距离2026年8月2日，欧盟《人工智能法案》高风险条款全面生效，只剩不到40天。违规最高可罚3500万欧元或全球年营业额7%。对于没有法务的中小团队和开源项目，这事必须动手了。
下面三个开源工具，实测可用，覆盖从风险评估到文档输出的链条。
先搞清楚：你的AI系统算哪一档风险
法案核心是风险分级。分类错了，后面全白干。
试试 eu-ai-act-risk-classifier（GitHub）。这个Python工具内置了欧盟法案附件I和III里的高风险应用场景清单。输入系统用途（比如招聘筛选、信贷评估）、是否涉及生物识别等参数，它会给出风险分类建议和法律依据。
我们测试了一个简历筛选工具，它准确归为“高风险”，并列出需要满足的七项义务，比如数据治理和人工监督。输出不是最终法律意见，但能帮你快速建立自查起点。
把“黑箱”文档化：用工具生成技术文档
法案要求高风险系统提供详细技术文档，说明数据来源、性能指标和风险管理。这对开发者来说可能最头疼。
model-card-generator 基于Hugging Face生态，但增加了欧盟法案要求的模块：
- 数据溯源声明：强制填写数据来源和合法性依据。
- 风险与局限性声明：引导描述模型偏见和缓解措施。
- 性能指标报告：需按敏感属性（如性别、年龄）报告性能，对应“非歧视”要求。
柏林一家初创公司用它生成文档，原本需要两三周，现在三天能出初稿，节省了大量沟通成本。合规正在变成产品设计的一部分。
流程自查：把条文变成项目管理语言
合规贯穿开发、部署、监控全流程。法案要求建立质量管理体系、保留日志。
ai-act-compliance-checklist 是一个GitHub上的Markdown检查清单，按法案条文拆解了上百个检查项，从“是否任命合规责任人”到“日志是否保留6个月”。
它可以fork到你的仓库，关联到项目Issue面板，每完成一项就打勾。有团队甚至把它集成进CI/CD流程，上线前自动检查文档是否齐全。这种“合规即代码”的思路，把合规变成了可管理的内部流程。
开源工具不是免死金牌
最后泼盆冷水：用工具不等于自动合规。
第一，工具输出是辅助，不能替代法律意见。关键决策，尤其是风险等级判定，最好咨询外部法律专家。
第二，如果你的团队本身是开源AI模型提供者，可能承担“通用人工智能模型提供者”义务，需要更详细的技术文档。Hugging Face已发布《开源开发者须知》专门解释。
第三，欧盟AI办公室和各国监管机构会持续发布细则。合规不是一劳永逸，建议订阅官方信息源动态跟踪。
对中小团队来说，当下策略是：用开源工具快速搭建“最小可行性合规”框架，用流程确保文档可查、责任到人，再视情况投入法律资源精修。先搭骨架，再填血肉。