AI Incident Database 可用于查询与人工智能系统相关的事件和损害。与此同时，Consejo de la Unión Europea 于 2026 年 6 月 29 日批准修订适用于高风险系统的时间表。这两个事实同时存在，并不能证明因果关系。但确实向每个组织提出了一个具体问题 · 两次治理决策之间，组织的系统发生了什么变化.
本准则的操作性问题可以用一句话概括 · 两次会议之间发生的变化由谁治理？定期审查仍然必要，但如果供应商在下次会议前修改模型、出现新用例或运行情境发生变化，仅靠定期审查可能不够。差距不能靠假定：应将这些变化与实际发现和处理变化的能力进行比较，以此衡量。
时钟差距 · 请自行核实
具体节奏因供应商、模型和部署方式而异。要了解自身的节奏，宜将所用供应商的版本说明和变更记录，与同期内部会议记录、技术审查和事件进行对照。这一差异不是通用的成熟度指标，而是判断审查频率、阈值和责任人是否足以应对所承担风险的证据。
治理机构不必为每一个微小变化召开会议。它需要明确由谁观察、什么事件需要触发特别审查，以及在评估期间谁有权限制或暂停某项使用。准则 09 对这一工作规范作了展开。这里的重点是明确正式时间表与实际运行之间的距离。
影子 AI · 组织未声明的范围
在已认证体系的审核实践中，最紧迫的现象有一个技术名称 · 影子 AI。商务团队在通用模型中上传可识别客户身份的信息来撰写提案。法务部门在没有数据处理协议的情况下，将保密合同上传至辅助审查工具。人力资源部门使用未列入资产清单的供应商评分服务评估候选人。财务部门运行自有预测模型，却没有技术文档或定期重新验证。
操作层面的分类区分三类 AI 资产 · 直接使用第三方工具、内部构建的原型，以及嵌入供应商产品的 AI — 第三类最不易察觉，因为它随已以其他类别登记在清单中的软件一同进入组织。
准则 03 将 认知范围 定义为评估所覆盖内容与未覆盖内容之间的边界。影子 AI 就是这一边界在人工智能领域的应用 · 一个组织可以拥有经认证的管理体系，同时仍有 AI 使用处于体系范围、清单或风险评估之外。解读证书必须依据其具体范围；不能将其视为对所有在用技术的全面覆盖。
容易混淆的三个层面
AI 治理在三个层面展开。管理体系 · 方针、清单、责任人、记录。技术风险 · 偏差、漂移、可解释性、稳健性。法律合规 · 各司法管辖区按日期生效的义务。每个层面的审核方式和记录方式都不同。实践中反复出现的错误是用一个层面掩盖另一个层面 · 被问及模型漂移时展示管理体系，或被问及清单时展示法律意见书。
现有框架 · 不夸大解读
ISO/IEC 42001:2023 为 AI 管理体系提供可认证的框架：围绕负责任地使用人工智能系统的方针、目标、过程、运行、评价和改进。ISO/IEC 42005 为 AI 系统影响评估提供指导。而闭合这一链条的环节将问题带入本理论的领域 · ISO/IEC 42006 规定对 AI 管理体系进行审核和认证的机构的要求。认可链条已延伸至人工智能。
这些标准的存在，并不能证明某个组织已经实施这些标准，也不能证明一张证书覆盖其所有 AI 使用。要确认这一点，必须阅读管理体系的范围、适用的认可以及运行证据。
截至 2026 年 6 月 29 日，欧洲监管时钟也有不同的时间节点。条例 (UE) 2024/1689 规定的禁令自 2025 年 2 月起适用，通用模型的义务自 2025 年 8 月起适用。根据 Consejo 公布的修订时间表，某些透明度义务自 2026 年 12 月 2 日起适用；改革所涉及的高风险规则则按系统类型，分别自 2027 年 12 月 2 日或 2028 年 8 月 2 日起适用。每个组织都必须确定自身对应的角色和日期。
人工监督 · 有效、名义上存在或缺失
«环路中有人类参与»这句话需要证据。经得起论证的监督应明确人员审查什么、依据什么信息、按照什么准则，以及拥有什么确认、升级处理或停止的权限。没有决策被阻止，本身并不能证明控制措施仅具名义；这要求寻找其他实际行使监督的证据，例如升级处理、纠正、有记录的异议，或对干预机制的测试。
漂移同样不能用适用于所有系统的同一套方法处理。当其发生概率或影响值得关注时，控制就需要指标、阈值、频率和责任人。承诺模型不会变化，超出了能够支持的范围；说明如何发现和处理实质性变化，则是可审核的。
准则检验
检验从清单开始。将正式登记记录与采购、集成、软件合同、访谈及其他合法且合乎比例的痕迹进行对照。设置免罚申报期可能有助于找回未登记的使用，但这是一项治理决策，不是标准要求，也不保证完整无遗漏。发现的每项差异都应按用例、数据、责任人、范围和风险分类。随后应决定哪些纳入、哪些限制、哪些移除。
当风险暴露不再匿名时，治理才开始。已识别的使用可以有责任人、审查准则和证据。仍在清单之外的使用无法获得这些控制中的任何一项。