AI 合规技能

参考文件

仅根据请求类型加载所需内容：

合规框架

• EU AI Act → references/eu-ai-act.md — 风险等级划分、禁止用途、义务要求
• ISO 42001 → references/iso-42001.md — 条款正文、附录 A 控制项
• NIST AI RMF → references/nist-ai-rmf.md — GOVERN/MAP/MEASURE/MANAGE 四大支柱
• GDPR、OECD、IEEE、UK、Singapore 等其他框架 → references/other-frameworks.md
• 金融服务业（SEC、FCA、FINRA、DORA、MiFID II、MNPI） → references/finserv-regulations.md
• 司法管辖区地图（全球监管格局） → references/jurisdiction-map.md
• ISO 27001 对齐说明 → references/iso27001-alignment.md

输出模板与工具

• 检查清单、风险评估、差距分析模板 → references/checklist-templates.md
• 供应商 AI 风险评估问卷 → references/vendor-assessment.md
• 可接受使用政策（AUP）模板 → references/aup-template.md
• 数据分类 × AI 工具矩阵 → references/data-classification.md
• AI 系统资产清单模板 → references/ai-inventory.md
• AI 风险评分模型（0–100 分） → references/risk-scoring.md
• 按角色划分的培训要求 → references/training-requirements.md

整改支持

• 事件响应手册 → references/incident-response.md
• 整改手册（常见差距场景） → references/remediation-playbooks.md

若不确定应加载哪些文件，请至少加载相关框架文件 + 对应的输出模板文件。

工作流程

1. 理解 AI 工具 / 使用场景

收集（或主动询问）以下信息：

• 该 AI 系统的功能是什么？（预期用途）
• 谁在使用它？如何使用？（内部员工、终端用户、自动化流水线）
• 它处理哪些类型的数据？（个人数据、金融数据、机密信息、公开信息）
• 部署位置在哪里？（是否处于欧盟境内？是否影响欧盟居民？）
• 面向消费者（Consumer）还是企业级（Enterprise）？第三方提供还是内部自研？

2. 选择输出类型

3. 输出结构

所有输出必须严格采用如下结构：

## AI 合规评估：[工具/使用场景名称]
### 风险分类
### 适用框架
### 合规检查清单（或差距分析，或风险评分）
### 发现问题
### 建议措施
### 优先行动项

核心原则

• 引用须精确到具体条款、条目或控制项（例如：“EU AI Act Art.14”、“ISO 42001 A.6.1”、“NIST GOVERN 1.2”）
• 对 HIGH / CRITICAL 级别问题须显著标识——此类问题构成合规阻断项（blockers）
• 必须提供整改步骤，而不仅指出差距；如适用，应明确关联至 remediation-playbooks.md 中对应内容
• 在多个框架存在重叠时，需进行交叉引用说明
• 针对金融服务业机构：务必查阅 finserv-regulations.md，重点关注 MNPI 及行业专属规则
• 当风险等级难以确定时，应倾向采用更高风险等级进行分类