AI 符合性评估（Conformity Assessment）

法规写的是「必须满足什么」，符合性评估回答的是「怎么证明你满足了」。按欧盟 AI 法案口径，它把抽象义务转换成一套可检查的程序、文档与责任主体，是产品进入受监管市场的通行环节。与单纯的内部合规自查相比，符合性评估的结论通常要能被第三方或监管复现，因此对证据留存与测试可重复性的要求更高；其他辖区的市场准入安排并不相同，口径以辖区为准，需单独确认。

常见评定路径

• 内部控制路径（自评）：由提供方按内部控制的思路逐项核对要求、留存证据并出具声明，是高风险系统的主要路径。
• 第三方公告机构评定：由独立机构审查技术文档、测试结果与质量体系，适用于 AI 作为受监管产品安全部件，以及未采用协调标准或共同规范等法定情形。
• 标准符合性推定：采用被认可的协调标准，通常可作为满足相应要求的推定依据，但推定不等于免责。
• 组合路径：先按内部控制路径完成内部整改，再针对法定需要公告机构介入的模块做专项评定，最后统一出具声明。

需要准备什么

核心是技术文档：系统用途与适用范围的界定、风险分析与缓解措施、数据与训练过程说明、测试与验证记录、人机交互与监督设计、变更管理流程。文档的作用是让结论可复现，而不是事后补写的说明材料——测试记录要能回答「用什么数据、什么口径、谁复核」。同时要明确角色划分，提供方、部署方与进口商各自承担哪些义务，避免责任断链。对于集成基础模型或第三方组件的产品，还需要上游提供的能力说明与合规材料作为支撑。

评哪些维度

• 用途界定：预期用途、目标人群与明确排除的使用方式，决定适用哪一档要求。
• 风险管理：是否建立贯穿生命周期的风险识别、评估与缓解流程，并指定责任人。
• 数据与记录：训练与运行数据的来源、质量与留存，日志是否足以支撑事后追溯。
• 人机监督：自动化决策的介入程度、人工复核点与面向用户的告知方式。
• 上市后监测：问题收集、严重事件报告与纠正措施是否形成闭环。

评估不是一次性动作：系统发生实质修改、用途扩展或风险等级变化时应重新评定；使用说明与标识要随产品交付；对第三方组件与基础模型要保留上游提供的合规材料，否则一旦上游无法举证，下游的合规结论也会跟着失去支撑。常见误区是把它当成文档工程——文件齐全但测试不可复现、责任人缺位，检查时同样无法通过。