eu-ai-act-obligations-oliver-schmidt-prietz

name	eu-ai-act-obligations-oliver-schmidt-prietz
description	基于角色 + 风险层级映射欧盟 AI 法案的全部法律义务，生成带 RACI 分配和实施优先级的可操作合规矩阵。当用户要求"映射 AI 法案义务"、"检查我们在 AI 法案下需要做什么"、"创建合规检查清单"、"检查部署者义务"、"评估提供者职责"，或提及 AI 法案下的第 26 条、第 16-17 条、AI 素养第 4 条、DPIA、基本权利评估或"Pflichtenkatalog"时，应使用本技能。
metadata	{"author":"Oliver Schmidt-Prietz","license":"AGPL-3.0","version":"2026.06.05"}

欧盟 AI 法案义务映射器（EU AI Act Obligations Mapper）

基于 AI 法案（《条例（EU）2024/1689》）下的角色 + 风险层级映射全部法律义务，生成带 RACI 分配和实施优先级的可操作合规矩阵。

免责声明（会话开始时显示，不阻塞）

重要提示： 本技能基于欧盟 AI 法案（《条例（EU）2024/1689》）提供结构化的 AI 法案义务指引。不构成法律意见。合规措施的实施应涉及合格的法律顾问和相关技术专家。高风险义务的生效日期反映了 AI Omnibus 2026 的推迟（附件 III：2027 年 12 月 2 日；附件 I：2028 年 8 月 2 日）。

---

何时进行网络搜索

激活时——搜索：

EU AI Act harmonized standards EN ISO implementing requirements [current year]
EU AI Act conformity assessment notified bodies guidance [current year]

管理体系——搜索：

ISO 42001 AI management system alignment EU AI Act [current year]
EU AI Act quality management system requirements guidance

国内规则——搜索：

[user's jurisdiction] AI Act national implementation measures [current year]
[user's jurisdiction] AI Act supervisory authority designation

合格评定——搜索：

EU AI Act conformity assessment procedures latest guidance
EU AI Act notified body designations [current year]

---

工作流：一次一个问题

阶段 1：输入语境（知悉语境的适应性信息采集）

第 1 步——语境检测（始终首先）：

"让我们映射你的 AI Act 义务。"

如果你已完成先前的 AI 法案评估（风险分类、角色确定或快速分诊），请粘贴下面的"评估语境"块。否则，用你自己的话描述你的情况。

第 2 步——覆盖分析（内部——不向用户显示此表）：

将语境块或叙述映射到以下 6 个字段：

#	字段	语境块中的来源	回退
1	风险分类	"Classification:"（分类：）行	询问
2	组织角色	"Role:"（角色：）行	询问
3	组织规模	"Org Size:"（组织规模：）行	询问
4	行业	"Sector:"（行业：）行	询问
5	法域	"Jurisdiction:"（法域：）行	询问
6	现有框架	不在语境块中	始终询问

如果风险层级尚未分类 → 先运行风险层级分类（第 3(1) 条下的 AI 系统测试；被禁止 / 高风险 / GPAI / 有限 / 最低）。 如果角色尚未确定 → 先确定（第 3 条和第 25 条下的提供者 / 部署者 / 进口者 / 分销者）。

第 3 步——适应性追问：

• 如提供了语境块 → 确认提取的字段，然后仅询问缺口。字段 1-5 通常已覆盖；只有字段 6（现有框架）需要询问。
• 如提供叙述 → 提取已覆盖的内容，以单一分组问题询问剩余缺口。
• 如提供的信息极少 → 在单次提示中询问全部缺失字段，以会话方式分组。

现有合规状态始终要询问，因为它是语境块中未携带的新信息。以会话方式提出：

"还有一件事——你们已经具备哪些合规基础？（风险管理、数据质量、QMS、DPIA、事件报告、AI 素养培训，还是从零开始）"

信息采集最多 2 轮交互。如某字段仍不明确，标记为 [UNCLEAR — proceeding with cautious assumptions]（不明确——按谨慎假设继续）。

---

阶段 2：义务映射

基于角色 + 风险层级，加载适用的义务集。

阅读相关参考文件：

部署者 + 高风险 → 阅读 references/high-risk-deployer-obligations.md 提供者 + 高风险 → 阅读 references/high-risk-provider-obligations.md 任何角色 + 低风险/最低 → 阅读 references/low-risk-obligations.md 非高风险附件 III（第 6(3) 条例外） → 阅读 references/art6-4-documentation.md GPAI 提供者 → 阅读 references/gpai-obligations.md 触发 FRIA 的部署者 → 阅读 references/fria-template.md 了解第 27 条 FRIA 方法论和可填写模板 提供者合格评定 → 阅读 references/conformity-assessment.md 了解第 43 条路径选择、欧盟符合性声明和 CE 标志 提供者上市后监测 → 阅读 references/post-market-monitoring.md 了解第 72 条监测系统设计和严重事件报告 欧盟数据库注册 → 阅读 references/eu-database-registration.md 了解第 49 条注册流程（提供者和部署者路径） 所有角色 → 第 4 条 AI 能力义务始终适用

义务数量预览：

"基于你作为 [风险层级] 系统的 [角色] 身份，你在 K 个类别中有 N 项义务。我将分 4 批逐一说明。"

分批评估（以 4 批取代逐义务提问）：

按类别分组呈现义务。对每批，显示该类别全部义务的表格，并要求用户一次性回应整批：

批次	类别	典型义务
1	技术措施	按操作说明使用、监控、输入数据、日志保留、数据质量
2	组织措施	监督人员、告知受影响者、员工信息、AI 能力、事件报告、注册、配合机关
3	管理体系	风险管理、数据质量管理、QMS、上市后监测
4	影响评估	DPIA、FRIA

对每批呈现表格：

第 [X] 批，共 4 批：[类别]

#	义务	法律依据	优先级	状态
1	[义务]	[条款]	[立即/短期/持续]	已就位 / 部分处理 / 尚未处理

"请对每项义务表明：已就位、部分处理或尚未处理。你只需回复编号即可（例如'1、3 = 已就位；2、4 = 部分；5 = 尚未处理'）。"

每批之后显示进度指示："第 [X] 批（共 4 批）完成。剩余 [N] 项义务。"

智能默认值： 如用户在阶段 1 表示"从零开始"，将所有义务默认标记为"尚未处理"并确认："由于你从零开始，我已将所有义务标记为尚未处理。有例外吗？"

目标：4-5 轮交互，而非 20 多轮。

标记优先级等级：关键时限义务优先（例如第 26(6) 条 6 个月日志保留必须在第一天即投入运行）。

GDPR 交叉引用检查

阅读 references/gdpr-crosswalk.md。

在相关义务节点，建议现有的 GDPR 技能：

义务	触发	建议
第 26(9) 条 DPIA	高风险部署者	"进行 DPIA，纳入提供者关于系统能力和局限的第 13 条信息"
第 26(11) 条 告知受影响者	部署者透明度	"准备一份合并的 AI 法案/GDPR 透明度通知，涵盖第 26(11) 条和 GDPR 第 13/14 条"
第 10 条 数据治理	提供者数据质量	"进行数据清单审查，将 AI 训练数据与 GDPR 数据质量和最小化原则对照映射"
第 26(7) 条 员工信息	工作场所 AI	"准备结合第 26(7) 条和 GDPR 第 13/14 条要求的员工 AI 透明度文件"
第 26(5) 条 严重事件	检测到事件	"建立双重事件报告程序，同时覆盖 AI 法案（第 73 条）和 GDPR（第 33/34 条）的时限"
个人数据处理	任何处理个人数据的 AI	"审查你的 GDPR 第 28 条处理者协议，纳入 AI 法案合作条款（第 25(2) 条）"

义务优先级决策树

         ┌─────────────────────────┐
         │ ROLE + RISK TIER        │
         └────────────┬────────────┘
                      │
    ┌─────────────────┼──────────────────┐
    │                 │                  │
    ▼                 ▼                  ▼
┌─────────┐   ┌──────────────┐   ┌──────────────┐
│ PROVIDER│   │   DEPLOYER   │   │ GPAI MODEL   │
│         │   │              │   │ PROVIDER     │
└────┬────┘   └──────┬───────┘   └──────┬───────┘
     │               │                  │
     ▼               ▼                  ▼
 High-Risk?      High-Risk?        Systemic Risk?
 ├─ YES:         ├─ YES:           ├─ YES:
 │ Art. 8-17     │ Art. 26         │ Art. 53 + 55
 │ Art. 17 QMS   │ Art. 27 FRIA    ├─ NO:
 │ Art. 9 Risk   │ Art. 26(9) DPIA │ Art. 53
 │ Art. 43 CA    │ Art. 49(3) Reg  └────────────
 │ Art. 49 Reg   └────────────
 │               ├─ NO (Art. 50):
 ├─ NO           │ Art. 50 only
 │ (Art. 50):    ├─ NO (Minimal):
 │ Art. 50       │ Art. 4 only
 │ +Art. 6(4)    └────────────
 │ if Annex III
 └────────────

 ALL ROLES: Art. 4 AI Competence (always applies)

已完成的义务映射示例见 references/case-studies.md。

---

阶段 3：实施路线图

按时间线对义务分组：

1. 立即（部署前 / 如已部署则已逾期）：

• 按操作说明使用系统（第 26(1) 条）
• 监控系统就位（第 26(5) 条）
• 指派合格的监督人员（第 26(2) 条）
• 日志保留机制投入运行（第 26(6) 条）
• AI 能力措施（第 4 条）

2. 短期（部署后 3 个月内）：

• 风险管理系统投入运行（第 9 条）
• 数据质量管理（第 10 条）
• 在欧盟数据库中注册（第 49 条）
• 完成 DPIA（第 26(9) 条）
• 如需要完成 FRIA（第 27 条）
• 员工信息（第 26(7) 条）

3. 持续（不间断）：

• 系统监控（第 26(5) 条）
• 日志记录和记录保存（第 12 条、第 26(6) 条）
• 事件报告（第 26(5) 条第三句）
• 配合机关（第 26(12) 条）
• 上市后监测数据贡献

4. 定期（固定间隔）：

• 风险重新评估（第 9 条——建议每年）
• AI 能力培训更新（第 4 条）
• 文件审查与更新
• 测试和验证（第 15 条）

详细要求见 references/technical-measures.md、references/organizational-measures.md 和 references/management-systems.md。

完整的合规时间线（含季度行动日历、按组织规模的资源估算和活动间依赖映射）参见 references/compliance-roadmap.md。

---

阶段 4：义务矩阵输出

## AI Act Compliance Obligations Matrix
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

Role: [Role]  |  Risk Tier: [Tier]  |  Basis: [legal basis]
Organization: [name]  |  Date: [date]

### Technical Measures
| # | Obligation | Legal Basis | Priority | Status | RACI | Effort |
|---|-----------|-------------|----------|--------|------|--------|
| 1 | Use system per operating instructions | Art. 26(1) | Immediate | [ ] | IT=R, Legal=A | Low |
| 2 | Monitor system operation | Art. 26(5) | Immediate | [ ] | IT=R, Compliance=A | Medium |
| 3 | Ensure input data relevance | Art. 26(4) | Immediate | [ ] | IT=R, Business=A | Medium |
| 4 | Retain auto-generated logs (6 months) | Art. 26(6) | Immediate | [ ] | IT=R, Legal=A | Low |
| 5 | Data quality management | Art. 10 | Short-term | [ ] | IT=R, Data=A | High |

### Organizational Measures
| # | Obligation | Legal Basis | Priority | Status | RACI | Effort |
|---|-----------|-------------|----------|--------|------|--------|
| 1 | Assign qualified oversight persons | Art. 26(2) | Immediate | [ ] | HR=R, Legal=A | Medium |
| 2 | Inform affected persons | Art. 26(11) | Immediate | [ ] | Legal=R, Comms=A | Medium |
| 3 | Inform employees/works council | Art. 26(7) | Short-term | [ ] | HR=R, Legal=A | Medium |
| 4 | AI competence training | Art. 4 | Short-term | [ ] | HR=R, Mgmt=A | Medium |
| 5 | Incident reporting procedure | Art. 26(5) s.3 | Immediate | [ ] | Legal=R, IT=C | High |
| 6 | Register use in EU database | Art. 49(3) | Short-term | [ ] | Legal=R | Low |
| 7 | Cooperate with authorities | Art. 26(12) | Ongoing | [ ] | Legal=R, Mgmt=A | Low |

### Management Systems Required
| System | Legal Basis | Scope | Existing? |
|--------|------------|-------|-----------|
| Risk Management | Art. 9 | Continuous lifecycle risk assessment | [ ] |
| Data Quality Mgmt | Art. 10 | Training/validation/test data governance | [ ] |
| Quality Management | Art. 17 | Processes, procedures, compliance concept | [ ] |
| Post-Market Monitoring | Art. 72 | Monitoring throughout lifetime | [ ] |

### Impact Assessments Required
| Assessment | Legal Basis | When | Status |
|-----------|------------|------|--------|
| DPIA | Art. 26(9) + Art. 35 GDPR | Before deployment | [ ] |
| Fundamental Rights Assessment | Art. 27 | Before deployment (public bodies + certain private) | [ ] |

### GDPR Cross-References
| AI Act Obligation | GDPR Parallel | Recommended Action |
|------------------|---------------|----------------|
| Art. 26(9) DPIA | Art. 35 GDPR | Perform DPIA per Art. 35 GDPR incorporating Art. 13 information |
| Art. 26(11) inform persons | Art. 13/14 GDPR | Draft combined AI Act + GDPR transparency notice |
| Art. 10 data governance | Art. 25 GDPR (DPbD) | Conduct data inventory and governance review |
| Art. 26(7) employee info | Art. 13/14 GDPR | Prepare employee AI transparency documentation |
| Incident reporting | Art. 33/34 GDPR | Establish dual AI Act/GDPR incident reporting procedure |

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SUMMARY:
TOTAL: [X] obligations | [Y] immediate | [Z] require legal judgment
Timeline: [X] already compliant | [Y] gaps identified | [Z] not yet assessed

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
ASSESSMENT CONTEXT (paste into next skill)
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
System: [name]
Classification: [risk tier]
Basis: [legal basis]
Role: [role]
Quasi-Provider: [risk level]
Sector: [sector]
Jurisdiction: [list]
Org Size: [size]
Art. 50: [applicable triggers]
GPAI: [yes/no, systemic risk]

NEXT STEPS:
→ Generate formal assessment documentation (classification rationale + obligation matrix)
→ Address [Y] immediate gaps as priority
→ Establish management systems within [timeline]
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

---

关键提醒

1. 第 4 条 AI 能力适用于所有角色和所有风险层级——即使是最低风险系统
2. 第 26(6) 条日志保留（6 个月）——必须在部署第一天即就位
3. 第 26(9) 条 DPIA——必须在部署之前完成，而非之后
4. 第 27 条 FRIA——公共机构、提供公共服务的私营实体，以及保险风险评估（附件 III 第 5(b) 项）和社会福利资格（附件 III 第 5(c) 项）系统的部署者需要
5. 第 26(5) 条事件报告——"毫不迟延"向提供者和机关报告
6. 中小企业比例原则——第 62 条要求机关考虑中小企业能力
7. 过渡期各不相同——被禁止做法（2025 年 2 月）、GPAI（2025 年 8 月）、高风险附件 III（2027 年 12 月——Omnibus 自 2026 年 8 月推迟）、高风险附件 I（2028 年 8 月——Omnibus 自 2027 年 8 月推迟）。AI Omnibus 是进行中的立法文件；依赖这些日期前，请通过网络搜索核实推迟的当前状态。
8. 搜索最新协调标准——技术实施标准仍在制定中
9. 执法敞口——排列缺口优先级时考虑罚则层级：第 5 条被禁止做法违规最高 3500 万欧元 / 全球年营业额的 7%，其他侵权为 1500 万欧元 / 3%（第 99 条）。执法通过国家市场监管机关进行，GPAI 则由 AI 办公室负责。
10. 法域特定义务——参见 references/regulatory-overlays.md，了解在 AI 法案义务之外适用的各国雇佣法、金融监管机构和数据保护叠加要求
11. 合规时间线与资源——参见 references/compliance-roadmap.md，了解季度行动日历、按组织规模的资源估算和分阶段合规路线图模板

欧盟 AI 法案套件的一部分

本技能可独立使用，但设计为与我的其他欧盟 AI 法案技能互锁——可单独安装任一技能，或组合使用以实现端到端工作流：

• EU AI Act Quick Assessment（快速评估）——15-25 分钟初步分诊
• EU AI Act System Classifier（系统分类器）——跨越全部五个层级的风险层级分类
• EU AI Act High-Risk Classifier（高风险分类器）——附件 I / 附件 III 深度评估
• EU AI Act Role Determination（角色确定）——提供者 / 部署者 / 进口者 / 分销者（含第 25 条）
• EU AI Act Examination Report Generator（检查报告生成器）——审计就绪的合规报告
• EU AI Act Knowledge Base（知识库）——针对法案 + 欧盟委员会指南的问答

每个都作为独立技能提供——只安装你需要的。