什么是人工智能合规评估？

这取决于系统。许多高风险系统由提供者在内部控制程序下进行评估，必须持有完整的文档并在要求时提供。其他系统则需要独立机构进行评估。无论哪种方式，其实质是相似的：一套明确的要求，针对每个要求的文档，以及证明描述与现实相符的证据。

大致上，有三件事。文档 — 它是否足够完整地描述了系统、其目的、风险和控制，以便其他人进行评估。管理 — 是否有一个有效的质量系统，而不是一套文件。证据 — 系统的实际行为是否与所描述的相符，通过具体案例的记录进行检查，而不是关于一般行为的断言。这最后一点是合规证据发挥作用的地方。

在评估后发生实质性变化的系统可能需要重新评估，并且在市场进入后义务仍然存在：监测、事件报告和记录保存。评估在某一时刻建立了一种状态；保持该状态的真实性是一项持续的责任，这就是为什么记录保存实践比单次成功的审查更为重要。

监管文本以一般术语陈述要求；标准将其转化为可检查的具体内容。当一个标准被正式认可时，遵循它可以推定相应的要求已得到满足——这使得标准成为大多数组织采取的实际途径，并使其内容具有异常重要的意义。几个相关标准仍在起草中，因此评估者所要求的内容尚未完全确定。管理体系认证与监管之间的关系是一个常见的混淆，已在 ISO 42001与欧盟人工智能法案 中进行了解释——更广泛的义务则在 欧盟人工智能法案指南 中。