07.13 AI 硬件合规补充：CRA / SBOM / 算法备案 / 数据跨境
治理元数据 ｜ Owner：财经/法务负责人 ｜ 最后评审：2026-10-22 ｜ 下次复核：2027-01-31
核心原则：AI 硬件的合规不是“上市前补一份隐私政策”，而是从产品定义、云服务、模型、数据流到漏洞响应的全链路工程。
一、合规地图
| 产品形态 | 主要适用 |
|---|---|
| 联网但无 AI 生成 | CE-RED 3.3 d/e/f、GDPR、CRA、SBOM |
| 带 AI 生成/对话 | 上述 + EU AI Act 透明度、中国生成式 AI 备案 |
| 带摄像头/麦克风 | 上述 + 隐私、数据最小化、儿童保护 |
| 儿童向 | 上述 + COPPA、年龄验证、家长同意 |
二、EU CRA（网络弹性法案）
- 适用于在欧盟市场投放的含数字元素产品；
- 制造商义务：安全设计、漏洞处理、安全更新、支持期、技术文档；
- 漏洞披露：主动报告被利用漏洞与严重事件；报告义务自 2026-09-11 起适用（见 §十一）；
- 报告时限（CRA Regulation (EU) 2024/2847 第 14 条）：制造商知晓被利用漏洞或严重事件后，早期预警 24 小时内、完整通报 72 小时内、最终报告在修复措施可用后 14 天内提交（严重事件为通报后 1 个月内）；
- 安全更新支持期（CRA）：原则上不少于 5 年（预期使用不足 5 年的产品除外）；支持期须写入产品技术文档与销售说明，不得留空。
- 违规罚则（CRA）：违反报告与支持期等核心义务，最高罚 1,500 万欧元或全球年营业额 2.5% 取高者。
- 与 EN 18031 的关系：RED 管无线电设备的网络安全基本要求，CRA 管更广的数字产品全生命周期。
具体适用日期与义务以官方文本为准；产品立项时须由法务确认时间表。
三、SBOM（软件物料清单）
最小字段建议：
| 字段 | 说明 |
|---|---|
| 组件名称 | 开源/商业组件 |
| 版本 | 精确版本 |
| 供应商 | 来源 |
| 许可证 | SPDX 标识 |
| 依赖关系 | 直接/传递 |
| 已知漏洞 | CVE 关联 |
要求：随版本更新、可机器读取（SPDX/CycloneDX）、随安全更新留档。
四、中国：算法备案与生成式 AI
| 事项 | 触发 | 交付 |
|---|---|---|
| 算法备案 | 具有舆论属性/社会动员能力的算法 | 备案号、算法说明 |
| 生成式 AI 服务备案 | 面向公众提供生成式 AI 服务 | 备案/登记、安全评估 |
| 数据出境 | 向境外提供个人信息/重要数据 | 安全评估/标准合同/认证 |
具体门槛与流程以网信办/主管部门当期规定为准。
备案材料清单（2026-11-11 新增）
| 材料 | 来源 | 状态 |
|---|---|---|
| 算法说明（目的、机制、数据来源） | §四算法备案交付项 | 按主管部门当期要求准备 |
| 备案号 | §四算法备案交付项 | 取得后填入 |
| 安全评估报告（生成式 AI 服务） | §四生成式 AI 服务备案交付项 | 按主管部门当期要求准备 |
| 数据出境合规文件（安全评估 / 标准合同 / 认证三选一） | §四数据出境交付项 + §五 | 路径见 §五决策树 |
| 备案触发判定记录（是否具舆论属性/社会动员能力、是否面向公众） | §四触发列 | 判定须法务书面确认，判定依据 [待核实：以网信办当期规定为准] |
五、数据跨境
- 数据分类分级：个人信息、敏感个人信息、重要数据；
- 最小化：只采集功能必需的数据；
- 境内存储优先；确需出境时选择安全评估/标准合同/认证路径；
- 供应商（云、模型、客服）数据流画清楚；
- 用户同意与撤回机制。
数据跨境决策树（2026-11-11 新增）：
是否向境外提供个人信息 / 重要数据？
├─ 否 → 境内存储，不触发出境合规
└─ 是 → 是否触发安全评估门槛？[待核实：门槛以网信办当期规定为准，须法务书面确认]
├─ 是 → 安全评估路径（申报 + 评估通过后方可出境）
├─ 否 → 标准合同路径（订立标准合同 + 备案）或认证路径（二选一）
└─ 不确定 → 一律按须评估处理，不得先出境后补手续供应商（云、模型、客服）数据流须画清后方可选路径；路径选择与留档见 §八 Checklist。
六、漏洞与事件响应
- 建立 PSIRT（产品安全事件响应团队）；
- 披露窗口：接收→评估→修复→披露；
- 监管通报：按 CRA/ GDPR/网信办要求时限；
- 召回/OTA 熔断与 02.07 的灰度机制联动。
七、文档与证据链
- 技术文档（架构、数据流、威胁模型）；
- 风险评估与缓解措施；
- 符合性声明（DoC）；
- SBOM 与漏洞记录；
- 留档年限按法规与公司政策。
八、执行清单（Checklist）
[ ] 产品形态分类与适用法规映射
[ ] CRA 义务与时间表确认
[ ] SBOM 生成流程与字段规范
[ ] 漏洞披露与 PSIRT 流程
[ ] 中国算法/生成式 AI 备案判断
[ ] 数据跨境路径选择与留档
[ ] 供应商数据流梳理
[ ] 技术文档与 DoC 归档
[ ] OTA 安全更新与熔断联动
[ ] 年度合规演练
九、关联文档
免责声明：本篇为内部合规框架，不构成法律意见；具体义务与时间线以官方文本与法务意见为准。
十、GR 挂钩（2026-11-11 新增）
| 门禁 | 本篇输入 | 未通过处置 |
|---|---|---|
| GR1 | 产品形态分类与适用法规映射（§一）、CRA 义务与时间表确认（§二、§十一） | 映射缺失或时间表未确认 → 有条件通过，限期补齐 |
| GR2 | SBOM 生成流程与字段规范（§三）、中国算法/生成式 AI 备案判断（§四）、数据跨境路径选择（§五） | 备案判断未做或 SBOM 流程未建 → 不得进入开模锁单 |
| GR3 | 技术文档与 DoC 归档（§七）、SBOM 随版本更新（§三）、漏洞披露与 PSIRT 流程（§六） | DoC 或 SBOM 缺失 → 不得发货 |
| GR4 | 漏洞与事件响应实测（§六）、年度合规演练（§八） | 演练未做或响应超时 → 限期整改并复盘 |
GR 挂钩的时限与义务均以官方文本与法务意见为准；本表只定挂钩关系，不定法条数值。
十一、CRA 关键日期（复核补充）
| 日期 | 事项 |
|---|---|
| 2024-12-11 | CRA 生效 |
| 2026-09-11 | 漏洞与严重事件报告义务开始适用 |
| 2027-12-11 | 主要产品要求与漏洞处理义务全面适用 |
以上为公开时间线，具体适用以官方文本与法务意见为准。
复核记录（2026-10-22）：本篇为 AI 硬件合规操作框架；CRA 时间线等已对照公开官方信息复核，不构成法律意见，具体适用以法务/官方文本为准。
十二、漏洞报告与安全更新执行清单（待法务确认，2026-11-11 新增）
本节为执行清单与责任分工，法条数值见 §二（CRA Regulation (EU) 2024/2847 第 14 条）：早期预警 24 小时、完整通报 72 小时、最终报告在修复措施可用后 14 天内（严重事件为通报后 1 个月内），支持期原则上不少于 5 年；对外承诺前仍须法务确认。
漏洞报告执行清单：
[ ] PSIRT 接到漏洞报告后立即登记（报告来源、发现时间、影响版本、复现步骤），登记时点即报告时钟起点，起点为制造商知晓被利用漏洞或严重事件之时（CRA 第 14 条，见 §二）。
[ ] 评估是否属于“被利用漏洞”或“严重事件”：是则按 CRA 报告义务上报，按 §二时限报告（早期预警 24 小时、完整通报 72 小时、最终报告在修复措施可用后 14 天内，严重事件为通报后 1 个月内）；否仍按内部漏洞处理流程修复并留档。
[ ] 上报后按监管反馈补材料，最终报告按 §二时限提交；上报记录与监管回执归档至 §七技术文档。
[ ] 漏洞修复与 OTA 推送联动 02.07 灰度机制：修复补丁先灰度后全量，熔断阈值以 02.07 §五.1 为准（失败率大于 0.2% 熔断）。
安全更新支持期执行清单：
[ ] 产品立项（GR1）即定支持期年限，支持期原则上不少于 5 年（预期使用不足 5 年的产品除外），写入产品技术文档与销售说明，不得留空（见 §二）。
[ ] 支持期内安全更新免费推送，更新内容、版本与推送范围每次留档（SBOM 随版本更新，见 §三）。
[ ] 支持期届满前 90 天书面告知用户（告知渠道与文案由法务确认），届满后停止安全更新的，同步停止对应功能的安全承诺表述。
[ ] 支持期变更（延长或缩短）须经法务确认并更新全部销售说明，禁止静默缩短。
备案判定检查表（复用 §四清单）：
[ ] 是否具舆论属性或社会动员能力（算法备案触发判定，判定须法务书面确认，判定依据 [待核实：以网信办当期规定为准]）。
[ ] 是否面向公众提供生成式 AI 服务（生成式 AI 服务备案触发判定，同上）。
[ ] 备案号、安全评估报告、数据出境合规文件是否齐全（材料清单见 §四）。
官方依据（复核用）
- EU CRA（欧委会）：https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
- EU AI Act（EUR-Lex）：https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- 中国网信办（算法/生成式 AI）：https://www.cac.gov.cn