07.13 AI 硬件合规补充：CRA / SBOM / 算法备案 / 数据跨境
治理元数据 ｜ Owner：财经/法务负责人 ｜ 最后评审：2026-10-22 ｜ 下次复核：2027-01-31
核心原则：AI 硬件的合规不是“上市前补一份隐私政策”，而是从产品定义、云服务、模型、数据流到漏洞响应的全链路工程。
一、合规地图
| 产品形态 | 主要适用 |
|---|---|
| 联网但无 AI 生成 | CE-RED 3.3 d/e/f、GDPR、CRA、SBOM |
| 带 AI 生成/对话 | 上述 + EU AI Act 透明度、中国生成式 AI 备案 |
| 带摄像头/麦克风 | 上述 + 隐私、数据最小化、儿童保护 |
| 儿童向 | 上述 + COPPA、年龄验证、家长同意 |
二、EU CRA（网络弹性法案）
- 适用于在欧盟市场投放的含数字元素产品；
- 制造商义务：安全设计、漏洞处理、安全更新、支持期、技术文档；
- 漏洞披露：主动报告被利用漏洞与严重事件；
- 与 EN 18031 的关系：RED 管无线电设备的网络安全基本要求，CRA 管更广的数字产品全生命周期。
具体适用日期与义务以官方文本为准；产品立项时须由法务确认时间表。
三、SBOM（软件物料清单）
最小字段建议：
| 字段 | 说明 |
|---|---|
| 组件名称 | 开源/商业组件 |
| 版本 | 精确版本 |
| 供应商 | 来源 |
| 许可证 | SPDX 标识 |
| 依赖关系 | 直接/传递 |
| 已知漏洞 | CVE 关联 |
要求：随版本更新、可机器读取（SPDX/CycloneDX）、随安全更新留档。
四、中国：算法备案与生成式 AI
| 事项 | 触发 | 交付 |
|---|---|---|
| 算法备案 | 具有舆论属性/社会动员能力的算法 | 备案号、算法说明 |
| 生成式 AI 服务备案 | 面向公众提供生成式 AI 服务 | 备案/登记、安全评估 |
| 数据出境 | 向境外提供个人信息/重要数据 | 安全评估/标准合同/认证 |
具体门槛与流程以网信办/主管部门当期规定为准。
五、数据跨境
- 数据分类分级：个人信息、敏感个人信息、重要数据；
- 最小化：只采集功能必需的数据；
- 境内存储优先；确需出境时选择安全评估/标准合同/认证路径；
- 供应商（云、模型、客服）数据流画清楚；
- 用户同意与撤回机制。
六、漏洞与事件响应
- 建立 PSIRT（产品安全事件响应团队）；
- 披露窗口：接收→评估→修复→披露；
- 监管通报：按 CRA/ GDPR/网信办要求时限；
- 召回/OTA 熔断与 02.07 的灰度机制联动。
七、文档与证据链
- 技术文档（架构、数据流、威胁模型）；
- 风险评估与缓解措施；
- 符合性声明（DoC）；
- SBOM 与漏洞记录；
- 留档年限按法规与公司政策。
八、执行清单（Checklist）
[ ] 产品形态分类与适用法规映射
[ ] CRA 义务与时间表确认
[ ] SBOM 生成流程与字段规范
[ ] 漏洞披露与 PSIRT 流程
[ ] 中国算法/生成式 AI 备案判断
[ ] 数据跨境路径选择与留档
[ ] 供应商数据流梳理
[ ] 技术文档与 DoC 归档
[ ] OTA 安全更新与熔断联动
[ ] 年度合规演练
九、关联文档
免责声明：本篇为内部合规框架，不构成法律意见；具体义务与时间线以官方文本与法务意见为准。
十、CRA 关键日期（复核补充）
| 日期 | 事项 |
|---|---|
| 2024-12-11 | CRA 生效 |
| 2026-09-11 | 漏洞与严重事件报告义务开始适用 |
| 2027-12-11 | 主要产品要求与漏洞处理义务全面适用 |
以上为公开时间线，具体适用以官方文本与法务意见为准。
复核记录（2026-10-22）：本篇为 AI 硬件合规操作框架；CRA 时间线等已对照公开官方信息复核，不构成法律意见，具体适用以法务/官方文本为准。
官方依据（复核用）
- EU CRA（欧委会）：https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
- EU AI Act（EUR-Lex）：https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- 中国网信办（算法/生成式 AI）：https://www.cac.gov.cn