治理即代码：将 EU AI Act 技术要求转为生成式 AI 可执行合规流水线

一篇 arXiv 论文提出 Governance-as-Code（GaC）框架，针对 EU AI Act（Regulation 2024/1689）第 8-15 条在生成式 AI 上留下的七个技术空白，给出 43 条机器可校验验收标准，分属六个合规模块，可嵌入 CI/CD 流水线并输出按条款索引的审计证据。论文公开了实际 Rego 策略代码，将“适当水平”“可能偏见”等开放表述转为可声明、可审计的数字，并在两个企业部署场景中与人工专家审计做基准对比。

此前 EU AI Act 第 8-15 条主要面向预测式 AI 起草，生成式系统在数据治理、训练数据溯源、持续符合性、人类监督、鲁棒性、涌现风险和公平性上缺乏可执行判定依据。该工作把合规从文档审阅推进到流水线内自动校验，并明确上游 provider 与下游 deployer 的责任边界，降低了对不存在样本文档的追责。

GaC 把法规中的开放标准转译为带阈值的可检查断言：鲁棒性阈值来自提供方记录的基线与行业最先进下限，框架偏见被拆成八个可测代理指标，用反事实人口学探测检验；策略以 Rego 代码形式在 CI/CD 中运行，输出按条款编号索引的证据。依据第 25 条与第五章，下游部署方只需核验上游第 53 条训练数据摘要，而非逐样本文档，因此 GaC 校验摘要本身。

对合规与研发团队，合规检查可前置到代码提交与发布阶段，减少上线前人工审计的等待与返工；审计证据自动按条款归档，便于回应监管问询。对上游模型提供方，需产出可被机器读取的训练数据摘要；对下游应用方，需在自身可控层级内配置策略，产品迭代节奏可能与合规门禁耦合。

• 在 CI/CD 工具链中提供 GaC 策略模板市场，按 EU AI Act 条款打包可复用 Rego 规则
• 为上游模型提供方开发训练数据摘要的结构化生成与校验服务，供下游自动核验
• 面向高风险生成式应用提供“合规门禁”SaaS，输出按条款索引的审计报告
• 基于论文的八个公平性代理指标，构建反事实人口学探测的测试组件

• 论文所称两个企业部署的具体行业、模型规模与流水线环境未被证据说明
• GaC 能否覆盖 EU AI Act 第 8-15 条之外的条款，证据未给出
• 与人工专家审计的基准对比结果，证据在摘要处被截断，未显示完整数据
• Rego 策略在模型或法规更新后的维护成本与更新机制，证据未涉及