“文档写了一周，结果发现我们的系统根本不属于高风险类别。”
一位深圳教育科技公司的CTO在6月初的行业社群里分享了他们的经历。他们用Llama模型开发了一个学情分析工具，按照网上找到的模板写了技术文档，直到请律师复查，才发现根据欧盟AI法案附件三，他们的应用场景属于“教育与职业培训”，自动被归为高风险AI系统。
距离2026年8月2日欧盟AI法案高风险条款正式生效，只剩下不到40天。对于众多使用开源模型（如Llama、Mistral）开发产品的国内中小团队来说，合规不再是“未来的事”。根据我们近期的采访，三个团队在推进合规过程中，几乎都踩中了相似的坑。
踩坑一：风险等级误判——不是“做了风险评估”，而是“做了对的风险评估”
最常见的错误，是直接套用网络上的风险评估模板，而忽略了法案附件三对“高风险AI系统”的明确列举。
真实案例：一家杭州的电商SaaS公司，为其客户（中小型电商）开发了基于Mistral 7B的智能客服助手，主要处理售后问答。他们最初认为这只是“聊天机器人”，属于低风险。但法律咨询后发现，该系统的一部分功能涉及“影响自然人获取基本服务的权利”，特别是处理退货、投诉时的自主决策，有被纳入“高风险”的可能。
解法：他们放弃了从头评估的做法，转而使用欧盟委员会开源提供的EUCA-Toolkit中的风险分类决策树。输入应用场景、数据来源、决策影响范围等关键参数后，工具给出了初步的风险等级判定和依据。更重要的是，工具要求必须上传一份《影响评估说明书》，强制团队从设计之初就思考系统可能造成的负面影响。最终，他们将系统拆分为“低风险问答模块”和“高风险决策建议模块”，并对后者进行重点合规建设。
工具提示：EUCA-Toolkit v2.1（2026年4月更新）的风险分类模块已内置了200多个经过欧盟委员会法律团队审核的案例场景，可以帮助团队快速定位。但工具只是辅助，最终责任在开发者身上，这一点在我们的文章《欧盟AI法案38天后生效，开源模型别踩这三条红线》中有详细拆解。
踩坑二：测试验证“无数据可测”——开源模型的合规测试，测什么？
法案要求高风险AI系统必须经过充分的测试验证，以确保其一致性、准确性和鲁棒性。但对于使用开源基础模型进行微调的团队来说，一个现实问题是：测试数据从哪来？测试标准是什么？
真实案例：一家北京的金融科技初创公司，基于Llama 3微调了一个信贷风险预审模型。在准备合规文档时，他们卡在了“测试验证”章节。他们用内部历史数据测试模型，准确率达到了92%。但法务和合规顾问指出，测试必须覆盖“有代表性的人群”和“各种边缘案例”，以确保不会产生歧视。公司内部数据存在天然偏差，无法满足要求。
解法：他们采取了“双轨测试”策略。一方面，利用EUCA-Toolkit内建的公平性测试套件，使用其提供的合成测试数据集，模拟不同性别、年龄、地域人群的数据，测试模型输出的差异。另一方面，他们与一家第三方数据合规机构合作，获取了经脱敏和匿名化处理的、符合GDPR要求的测试数据集，用于验证模型在更广泛场景下的表现。最终的报告中，两组测试结果并列呈现，既证明了模型能力，也展示了其在公平性上的努力和局限。这个方法和我们在《把AI质检误判率从15%压到1.8%，三家工厂做对了什么》中观察到的工业质检优化思路有相通之处：提升性能的关键往往在数据和规则层面，而不仅仅是模型本身。
踩坑三：责任归属“甩锅”开源——模型的锅，还是应用的锅？
“我用的是开源模型，出了问题应该找模型提供商。”这是许多开发者的朴素想法。但欧盟AI法案明确：将AI系统投放市场或投入使用的一方，承担主要合规责任。
真实案例：一家成都的游戏公司，使用开源的语音识别模型为游戏NPC添加了实时语音交互功能，并在欧盟区上线。他们认为，如果语音识别出错（如听错玩家指令导致NPC做出错误行为），责任在于开源模型社区。然而，根据法案，作为将集成该功能的游戏（视为一个AI系统）投放欧盟市场的公司，他们是责任主体。这意味着，他们必须为整个交互系统的准确性、安全性和透明度负责。
解法：他们从“甩锅”思维转向了“全栈合规”思维。首先，他们利用EUCA-Toolkit的透明度报告生成器，撰写了一份清晰的技术文档，明确说明：1）系统使用了哪个开源基础模型及其版本；2）他们对该模型进行了哪些微调和集成；3）系统可能存在的局限性（如对某些口音的识别率较低）；4）用户如何反馈错误。其次，他们在游戏设置中增加了一个明确的“AI交互说明”入口，告知用户此功能由AI驱动，并提供了关闭选项。这满足了法案对透明度的要求。正如《Llama和Mistral进欧盟前，技术文档该写哪四项》一文所强调的，开源模型的合规责任主要落在应用开发者身上。
生死时速：一份给中小团队的行动清单
时间紧迫，但并非无路可循。结合上述团队的经验，我们整理出一份可在30天内推进的行动清单：
- 第1周：快速诊断。使用EUCA-Toolkit的风险分类决策树，对你的AI产品或功能进行快速风险评级。不要凭感觉。
- 第2-3周：文档攻坚。重点准备《技术文档》和《透明度说明》。技术文档的四大模块（系统描述、风险管理、技术细节、测试验证）缺一不可。善用EUCA-Toolkit的模板和生成器。
- 第4周：验证与整改。根据测试结果，对系统可能存在的歧视性、安全隐患进行迭代。如果时间不够，至少完成测试框架的搭建和首次测试，并在文档中记录整改计划。
欧盟AI法案的合规，本质上是一场从“开发思维”到“负责任创新思维”的转变。它迫使团队提前思考产品的社会影响和伦理边界。对于资源有限的中小团队，利用好开源工具，抓住“风险分级、文档先行、测试验证、透明沟通”这几个关键点，完全有可能在8月2日大限前，交出一份合格的答卷。
合规不是终点，而是进入欧洲这个庞大市场的起点。准备好了的团队，或许能比竞争对手更早赢得用户的信任。