ASI与AGI合规审计实务：超级智能企业的内部合规审查清单

一、审计底座：ISO/IEC 42001 管理体系审查

1.1 管理体系条款审查（Clause 4-10）

1.2 Annex A 38 项控制目标审查（关键摘录）

• A.2 AI 政策：AI 政策文件已签发、已传达、已版本化
• A.3 角色与权威：AI 系统所有人、AIMS 协调员、AI 审查员具名分配；系统所有人具备停产权限（口头授权无效）
• A.6 内部组织：AI 系统库存完整（含第三方 AI 组件）；模型卡片齐备
• A.7 数据生命周期：训练/验证/测试数据来源可追溯；数据质量准则；数据访问控制；数据血缘
• A.8 AI 系统生命周期：AI 系统生命周期各阶段控制
• A.9 供应商与客户关系：第三方 AI 供应商合同义务落实

💡 审计判断标准：治理框架写在文档里但运行系统无对应代码控制 → "纸面治理"失败模式 ；治理证据事后补造 → 补造的审计踪迹弱于从第一天起内置的证据 。内部审计员须验证"每个控制项在代码中有落点、有产物、有具名责任人"。

二、中国侧审计：双备案 + 安全评估闭环

2.1 算法备案与大模型备案审查

• [ ] 算法备案：提供服务之日起 10 个工作日内申报；四大核心材料（承诺书、主体责任、自评估报告、拟公示内容）齐全；30 个工作日内审核发证公示
• [ ] 大模型备案/登记：自研模型向省级→国家两级申报；调用已备案 API 省级单级登记；截至 2026 年 4 月全国 868 款生成式 AI 服务完成备案、530 款应用完成登记
• [ ] 变更与注销：备案信息变更 10 个工作日内变更；终止服务 20 个工作日内注销
• [ ] 2026 年 6 月 30 日 / 9 月 30 日截止日期对标：未完成备案的大模型服务面临停止访问处理

2.2 安全评估报告审查（TC260-003 标尺）

• [ ] 语料来源黑名单机制建立；单一来源语料违法不良信息超 5% 即拒用​
• [ ] 语料来源多样性：中英文、文本/图片/视频/音频多来源；境内外语料合理搭配
• [ ] 开源语料授权协议齐备；自采语料合法证明；商业语料采购合同与版权证明
• [ ] 境外语料占比≤30% 并提供安全承诺书（备案实务常见要求 ）
• [ ] 人工抽检≥4000 条合格率≥96%；技术抽检≥10%合格率≥98%（备案实务量化标尺 ）
• [ ] 生成内容安全性合格率≥90%、应拒答问题拒答率≥95%、非拒答误拒率≤5%（GB/T 45654-2025 口径 ）
• [ ] 拦截关键词库≥10000 个（A.1 类≥200 个/类，A.2 类≥100 个/类）

• [ ] 第三方基础模型须为已备案模型
• [ ] 生成内容测试题库≥2000 题（覆盖 31 种安全风险，A.1/A.2 类每类≥50 题）
• [ ] 应拒答题库≥500 题；非拒答题库≥500 题
• [ ] 模型重要更新升级后再次自行组织安全评估（GB/T 45654—2025 第 5.4 条）

• [ ] 训练环境与推理环境隔离（物理或逻辑隔离）
• [ ] 输入内容持续监测；常态化监测测评手段与应急管理措施
• [ ] 投诉举报机制；违法内容发现→停止生成→整改→报告流水线
• [ ] 交互日志留存≥180 天

2.3 拟人化互动与智能体专项审查

• [ ] 2026 年 7 月 15 日施行的《人工智能拟人化互动服务管理暂行办法》合规：用户规模突破 100 万或月活 10 万 + 拟人化互动安全评估
• [ ] 2026 年 5 月《智能体规范应用与创新发展实施意见》合规：
  • 决策三分法：仅限用户本人决策 / 用户授权决策 / 智能体自主决策的边界厘清
  • 最终决策权：用户对智能体自主决策享有知情权和最终决策权；执行操作不超出用户授权范围
  • 行为围栏：感知、决策、执行核心环节的权限管控机制
  • 全链路可追溯：区块链等技术建立重要应用场景行为可验证、可追溯机制
  • 分类分级治理：敏感领域（金融、医疗等）备案、检测、问题产品召回；低风险领域合规自测
  • 供应链安全：模型接入、API 调用、扩展工具的安全管理

三、欧盟侧审计：GPAI 第五章 + 高风险系统义务

3.1 GPAI 模型提供者义务审查（第 53 条）

• [ ] 技术文档：Annex XI 格式的技术文档（模型架构、训练方法、训练计算量、评估基准、已知局限）
• [ ] 下游信息披露：向将 GPAI 模型集成到 AI 系统中的提供者提供充分信息与文档
• [ ] 版权政策：制定遵守欧盟版权法的政策；文档化 TDM opt-out 尊重机制（robots.txt 指令、结构化 TDM opt-out 头、ToS 退出）
• [ ] 训练数据摘要：按 AI 办公室模板公开（数据来源类别、近似规模、是否网络爬取、采集周期、已知偏差）
• [ ] 机器可读标识：确保模型输出可标记为 AI 生成（技术上可行范围内）

3.2 系统性风险 GPAI 附加义务审查（第 55 条）

• [ ] 模型评估与对抗测试：标准化评估 + 对抗测试；评估至少在部署前、重大更新前、每年一次
• [ ] 系统性风险识别与缓解：跟踪并记录欧盟或全球层面的系统性风险
• [ ] 严重事件上报：向 AI 办公室无不当延误地上报（实践中为 15 日内）
• [ ] 网络安全保护：对模型权重与训练基础设施的充分保护
• [ ] 与 AI 办公室合作评估：包括应要求提供模型权重访问

3.3 高风险 AI 系统义务审查（第 8-15 条，2026 年 8 月 2 日激活）

• [ ] 第 9 条风险管理：书面风险登记表与审查计划
• [ ] 第 10 条数据治理：训练/验证/测试数据血缘清单；统计偏差与有毒内容检测
• [ ] 第 12 条记录保存：防篡改日志，最低留存 6 个月（金融/医疗等行业更长）
• [ ] 第 14 条人为监督：加密认证的干预接口；具名角色的覆盖权限
• [ ] 第 15 条准确性与鲁棒性：准确性测试方法与结果文档化
• [ ] 第 43 条合格评定 + 第 47 条欧盟合规声明 + 第 49 条欧盟数据库注册

3.4 透明度义务审查（第 50 条，部署者义务）

• [ ] AI 交互告知：直接与自然人交互的 AI 系统须告知用户正在与 AI 交互（上下文明显除外）
• [ ] 机器可读标识：生成合成音频/图像/视频/文本须标记机器可读的 AI 生成披露
• [ ] 深度伪造标识：真实人物逼真 AI 生成内容须清晰可见地标注为 AI 生成

四、美国侧审计：州法拼图的最高公约数对齐

4.1 联邦与州法总体态势审查

• [ ] 联邦层面：特朗普 2025 年 12 月 11 日行政令设立 DOJ AI 诉讼特别工作组挑战州法，但无联邦成文法或法院实际预占任何州 AI 法 ——州法要求仍然有效可执行
• [ ] 企业须采取"最高公约数"姿态，对齐 NIST AI RMF 与 ISO/IEC 42001

4.2 各州重点法案合规审计

• [ ] 意图禁止合规（禁止操纵、非法歧视等）
• [ ] NIST AI RMF 或 ISO/IEC 42001 对齐（获取安全港）
• [ ] 沙盒参与（如适用）：36 个月有限豁免、季度报告 DIR

• [ ] 前沿模型（>10^26 FLOP）开发者透明度报告
• [ ] 大型前沿开发者（>5 亿美元营收）：前沿 AI 框架公开、灾难性风险披露
• [ ] 关键安全事件 15 日内报告加州应急管理办公室；迫在眉睫的死亡/重伤风险 24 小时内报告执法机关
• [ ] 吹哨人保护
• [ ] $1M/次违规民事罚款

• [ ] 月活 >100 万的服务提供显式 + 隐式双标识
• [ ] 每次违规 5000 美元，每日持续违规独立计算

• [ ] 前沿模型（>10^26 FLOP）开发者透明度报告
• [ ] 大型前沿开发者（>5 亿美元营收）：前沿 AI 框架、年度独立第三方审计、登记披露
• [ ] 关键安全事件 72 小时内报告 IEMA-OHS 与总检察长；存在迫在眉睫死亡/重伤风险 24 小时内报告适当执法机关
• [ ] 模型权重网络安全保护
• [ ] 吹哨人保护
• [ ] 2027.1.1 登记生效，2028.1.1 审计生效

• [ ] 大型开发者（训练算力成本 >1 亿美元）安全保障协议
• [ ] 首次违规最高 1000 万美元；后续违规最高 3000 万美元
• [ ] 72 小时重大危害事件上报

• [ ] 自动化决策技术消费者的告知
• [ ] 不利结果 30 日解释权
• [ ] 人类审查权

4.3 "最高公约数"审计策略

• [ ] 训练数据透明 → 按加州 AB 2013 标准
• [ ] 前沿模型安全框架与事件上报 → 按加州 SB 53 + 伊利诺伊 SB 315 标准
• [ ] 就业 AI → 同时符合纽约市 LL 144、伊利诺伊 HB 3773、科罗拉多 SB 26-189
• [ ] NIST AI RMF 或 ISO/IEC 42001 实质性对齐 → 得州 TRAIGA 安全港

五、ASI 智能体专项审计：从"模型审计"到"行为链审计"

5.1 预部署审计域

• [ ] AI 系统资产地图条目：名称、版本、提供者、上下文、分类均已登记
• [ ] 风险分类文档：分类依据与合规负责人签字
• [ ] 基本权利影响评估（FRIA）：高风险系统已完成
• [ ] 数据治理审查：哪些数据进入智能体、从何处来、基于何种法律基础
• [ ] 第三方智能体基础设施的 AI 法案合规证据（如使用第三方）

5.2 审计踪迹域

• [ ] 结构化日志：捕获身份、输入、工具调用、输出、元数据
• [ ] 防篡改架构：日志以仅追加、防篡改方式存储
• [ ] 留存策略：最低 6 个月（高风险系统）；金融/医疗等行业更长
• [ ] 日志可取回性测试：能从日志重建特定智能体决策吗？

5.3 人为监督域

• [ ] 干预点文档化：智能体工作流中干预点已文档化
• [ ] 具名覆盖角色：具名角色具备覆盖权限；培训记录维护
• [ ] 升级路径：已定义并测试
• [ ] 迭代边界：已配置
• [ ] 一键熔断：在非生产环境测试通过

5.4 访问控制域

• [ ] 唯一智能体身份：每个已部署智能体具备唯一身份
• [ ] 最小必要权限：权限限定在最小必要范围
• [ ] 密钥管理：密钥存储在密钥管理器中，不硬编码
• [ ] 访问审查：已排程并文档化
• [ ] 多智能体权限边界：Agent A 调用 Agent B 时权限不传递升级，除非显式授权

5.5 偏见与输出监测域

• [ ] 基线性能指标：已建立
• [ ] 公平性指标：针对用例定义并适当
• [ ] 监测节奏：已文档化
• [ ] 漂移检测：已就位
• [ ] 补救流程：已定义

5.6 事件响应域

• [ ] AI 特定故障模式覆盖：幻觉、未授权操作、提示注入
• [ ] 事后审查流程：包含 AI 行为分析
• [ ] 合规审查节奏：高风险季度、其他半年度

六、事件上报与日志留痕审计

6.1 跨法域事件上报时限审计

6.2 日志留存审计

• [ ] 欧盟 AI 法案第 12 条：高风险系统防篡改日志最低 6 个月（金融/医疗等行业更长）
• [ ] 中国：交互日志留存≥180 天
• [ ] 金融行业（FINRA/SEC）：审计踪迹长达 7 年
• [ ] HIPAA：医疗 AI 审计日志 6 年
• [ ] 智能体行为全链路：身份审计 + 行为审计 + 数据审计三层覆盖

七、内部审计运行机制

7.1 审计频率

• [ ] ISO 42001 内部审核：年度最低，审计员独立于被审计区域（Clause 9.2）
• [ ] 高风险 AI 系统：季度合规审查
• [ ] 中低风险 AI 系统：半年度合规审查
• [ ] 模型重要更新/升级：触发重新安全评估（GB/T 45654—2025 第 5.4 条）
• [ ] 法域义务变更：触发即时复检（美国 2000+ 州法案在途，季度复检全球立法动态）

7.2 审计证据四分类

1. 治理文档：AI 政策、AIMS 范围、目标、问责结构
2. AI 系统记录：模型卡片、数据治理记录、影响评估
3. 风险与控制证据：风险登记表、风险处理计划、控制测试记录
4. 运行证据：监测日志、事件报告、管理评审纪要、内部审计记录

⚠️ 审计员寻找的是"治理政策真正落地并持续运行"的证明，而非文档本身。

7.3 审计失败的三大模式（须规避）

1. 纸面治理：治理框架存在于文档，运行系统无对应代码控制
2. 补造证据：系统运行数月后试图重构合规证据——补造的审计踪迹更弱、更昂贵、更不可信
3. 范围蔓延：AIMS 范围写成 ISO 27001 ISMS 范围的拷贝，而非 AI 特定文档——审计员会挑战范围排除的合理性

八、ASI 企业内部审计清单总览

ASI/AGI 企业内部合规审查清单（可打勾版）
    │
    ├─ A. 管理体系底座（ISO/IEC 42001）
    │   ├─ [ ] Clause 4-5：AIMS 范围声明、AI 政策、角色职责矩阵
    │   ├─ [ ] Clause 6：AI 风险评估、AI 系统影响评估
    │   ├─ [ ] Clause 7-8：资源能力、运行控制
    │   ├─ [ ] Clause 9-10：监测测量、内审、管理评审、纠正措施
    │   └─ [ ] Annex A：38 项控制目标的 SoA 适用性声明
    │
    ├─ B. 中国侧合规
    │   ├─ [ ] 算法备案（10 工作日内申报）
    │   ├─ [ ] 大模型备案/登记（自研两级/调用单级）
    │   ├─ [ ] 变更/注销备案（变更 10 日/注销 20 日）
    │   ├─ [ ] 安全评估报告（TC260-003 逐条评估+三签字）
    │   ├─ [ ] 语料安全（5% 红线+人工抽检≥4000 条≥96%+技术抽检≥10%≥98%）
    │   ├─ [ ] 生成内容安全（合格率≥90%、拒答率≥95%、误拒率≤5%）
    │   ├─ [ ] 训练/推理环境隔离
    │   ├─ [ ] 交互日志留存≥180 天
    │   ├─ [ ] 拟人化互动安全评估（用户>100 万或月活>10 万）
    │   └─ [ ] 智能体增强义务（决策三分法+行为围栏+全链路可追溯+分类分级）
    │
    ├─ C. 欧盟侧合规
    │   ├─ [ ] GPAI 技术文档（Annex XI 格式）
    │   ├─ [ ] 版权政策与 TDM opt-out 机制
    │   ├─ [ ] 训练数据摘要公开
    │   ├─ [ ] 机器可读标识能力
    │   ├─ [ ] 系统性风险 GPAI：对抗测试+严重事件 15 日上报+网络安全
    │   ├─ [ ] 高风险系统：风险管理+数据治理+日志记录+人为监督+准确性
    │   ├─ [ ] 合格评定+欧盟合规声明+欧盟数据库注册
    │   ├─ [ ] 透明度义务：AI 交互告知+机器可读标识+深度伪造标注
    │   └─ [ ] 非欧盟提供者：欧盟授权代表任命
    │
    ├─ D. 美国侧合规（最高公约数）
    │   ├─ [ ] 得州 TRAIGA：意图禁止+NIST RMF 对齐+沙盒（如适用）
    │   ├─ [ ] 加州 SB 53：前沿模型透明度报告+事件上报+吹哨人保护
    │   ├─ [ ] 加州 SB 942：显式+隐式双标识
    │   ├─ [ ] 伊利诺伊 SB 315：前沿 AI 框架+年度独立审计+72 小时上报
    │   ├─ [ ] 纽约 RAISE（2027.1.1）：安全保障协议+72 小时上报
    │   ├─ [ ] 科罗拉多 SB 26-189（2027.1.1）：ADMT 告知+30 日解释+人类审查
    │   └─ [ ] 加州 AB 2013：训练数据摘要
    │
    ├─ E. 智能体行为链审计
    │   ├─ [ ] 预部署：资产地图+风险分类+FRIA+数据治理审查
    │   ├─ [ ] 审计踪迹：结构化日志+防篡改+留存策略+可取回性测试
    │   ├─ [ ] 人为监督：干预点+具名覆盖角色+升级路径+熔断测试
    │   ├─ [ ] 访问控制：唯一身份+最小权限+密钥管理+多智能体边界
    │   ├─ [ ] 偏见监测：基线指标+公平性指标+漂移检测+补救流程
    │   └─ [ ] 事件响应：AI 特定故障模式+事后审查+合规审查节奏
    │
    ├─ F. 事件上报与日志
    │   ├─ [ ] 跨法域上报流水线（欧盟 15 日/纽约 72 小时/伊州 72 小时/加州 15 日/中国 24 小时响应）
    │   ├─ [ ] 日志留存（欧盟 6 个月/中国 180 天/金融 7 年/医疗 6 年）
    │   └─ [ ] 区块链存证（智能体重要决策/工具调用/审批网关）
    │
    └─ G. 审计运行机制
        ├─ [ ] 年度内审（ISO 42001 Clause 9.2）
        ├─ [ ] 高风险季度/中低风险半年度审查
        ├─ [ ] 模型重要更新触发重新评估
        ├─ [ ] 季度性全球立法动态复检
        └─ [ ] 审计证据四分类完整（治理文档/系统记录/风险证据/运行证据）

九、简短的结论

⚠️ 必须正视的六点：

1. TC260 安全评估是备案的前置硬条件——《生成式人工智能服务安全基本要求》明确提供者在上线备案申请前应逐条评估并提交证明材料；5% 单一来源违法不良信息红线是语料合规的量化底线
2. ISO 42001 审计最常见失败在 Clause 4-6——AIMS 范围声明常写成 ISO 27001 ISMS 范围的拷贝而非 AI 特定文档；范围排除若无合理论证将触发审计发现
3. 欧盟 2026 年 8 月 2 日是关键审计节点——GPAI 提供者义务的委员会执法权正式激活；高风险系统义务同日全面可执行；非欧盟提供者须任命欧盟授权代表
4. 美国州法"最高公约数"是审计策略核心——联邦预占停滞，州法全部有效；企业须按最严州标准对齐，伊利诺伊 SB 315 的年度独立审计与 72 小时上报是前沿模型开发者的硬性审计项
5. 智能体审计须从"模型审计"升级为"行为链审计"——预部署、审计踪迹、人为监督、访问控制、偏见监测、事件响应六大域缺一不可；多智能体权限边界须防止信任传递升级
6. 审计证据四分类缺一不可——治理文档、AI 系统记录、风险与控制证据、运行证据 ；"纸面治理"和"补造证据"是企业 AI 审计的两大失败模式

💡 给 ASI 企业内部审计的部署优先级建议：

第一优先（立即执行）：建立 ISO 42001 AIMS 管理体系，完成 Clause 4-10 的文档化与 Annex A 38 项控制的 SoA 适用性声明；搭健 AI 资产地图与模型卡片；完成中国双备案与 TC260-003 安全评估闭环；建立欧盟 GPAI 技术文档与训练数据摘要；识别适用的美国州法并按"最高公约数"对齐 NIST AI RMF。

第二优先（2026 年 8 月前）：在欧盟 2026.8.2 执法权激活前完成 GPAI 第五章与高风险系统义务的全面审计证据积累；建立系统性风险 GPAI 的对抗测试与严重事件 15 日上报流水线；完成智能体行为链审计的六域框架部署（预部署/审计踪迹/人为监督/访问控制/偏见监测/事件响应）。

第三优先（2026 Q4-2027）：为 2027 年生效的纽约 RAISE、科罗拉多 SB 26-189 建立专项审计模块；伊利诺伊 SB 315 的年度独立审计与登记披露机制就位（2027.1.1 登记生效、2028.1.1 审计生效）；建立季度性全球立法动态复检机制，跟踪 2000+ 州法案进展。

持续动作：模型重要更新升级后立即触发再次自行组织安全评估（GB/T 45654—2025 第 5.4 条）；年度 ISO 42001 内部审核（审计员独立于被审计区域）；高风险 AI 系统季度合规审查、中低风险半年度审查；全链路日志留存满足欧盟 6 个月/中国 180 天/金融 7 年/医疗 6 年的跨法域要求；严重事件按多法域时限并行上报（欧盟 15 日/纽约 72 小时/伊州 72 小时/加州 15 日/中国 24 小时响应）。