用了别人的高风险AI，日志和告知谁来管

一家在欧洲有分支机构的制造企业，人力部门采购了一套带AI筛选功能的招聘系统。IT说“供应商负责合规”，人力说“系统是IT选的”，法务说“我们只审合同”。半年后监管问：系统日志在哪、谁在看运行情况、上线前有没有告知员工代表？没人能答全。

这是假设场景。按欧盟规则，用于招聘筛选的AI属于附件三所列高风险类别之一；即使系统是买来的，使用它的组织也有自己的义务。

已经发生的事

【事实】AI法案服务台展示的《人工智能法案》第26条（基于截至2026年7月27日的EUR-Lex合并文本）规定，高风险AI系统的部署者应：采取技术和组织措施，按说明书使用系统；将人工监督指派给具备必要能力、培训、权限及支持的自然人；在其控制输入数据的范围内，确保输入数据与预期用途相关且具有足够代表性；依说明书监测运行，认为可能出现风险时应及时通知提供者或分销商及市场监管机构并暂停使用，发现严重事件时立即依次通报提供者、进口商或分销商及监管机构。

【事实】同条第6款要求部署者在日志由其控制的范围内，保存系统自动生成的日志，期限与预期用途相适应且至少六个月，除非欧盟或成员国法律（尤其个人数据保护法）另有规定；第7款要求作为雇主的部署者在工作场所投入使用高风险AI系统之前，告知员工代表和受影响员工。受金融服务法内部治理规则约束的金融机构，监测和日志义务可按相关金融法规履行。

【事实】同一服务台第113条显示，经数字综合修订后，第三章第1至3节（含第26条）对按附件三归类的高风险AI系统自2027年12月2日起适用，对按附件一归类的自2028年8月2日起适用。

以上为条文在核验日的合并文本表述，不自动适用于不在欧盟市场投放或使用、且不影响欧盟境内人员的系统。

变化的机制：买系统不等于买走责任

AI法案把责任分给不同角色：提供者负责系统设计和符合性，部署者负责“怎么用”。第26条的六项要求，几乎都落在使用方的日常流程上：说明书谁读、输入数据谁把关、运行异常谁发现、暂停谁拍板、日志存在哪、员工谁去告知。

这对组织结构的影响在于，这些职责横跨IT、业务、人力、法务和数据保护几个部门。如果没有指定一个牵头人，每个部门都可能认为“这是别人的事”。第26条第2款还要求监督者有“权限和支持”，意味着这不是挂名岗位。

对经营的影响

【推演】第一，采购流程要多问三个问题：日志由谁控制、能保存多久、怎么导出；说明书是否写清监测指标和暂停条件；供应商能否配合事件通报。日志若完全在供应商云端且部署者无法取用，履行第6款会变难。

【推演】第二，内部要有一份“部署者职责分配表”，明确每个高风险系统在六项义务上的负责人。2027年12月2日看似还远，但采购周期、员工代表沟通和日志改造都需要时间。成立条件是企业在欧盟有业务或员工。

【推演】第三，员工告知会改变上线节奏。第7款要求“投入使用之前”告知，涉及员工代表的地方还要遵循当地程序。把告知放在上线后补做，可能违反时序要求。这部分是推演，具体程序取决于各成员国劳动法。

建议试验：一次“部署者义务桌面演练”

建议试验：选一个已在用或拟采购、可能属于附件三类别的AI系统（如招聘筛选、员工绩效评估），召集IT、业务、人力、法务各一人，用两小时逐项回答第26条的六项义务：现在谁负责、证据在哪。判断指标：每项是否能指出具体负责人和一份可调取的记录（如三个月前某天的日志）。失败条件：超过两项找不到负责人，或日志无法取用。

边界

本文只讨论第26条中适用于一般企业的部分，未展开公共机构登记义务和执法机关远程生物识别条款。某系统是否属于附件三高风险，需对照附件三和第6条第3款的例外条件逐案判断。不构成法律意见。

来源

• AI Act Service Desk：Article 26 Obligations of deployers of high-risk AI systems，https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-26 ，核验日期 2026-11-03
• AI Act Service Desk：Article 113 Entry into force and application，https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-113 ，核验日期 2026-11-03