想象你是一家药企的老板，研发出一款新药。想在中国上市，药监局要求你提交配方、说明成分、做个登记备案，材料齐全就能先卖起来，药监部门事后抽检。可同一款药想卖到欧洲，欧洲药品管理局却要求你先把药送到实验室做完整的三期临床试验，证明“获益大于风险”才给上市许可。一个“先登记后放行”，一个“先评估后放行”——这正是中国“算法备案”和欧盟“算法影响评估”的本质差别。 中国的《互联网信息服务算法推荐管理规定》要求算法推荐服务提供者履行备案手续，本质上是“告知性登记”：把你是谁、用了什么算法、推荐机理是什么，在网信部门的系统里报备一下，方便监管部门掌握底册、分类管理。而欧盟《人工智能法案》（AI Act）针对高风险AI系统，要求开发者在产品进入市场前完成算法影响评估（AlIA），像药品审批一样，把数据质量、风险缓解、人类监督等内容做成一份“安全档案”，证明没问题才能开卖。 这两种机制背后是不同的治理哲学：中国侧重“备案留痕、分类管理”，以低成本方式让监管者“摸清家底”；欧盟侧重“风险预评估、责任前置”，把安全的证明责任交给企业。对于同时在中国和欧洲开展业务的AI公司，理解这两种落地的差异，相当于掌握了两张“市场入场券”的使用规则。

岗位关联

对AI从业者而言，理解中欧合规差异是全球化产品设计的必修课——它决定了你的算法产品能否顺利进入全球最大的两个AI市场，直接影响上架时间和成本预算。

目录
  1. 可视化演示
  2. 监管定位对比
  3. 适用范围差异
  4. 申报流程对比
  5. 技术文档要求
  6. 合规成本比较
  7. 跨境合规策略
  8. 合规工具选型
  9. AI 应用场景
  10. Python 演示
  11. 常见误区
  12. 面试题

可视化演示

展示LRU页面置换算法处理访问序列的过程，追踪内存帧状态变化、命中/缺页情况，支持步进浏览每个页面访问步骤。

本节配有交互动效（进入视口后自动加载，约 3KB）。

初始状态 内存帧为空，等待页面访问 LRU替换最久未使用的页面 缺页率 = 缺页次数 / 总访问次数 点击下一步开始模拟页面访问

监管定位对比

你去药店买保健品，货架上的深海鱼油并没有经过临床三期试验，它只做了“备案”——企业把成分、功效、适用人群在药监部门登记一下就能卖。但如果是处方药，药企必须拿出完整的临床试验证据链，证明安全有效，才能拿到上市许可。中国算法备案和欧盟影响评估，就像这两条完全不同的药品通道。

回到AI监管。中国《互联网信息服务算法推荐管理规定》确立的备案制度，本质是“告知性登记”：企业把算法类型、应用场景、机理概要填报到国家网信办的算法备案系统，监管部门建立底册、分类施策，并不对算法本身做实质安全性审查。欧盟AI Act则把目光锁定在“高风险AI系统”上，要求企业在上市前完成符合性评估，通过算法影响评估（AlIA）系统性地分析、量化、缓解风险，把安全证明责任交给企业。

两种定位各有逻辑。备案制追求的是“低成本摸清家底”，让监管者知道谁在用算法、用在哪、大致怎么用，风险问题在事中事后发现；评估制追求的是“责任前置”，把可能伤害用户权益的风险挡在市场上架之前。理解这一层差异，是所有后续对比的地基——就像你不可能用对待保健品的心态去准备处方药的申报材料。

回看这条“药品通道”，就能理解为什么欧盟对高风险AI系统的态度如此审慎：它们就像强效处方药，疗效显著但副作用也大，监管者必须要求企业用“临床试验般的严谨”来证明风险可控。而中国的备案通道更像保健品管理——你先把成分和功效说明白，监管保持抽查和追溯的权力，用更低的行政成本覆盖更广的市场主体。

R=I×PR = \displaystyle I \times P
欧盟影响评估用一个核心公式思考风险：风险等级等于“影响程度”乘以“发生概率”。它时刻提醒企业——评估不是写作文，而是算一笔“伤害账”。
  1. R风险等级：综合评分，决定系统落入哪一档监管要求、需要完成多深的评估动作，是整个影响评估的“总开关”。
    RR
  2. I影响程度：算法出错时对个人权利（就业、信用、生命健康）或社会秩序造成损害的严重性等级，强度越高风险越大。
    II
  3. P发生概率：这种损害在实际运行中出现的可能性大小，取决于数据质量、模型鲁棒性和部署环境。
    PP
  4. 乘数效应影响和概率相乘，意味着只要其中一个维度趋近于零，整体风险就可控；而两者同时走高时，风险会呈乘数级放大。
    R=I×PR = \displaystyle I \times P

适用范围差异

保健品和处方药还有一个关键区别：不是你想走哪条通道，而是你的“药品品类”决定了你必须走哪条通道。鱼油可以备案，安眠药必须审批。算法监管同样如此——你的算法用在什么场景，直接决定了它在监管地图上的位置。

中国的备案范围，聚焦于“具有舆论属性或社会动员能力”的算法服务。具体包括生成合成类、个性化推送类、排序精选类、检索过滤类和调度决策类等算法推荐服务。如果你的App做了内容推荐，或者接入了大模型对话能力，基本都会落入备案范围。此外，《生成式人工智能服务管理暂行办法》进一步要求生成式AI产品在上线前完成安全评估并履行备案手续，涉及深度合成内容的还需按《深度合成管理规定》完成“双备案”。

欧盟AI Act则采用“风险四档”分级：不可接受风险（直接禁止，如社会信用评分）、高风险（需走完整影响评估，如招聘筛选、信用评估、关键基础设施管理）、有限风险（只需透明度义务，如聊天机器人）、最小风险（无特别义务）。同一套算法，用在客服机器人上是“有限风险”，用在员工招聘上就是“高风险”——场景决定了义务等级。

药企规划产品线时，会先查清楚手上的药属于OTC还是处方药，再决定申报策略。AI企业同样如此：先盘点自己的算法产品在哪些场景运行，再对照中欧两份“监管目录”逐一打勾。常见误区是只盯模型本身，忽略场景——同样是Bert模型，用来做客服和用来筛简历，在监管眼里是两个完全不同的“药”。

覆盖率=N受监管场景N全部场景×100%\text{覆盖率} = \displaystyle \frac{N_{\text{受监管场景}}}{N_{\text{全部场景}}} \times 100\%
这个公式帮助跨境企业快速判断产品是否触发监管义务：只要有一个运行场景落入监管清单，覆盖率就不再是零，合规工作就必须启动。
  1. N\_全部场景产品实际部署的全部业务场景数量，例如智能客服、简历筛选、信用评分各算一个场景。
    N全部场景N_{\text{全部场景}}
  2. N\_受监管场景其中落入中国备案清单或欧盟高风险清单的场景数量。
    N受监管场景N_{\text{受监管场景}}
  3. 覆盖率计算用受监管场景数除以全部场景数再乘100%，得到产品“暴露在监管下的程度”。
    N受监管场景N全部场景×100%\frac{N_{\text{受监管场景}}}{N_{\text{全部场景}}} \times 100\%
  4. 判定规则覆盖率大于0意味着至少一个场景触发义务；覆盖率等于100%则意味着产品在所有场景下都要做最严格的合规准备。
    覆盖率=N受监管场景N全部场景×100%\text{覆盖率} = \displaystyle \frac{N_{\text{受监管场景}}}{N_{\text{全部场景}}} \times 100\%

申报流程对比

保健品备案的流程很简单：准备成分说明，登录政务系统填报，几天后拿到备案凭证。处方药审批则是“六步闯关”：从临床前研究、三期临床试验、数据统计、审评、现场核查到最终发证，每一步都可能被驳回重来。中欧合规的申报流程，完美复刻了这两种节奏。

中国算法备案的实操流程可以压缩为三步。第一步，访问互联网信息服务算法备案系统注册企业账号；第二步，填报主体信息（企业资质、责任人）、产品信息（名称、上线时间）和算法信息（算法类型、数据来源、机理概要、应用场景），上传安全自评估报告；第三步，监管部门对材料完整性进行形式审核，通过后公示备案编号。实践中材料齐全的备案通常在1至3个月内完成公示，且不收取行政费用。

欧盟的影响评估则是一条更长更重的链路。第一步，对照AI Act识别系统是否属于高风险；第二步，建立风险管理体系，系统性识别并评估风险；第三步，编写完整技术文档，涵盖训练数据、模型架构、测试结果；第四步，设计日志记录机制保证可追溯性；第五步，必要时引入第三方公告机构（Notified Body）进行审核；第六步，在欧盟数据库完成注册、签署符合性声明并获得CE标志。全流程走完，6至12个月是常见水平。

对比两条流程，最能直观感受到“备案”和“评估”的脾性差异：备案是流水线式登记，材料齐就放行；评估是陪审团式审查，即使所有材料都齐，审查方仍会带着怀疑审视你的风险论证是否充分。药企的经验在这里完全适用——想走欧盟通道，就要把6个月甚至12个月的申报期写进产品路线图。

T总=T准备+T审核+T整改T_{\text{总}} = \displaystyle T_{\text{准备}} + T_{\text{审核}} + T_{\text{整改}}
申报周期由三段时间叠加而成：企业自己准备材料多久、监管机构审查多久、材料被打回修改多久。中国备案在第二段和第三段通常很快，欧盟评估则在三段都可能拖延。
  1. T\_准备从启动到提交材料的周期。中国备案大约2至4人周，欧盟评估准备技术文档通常要4至8人月。
    T准备T_{\text{准备}}
  2. T\_审核监管方或公告机构审查时间。中国以形式审核为主，欧盟公告机构会做深度实质审查。
    T审核T_{\text{审核}}
  3. T\_整改材料不足、风险评估结论不达标时，企业返工修改的时间成本。欧盟流程中一次性通过的案例偏少。
    T整改T_{\text{整改}}
  4. 周期叠加三段相加就是总周期。对产品上市节奏敏感的企业，应把T\_整改预留为缓冲期而不是指望为0。
    T总=T准备+T审核+T整改T_{\text{总}} = \displaystyle T_{\text{准备}} + T_{\text{审核}} + T_{\text{整改}}

技术文档要求

药企准备备案材料时，交的“成分表”只有几页纸：主要原料、含量占比、适应人群。而准备处方药审批时，要提交的“临床试验报告”是几千页的完整数据档案：受试者信息、统计学分析、不良反应记录、长期随访结果。中欧对AI合规文档的要求差异，同样是这样“概要”与“证据链”的差距。

中国备案的技术材料，核心是一份“算法安全自评估报告”和算法机理说明。你需要描述算法的基本逻辑（是协同过滤还是深度学习排序）、数据来源（用户行为数据、内容标签体系）、是否涉及用户画像、有无内容安全机制。对生成式大模型，还需补充训练数据的合法性说明和阶段性安全评估报告。整体来看，文档定位是“让监管者看懂你做了什么”，不需要第三方测试数据。

欧盟AlIA的技术文档要求则是一整套“可验证的证据链”。根据AI Act第11条，高风险AI系统的技术文档必须包括：系统总体描述与预期用途、开发过程和版本记录、训练/验证/测试数据集的方法、来源与筛选逻辑、模型性能指标（准确率、鲁棒性、公平性测试结果）、人类监督设计说明、风险缓解措施清单、日志记录能力说明。这些文档不仅是给监管者看的，更是给潜在用户和审计方看的安全档案。

做合规文档的心态差异，就像“填写成分表”和“整理临床试验档案”的差异：前者追求把话说清楚，后者追求把证据做扎实。对同时布局中欧的企业，聪明的做法是把D\_数据、D\_测试和D\_治理当成“主数据资产”来建设——即使暂时只做中国备案，也要按欧盟标准储备这些材料，因为一旦要出海，补课的成本远高于提前准备。

D全套=D主体∪D数据∪D测试∪D治理D_{\text{全套}} = \displaystyle D_{\text{主体}} \cup D_{\text{数据}} \cup D_{\text{测试}} \cup D_{\text{治理}}
无论中欧哪套体系，合规文档都可以拆成四个集合：主体信息、数据说明、测试结果、治理机制。中国备案的“含金量”集中在第一个集合，欧盟评估要求四个集合全面覆盖。
  1. D\_主体企业身份、责任人、产品名称等基础识别信息。中欧两地都要求，也是唯一能做到“完全复用”的部分。
    D主体D_{\text{主体}}
  2. D\_数据训练数据的来源、规模、采集方式与合法性分析。欧盟要求结合GDPR说明数据处理的合法基础，中国则要求符合《个人信息保护法》。
    D数据D_{\text{数据}}
  3. D\_测试模型性能、偏见、鲁棒性等测试方法与结果。这部分在中国备案中几乎是可选材料，在欧盟则是必须项。
    D测试D_{\text{测试}}
  4. D\_治理人类监督机制、风险缓解方案、日志与追溯设计。这是欧盟“责任前置”理念的落地载体，中国备案中的“安全自评估报告”只做概要级覆盖。
    D治理D_{\text{治理}}

合规成本比较

办一张营业执照，几百块工本费几天搞定。建一座化工厂，光环境评估报告就要请第三方机构做半年，花费几十万。合规成本从来不是均等的——它取决于监管强度。中国备案和欧盟评估的成本曲线，正是这种差异的典型样本。

先说时间成本。中国备案的材料准备大约需要2至4人周，适合放在产品上线前并行推进；审核周期通常1至3个月，多数企业可以接受“先备案先上线”的节奏。欧盟AlIA的时间成本则要按“人月”计算：技术文档撰写4至8人月，第三方审计1至3个月，整个过程6至12个月非常常见。对风口中争分夺秒的AI公司来说，这是巨大的时间机会成本。

再看财务成本。中国备案的显性费用主要是内部人力成本和安全自评估报告的准备成本，总体在数万到十几万人民币量级。欧盟评估则可能达到数十万到数百万欧元——具体取决于系统风险等级、数据规模、是否需要外部审计与法律咨询。别忘了供应链传导：如果你的算法使用了第三方的底层模型，对方不提供模型说明文档，你就得花额外成本自行逆向梳理，甚至会卡住整个评估流程。

对创业团队，这笔账的启示是：如果目标市场只有中国，先以备案成本启动业务是完全理性的选择；如果目标是出海欧盟，建议在融资时就预留合规预算——评估所需的资金和耐心，都是“处方药审批”级别的。

C合规=C人力×T投入+C外部+C机会C_{\text{合规}} = \displaystyle C_{\text{人力}} \times T_{\text{投入}} + C_{\text{外部}} + C_{\text{机会}}
合规总成本由三块组成：人力成本乘以投入时间、外部服务费用、因延迟上架损失的商机。对创业公司而言，第三块往往比前两块更致命。
  1. C\_人力 × T\_投入合规团队平均薪酬乘以投入时间。两地成本差距的最大来源不是薪酬，而是T\_投入的数量级差异——周与月的差别。
    C人力×T投入C_{\text{人力}} \times T_{\text{投入}}
  2. C\_外部第三方审计、法律咨询、安全测试等服务费。中国备案通常不需要，欧盟评估几乎必不可少。
    C外部C_{\text{外部}}
  3. C\_机会合规周期内产品无法进入市场而损失的潜在收入。用“每月预计营收 × 延后月数”估算，欧盟市场的高门槛会放大这项成本。
    C机会C_{\text{机会}}
  4. 成本合计三项相加即总成本。做预算时企业常犯的错误是只算人力与外部费用，忽略了机会成本这个隐藏大头。
    C合规=C人力×T投入+C外部+C机会C_{\text{合规}} = \displaystyle C_{\text{人力}} \times T_{\text{投入}} + C_{\text{外部}} + C_{\text{机会}}

跨境合规策略

一家药企如果同时在中国和欧洲卖同一款药，聪明的做法不是为两个市场各做一套完全无关的试验，而是分析两份申报清单的重叠部分，让一次试验的数据同时满足两边的要求。这份“复用”的智慧，正是跨境AI企业应对双重监管的核心策略。

第一步先做Gap差距分析。把中国备案的要求清单和欧盟AlIA的技术文档目录逐条对照，分成三类：两边都要的“重叠项”、只有中国要的“独有项”、只有欧盟要的“独有项”。数据来源说明、系统总体描述、安全自评估报告中的一部分，属于重叠项；算法机理概要偏中国独有；偏见测试报告、人类监督设计、日志机制说明则偏欧盟独有。这份对照表就是你的合规作战地图。

第二步是设计“合规主文档库”（single source of truth）。把可复用的材料——模型卡片、数据集说明、测试结果、风控方案——统一维护在一套文档中心里，用版本管理跟踪变更。输出时按需渲染成两种视图：中国的备案填报表单式文档和欧盟的完整技术文档。这样既避免了两地文档内容不一致的合规风险，也把重复劳动降到最低。

药企跨国申报时会专门组建一支“注册事务”团队，核心工作就是研究各国法规的差异与重叠，寻找数据复用的空间。跨境AI企业的合规负责人，本质上也在做同样的事：不是机械地执行两套流程，而是用一份高质量的“主文档”喂饱两个监管体系，让合规从双倍负担变成一次建设、两处受益。

S复用=∣D中国∩D欧盟∣∣D中国∪D欧盟∣S_{\text{复用}} = \displaystyle \frac{|D_{\text{中国}} \cap D_{\text{欧盟}}|}{|D_{\text{中国}} \cup D_{\text{欧盟}}|}
“文档复用率”告诉我们：两份监管清单有多少条目是重叠的。复用率越高，双轨合规的边际成本就越低；聪明的企业让一份文档同时服务两个监管者。
  1. D\_中国 ∩ D\_欧盟中国备案要求和欧盟评估要求中完全重合的文档条目数量，这是可以直接一次准备、两地共用的部分。
    D中国∩D欧盟D_{\text{中国}} \cap D_{\text{欧盟}}
  2. D\_中国 ∪ D\_欧盟所有文档条目的并集，即两套要求拼起来之后的总量。
    D中国∪D欧盟D_{\text{中国}} \cup D_{\text{欧盟}}
  3. 复用率计算交集除以并集，得到一个0到1之间的比值。比值越高，说明两个监管体系的重叠程度越高，双轨合规越“划算”。
    ∣D中国∩D欧盟∣∣D中国∪D欧盟∣\frac{|D_{\text{中国}} \cap D_{\text{欧盟}}|}{|D_{\text{中国}} \cup D_{\text{欧盟}}|}
  4. 执行优先级按“先重叠后独有”的顺序准备材料——先建设交集里的公共文档，再逐一攻克各自独有的补充项。
    S复用=∣D中国∩D欧盟∣∣D中国∪D欧盟∣S_{\text{复用}} = \displaystyle \frac{|D_{\text{中国}} \cap D_{\text{欧盟}}|}{|D_{\text{中国}} \cup D_{\text{欧盟}}|}

合规工具选型

药企的GMP合规部门绝不会靠人脑记忆几百份文件的要求，他们会用文档管理系统、审计跟踪软件和一套标准操作流程来维持合规状态。AI企业的合规工作同样需要趁手的装备——从最简单的检查清单到自动化的合规平台。

最轻量的工具是一张“双栏对照检查清单”：左栏列出中国备案系统的填报字段（算法类型、数据来源、自评估报告），右栏对应AI Act技术文档目录（风险识别、数据集说明、测试结果、人类监督）。上线前逐项打勾，每项关联一个责任人。开源社区已经有AI Act合规检查表，可以直接在它基础上补充中国的备案字段，形成自己的“合规军规”。

再进一步是自动化评估平台。模型卡生成器可以自动汇总训练数据、超参数、性能指标并导出标准文档；偏见评测框架（如Fairlearn、AI Fairness 360）能跑出欧盟技术文档要求的公平性指标；加上一套对接CI/CD的合规检查插件，每次模型发布时自动触发“备案影响检查”和“AlIA变更复核”，把合规从一次性项目变成持续运营的流程。

装备的意义在于把合规从“看天吃饭”变成“按图索骥”。就像药企靠系统保证批记录可追溯，AI企业也应该靠工具保证每一版模型都能讲清“数据从哪来、怎么训练的、测试通过没有、谁在监督”。合规不是一次性的考试，而是产品生命周期里的持续功课——选对工具，就等于为这门功课配了一个不会忘事的助教。

E工具=∑i=1nRi×WiNE_{\text{工具}} = \displaystyle \frac{\sum_{i=1}^{n} R_i \times W_i}{N}
工具选型不能靠“哪个界面好看”，而是把每一项能力（文档生成、差距分析、日志审计、团队协作）按成熟度和重要性加权打分，让预算花在刀刃上。
  1. R\_i工具能力成熟度：第i项功能在目标工具上的完成度评分，取值0到1，可用“能否直接导出可用文档”来粗评。
    RiR_i
  2. W\_i场景重要度权重：该项能力对企业合规场景的重要性。注意权重因企业而异——双轨企业更看重文档复用能力，纯国内企业更看重备案字段覆盖率。
    WiW_i
  3. 求和与归一把每项能力的评分乘权重后求和，再除以能力维度总数N（如文档生成、差距分析、日志审计、团队协作），得到工具的综合得分。
    ∑i=1nRi×WiN\frac{\sum_{i=1}^{n} R_i \times W_i}{N}
  4. 按分选型综合得分高的工具优先试用，宁可少而精也不要大而全——一套字段对不上本地法规的“国际大牌”工具，远不如一张贴合实际的检查清单。
    E工具=∑i=1nRi×WiNE_{\text{工具}} = \displaystyle \frac{\sum_{i=1}^{n} R_i \times W_i}{N}

AI 应用场景

大模型企业上线前的双备案准备

阶段：模型上线前合规

解决的问题：国内大模型公司往往在产品临近发布时才想起备案，导致材料仓促拼凑、审核被驳回、上线延期。传统方式是法务临时抱佛脚，AI方式是在模型内测期就将安全自评估报告与模型卡打通，一次编写、多地复用。

具体案例：某大模型创业公司在模型训练中期就开始用“合规主文档库”沉淀训练数据说明和安全评估材料，上线前两周完成算法备案与生成式服务备案的材料提交，比同类企业平均缩短30%的合规准备周期。

出海SaaS公司的欧盟影响评估

阶段：产品出海与本地化部署

解决的问题：中国团队开发的人力资源AI工具进入欧盟市场时，被客户要求提供AlIA合规证明。传统情况下企业只能在收到采购方要求后临时补做，导致丢单。AI方式是用Gap分析提前识别独有项，用自动化测试平台生成偏见检测报告。

具体案例：一家做智能招聘筛选的SaaS公司，出海前用差距分析发现自己缺少“人类监督设计”章节和“偏见测试报告”两项，花3个月补齐并通过了第三方公告机构审核，顺利签下两家欧洲客户。

跨境云服务商的双轨合规平台

阶段：持续运营与变更管理

解决的问题：同一套推荐算法在中欧两地都有部署，监管要求更新或算法版本升级时，需要同步评估两地合规影响，靠人工极易漏报。AI方式是将合规检查嵌入CI/CD流水线，每次发布自动触发两地合规复核。

具体案例：某云服务商将合规文档库与代码仓库集成，模型发布时自动生成“备案影响检查单”和“AlIA变更复核单”，推送相关责任人确认，过去一年实现零合规漏报。

Python 演示

python52 行
# -*- coding: utf-8 -*-"""中欧AI合规准备度检查器""" class ComplianceChecker:    def __init__(self, product_name, market_scene):        self.product_name = product_name        self.market_scene = market_scene  # cm: 中国, eu: 欧盟, both: 双市场        self.all_items = {            "主体信息": ["cm", "eu"],            "算法机理概要": ["cm"],            "安全自评估报告": ["cm"],            "训练数据来源说明": ["cm", "eu"],            "模型卡记录": ["eu"],            "偏见测试报告": ["eu"],            "人类监督设计": ["eu"],            "日志记录机制": ["eu"],        }        self.checked = set()     def mark_done(self, item):        if item in self.all_items:            self.checked.add(item)            print("已确认: " + item)        else:            print("未知项: " + item)     def required_items(self):        return [i for i, m in self.all_items.items() if self.market_scene in m or self.market_scene == "both"]     def score(self):        req = self.required_items()        done = [i for i in req if i in self.checked]        return len(done), len(req)     def report(self):        req = self.required_items()        done, total = self.score()        print("=" * 40)        print("产品: " + self.product_name + " | 市场: " + self.market_scene)        print("合规完成度: %d/%d" % (done, total))        if done < total:            print("待办:")            for i in req:                if i not in self.checked:                    print("  - " + i)  if __name__ == "__main__":    c = ComplianceChecker("智能招聘筛选系统", "both")    for item in ["主体信息", "算法机理概要", "训练数据来源说明", "模型卡记录"]:        c.mark_done(item)    c.report()
目的：根据目标市场自动生成合规文档清单，输出准备度评分和待办项，是小团队快速摸清合规家底的“轻量Gap分析器”。
  1. self.all_items = {...}把中欧两地的合规要求定义成一张“文档需求表”，每个条目注明适用市场，这是合规知识库的最小原型。
  2. def required_items(self):根据目标市场筛选出必须准备的文档清单，是合规工作的第一步。
  3. c.mark_done(item)模拟企业完成一项材料后打勾记录。
  4. score()返回完成项数与总数，用于计算合规准备度。
  5. report()输出待办清单，等价于差距分析（Gap Analysis）的结果。

常见误区

误区算法备案公示后就代表算法通过了国家审查，说明我的算法是安全的，后续不用再管监管要求了。

正解备案本质是“告知性登记”，监管原则上不做实质安全评价。产品上线后仍有安全检查，算法发生变更需要重新备案，生成式服务还配套动态安全评估。就像保健品获得备案号不代表成分绝对安全，被抽检下架的案例并不少见——备案只是“你告诉我，我记下了”，不是“我认证你，我担保你”。

为何常见：备案系统会出具带编号的公示结果，自带一种“官方背书”的即视感，容易被误读为审批通过。

误区只要把模型训练好了，用在哪里都一样，不需要对不同应用场景分别考虑备案或评估义务。

正解中欧监管都以“应用场景+系统用途”为主要锚点。中国备案按服务类型区分，深度合成、个性化推送分别对应不同备案要求；欧盟更是把“高风险”定义在系统与用途的组合上——同一个模型做客服是低风险，做招聘筛选就是高风险。药企的经验在这里完全适用：同样一种化学成分，做成保健品和做成处方药，监管路径天差地别。

为何常见：技术团队习惯把模型视为通用资产，而监管逻辑是按“你拿它去干什么”来分类的。

误区我们公司已经做过GDPR要求的数据保护影响评估（DPIA），欧盟AI影响评估（AlIA）只是把DPIA重新包装一下，内容大同小异。

正解AlIA的范围远大于DPIA：除了数据保护，还覆盖偏见与公平性、系统安全性、可解释性、人类监督等AI特有风险。DPIA只是AlIA链条上的一个输入模块。类比来说，药物上市审批里包含“稳定性试验”环节，但稳定性试验绝不等同于整个上市审批——它是部分，不是全部。

为何常见：很多出海企业最早接触的欧盟法规就是GDPR，“影响评估”四个字容易让人直接联想到DPIA，忽略了AI Act建立的全新评估框架。

面试题

Q1. 中国算法备案的法律性质是什么？

单选题 · easy

  • A.行政许可审批← 正确答案
  • B.告知性备案登记
  • C.第三方安全认证
  • D.产品性能检测

答案：A。中国算法备案强调“告知性登记”——企业把算法信息如实填报，监管部门形式审核后予以公示，不做实质安全评价，因此不是审批、不是认证、也不是性能检测。就像保健品备案：登记可卖，但不等于官方担保。

Q2. 依据欧盟AI Act，决定AI系统监管强度的核心因素是什么？

单选题 · mid

  • A.模型参数量大小
  • B.训练数据总量
  • C.应用场景风险分级← 正确答案
  • D.开源或闭源程度

答案：C。AI Act的核心是“用途决定分级”：同一个模型用于客服（有限风险）和招聘（高风险）会得到完全不同的监管待遇。参数量、数据量、开源与否都不是风险分级的依据，这与很多工程师的直觉完全不同。

Q3. 以下哪些属于欧盟高风险AI系统的评估义务？

多选题 · mid

  • A.建立风险管理体系← 正确答案
  • B.准备完整技术文档← 正确答案
  • C.获得中国算法备案编号
  • D.注册进欧盟数据库← 正确答案

答案：ABD。欧盟高风险AI系统要求建立风险管理体系、准备完整技术文档、必要时引入公告机构审核、在EU数据库注册并获得CE标志。中国算法备案编号只服务于中国监管体系，与欧盟义务无关——两地合规是两套独立体系。

Q4. 中国算法备案的受理和监管部门是哪个？

单选题 · easy

  • A.市场监督管理总局
  • B.国家互联网信息办← 正确答案
  • C.工业和信息化部门
  • D.国家商务部主管

答案：B。中国算法备案由网信部门主导，具体受理平台是“互联网信息服务算法备案系统”，依据是《互联网信息服务算法推荐管理规定》。市场监管总局管经营、工信部管通信、商务部管贸易，它们都不是算法备案的主管部门。

Q5. 跨境AI企业面对中欧双重监管，最合理的合规策略是什么？

单选题 · mid

  • A.两套法规完全独立执行
  • B.只侧重做欧盟评估
  • C.先做差距分析再复用文档← 正确答案
  • D.只侧重做中国备案

答案：C。双轨合规的核心是“先做Gap分析，再找文档交集”。两套法规确实存在重叠需求（如数据来源说明），但过度独立执行会造成浪费，只做一边则无法满足市场准入要求。差距分析能精准识别重叠项与独有项，让一份文档同时服务两个监管者。

Q6. 关于算法备案与影响评估的差异，下列说法正确的有哪些？

多选题 · hard

  • A.备案只做登记留痕← 正确答案
  • B.评估强调风险前置← 正确答案
  • C.两者都需第三方认证
  • D.备案整体周期更短← 正确答案

答案：ABD。中国备案是告知性登记，监管不做实质审查，周期短、无需第三方认证；欧盟评估是风险前置审查，部分高风险系统需要公告机构（Notified Body）介入。因此“两者都需要第三方认证”是错误的，这是两种机制的本质差异之一。

Q7. 欧盟AlIA与GDPR DPIA的关系是？

单选题 · hard

  • A.与DPIA完全相同
  • B.DPIA是AlIA输入模块← 正确答案
  • C.与DPIA完全无关
  • D.DPIA是其子集

答案：B。AlIA的范围大于DPIA：除了数据保护，还覆盖偏见、安全、可解释性、人类监督等AI特有维度。DPIA处理的是数据保护这一子问题，它服务于AlIA但不等同于AlIA，就像“稳定性试验”是药物上市审批的一部分而非全部。

Q8. 中国生成式AI服务俗称的“双备案”指的是？

单选题 · mid

  • A.算法备案加安全评估← 正确答案
  • B.企业备案加产品备案
  • C.国家备案加地方备案
  • D.线上备案加线下备案

答案：A。大模型产品上线除了常规算法备案外，还要按照《生成式人工智能服务管理暂行办法》完成上线前的安全评估，两者合称“双备案”。这是针对生成式AI的额外要求，体现中国对大模型场景更严的监管态度。

Q9. 企业计算AI合规总成本时，应包含以下哪些部分？

多选题 · mid

  • A.内部人力时间投入← 正确答案
  • B.外部审计咨询费用← 正确答案
  • C.市场机会的损失← 正确答案
  • D.服务器电量支出

答案：ABC。合规成本由人力成本（薪酬×时间）、外部服务（审计与法律咨询）、机会成本（延迟上架损失）三部分组成。服务器电量属于日常运营开支，与合规行为本身没有直接关系，不应记入合规成本。

Q10. 下列哪项最不可能出现在AI合规工具清单中？

单选题 · easy

  • A.合规对照检查清单
  • B.自动化评估平台
  • C.合规文档知识库
  • D.显卡超频调校工具← 正确答案

答案：D。合规工具的价值在于把法规要求转化为可执行的检查流程和文档资产。检查清单用于摸底、评估平台用于生成测试报告、知识库用于管理合规文档，而显卡超频是硬件性能调优手段，与合规无直接关系。