新兴技术与人工智能。

如果您开发、部署或分销的人工智能系统涉及欧盟市场，几乎在所有情况下答案都是肯定的。人工智能法案将系统划分为四个等级——不可接受风险（完全禁止，例如某些操纵性做法或社会评分做法）、高风险（须接受合规评估、技术文档、人工监督及注册要求）、有限风险（须履行透明度义务，例如披露内容由人工智能生成）以及最低风险（基本不受监管）。分类取决于系统的具体功能及其影响对象，而非您所处的行业，且往往并不像最初看起来那样显而易见。我们会依据人工智能法案的标准对系统进行评估，并将分类结果文档化至经得起审查的程度。

并非如此，这是我们遇到的最具影响的误解之一。您的具体应用场景缺乏专门的人工智能立法，并不意味着没有法律风险。无论专门针对人工智能的规则是否已经出台，产品责任法、消费者保护法、一般侵权法原则以及行业安全法规都持续适用于人工智能、机器人及自动化系统。法院与监管机构已经在将现有法律框架应用于新兴技术，率先推出真正创新的产品并不会推迟责任产生的时点。我们的方法是依据实际适用的法律原则来评估风险敞口，而不是坐等一部专门针对您产品的法规出台。

这两套框架同时且独立地适用——满足其中一套并不意味着满足另一套。处理个人数据的高风险人工智能系统，既需要通过人工智能法案下的合规评估，也需要具备符合GDPR的合法处理依据，并且在许多情况下还需要开展数据保护影响评估，涵盖该系统所引入的人工智能特有风险（例如画像分析、自动化决策、基于数据的新型推断）。这两套制度对于重叠概念还使用不同的术语表述，而将两者视为独立工作流程处理的合规方案，往往正是在这一环节出现缺口。我们采用统一的方法论将两者一并处理，使这一交叉领域只需处理一次，而非两次。

产品责任与安全问题应放在首位——当机器人或自动化系统造成损害时责任由谁承担，以及需要哪些证据证明系统的设计与测试是负责任的。根据产品类别的不同，车型认证及行业安全制度可能同样适用，且这些制度往往远早于任何专门针对人工智能或自动驾驶的立法出台。数据治理同样重要，因为此类系统通常会大规模采集传感器及环境数据。跨境问题也会很快浮现——在多个司法管辖区运营或销售的车辆或机器人，在每个管辖区都会面临不同的责任及监管格局。我们会在上线前系统性地梳理这些问题，而不是等到事故发生后才被动应对。

政策文件只是起点，并不等同于治理方案。一套真正有效的方案应包括明确的监督职责、每个在用系统的书面风险分类、随系统变化而持续更新的技术文档，以及能够在新部署未经评估上线前予以拦截的审查周期。监管机构与索赔方审查的是企业实际能够提供并证明的内容，而非政策文件在原则层面的表述。在治理方案接受检验之前预先建立——而非在监管机构介入或事故发生后才被迫应对——在成本与可辩护性上都明显更具优势。