欧盟AI法案2026：透明度义务解读

作者：Jonas Osman Abdelghafour。

欧盟AI法案采取横向适用方式，这正是其对金融机构而言颇为棘手之处：义务的施加取决于一家机构与某一系统之间所扮演的角色——提供者、部署者、进口商、分销商——而非取决于该机构所从事的受监管业务活动本身。一家购入筛查工具的银行是部署者；而一家对该工具进行微调并加以营销的银行，则更接近于提供者的角色。分类出错是代价最为高昂的失误，因为它决定了整套义务体系的范围。

分类是第一道控制关卡

两个问题决定了后续工作。第一，该系统根据法案的定义是否属于AI范畴？第二，适用何种风险类别？对金融服务业而言，真正产生实际影响的类别包括：被禁止的做法（范围狭窄但绝对禁止）；高风险用途——最相关的是对自然人信用状况的评估，以及人身与健康保险中的风险评估与定价；以及适用于与人交互或生成内容的系统的透明度层级。

后续所有工作都取决于这一映射结果，因此它应当作为一项带有责任人与复核日期的记录属性，纳入模型清单，而不应另立一份独立的合规电子表格。

透明度的实务操作

透明度义务通常被概括为“告知人们他们正在与机器对话”。但其实际操作范围要更广。直接与个人交互的系统必须在交互发生的当下、在界面本身之中明确表明这一点，而不是藏在需要点击三次才能到达的政策页面里。合成或经过篡改的内容需要具备机器可读的标记。情绪推断与生物特征分类用途承担各自的披露义务，并且在雇佣场景下受到严格限制。

对于一家零售银行而言，实际的落地成果并不光鲜：能够自我表明身份的聊天界面、披露自动化处理方式的呼叫中心脚本、对生成内容进行标注的营销内容生产流程，以及一份能够证明每项披露何时落实的证据记录。

高风险义务对应到已有的控制措施

当某项用途落入高风险类别——针对消费者的信用评分、上述特定险种的保险定价——其要求读起来就像是一套运作良好的模型风险框架，只是多了些文书工作：覆盖整个生命周期的风险管理体系、涵盖代表性与偏差问题的数据治理、技术文档、自动化日志记录、嵌入工作流程的人工监督，以及与用途相匹配的准确性、稳健性与网络安全水平。

高效的应对方式是映射而非重复建设。数据治理要求可以映射到既有的数据血缘与质量控制体系。技术文档可以映射到模型开发文档，只需按照法案的具体字段加以扩展。人工监督可以映射到验证工作本已应当测试的干预与升级机制设计。日志记录可以映射到审计留痕要求。那些搭建一套平行的AI法案合规体系的机构，最终会同时维护同一模型的两份描述，而这两份描述会在一年内出现分歧。

部署者自身也承担独立的义务——按照提供者的说明使用系统、确保输入数据具有相关性、指派具备能力的人员进行监督、监控运行情况，并在若干情形下告知受影响的个人。银行无法将这些义务外包给供应商。

通用模型与供应链

大多数机构使用通用模型，而非自行构建。提供者承担文档编制义务，超过系统性风险门槛后还需承担额外义务；部署者仍需获得足以履行自身义务的信息。这使得通过合同获取技术文档、重大模型变更通知，以及支持既定用途主张的证据，成为一项采购要求，而非可有可无的加分项。若提供者不愿提供这些信息，机构应假定自己需要以补偿性测试加以弥补，并将这一成本纳入自建与外购的决策考量。

未来两个季度应当采取的行动

• 在系统清单中为每一个AI系统标注角色、风险类别与法律依据，并对该分类进行独立复核。
• 优先弥合面向客户渠道中的透明度缺口；这些缺口最为显眼、修复成本最低，也最容易被发现。
• 将高风险要求映射到既有的模型风险文件上，补齐差距，而非另起炉灶。
• 修订采购模板，使文档提供、变更通知与审计权成为标准条款。
• 将AI素养义务纳入操作或监督相关系统员工的培训之中。

那些能够从容应对AI法案的机构，正是其模型治理体系已经能够按需提供证据的机构。对它们而言，这只是一项分类与披露工作。而对于那些AI资产尚未形成完整文档的机构而言，这首先是一项摸底排查工作——而在监管截止日期的压力之下开展摸底排查，是了解自身资产最为昂贵的方式。

主要来源： 欧盟第2024/1689号条例（AI法案）；欧盟委员会AI法案服务台关于第50条透明度义务的指导意见。