欧盟《通用人工智能行为准则》最终版（GPAI Code of Practice）+ EU AI Act 部署者义务
分级：【摘要即可】（对 Stone 这种部署者/架构师：重点是 provider / deployer 分界 + 部署者自己的义务与审计证据架构，而不是通读 Code 全文；Code 本身是写给模型提供者的）。
原文：欧盟委员会官方新闻页 https://digital-strategy.ec.europa.eu/en/news/general-purpose-ai-code-practice-now-available（Code 全文由此页链接） 一句话：欧盟 AI 法案下通用模型合规的操作化文件：自愿签署、换取合规推定与较低行政负担；三章结构，GPAI 义务 2025 年 8 月 2 日生效。
- 先说法律地位，避免两个常见误解：第一，Code 是自愿工具，不是法律本身；但不签不等于没事——不签的提供者要自证合规，举证负担更重、面临更严 scrutiny（此句为专业解读口径，法案原文为准）。第二，GPAI 义务已于 2025 年 8 月 2 日适用；AI 办公室的 enforcement 对新模型一年后、对已有模型两年后生效。
- Code 的结构是 3 章：Transparency 与 Copyright 面向全部 GPAI 提供者，Safety and Security 仅针对最先进模型的一小部分提供者。签署者可凭遵守 Code 证明合规、获较低行政负担与更高法律确定性。
- 对 Stone 最重要的部分是部署者一侧——而 Code 恰恰不覆盖这一侧，这是多个专业解读一致指出的分界：
- 部署者自己的日志、人工监督与监控、对用户的透明义务不因提供者签了 Code 而消失（条款号待查法案原文）。
- 合规部署的架构长这样：在请求边界上要有身份上下文、提示分类、角色与路由策略，以及防篡改的审计记录——这就是”审计日志与合规证据”的工程形态：不是事后写报告，是每次请求都留下可验证的证据链。
- 两个身份陷阱：第一，微调或实质性修改 GPAI 模型，可能让你从部署者变成提供者，承担提供者级义务；第二，自己托管开源模型时，你同时控制日志、模型版本、推理路径，合规证据的形态变了——你可能同时是提供者和部署者，证据要按两套准备。
- 透明与商业秘密的取舍：保密主张必须有理由、有限度，不能用笼统的”商业秘密”挡全部信息；监管可要求数据样本或溯源审计证据。
- 取舍与边界：这不是法律建议，义务与期限以法案原文为准；Code 未来还会随 AI 办公室的更新而变。对 Stone 的用法是：向企业客户或雇主讲 AI 治理时，能说清”提供者负责什么、我们作为部署者负责什么、证据长什么样”——这正是 AI SA 在企业里要回答的问题。
- 备注（验货诚实标注）：以上仅欧盟委员会官方新闻页证实；最终版日期、”3 章 12 项承诺”计数、Model Documentation Form、提供者义务细节（Annex XI 技术文档、训练数据摘要、版权合规政策与 opt-out、非欧盟提供者指定欧盟代表）、系统性风险阈值、签署方名单、罚款刻度、部署者义务条款号均未在新闻页载，待查 Code 全文与法案原文，本条不写这些数字。