（全球TMT2022年6月13日訊）歐盟人工智能法案將于2024年強制執(zhí)行，為協(xié)助中國人工智能相關企業(yè)提前應對即將到來的國際監(jiān)管，TUV南德意志集團（簡稱"TUV南德"）已推出人工智能評估服務：AI?質(zhì)量架構(gòu)評估方案。?

本文為Trust AI@TUV SUD的系列專欄的第四篇：人工智能系統(tǒng)符合性評估框架。

2021年4月，歐盟委員會發(fā)布了歐洲議事和理事會《關于制定人工智能統(tǒng)一規(guī)則》的提案（以下簡稱"草案"）。在專欄前三期中我們介紹了該草案嚴苛的懲罰力度以及對于人工智能的風險分類，以及四種政策選項。本期文章討論AI法案可能會采用的符合性評估框架及其執(zhí)行機制。

對于草案中所列的高風險人工智能系統(tǒng)，提供者在其投放市場或投入使用前，應遵循基于內(nèi)部控制的符合性評估程序（Annex VI），或基于質(zhì)量管理體系審核和技術文件審核的符合性評估程序（Annex VII）。提供者應起草一份歐盟符合性聲明(EU Declaration of Conformity、DOC)，并貼上符合的CE標志（Article 48）。

制造商如何選擇符合性評估流程

-    低風險人工智能系統(tǒng)的提供者可以采用基于內(nèi)部控制的符合性評估程序（Annex VI）。

-    對于除Annex III item 2-8所列用途之外的高風險人工智能系統(tǒng)，提供者可以采用基于質(zhì)量管理體系和技術文件的符合性評估程序（Annex VII）。提供者須選擇一個歐盟公告機構(gòu)。由公告機構(gòu)確認人工智能的符合性并簽發(fā)證書。但是，如果人工智能由執(zhí)法機關，移民管理或避難，救濟機構(gòu)及其他官方機構(gòu)使用，歐盟成員國授權的執(zhí)法機構(gòu)應取代公告機構(gòu)進行符合性確認。

-    對于 Annex III item 2-8所列用途的高風險人工智能系統(tǒng)，提供者可以采用基于內(nèi)部控制的符合性評估程序（Annex VI），不需要引入公告機構(gòu)，但是須考慮2013/36/EU指令的符合性評估程序要求。

-    如果提供者沒有或僅部分采用人工智能法案的協(xié)調(diào)標準，或者該協(xié)調(diào)標準和通用規(guī)范不存在，提供者必須采用基于質(zhì)量管理體系審核和技術文件審核的符合性評估程序（Annex VII）。

歐盟符合性聲明（DOC）

歐盟符合性聲明應說明符合人工智能法案中規(guī)定的要求并及時更新，在投入市場后的十年內(nèi)由歐盟成員國主管機構(gòu)保管（Article 48）。聲明應包含以下內(nèi)容：

-    人工智能系統(tǒng)的名稱和類型；

-    提供者或者其歐盟代表（如適用）的名稱和地址；

-    DOC由提供者簽發(fā)并全權負責的聲明；

-    符合人工智能法案及其他相關立法（如適用）的聲明；

-    參考的協(xié)調(diào)標準或其他通用規(guī)范；

-    公告機構(gòu)的名稱及公告號（如適用）；

-    聲明的發(fā)布地點和日期，簽署人的姓名和職務等。

符合性評估

符合性評估將主要包含三個方面：質(zhì)量管理體系，技術文檔的要求，和持續(xù)監(jiān)督。

1.  提供者應建立質(zhì)量管理體系，并形成相關書面文件，（Article 17），應至少包括：符合法規(guī)的策略；設計、設計控制和設計驗證；開發(fā)、質(zhì)量控制和質(zhì)量保證；開發(fā)之前、之間和之后要進行的檢查、測試和驗證的程序和頻率；擬采用的技術規(guī)范/標準；數(shù)據(jù)管理的系統(tǒng)和程序；風險管理系統(tǒng)；投入市場后的監(jiān)測系統(tǒng)；與嚴重事故和故障有關的報告程序；與相關方的溝通處理；記錄所有相關文件和信息的系統(tǒng)和程序；資源管理；問責框架等。

2.  技術文件應包含所需法律要求的信息，在投放市場使用前制定，并及時更新（Article 11）。其內(nèi)容應包括以下信息（Annex IV）：對人工智能系統(tǒng)的一般描述；系統(tǒng)的組成及其開發(fā)過程的詳細描述；監(jiān)測、運行和控制的詳細資料；風險管理系統(tǒng)的詳細描述；在其生命周期內(nèi)所做的任何改變的說明；適用的協(xié)調(diào)標準或其他通用規(guī)范的清單；歐盟符合性聲明的副本；投入市場后的性能評估制度。

并且，系統(tǒng)在運行時應自動記錄日志（Article 12），以保證整個產(chǎn)品生命周期內(nèi)的可追溯性，從而防范可能出現(xiàn)的重大風險，并配合上市后的監(jiān)管。日志記錄系統(tǒng)功能應至少記錄以下信息：每次使用的時間；數(shù)據(jù)庫及對應的輸入數(shù)據(jù)；搜索對應的輸入數(shù)據(jù)；參與結(jié)果驗證的自然人身份等。

3.  對上市或投入使用后的人工智能系統(tǒng)應進行持續(xù)的監(jiān)督。提供者應以與人工智能的性質(zhì)和風險相匹配的方式，建立并記錄投入使用后的檢測系統(tǒng)。該系統(tǒng)應在產(chǎn)品整個生命周期內(nèi)積極、系統(tǒng)地收集、記錄和分析由使用者提供或其他來源的相關數(shù)據(jù)，以使得AI提供者能夠持續(xù)地評估該人工智能系統(tǒng)是否符合法案規(guī)定的要求。

公告機構(gòu)應定期進行審查（Audit），以確保AI提供者適當?shù)芈男薪?jīng)批準的質(zhì)量管理體系中的條款和條件，并應向AI提供者提供報告。

相關方的義務