用途：该技能用于在组织内强制执行 AI 风险管理与欧盟《人工智能法案》合规，核心原则是“AI 系统需要系统化风险管理与人工监督”。
主要能力： 一、AI 系统分级。按欧盟《人工智能法案》风险等级划分：不可接受风险（社会评分、无授权公共空间实时生物识别、潜意识操纵、利用弱势群体），要求永不开发、部署或使用；高风险系统（招聘筛选、信用评分、执法预测性警务）需部署前全面风险评估、高质量代表性数据集、技术文档与用户手册、有意义的人工复核、告知用户、第三方合格评定；有限风险系统（客服聊天机器人、合成媒体/深度伪造）需透明度义务与 AI 生成内容标注；最小风险系统（垃圾邮件过滤、AI 游戏、GitHub Copilot 代码补全）遵循自愿准则并在文档中披露 AI 使用。 二、LLM 使用治理。GitHub Copilot 允许代码补全、生成代码注释、生成单元测试脚手架，但要求所有 AI 生成代码人工复核、提交前钩子自动扫描密钥、核验建议代码许可证、禁止输入敏感数据；禁止输入生产密钥、客户数据、未复核即部署。ChatGPT/Claude 允许研究、头脑风暴、公开文档写作辅助；禁止输入机密数据、源代码、个人数据。 三、人工监督。AI 生成代码须全部复核、通过自动化测试并执行 SAST/SCA 检查；业务决策中 AI 仅提供建议，由人类（如 CEO）做最终决定并记录 AI 输入与人工决策。 四、禁止行为。未做风险评估即部署、关键决策完全自动化、使用有偏训练数据、高风险决策黑箱模型、未经同意用个人数据训练、未经批准使用个人 AI 处理业务。
使用方式：结合示例工作流，在开发中启用 Copilot 扩展，对样板代码可接受建议，函数生成前复核逻辑，测试脚手架需验证覆盖率与断言；提交前用 gitleaks 钩子扫描密钥，CI/CD 中执行 SonarCloud 静态分析、Dependabot 漏洞扫描，测试覆盖率最低 80%；文档中注明 AI 辅助代码并记录人工修改。风险示例中展示招聘筛选工具的高风险评估、缓解措施、欧盟《人工智能法案》与 GDPR 合规义务及 CEO 批准条件。
适用场景：需要治理 AI/LLM 使用的研发团队与组织，尤其涉及欧盟合规、招聘、信贷、执法等高风险 AI 场景。
限制：资料未提供具体工具实现代码、部署步骤、收费信息或官方认证细节；内容为策略与流程规范，实际落地需结合组织政策。
关联：AI Policy、信息安全政策，以及 owasp-llm-security、data-classification、privacy-policy 技能；参考框架 EU AI Act、NIST AI RMF、ISO 42001（草案）。版本 1.0，更新于 2026-02-10，许可 Apache-2.0。