线条件按合同条款执行。第三次转折。合规计划排到一半，供应商通知“附件III高风险义务的适用日期是2027年12月2日，我们计划2027年6月交付文档，来得及”。合规负责人核对DigitalOmnibus后的时间线：附件III独立高风险系统的义务适用日期是2027年12月2日，第50条的透明度义务（如果系统涉及人机交互或情绪识别）从2026年8月2日起已适用，GPAI核心义务从2025年8月2日起已生效。招聘筛选工具如果使用了GPAI模型作为底层组件，模型提供者的第53条义务已经生效；系统本身如果涉及与候选人的直接交互（如聊天机器人初筛），第50条的人机交互告知义务也已生效。高风险义务的推迟只作用于第9—15条及合格评定，其他义务按各自的时间线执行。合规计划拆成三条并行线。第一条，第50条透明度义务：如果系统包含候选人聊天交互，告知文本在2026年8月2日前上线。第二条，GPAI模型义务：要求供应商提供其底层GPAI模型的第53条合规声明，确认模型提供者已履行技术文档和训练摘要义务。第三条，附件III高风险义务：按2027年12月2日倒排，供应商文档交付、企业侧监督记录和日志配置、合格评定的内部准备，节点分解到季度。三条线各有负责人和截止日，每条线按自己的截止日推进。终点：最终产出四份记录——《AI系统风险分级记录》（附件III路径，第6(3)条评估结论为“构成显著风险”，高风险）、《第6(3)条评估记录》（含训练数据偏见审查的缺失和补齐过程）、《高风险合规计划》（分提供者义务和部署者义务两列，含时间线和责任人）、《并行义务时间线表》（第50条、GPAI第53条、附件III三条线并行，各有截止日和交付物）。系统在三条线中最早到期的义务截止日前完成对应动作，高风险主体的合格评定准备按2027年12月2日倒排。表9案例变量表变量案例中的情形变量变化时的处置调整第6(3)条评估的数据基础供应商未提供偏见测试数据，评估结论从“可能豁免”转为“构成显著风险”供应商提供完整的群体分布和分层偏见测试且结果显示低风险时，第6(3)条豁免可能成立，评估记录仍须保留部署者义务的范围第14条人类监督、第12条日志保留由部署者实施系统完全由供应商托管运营且部署者无实际操作界面时，部署者义务的范围和记录方式在合同中重新界定底层GPAI模型的角色供应商使用了GPAI模型，模型义务已生效供应商自研模型且未投放市场时，GPAI第53条义务的适用性单独判断（是否构成“投放市场”）时间线拆分方式按义务类型（第50条、GPAI、附件III）分三条线并行将所有义务合并按系统上线日倒排，已生效义务按原截止日执行，高风险义务按调整后的日期执行表9中权重较高的变量是“时间线拆分方式”。按系统整体倒排，已生效的第50条和GPAI义务会被高风险义务的截止日拖后；按义务类型拆分，每条线在自己的截止日前完成，合规节奏与法律生效节奏对齐。九、六条决策规则：什么条件走哪条路规则一：如果第5条核查中任一禁止实践的判定信号被命中，该系统的讨论终止，记录“禁止，不可补救”，第6条判定跳过；如果团队对是否命中存在分歧，将分歧点、条款原文和系统用途描述提交法务，在5个工作日内形成书面结论，结论作出前系统暂停投放和继续使用。规则二：如果系统落入附件III领域且提供者主张第6(3)条豁免，要求提供者提交“不构成显著风险”的评估依据，包括训练数据群体分布、偏见测试结果和受影响群体的影响分析；依据不齐备时，第6(3)条评估结论按“构成显著风险”处理，系统按高风险配置资源，直至依据补齐并评估通过。规则三：如果系统同时可能落入附件I和附件III路径，先按附件I路径判定（附件I路径的入口更窄、时间线更晚）；附件I路径条件满足不了时，再按附件III路径判定。两条路径的判定记录分别归档，每条记录写明路径编号和判定依据。规则四：如果高风险系统的提供者或部署者涉及第50条中的任一情形（人机交互、合成内容、情绪识别、深度伪造），第50条义务按自己的时间线独立执行，执行记录与高风险合规计划分开归档，系统总体合规状态中合并呈现。规则五：如果系统使用了GPAI模型作为组件，要求模型提供者提供第53条合规声明（技术文档、版权政策、训练摘要的完成状态）；模型提供者无法提供声明的，系统侧评估该模型是否可替换，不可替换时将模型风险纳入系统风险登记册，并在第9条风险管理体系中增加“底层模型合规不确定性”条目。规则六：如果高风险义务的适用日期因DigitalOmnibus或其他修订发生变更，合规计划在变更生效后10个工作日内重新排定时间线；重新排定只调整尚未到期的义务的节点，已生效义务（如第50条、GPAI第53条）的执行状态按原截止日维持。六条规