提示：完整原文可在文章末尾"阅读原文"处获取。
随着《欧盟人工智能法案》（AI Act）落地实施，具备系统性风险的通用人工智能（GPAI）模型安全评估，已经成为全球AI合规领域的核心命题。外部第三方评估是核验GPAI模型系统性风险、落实AI Act第55(1)(b)条以及GPAI实践准则的关键抓手，评估机构本身的专业性、中立性，直接决定风险评估结论是否可信。
2026年10月21日，欧盟人工智能办公室（AI Office）正式发布工作坊报告，对外披露GPAI模型外部评估者资质与独立性配套评分方案，明确了评估机构的考核逻辑、评分机制与边界规则，为全球大模型第三方评估制度设计提供了重要参考。
▍ 一、事件背景：从研讨到正式方案发布
早在2026年7月15日，欧盟AI Office组织线上专题工作坊，专门研讨具备系统性风险的GPAI模型外部评估者资质、独立性要求，共有来自19家机构的GPAI模型评估专家参会，围绕评估人准入、利益冲突、考核方式等议题提出反馈意见。
在吸纳与会机构意见、完成内容澄清与调整之后，AI Office于10月21日公开发布本次工作坊的正式报告，推出配套评分体系与评价标准。这套方案的目标，就是建立可落地的打分机制，从专业能力、财务状态、管理架构、运营模式四个维度，核验外部评估主体是否满足独立评估的硬性要求。
▍ 二、方案核心细节解读
（一）谁来打分：AI Office内部技术专家主导评审
本次方案明确，评分工作由欧盟AI Office内部技术专家按需开展，不是由第三方委员会或者外部同行互评。
资质评审遵循分领域差异化评价原则：评估机构的资质不做“一刀切”的统一认证，而是按照GPAI对应的不同系统性风险领域分开评审。一家评估机构，可能在某一类风险场景下具备评估资质，但在另一类风险赛道无法承接评估业务。
（二）透明度设计：标准公开、细则保密、分数不告知机构
这是本次方案非常有特点的制度安排，也是实务中需要重点关注的规则：
1. 评价大类、评价标准对外公开，企业、评估机构可以提前知晓需要满足哪些资质、独立条件；
2. 具体评分细则、分值权重、扣分尺度不予公开；
3. 原则上不会直接向参评评估机构告知最终得分，机构只收到是否满足资质的结论，看不到分项分数。
欧盟AI Office对此的考量是，避免评估机构针对打分规则“应试式合规”，防止机构刻意包装条件去适配评分表，保障评估审查的客观性。
（三）评审两大主线：专业资质 + 独立性
1. 专业资质维度
重点核查机构过往GPAI评估经验，是否具备系统性风险评估能力，包括模型能力测试、红队测试、安全缓解效果验证、黑/白盒分析等项目经验；同时考察团队AI治理、大模型风险研究的积累。
2. 独立性维度（重中之重）
覆盖财务独立、管理独立、运营独立：核查评估机构是否和GPAI模型提供者存在股权、资金、人事、业务绑定关系，排查利益冲突。一旦评估机构受模型厂商管控、存在经济依赖，会直接影响独立评估资格。
（四）方案效力边界：非穷尽清单，动态迭代
报告着重提示，本次出台的这套评价标准不属于穷尽式、永久固化清单，仅代表欧盟AI Office现阶段的监管立场。后续会随着大模型评估技术、行业实践、风险形态的持续变化，动态调整评价规则。这意味着GPAI评估合规要求会长期处于更新状态，企业与评估机构需要持续跟进修订动向。
1.出海欧盟的GPAI厂商：提前筛选合规评估服务商
后续开展欧盟境内GPAI系统性风险评估，需要优先核验评估机构是否通过AI Office这套独立评分机制。不能仅看机构宣传的技术能力，重点核查对方财务、管理层面和本企业之间有没有利益关联，避免评估结论不被欧盟监管采信。
2.国内第三方AI评测机构布局欧盟业务：理解评审逻辑
想要承接欧盟GPAI外部评估业务，不能只准备技术材料，需要搭建隔离的财务、内控、利益冲突申报制度；同时要接受“只给结论、不给分数”的评审模式，没有申诉分数明细的渠道。
3.合规预期管理：规则持续可变
该方案不是成文法规，属于AI Office的实操指引，后续随时调整。出海AI企业的合规体系不能一次性固化，需要建立常态化跟踪机制。
欧盟这套GPAI外部评估者评分方案，补齐了AI Act落地链条上的关键一环：在要求大模型做风险评估之外，监管进一步把“监管的眼睛”投向评估本身，用评分机制约束第三方机构的中立性，解决“谁来监督评估者”的问题。
这套思路也为我国大模型安全评估、第三方测评监管提供域外参考。对于布局欧洲市场的通用大模型企业而言，后续在选择外部评估服务商、规划合规路线时，这套评分框架是不可忽视的监管风向标。
马军
业务领域：人工智能与数据合规、竞争法、企业出海；
扫描二维码
了解作者详情
