交付模板库
把"要做合规"变成一份可以今天开始填的文档
23 套模板，每套都标明写什么、附哪些证据、对应哪条法规义务或标准、评审人常在哪里扣分。免注册即可下载 Markdown 骨架。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。
影响评估4
GDPR 数据保护影响评估（DPIA）——面向 AI 训练与推理场景
在启动一项"可能对自然人权利与自由造成高风险"的处理活动之前完成评估并留档，用于满足 GDPR 第 35 条，并在监管问询、客户尽调或第 36 条事前咨询时作为第一份被调阅的文件。AI 场景下它同时承担另一个作用：把"模型训练用了哪些个人数据、凭什么合法、怎么让数据主体行使权利"这三个最常被追问的问题一次性说清。
欧盟人工智能法案 第 27 条 基本权利影响评估（FRIA）
由高风险 AI 系统的**部署者**在首次使用前完成，评估该系统的使用可能对基本权利产生的影响，并将结果通知市场监管机关。中国企业最常在两种身份下需要它：一是自己在欧盟设有实体并在内部使用第三方高风险系统（此时你是部署者）；二是客户是受第 27 条约束的主体，会把 FRIA 所需的输入项作为采购前置条件层层传导给你。本模板按第 27(1) 条 (a)–(f) 六项要素逐项展开，并补上适用性判定、与 DPIA 的衔接、通知与更新四章。
个人信息保护影响评估报告（PIPIA）
依《个人信息保护法》第五十五条在五类情形下事前开展、并按第五十六条载明规定内容的评估报告，与处理情况记录一并至少保存三年。对 AI 企业而言，它同时是三件事的共同底稿：模型训练使用敏感个人信息的合规论证、推荐与风控构成自动化决策的合规论证、以及调用境外模型 API 构成出境的合规论证。方法学上可参照推荐性国家标准 GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》，但报告内容以第五十六条的三项法定要素为骨架。
技术文档4
欧盟人工智能法案 附件 IV 高风险 AI 系统技术文档
依第 11(1) 条与附件 IV 编制并在系统投放市场前保持最新的技术文档，是合格评定（第 43 条）、欧盟符合性声明（第 47 条）与 CE 标识的前提，也是市场监管机关依第 74(12) 条调阅的第一份材料。文档结构直接照抄附件 IV 的九个条目，评审人会按条目核对，缺项即为形式不合格。注意第 11(1) 条第二段已被条例 (EU) 2026/1744（AI Omnibus）第 1(10) 条替换，新增了对中小企业的简化路径：中小企业（含初创企业）与中型企业可以以简化方式提供附件 IV 所列要素，为此委员会应当制定面向其需求的简化技术文档表格；选择以简化方式提供的，应当使用该表格，且公告机构应当在合格评定中接受该表格。中国出海企业多数落在这一档，但截至本版语料复核日该简化表格是否已发布须自行向人工智能办公室或公告机构确认——在确认之前，按附件 IV 完整条目准备内容，不要按传闻的简化格式裁剪。
通用人工智能模型训练内容公开摘要（欧盟官方模板）
依欧盟人工智能法案第 53(1)(d) 条，所有向欧盟市场投放通用人工智能模型的提供者都必须编制并公开一份"充分详细"的训练内容摘要，且必须按人工智能办公室提供的模板编制——包括以自由与开源许可发布的模型（第 53(2) 条的开源豁免不适用于本项义务）。本模板按官方模板的章节编号（1.1–1.3、2.1–2.6、3.1–3.3）一一对应，使企业可以直接对照填写，并在每一节标出容易被权利人与监管追问的地方。
模型卡（Model Card）
一份面向下游集成方、企业客户与内部治理的模型说明文档。它不是任何一部法律直接要求的文件，但它是同时服务多处法定义务的最经济载体：欧盟人工智能法案附件 XII（第 53(1)(b) 条，向将模型集成进其 AI 系统的下游提供者提供的透明度信息）、附件 XI（第 53(1)(a) 条技术文档）的对外可披露部分、第 13 条面向部署者的使用说明、以及第 50 条透明度义务的技术支撑。写好一份模型卡还能显著缩短欧盟与新加坡、日本等市场的客户安全问卷周期。方法学上可参照 ISO/IEC 42001 人工智能管理体系、ISO/IEC 23894 人工智能风险管理与 NIST 人工智能风险管理框架，但这些均为自愿性框架，不产生符合性推定。
数据卡（Data Card）——训练、验证与测试数据集说明书
按数据集逐份编制的说明书，用于回答"这份数据从哪来、能不能用、里面有什么、怎么处理过、有什么偏差"。它直接服务四处义务：欧盟人工智能法案附件 IV 第 2(d) 项要求以数据表（datasheet）形式描述训练方法与技术及所用训练数据集；第 10 条高风险系统的数据治理要求；第 53(1)(d) 条训练内容公开摘要的底稿；以及中国《生成式人工智能服务管理暂行办法》第七条、第八条对训练数据合法来源与标注治理的要求。一份写得好的数据卡可以同时喂给 DPIA、PIPIA、备案材料与客户尽调，是本组模板里复用率最高的一份。
出境/传输评估2
传输影响评估（TIA）——配合欧盟标准合同条款第 14 条
在依 GDPR 第五章第 46 条工具（尤其是 (EU) 2021/914 标准合同条款）向第三国传输个人数据前完成的评估，用于支撑第 14(a) 条的保证并满足第 14(d) 条"双方同意记录该评估并在监管机关要求时提供"的义务。对把欧盟个人数据传回中国、或由中国团队远程访问欧盟数据的企业，这是欧盟客户尽调中几乎必查的一份文件；写得含糊会直接拖慢交易，写得扎实则可以复用于多个客户。文档结构按 SCC 第 14(b) 条三项要素与 EDPB 建议 01/2020 的六步法交叉组织。
数据出境风险自评估报告（按网信办申报指南模板）
依《数据出境安全评估办法》第五条，数据处理者在申报数据出境安全评估前应当自行开展数据出境风险自评估；自评估报告是《数据出境安全评估申报指南》所列申报材料之一（第 7 项），也是被约谈、检查或后续复评时第一份被调阅的文件。申报指南附件 4 给出了报告模板的四章结构，本模板在此基础上前置门槛判定、后置再评估触发，便于企业从"要不要申报"一路写到"什么情况下要重新申报"。**使用前提：本模板的章节结构取自本轮实际下载到的《数据出境安全评估申报指南（第一版）》（2022-08-31）附件 4；网信办《数据出境安全管理政策法规问答（2026 年 7 月）》已援引《申报指南（第三版）》，而第三版正文本轮未取得。因此本模板可用于组织材料与自查，递交前须向所在地省级网信部门确认现行版本的表格与要求；申报门槛一律以 2024 年《促进和规范数据跨境流动规定》为准，不得沿用第一版指南所述旧门槛。**
备案/申报材料2
生成式人工智能服务备案与算法备案材料清单（含安全评估报告）
面向国内提供生成式人工智能服务或算法推荐服务的企业，把"要不要备案、备什么、什么时候备、备完还要做什么"一次理清。法条路径为：《生成式人工智能服务管理暂行办法》第十七条规定，提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展安全评估，并按照《互联网信息服务算法推荐管理规定》履行算法备案和变更、注销备案手续；《互联网信息服务算法推荐管理规定》第二十四条规定备案时限与填报项；《人工智能生成合成内容标识办法》第十二条要求在履行备案、安全评估等手续时提供标识相关材料。安全评估报告的内容以《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》第五条、第六条为骨架。
治理记录3
AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）
一份"平时维护、出事即用"的文档：平时是 AI 事件台账，事发时是各条报告义务的底稿。它要同时满足几套时限完全不同的报告制度——欧盟人工智能法案第 73 条严重事件报告（15 日 / 10 日 / 2 日三档）、GDPR 第 33 条个人数据泄露 72 小时通报与第 34 条数据主体告知、中国《网络数据安全管理条例》第十条涉及危害国家安全公共利益的 24 小时报告、《网络安全法》第二十七条应急预案与报告、以及《生成式人工智能服务管理暂行办法》第十四条的违法内容处置与报告。时限最短的那一条决定了整个流程的设计：事发时没有时间从零起草，唯一可行的做法是事前把判定标准、报告模板与联系人准备好。
SOC 2 Type II 就绪清单（信托服务准则）
把"拿到一份客户愿意接收的 SOC 2 Type II 报告"拆成可排期的准备工作：范围与准则类别怎么定、体系说明书怎么写、控制矩阵怎么建、覆盖期间内的证据怎么持续产生、事务所怎么选、例外事项怎么处理、报告拿到后怎么维护。适用于把北美企业客户作为主要市场、被合同要求每年提供覆盖过去十二个月的 Type II 报告的中国厂商。
披露报告4
ISSB（IFRS S1 / S2）可持续相关财务披露报告大纲
把 IFRS S1 与 IFRS S2 的四要素结构（治理、战略、风险管理、指标与目标）落成一份可以直接开始填的报告骨架，使一次编制的内容能同时满足香港联交所附录 C2 第 D 部分、境内交易所可持续发展报告指南与海外客户/投资人问卷，避免同一套数据被三套口径反复重整。
温室气体清单编制工作底稿（GHG Protocol 范围一 / 二 / 三）
把《温室气体核算体系》的核算要求拆成一套可以交给财务或 EHS 同事直接填的底稿结构：边界怎么划、活动数据从哪来、因子怎么选、算式怎么留痕、口径变了怎么重算。这套底稿既是对外披露（ISSB / 附录 C2 / 交易所指南 / 客户问卷）的数据源，也是将来接受有限保证时审计师要调阅的第一份材料。
香港联交所 ESG 报告目录（上市规则附录 C2，含第 D 部分气候披露）
为已在港上市或拟在港上市的企业提供一份与附录 C2 结构逐节对应的报告目录：B 部分强制披露、C 部分"不遵守就解释"的环境 A1—A4 与社会 B1—B8、D 部分气候相关披露。目录同时标注了哪些是强制项、哪些可"解释"、以及哪些在 2025-01-01 起的版本中已被废止，避免沿用旧模板产出含废止指标的报告。
问卷应答3
客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）
把每次销售都要重答一遍的安全与隐私问卷变成一份可复用、可审计、可版本管理的内部答案库：按云控制矩阵（CCM）的域分组，每组给出"我方该怎么答"的骨架、需要挂接的证据、以及最常被采购方追问的点。目标是把单次问卷的响应时间从数周压到数天，同时保证每一条答案都能被证据支撑 —— 答案库不是话术库，写不出证据的答案不能进库。
招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）
把投标时被反复索要的合规材料整理成一个可快速组包的标准件库：资格与排除事由声明、财务与技术能力证明、管理体系与环境管理证书、数据保护与安全附件、AI 相关声明、分包与依赖其他主体的安排、以及可持续与社会责任承诺。目标是让一次投标的合规部分从"全公司翻箱倒柜"变成"按清单取件、按客户裁剪"。