用途
本技能用于《欧盟人工智能法案》（Regulation (EU) 2024/1689）的运营层面合规工作，面向合规团队。它聚焦三项条款级决策，不涉及高管 AI 战略：
- 该 AI 系统属于哪个风险层级？——禁止（Article 5）／高风险（Article 6 + Annex III）／有限风险透明度（Article 50）／最小风险。
- 对高风险系统，采用何种合格评定路径与文档包？——Article 43 的 Module A 与 Module H，以及 Annex IV 技术文档。
- 按组织角色，各承担哪些义务？——提供者／部署者／进口商／分销商／授权代表义务矩阵，对应 Article 16、22、25、26。
该技能明确区别于 chief-ai-officer-advisor：后者决定是否上线 AI 功能并承担业务风险；本技能执行合格评定工作，把"我们将上线"转化为符合条款的交付物。
本技能不是法律替代品。该法案为具有约束力的法规。对于新颖个案（是否为 GPAI 模型？Article 6(2) 豁免是否适用？微调基础模型是否构成"实质性修改"？），应聘请合格外部律师。本技能引用条款与附件，并使用委员会／EDPB 已发布的解释，但不提供具有约束力的法律意见。
本技能不等同于 GDPR。许多 AI 系统同时触发 GDPR（训练数据、输出处理）。DPIA 与合法性基础工作参见 ra-qm-team/skills/gdpr-dsgvo-expert/。两部法规存在交互（Recital 10，高风险训练数据见 Article 10）。
主要能力
1. AI 系统风险分类
该方法为基于风险的方式（Recital 26）。每个 AI 系统恰好落入四层之一：禁止（Article 5，如社会评分、工作场所／教育中的情绪识别、潜意识操纵、执法实时公共生物识别，存在狭窄例外，不得投放市场或使用，罚款最高 EUR 35M／7% 营业额）；高风险（Article 6 + Annex III；Article 6(1) + Annex I，如简历筛选、信用评分、生物特征分类、受监管产品的安全组件，适用 Articles 8–17 提供者义务 + Article 26 部署者义务、合格评定、CE 标识）；有限风险透明度（Article 50，如聊天机器人、深度伪造、非 Article 5 情境的情绪识别，需向自然人作透明度披露）；最小风险（默认，如垃圾邮件过滤器、电子游戏 AI、库存预测器，法案下无义务，Article 95 自愿行为准则）。
关键豁免（Article 6(3)）：Annex III 系统在以下情形不属于高风险——(a) 执行狭窄程序性任务，(b) 改进此前已完成人工活动的结果，(c) 在不替代人工评估的情况下检测决策模式，(d) 执行准备性任务。注意：对自然人的画像在任何情况下均属 Annex III 高风险，不受豁免影响。
分类脚本先检查 Article 5 禁止项，再检查 Annex III 类别，再检查 Article 6(3) 豁免，再检查 Article 50 透明度，最后默认为最小风险。
2. 合格评定 + Annex IV 技术文档
依据 Article 43 及 Annex VI/VII，高风险 AI 系统的提供者在投放市场前必须证明符合性，共两条路径：Module A——内部控制（Annex VI），提供者对照要求自评，适用于提供者已实施协调标准的多数 Annex III 系统；Module H——完整质量管理体系 + 技术文档（Annex VII），需公告机构参与，生物识别系统必须采用（Article 43(1)）。
Annex IV 技术文档所需交付物包括：AI 系统的一般描述（预期用途、标识、版本）；系统要素的详细描述（架构、训练数据、验证程序）；监测、运行与控制信息；风险管理体系描述（Article 9）；投放市场后的变更描述；所应用协调标准清单（或替代方案）；EU 符合性声明（Article 47）；上市后监测体系描述（Article 72）。
3. 按角色的义务追踪
法案区分提供者义务与下游主体义务（部署者、进口商、分销商、授权代表），同一公司可同时承担多个角色。提供者（Article 3(3)，Articles 8–17、47、49、72）：合格评定、CE 标识、风险管理、数据治理、技术文档、上市后监测、严重事件报告（Article 73）。部署者（Article 3(4)，Article 26）：按说明使用、人工监督、输入数据质量、记录保存（Article 19）、告知劳动者（Article 26(7)）、公共部门／基本服务需做 FRIA（Article 27）。进口商（Article 3(6)，Article 23）：核实符合性、CE 标识、技术文档可获取性。分销商（Article 3(7)，Article 24）：在提供前核实 CE 标识与文档。授权代表（Article 22）：非欧盟提供者必须指定，代表承担提供者义务。重要提示：依据 Article 25，部署者若实质性修改高风险 AI 系统或以自身名义投放市场，即成为提供者并继承提供者义务。
使用方式
快速开始命令（保留原样）：
# Decision A: Classify an AI system per the Act
python scripts/ai_system_risk_classifier.py # embedded 5-system sample
python scripts/ai_system_risk_classifier.py path/to/systems.json
# Decision B: Conformity assessment plan for a high-risk system
python scripts/conformity_assessment_planner.py # embedded high-risk sample
python scripts/conformity_assessment_planner.py path/to/system.json
# Decision C: Obligation tracker per organizational role
python scripts/ai_act_obligation_tracker.py # embedded sample (provider + deployer)
python scripts/ai_act_obligation_tracker.py path/to/roles.json
应先询问的关键问题：该系统是否落入 Article 5（禁止实践）？是否落入 Annex III（八类高风险：生物识别、关键基础设施、教育、就业、基本服务、执法、移民、司法），触发 Annex III 即触发 Article 6(2)，除非适用 Article 6(3) 豁免；公司承担何种组织角色；是否为通用目的 AI 模型（GPAI 有独立轨道，Articles 51–55，训练算力超过 10²⁵ FLOPs 适用更严格规则，Article 51 系统性风险）；高风险系统是否已运行 Article 9 风险管理与 Article 27 FRIA；依据 Article 43 采用哪个合格评定模块。
技能包含四个工作流：AI 系统接入审查（每系统约 2 小时，分类、识别义务、界定合格评定范围）；Annex IV 技术文档构建（每高风险系统 2–4 周）；部署前义务审计；年度合规刷新（随法案分阶段生效重新核验分类与义务）。
适用场景
适用于需要将欧盟 AI 法案义务落到具体交付物的合规团队，包括系统风险分层、高风险系统的合格评定路径选择与 Annex IV 文档准备、多角色义务梳理与截止期限管理、部署前合规检查与年度复核。可与 GDPR DPIA、ISO 42001 AIMS、ISO 27001 安全控制、ISO 14971 风险管理、MDR 2017/745 等相邻技能配合使用。
限制
该技能不是高管 AI 战略工具，不替代法律意见，不等同于 GDPR。法案为具有约束力的法规，新颖个案应由合格外部律师判断。技能引用条款与附件并使用委员会／EDPB 已发布解释，但不提供具有约束力的法律意见。输出标准包含 Bottom Line、Article Citation、The Decision、The Evidence、How to Act、Your Decision 六项。版本 1.0.0，状态 Production Ready。