来源：《中外法学》2026年第5期

摘要：人工智能的立法与规制业已成为学界和实务界关切的焦点议题，欧盟《人工智能法》作为全球首部相关立法采取了基于标准的规制模式。此模式有利于产业同政府以合作规制的方式既促进创新与技术发展，又为规制再发展提供广阔空间。其弊端则在于法律实施多由标准来落实，标准制定因主体、程序等因素而易滋生更多的不确定性，为规制人工智能研发、部署带来新的挑战，更可能因为欧洲标准的扩张而使其他国家在人工智能领域的竞争力有所下降。中国在实施基于标准的人工智能规制模式时，需要在规制层面上优化标准体系，于程序、透明、参与、协调与共识形成等方面着力并形成私行政法的理念，真正达致产业与政府的合作规制，切实提升中国人工智能标准的国际影响力。

关键词：人工智能 ；标准化；基本权利；合作规制；私行政法

一、问题的提出  

人工智能技术日新月异，人们愈加意识到需要制定法律框架，使其能够以有道德、可持续和对社会负责的方式运行。在此背景之下，各国和地区渐次开启了人工智能立法的事项，最具代表性的当属欧盟率先批准的《人工智能法》。中国学界主张欧盟《人工智能法》所采取的风险规制模式值得借鉴，并公布学者立法建议稿。然而，精研欧盟立法及相关资料，可以察知在立法与规制过程中，“标准”的作用不遑多让。无论是人工智能的概念与技术指标的界定，抑或法律实施效果与能力建设，皆需仰赖标准化组织制定的规则。而且，欧盟要求对合规人工智能系统加贴“CE”标志，意味着“让消费者、生产商和其他司法管辖区相信欧洲产品的可信度，并以此进一步推进附着在商品输出上的标准竞争”。面对此种新的布鲁塞尔效应，中国如何应对欧盟基于标准的规制模式及其所滋生的新兴挑战，如何提升中国人工智能规制的效能，均值得深思长计。国内既有文献虽然强调标准对人工智能发展的重要性，亦揭橥中国亟需形成多元主体的治理合力，但中国标准化体制仍然存在完善的空间，面对人工智能技术高速发展，是否能够全面回应值得省思。同时，人工智能标准需要面对社会伦理和法律价值的选择，改进标准化体制，使之与法律充分衔接且切实得以实施，至关重要。为此，有必要从法治视角探讨标准制定中的合法性、多元主体合作规制的问责机制以及标准如何与法律衔接、公私合作理论再发展的议题。此类追问构成本文的问题意识，希冀讨论对中国人工智能立法、规制实践及学理探究皆有所裨益。

二、基于标准的人工智能规制模式的兴起与运行

人工智能等新兴科技拔节而生，导致学理研究均断定规制步调难以与之同频共振，立法或传统命令控制型规制难以发挥作用，于是合作规制及人工智能标准成为重要的工具。国际层面，典型如国际标准化组织（International Organization for Standardization, ISO）与国际电工委员会（International Electrotechnical Commission, IEC）共同成立的第一联合技术委员会下设的人工智能分技术委员会、电气和电子工程师协会（Institute of Electrical and Electronics Engineers, IEEE）等，均倡导依靠标准规制人工智能。各国国内标准化组织毫无二致，如美国国家标准与技术研究院（National Institute of Standards and Technology, NIST）于2019年发布联邦机构参与制定人工智能标准的计划，推进人工智能标准创新。中国于2020年颁布《国家新一代人工智能标准体系建设指南》，后陆续颁布《国家人工智能产业综合标准化体系建设指南（2024年版）》《国家数据标准体系建设指南》等一系列文件，在重视标准制定的同时初步形成了人工智能标准规制的多元合作格局。2024年5月，欧盟《人工智能法》的颁布，意在实现数字市场整合、促进技术创新和保障基本权利的多重立法目标。该法为人工智能规制确立了基于风险的框架，即在欧洲开发和使用人工智能系统，应根据其风险类别为人工智能应用提供差异化的规制制度。更为重要的是，该法将法律基本要求的细化委托给欧洲标准化委员会（European Committee for Standardization, CEN）、欧洲电工标准化委员会（European Committee for Electrotechnical Standardization, CENELEC）等标准化组织制定的“协调标准”来完成。此种方法瑕瑜互见，益处在于既提供开发新技术所需的制度基础以及以可控方式开发、部署、应用的全部流程，又适应人工智能技术发展相对快速、动态性特征，将细节交由协调标准落实。弊端在于标准化组织对基本权利保护考量未必周延，须重新省思标准与法律的衔接等挑战。

（一）基于标准的人工智能规制模式的崛起

新兴技术的复杂性与迭代性使人工智能规制面临着诸多困难。即便如此，近年来，欧盟在其密集的数字立法之中，亦颁行了多份涉及人工智能的条例、指令、决议等，逐渐改变了传统多以伦理规范人工智能的取向，试图达成激励与规制并举的局面。同时，欧盟立法者意识到技术进步永无止境，欲使风险规制理念落于实处、力求实现在人工智能领域的全球领先地位，就必须既凭藉立法先发优势又借助市场机制，保持各方主体同心戮力。于是，欧盟便聚焦标准制定，以期达成市场、技术、规制之间的协同。这一思路事实上与现代规制的内涵不谋而合，虽然欧洲协调标准系自愿性质，但它们在确保产品安全与合规性层面的作用大有可观，且由于相关产业行业直接参与标准制定，有效弥补了公共资源的有限性，此种方法堪称合作规制的典范。基于标准的人工智能规制模式展现了公共机关与市场主体之间的密切合作，通过区分基本要求和技术规范，欧盟以一种灵活有效的方法来确保欧盟产品安全和合规性。公共机关认可按照协调标准制造的产品应被推定为符合法律要求的做法，以此缓和规制与发展间的张力。欧盟《人工智能法》的立法思路与其先前使用的基于“新方法”和“新立法框架”对产品、服务进行有效规制的理念一致。“新方法”主要是对协调标准的治理机制的称谓，原则上欧盟法律仅规定基本安全要求，具体的细化措施则由协调标准设定。自1985年启动“新方法”以来，制定详细的规范要求任务被委托给了欧洲标准化组织，如CEN、CENELEC和欧洲电信标准化协会（European Telecommunications Standards Institute, ETSI）。它们制定的标准系自愿实施，但在确保安全和合规性方面成就斐然。“新立法框架”系指自2008年以来对产品与服务进行规制的治理机制。“新立法框架”系对“新方法”的强化，引入一系列措施以改善市场监督，如加强合格评定体系及合格评定机构的认可，明确各运营商的作用与责任。新方法与新立法框架增强了CE标志的可信度，实现欧盟政策目标并提升了欧盟立法的一致性与连贯性。

人工智能规制的难题正在于要对法律与科技发展的步调加以平衡，理想的态势是企业、行业自我规制，而立法则重点关注公共安全、消费者保护等问题。如欧盟《人工智能法》第9条规定高风险人工智能系统必须采取适当的“风险管理措施”，以便“每种风险相关的剩余风险以及高风险人工智能系统的总体剩余风险被判定为可以接受”。第8条第1款规定这一判断应当是在考虑“人工智能和人工智能相关技术的普遍公认技术现状”的情形下作出。基于这些法律要求，标准制定的内容包括：说明“可接受”意味着什么，对谁而言是可接受的；详细阐明如何对剩余风险的可接受性作出判断；说明当前技术水平对于是否以及何时通过利益相关者磋商过程来确定风险可接受，并设计利益相关者的咨询程序；详细说明适用于在特定情况下估算剩余风险的技术；列出特定风险、危害或应为该领域专家所熟知的注意事项的清单等。由此可见，标准兼具技术性、可通约性与社会性特征，能够有效地创建、演绎和引导人工智能技术的有序发展。规制机关凭借标准使人工智能符合价值与伦理要求，有助于评估、认证人工智能，进而构建产品追溯与责任制度。基于标准的人工智能模式大行其道，与之相随的是，人工智能标准制定亦成为各国技术与产业竞争的战略要地。与欧盟类似，世界其他发达国家与地区希冀成为人工智能强国和全球标准构建者。作为人工智能发展的大国，中国高度关注人工智能标准的建构并结合诸多领域制定了大量的标准。如于2018年1月成立了国家人工智能标准化总体组，提出了多项近期亟须研制的基础和关键标准。立法方面，《网络安全法》《数据安全法》《个人信息保护法》皆存在要求制定或依据标准展开规制的规范。在自动驾驶、智慧医疗、智慧城市等重大应用场景，法律规范无法规定详细的技术性内容时，制定标准势在必行。同时，通过人工智能标准制定及其实施，为人工智能立法与规制奠定基础、积累经验的方法业已成为共识。根据相关数据，截至目前，中国已发布30项人工智能国家标准，另有84项标准正在制定中。国家希冀人工智能标准制定及实施，既规范人工智能的健康发展，又提升公众信任与全球竞争力。

（二）基于标准的人工智能规制模式的特征

人工智能嵌入法治理念是现代化进程中技术理性与价值判断相结合的产物，同样，人工智能规制模式亦是技术与法治的互动结果。而标准则能够协同研发者、管理者、应用者之间在技术、法律方面的认知与沟通，将共识嵌入人工智能发展之中。例如对术语的界定，标准可以确保人工智能所应具有的安全性、鲁棒性、可用性等特征。相对而言，人工智能技术更新较快，法律难以满足人工智能领域的现实需要，标准的灵活性特征可以为人工智能演进供给规范依据、价值导引。如IEEE制定了P7001《自主系统的透明度》、P7002《数据隐私处理》、P7003《算法偏差注意事项》等，在法律规范付之阙如的情形下，于全球治理层面发挥了不可估量的功效。虽然欧盟《人工智能法》对待人工智能技术的发展颇有“强规制”的特质，但事实上在法律实施层面仍以“促进”“激励”为主，希冀通过基于标准的规制模式整体推进欧盟人工智能市场生成及欧盟话语权向全球持续拓展。首先，欧盟一如故旧地采行了集中式的立法与规制策略，这与其一贯秉持的构建统一市场的理念有关。其次，为减省立法成本，将更为实质和具体的工作交由标准化组织细化整备。当然，专门领域的规制机关、法院等组织仍将发挥各自的功能。再次，基于标准的规制模式与基于风险的规制理念之间具有高度的关联性，后者根据人工智能系统对个人健康、安全或者基本权利的影响将其设定为四类风险级别，为欧盟人工智能市场确立了“可信度”框架；前者则进一步分解、补强风险规制的科学性，为市场的创新与变革给予持续性的动力。总之，基于风险的规制可以通过确定优先事项和目标使管理更为合理，但内容过于宽泛抽象。故而，标准将成为实施立法的关键性工具，有助于确保人工智能系统安全可信目标的实现。

对欧盟《人工智能法》的研究中，学者揭示其过于倚重企业自治，规制的有效性存在疑问。从实践层面观察，法律确实在规制数据使用、人工智能应用层面存在一定局限，但依赖标准同样应意识到该机制的缺陷，如此方可从整体上推进人工智能规制的效果。近十余年来，欧盟一直在为标准达致法律的基本要求而改进相关机制。如2012年欧盟理事会正式通过《关于标准化的第1025/2012号条例》。这一法规确立了欧洲标准化组织、国家标准化组织、成员国以及欧盟委员会之间的合作规则，明确了支撑欧盟法规和政策的产品、服务欧洲标准以及自标准制定计划的产生、标准化委托书的发出和接受、相关的经费资助、标准文本与标准化委托书的符合程度评估直至标准正式发布的全过程的要求。在欧洲区域层面，这一规定要求欧洲标准化组织应鼓励和促进中小企业、消费者组织和环境与社会利益相关方在内的所有利益相关方有效参与标准化活动。2021年2月，CEN、CENELEC发布《欧洲标准化战略2030》，提出要制定人工智能领域的先进创新标准。同年4月，欧盟委员会联合研究中心发布《人工智能标准化格局——进展情况与人工智能规制框架提案的关系》，强调通过制定国际标准、欧洲标准支撑人工智能规制。2022年以来，欧盟对《关于标准化的第1025/2012号条例》展开多次评估，拟通过修订吸纳世界贸易组织的诸多标准化原则，如开放性、共识、自愿应用、独立于特殊利益以及效率等内容。欧洲标准化组织亦对修订建议作出积极回应，表示要加快标准化进程，并保持开放、透明、共识和包容的价值观。根据该条例第10条规定，协调标准生成的四个主要步骤为：委员会发布标准化要求，欧洲标准化组织接受和执行请求以及对欧洲标准化组织文件评估、采用。一旦欧洲标准化组织制定了标准，在将其发布于《欧盟官方公报》（Official Journal of the European Union, OJEU）前，须经历一系列检查和评估。若评估结果为肯定性的，且标准符合标准化请求和相应的欧盟立法中的基本要求，委员会将在OJEU中公布该标准，此标准便被称为协调标准。因此，总体的趋势可以归纳为欧盟不断通过修法将法律与标准的合作规制调整至最佳样态。

与此类似，近年来中国在标准化工作方面亦发布了诸多文件，如《深化标准化工作改革方案》《国家标准化发展纲要》《国务院关于深入实施“人工智能+行动”的意见》，提出加快重点领域人工智能标准研制等要求，目的皆在于提升标准体系的结构与治理水准。中国与域外标准体系存在明显差异：一是中国标准化体制的二元化结构使标准按照主体分为政府颁布与市场自主制定的标准，前者又分为国家标准、行业标准与地方标准，后者分为团体标准与企业标准；其中国家标准分为强制性标准与推荐性标准。协调政府与市场、社会的作用极为重要，目前的标准制定过于强调自上而下的机制，如何完善标准机制、标准与法律协调治理机制均是未来亟须解决的难题。二是在人工智能领域，中国目前具备一定的治理基础，但仍然存在标准整体布局分散、框架内容不合理的现象。以中国国家标准GB/T 41867-2022《人工智能 概念与术语》为例，其对人工智能的定义与核心特征凸显了人工智能在工程化实践与产业转型应用中的系统性特征，与国际标准ISO/IEC 22989：2022《人工智能 概念和术语》的相关定义和核心特征相比，虽然全面构建了“感知—认知—决策—执行”的完整体系框架，但过于重视技术应用，忽视了如可解释性、可验证性等方面的要求。

（三）基于标准的人工智能规制模式的运行

欧盟《人工智能法》于2024年正式实施，该法第40条准用前述《关于标准化的第1025/2012号条例》所规定的标准机制，旨在为人工智能合规审查提供选择，即如果人工智能系统提供者能够证明符合准用的欧洲协调标准，可被视为符合法律要求。第49条提出通过传统CE标志，代表高风险人工智能系统取得合规认证。CE标志表明产品安全性已经达到欧盟有关标准化要求，构成在欧盟境内产品流通的基本资格。这些规定对高风险人工智能系统的生产商具有实际意义，且比其他替代方案更为便捷。欧盟《人工智能法》旨在发挥标准对法律的补充与延伸作用，随着该法的颁行，协调标准的制定及完善将在一定程度上决定着法律的实施效果。除法律要求应得到遵守外，这些协调标准尚包括对人工智能产品和服务的安全性、对基本权利和欧洲价值的尊重、欧盟的数字主权、人工智能市场的增长、公共利益和残疾人权利的关切。未来，欧盟委员会将鼓励欧洲标准化组织与成员国标准化组织展开合作，利用人工智能标准实施欧盟《人工智能法》。

根据基于标准的规制模式，协调标准应在向生产商提供技术解决方案以实施法律基本要求并证明合规方面发挥关键性的作用。该法第40条明确规定了这一点，遵循该规定，符合协调标准或其部分的高风险人工智能系统被推定为合规状态。协调标准在提供技术解决方案方面意义重大，使生产商能够实施法律要求，成为生产商证明遵从法律的首选手段，尽管并非唯一手段。基于标准的人工智能规制比其他替代方案成本较为低廉，如依据协调标准并由独立第三方对产品进行认证即可合规。适用标准产生的合规性推定为生产商提供了更大的法律确定性，合规性推定实行举证责任倒置的规定，使生产商的义务和成本均得以降低。当然，在这个过程中，生产商有不选择协调标准以及合格评定程序的自由。不过，合规性推定的效果亦受到一定的限制，即虽然根据协调标准设计产品可以将合规性推定作为遵守欧盟法律的关键指标，但并非构成确凿的证据。当出现风险时，规制机关仍可采取行动。符合标准有时还要证明与目标国、产地国的公共利益保护水平相当。

在中国，特别是在当前缺失一部统一的人工智能法的背景下，学者与实务人士皆认为标准可以弥补法律规范的不足。如面对个人信息的侵害，尤其是个人信息保护涉及大量技术性事项，这使得原本就是从技术发展而来的标准有了用武之地。实践中，行政机关利用标准对个人信息保护、智能体安全展开了评估。中国人工智能标准的运行逐渐展开，内容涉及基础通用、关键技术、产品服务、安全治理等多个层面，提升了产品质量和互操作性，有助于用户辨别人工智能产品和服务的可靠性、成熟度，为处理好创新与规范之间的关系提供了一定的规范依据。标准确实能够提供详细的个人信息保护合规指南，可操作性极强，技术要求相较法律规范亦更为明确。不过，标准固然源自于技术及其变迁，而从功能定位而言其更多倾向于作为治理工具而存在，于是对标准的运行不仅要关注技术本身，亦要考虑标准制定的程序、组织设置等诸多要素。

三、基于标准的人工智能规制模式面临的挑战

基于前述剖析，人工智能规制框架内对标准重要性如何强调皆不为过，毕竟法律基本要求常以宏观概括和通用的方式表达，需要标准加以细化与落实。如欧盟《人工智能法》第10条规定高质量训练数据集的标准，但数据集质量作为规范性概念，难以客观评估，此时就需要制定标准，以定义何为“高质量”训练数据集，以及它应当具有哪些预期属性。关于标准与法律间的相互作用，学者阐明“标准化可以说是人工智能法草案中真正的规则制定发生的地方”，此观点可谓切中肯綮。根据协调标准的新方法与新立法框架，多数情况下法律仅规定人工智能发展的基本要求，而标准的应用空间便极其广泛，能够更为精确地解释具体要求并展开实施。然而一直以来，有关欧盟协调标准法律地位的争议仍莫衷一是。在本质上，其系私人主体建立的自愿、不具约束力的工具，多数学者并不视其为法律规范，仅因被欧洲法律所援引而产生法律效力。欧洲法院的一项判决却将协调标准视为“欧盟法的一部分”，但同时宣称此类措施并非欧盟公共机关的行为。此种龃龉与模糊性须从法理层面回应。基于此，基于标准的人工智能规制面临的挑战，既有其他标准领域的共性特征，如标准化体制的合法性挑战，特别是如何确保行政机关与公众参与机制发挥作用，以及标准如何符合法律要求的挑战；更有其他标准领域未及涉足之处，如协调标准对于基本权利的保护能力。多种挑战互相交错，皆须得到讨论。

（一）标准化体制的合法性挑战

欧美国家有关标准化体制的争辩旷日持久，这是因为欧美标准化组织均为私营性质，在缺乏类似公法机构的监督、问责和透明度的背景下，将规则制定权力委托给此类标准化组织可能会引致规制俘获。特别是欧盟，可能在实施《人工智能法》时将涌现更多反映私人利益而非公共利益的标准，进而阻碍了以人为本理念的全面贯彻。

首先，欧盟标准化体制本质属于私人规制，后来引入诸多限制元素以克服协调标准的亏欠，如设定协调标准的专家系统用以强调专业知识的作用。然而，欧盟委员会近年来对欧洲标准化组织相对严格控制的理念与先前新方法、新立法框架的核心理念似存抵牾。新方法、新立法框架意在推动公私伙伴关系和合作规制的建立，以此作为制定更好政策的手段与方式。欧盟对协调标准的诸多限制，从实践效果来看并未使该组织体现出足够的可信度、完整性、公平性和公正性，以及对公民的尊重及其能力培育。

其次，标准化体系中的程序机制运行不畅。根据相关法律要求，标准制定时应允许所有受到影响的利益相关者参与制定直接影响他们的标准。当前，透明度的问题却是欧洲标准化组织受到质疑的最大焦点，其标准化过程对公众几乎完全不透明，相关的抗辩是协调标准受到版权保护。实践中，标准化组织通常由大型行业参与者掌控，为此需要为中小型企业参与提供机会。同时，基于标准的合格评定机制可能会因成本而不利于中小企业与初创企业。如何促进人工智能标准制定中包容性理念的实现值得讨论。

再次，在事前控制较为乏力的情况下，学者呼吁通过司法审查事后控制。对此，欧洲法院作出了积极回应。然而，根据《欧盟运作条约》第263条的规定，协调标准并不受司法审查的约束，因为欧盟合法性审查对象仅限于公共机关的行为。这些困境均凸显出欧洲标准化体制的问责机制极其缺失，进而削弱了标准化组织标准制定的整体合法性。

基于标准的规制模式在中国同样存在争议。2017年《标准化法》的修订可视为面向市场的“调适”，如今更是处于非常关键的实施期。由于人工智能发展突飞猛进，技术、法律与合规的互动构成了学界与实务界面临的重要挑战。标准作为一种技术规范，其能够契合当前特别强调的通过技术实现规制的思路，而法律人需要回应的则是如何使之更符合法治的要求。对此，一方面，就国内而言，妥善地处理好市场、社会与政府的关系依然迫在眉睫。既需要稳步推进政府制定人工智能标准工作的成效，亦须进一步推进团体标准的发展与应用，因为社会团体、行业协会可以利用专业技术的特长，所制定的团体标准更能反映产业发展的趋势且适应公众偏好。另一方面，于国际而言，因标准已成为竞争的重要手段，如何获得国际标准制定主导权更值得中国深思。人工智能的发展事关人权、主权与国家安全，需要中国以领先的标准及其规制模式向世界彰显中国技术创新与法律合规的能力，进而引领国际标准，形成中国在人工智能方面的解决方案。所以从此层面省思，欧盟《人工智能法》明显存在颠倒标准与技术法规之间关系的现象，有可能不利于其在标准领域全球竞争力的确立。根据世界贸易组织《技术性贸易壁垒协定》第2.4条规定，如需制定技术法规，相关国际标准已经存在或即将拟就，各成员应将这些国际标准或其中的相关部分作为其技术法规的基础。该规定要求国内或地区立法要以该协议中提及的国际标准为基础，欧盟《人工智能法》显然反向为之且要求欧洲标准制定以该法为基础。此举将导致规制要求与实施标准之间产生不一致，其《人工智能法》采用了技术法规的外观，但拟解决的问题远远超出了这一领域。如确定人工智能系统对基本权利的可接受风险水平，具有强烈的社会维度，而非仅局限于技术层面的议题。

（二）标准符合法律要求的挑战

法律确定基本要求后，标准为其实施提供技术规范，如何确保标准与法律要求、政策规定相一致呢？欧盟的情况似乎并不乐观，《关于标准化的第1025/2012号条例》第11条的规定略显粗疏，导致制定时仅有少数标准会受到质疑。实践中，协调标准与欧盟法律不一致的情形比比皆是，欧盟官方统计一致率不足三分之一。标准符合法律要求的挑战在于：

其一，多数人认为标准系技术的产物，对标准是否符合法律要求并未提出质疑。然而标准的锁定效应明显，一旦确定了产品或者服务的标准，该技术的一个标准化版本成为主导市场的解决方案，但其并不能保证该版本为最佳版本，此举导致生产商不再愿意投入到新技术发展中。人工智能发展如火如荼，如果一项不符合法律基本要求的人工智能标准控制了市场，最终可能造成标准锁定低劣和不成熟技术的现象滋生。

其二，人工智能标准符合法律要求在本质上涉及人工智能对齐，其是指确保人工智能系统的目标与价值观同人类的目标、价值观一致。因为随着人工智能技术的持续流变，人工智能系统将产生难以预测的行为，如果无法与人类目标、价值观相一致的话，极有可能导致难以控制的严重后果。为此，须就人工智能系统性能、安全性、可靠性、道德和法律合规性、可理解性、可解释性、社会影响与环境影响等制定相应的标准。从定义来看，人工智能对齐不仅与技术关联，而且与规范休戚相关。例如，欧盟立法要求数据集完整且无错误，要求检查高风险人工智能系统的训练数据集是否存在潜在偏差，然而技术性的阈值与指标并不一定能够完全、明确什么构成了完整、偏见以及如何识别它们，需要从规范选择的视角加以确定。人工智能很难如其他产品标准一样轻易地确定安全阈值，对人工智能的某些测试反而高度依赖于情景、系统训练所依据的数据等，如此是否导致标准制定在一定程度上与法律基本要求相重叠，值得在未来深入探讨。

其三，即使采用国际标准作为协调标准，对齐问题亦值得关注。国际标准通常被认为基于世界贸易组织中立原则制定，但其能否符合欧盟《人工智能法》的具体要求亟须讨论。如欧盟《人工智能法》第9条要求为高风险人工智能系统建立风险管理系统，并在其整个生命周期内实施、记录与维护。目前，国际标准中唯一涉及人工智能风险管理的标准是ISO/IEC 23894：2023，比照欧盟《人工智能法》第9条的规定，能够发现仍然有一些要求未被纳入该条之中。如其并未强制要求向用户传达剩余风险或者考虑与可预见的滥用相关的风险问题；缺乏识别风险管理措施的具体测试程序；未提供进行测试的指标或概率阈值。更为重要的是，两者关于风险概念认知大相径庭，国际标准侧重于组织风险，而欧盟《人工智能法》将风险视为对个人健康、安全和基本权利造成损害的可能性和程度的组合，这也导致ISO/IEC 23894：2023在实施欧盟《人工智能法》风险管理系统要求方面的充分性受到限制。该法要求与国际标准之间的差异引人注目，欧洲标准化组织固然可以通过制定新的协调标准来实现更好的一致性，但是这将使地区标准与国际标准发生冲突，而且标准的多样化亦使得问题更为复杂，毕竟欧洲所重视的价值观未必为全球普遍适用。

中国有关标准符合法律要求的讨论中，有学者认为标准要表达最佳状态，亦有学者主张标准须传递某种“最低的”限度要求，折衷者则强调标准应确立平均的“中线”。这几种观点各有所长，具体展开仍需结合人工智能立法的推进展开讨论。同时，中国亦须从理论上厘清法律与标准之间的衔接关系。当前面临的挑战在于：一方面应对法律引用标准的制度加以规范化。一般而言，标准的规范效力并非自身所有，而是源自于法律规范的规定。如《民法典》第511条第1项规定，“质量要求不明确的，按照强制性国家标准履行；没有强制性国家标准的，按照推荐性国家标准履行；没有推荐性国家标准的，按照行业标准履行”。不过，中国因为强制性国家标准类型的存在，故而标准在事实上构成了法律规范。其他类型标准的引用，目前的作法不够明确，极易产生标准替代法律规范或者与法律规范不一致的困境，为此，必须加以规范化。另一方面要特别探讨法律引用团体标准的规则。因为在人工智能及相关领域，中小企业参与制定标准的意愿较为强烈。在发展团体标准时，应建立人工智能团体标准向国家标准、行业标准转化及引用机制，鼓励人工智能领域的团体及时跟踪技术发展，制定高质量的人工智能团体标准。中国《标准化法》第15条规定了标准制定的参与条款，未来要进一步细化该条规定，强化企业、行业组织等主体在人工智能标准制定中的作用，从而真正形成公私合作型的人工智能标准体系。

（三）标准关切基本权利的挑战

人工智能的发展应以增进人类共同福祉为目标，保护基本权利是以人为本理念的重要呈现。人工智能依托数据、算法、模型、基础设施等技术实现目标，具有组成复杂、风险性高等特点，标准制定方面要求较高且关注基本权利，应当能够使各国保持竞争的同时兼具协同性。在欧盟人工智能的立法过程中，欧盟委员会与相关人士均表明欧盟希望通过标准制定，在世界范围内推行具有道德性的技术，确保欧洲持续拥有竞争力。不过，欧盟《人工智能法》虽然将基本权利视为绝对的公共利益，但是手段上却存在着并不相匹配的情形。其将规制产品的思路适用于人工智能，对人工智能系统生产者附加的合规评估义务仅仅涉及内部程序，操作上主要由生产者自我评估证明生产中存在高风险的人工智能系统并符合法律要求，此举明显缺乏有效的外部监督。进而，欧盟标准保护基本权利和欧洲价值观的能力值得讨论。欧盟《人工智能法》一直宣称将基本权利保护纳入到立法目标之中，且将人工智能系统对基本权利的潜在影响作为是否归为高风险系统的关键性因素之一。该法要求有关人类监督的规定，亦明确提及保护基本权利是其主要考量理由。然而，标准化组织很少关注这些问题，学者对该法能否确保有效保护基本权利提出质疑，断言协调标准无法定义或应用基本权利、法律或道德原则。

此种担忧更是加剧了公众对欧洲标准化组织等私人主体在制定保护基本权利规则方面的合法性不足的关切。其一，私人主体的利益经常与公众利益相冲突，况且，基本权利保护并非一次性、既定的或者设定即刻解决的模式、过程，且仅取决于对标准中确立的技术规范的遵守，显然难以全面判断基本权利是否得到充分保障。基本权利的保护必须得到最大程度的增进，然而产品安全则未必尽然。其二，欧盟数字领域一系列政策与立法或许可以缓解上述隔阂与不足，但随着技术发展，法律也应当得到进化。对人工智能规制的改进在未来应得到进一步深化，这些规制均应真正优先考虑基本权利，并为个人提供挑战和寻求纠正某些人工智能系统侵犯权利的工具。此外，采取产品安全的方式，则可能导致那些更容易以产品安全保护方式促进的权利得到保护，从而使基本权利保护并不具完全性。其三，标准制定过程中，固然可以将一些人权保护的价值要求转换为技术鲁棒性、安全可中断性、故障透明性、数据可追溯性、避免算法歧视、避免算法滥用、系统可追溯等内容，然而规范如何转换成为标准始终是一个逻辑难题，需要多方主体在合理的框架下展开持续互动。

同样的情况，中国国家人工智能标准化总体组是负责人工智能标准体系制定与协调的主要技术组织，在指导人工智能国家标准、行业标准、团体标准等的制修订和协调配套发挥了巨大作用。但问题在于，相关的人工智能标准制定机构较为依赖学术研究组织或企业，此种“外包”能否充分保障公众的权利需求值得反思。同时，据统计入选该组织的主要是人工智能领域规模以上企业，仅占中国人工智能企业总数的4%弱，中小微型人工智能企业多被排除于该技术组织之外，消费者权益更是关注较少。全国标准信息公共服务平台的标准实施信息反馈系统是唯一的信息反馈渠道，但是反馈形式、效果较差。而关于基本权利与人工智能的问题，一方面标准化组织缺乏基本权利保护的专业知识，在构成与成员代表性层面须增加相关的专业人士；另一方面目前的主要关切点也仅在于化解反歧视的偏差，尚须全面回应。

四、回应：私行政法的理念及建构

人工智能立法实践将如何规制重大变革性的技术及其对个人健康、安全和基本权利的重大风险，引发了全球人工智能立法与规制研究的热潮。基于标准的规制模式具有积极的功效，但亦存在前述诸多挑战。基于此种规制，欧美国家在人工智能规制方面均会将一些实施的职责转移至私人主体，如何发展有关指导私人主体运作的法律机制便值得期待。同样，中国在重视标准规制的同时，亦须重视标准化体制的优化设计。学界认为推动人工智能标准的规制模式应从传统市场规制的国家中心主义过渡到更加注重协同性、动态性、分层性和复合型的多元化模式，应关注标准制定程序的回应性、参与性，并完善标准规制的国际化机制等。此种讨论与当今私人规制作用愈发彰显息息相关，但由于长期以来的法学传统多基于法律与非法律、公与私的严格界分，致使其在过去很少受到正式的关注及体系化探讨。如今，随着技术发展且因私人掌握大量技术，私人介入规制在所难免。那么，正如技术演进不可避免一样，法律的发展亦刻不容缓。法律应当发挥什么样的功能，私人、技术又具有什么样的功能皆成为检省的关键。为使私人、技术行使规制权力时符合法治及其价值取向，需要以私行政法的理念来观察此等行为或者现象。私行政法在本世纪初便被域外学者所提及，中国亦有相关介绍，希望借助基于标准的规制模式之讨论能够对该理念潜在的基础、含义以及应用加以延伸。

（一）私行政法的理念

学理研究认为如果满足某些条件，就会赋予私人主体或相关机制以“法律”地位。所谓的私人规制概指私人主体以实现公共利益的名义，通过制定、监督或者实施规则，使市场参与者的行为服从于其颁布的规范。私人规制近几十年来展土开疆，导致在传统公与私界分背景之下，有关其定位及体系化的讨论成为难题。规范主义者主张其与经典的法律理论相悖，如欧盟法上“梅罗尼原则”便持如此认知，该原则强调不得将规则制定权授予私人主体。经验主义者则重在解释私人规制何以运作。私行政法理念的提出及建构则试图摆脱此两种视角的不敷，从外部（以法律的观察视角）到内部（私人实践参与者的观察视角）转向并实现彼此融合，既坚持私人主体的作用又强调某些公法原则的适用。

从词源与历史脉络窥测，美国通常使用私人秩序一词，而欧盟倾向使用私人警察权力来指代私人规制。此种差异使得欧美对私人规制权力来源的认知迥然不同，美国更为强调私人与市场的关联，当私人规制出现反竞争效应时，其有效性最终取决于它是用以纠正市场失灵还是降低交易成本的。也即除非该措施可被视为“国家行为”或被反垄断审查豁免，否则私人规制的范围仅限于市场效率目标。美国最高法院指出，虽然有许多值得称赞的社会目标可以证明私人规制的正当性，但并非是其被豁免《谢尔曼法》并限制竞争的理由。欧盟法院的观点与美国不同，支持私人规制可以追求更多的公共利益。根据《欧盟运作条约》第101条，欧盟允许私人规制者有效追求公共政策目标，即使其措施对竞争产生了限制性影响，而这些影响的正当性未必能够完全基于市场效率理由加以证成（此类影响包括健康和安全、文化多样性等）。欧盟意识到了私人规制的正面价值，将其与传统“警察权”相联系。故而，相较于美国，欧盟视野更为广阔，重视自我规制的功效，也更愿意促成私行政法理念的形成。

私行政法作为观念与分析工具，能够不断阐明、测试与质疑私人规制者的程序或实质有效条件。由于公私协作、合作规制的深入发展，各国学者皆试图构建“私行政法”的概念并期待使之体系化，强调由民间业者在承担某种公共事务时不能仅适用私法原则，否则就会使其过于追求私利；还应当适用为“实现公平公正、安定开展业务等而制定的行政法（或者也包含宪法在内的公法）的一般原理”。具体到标准化组织及其标准制定行为，相关的讨论便体现了此种认知。如美国标准多由行业团体或者非政府组织制定，公共机关普遍与这类组织合作并形成了公私合作的态势。美国联邦《国家技术转让和促进法》要求联邦机构应使用标准化组织的标准，此举有利于行政机关节省成本，有效依赖最为先进的技术专家，且可就同一事项达成公私一致。针对私人标准的包容性不足的困境，《联邦政府部门参与自愿共识性标准制定和采用以及合格评定活动第A-119号通告》对标准制定提出了公开、利益平衡、正当程序、上诉程序、协商一致等要求。此处值得讨论的问题在于美国国家标准学会（American National Standards Institute, ANSI）通常要求其认证的标准至少每五年重新审查一次，一旦行政机关规则制定将一项标准转化为具有约束力的要求，行政机关所适用的标准及内容并不会因标准的重新修订而在行政规则内得以替换，因为根据法律要求，新标准的引用纳入必须通过新的规则制定程序才能够重新确定该标准的效力。这一点与欧盟不同，后者在机制上更为强调私人规则纳入公共规制的程序控制机制。从行政法上讲，行政机关在引用纳入私人标准时，必须满足现行的规制要求。不过，正是因为如此，许多美国行政机关仍然在其规则中适用旧的标准，难以发挥标准固有的灵活性优势，这也是私行政法在未来探讨的空间。总之，伴随着私行政法实践的展开，至少有必要从程序与实体两个层面加以构建。在研究范围上，本文的讨论重点仅局限于标准领域，事实上该理念对其他领域（如数字平台）的价值更加不可或缺。

（二）标准的程序性控制机制

标准的合法性追问最早源起于标准制定程序的公开、公正性探究，不过其并非因公民或行业自发建构而引致，更多系法律规范、原则漫长的演进结果。比如美国ANSI标准制定的正当程序要求来源于联邦行政机关的明文规定。在欧盟2012年的《关于标准化的第1025/2012号条例》以及欧洲法院的相关案例之后，欧盟的标准制定行为开始“法律化”。然而实践中，标准制定组织运作并不透明、制定程序并不规范等问题有增无减。由此，多数学者认为标准制定应当遵循一定的程序要求以落实私行政法的理念。

标准的程序性控制机制以美国为代表，对于促进包容性、控制标准的形成与应用发挥了关键性作用。美国企业或行业制定的标准拟获得ANSI认可并拟成为国家标准的基本条件，构成了标准制定过程应当遵守的正当程序要求。这些要求包含：①透明性与开放性。所有相关各方均可了解有关标准化活动的信息；对所有有影响的利益方的参与均是开放的；②公正性。任何一方的利益均不能在流程上占有优势或对其他方有所偏袒；③有效性和关联性。标准与市场、法律相互关联并积极回应，且符合科技发展趋势；④一致性。所有受影响的各方形成共识方可决策；⑤基于绩效的考量。标准在任何时候均应基于绩效作出；⑥融贯性。流程连贯，避免重复和相互冲突的标准；⑦正当程序。标准制定应符合正当程序，以便考虑到所有观点和可能的诉讼；⑧技术支持，为发展标准形成和应用提供支持。

在全球层面，2012年，由IEEE、互联网架构委员会（Internet Architecture Board, IAB）等几个标准化组织联合提出了“OpenStand”原则，体现了以过程为导向的标准程序性控制的意涵，主要包括标准制定的五项基本原则：正当程序、广泛共识、透明度、平衡、开放。近年来转化为以下五项原则：合作、坚持标准制定最基本的要素（正当程序、广泛共识、透明度、平衡以及普遍开放）、集体赋权、标准的可获得性、自愿采用。不过，实践中，程序性控制机制遇到了一些挑战，如最终决定通常由少数群体作出；广泛共识难以达成，因为消费者代表、学者或者其他利益相关者很难实质性地参与到标准制定过程中来；透明度层面，有时缺乏公开的信息或信息发布不充分。此外，开放性亦存在不足。而在中国，《标准化法》虽然规定了多样化的标准类型，但并未明确标准制定的公开、利益平衡、正当程序、申诉程序和协调一致的程序。《国家标准管理办法》对标准制定作出了一些规定，尚需要对标准制定的议程设定、说明理由义务与提升透明度、标准制定过程的代表性与参与性、多元化意见征求反馈机制、问责和备案审核机制等作出更细化的规定。当然，这正是未来私行政法可以着力的重点。

（三）标准的实体性控制机制

标准为人类提供兼具时空特征的通用架构，以语言、数字、规则和技术公式编码，克减不确定性、主观性和误解，并评估机器、个人和组织的性能。工业革命正是通过标准化的部件与多次、可靠重复的工艺形成了规模经济和技术创新。数字时代的标准更应当发挥作用，因为技术愈发多样和复杂化，须为新产品和市场带来期待，并为工业、商业的架构提供充足信息。一定程度上，标准本身可能并不具有真正的创新性，但它们为创新和竞争提供平台，洞察不同类型的创新，并为这些创新提供合理的框架。标准旨在提升兼容性、互操作性，用于模块、组件、产品和系统间的接口；减少品种或相似性，以便于识别并实现规模经济；提供信息，用于理解技术；保障最低质量与安全。标准在促进规模经济和范围经济方面作用明显，功能定义和一致性可以实现大规模生产，亦可以形成对同一产品的不同生产方法；因为互操作性，产品与服务能够按照功能进行组织，并链接到更大系统中，扩大应用范围。故而，在实体内容上，标准并不完全是技术性的内容，除受程序控制外，尚须与法治价值、法律要求相统一和协调。

实体性控制机制首先体现于标准与法律的衔接层面。美国联邦行政机关每年会采信大量的私人标准进入到行政立法中，此机制被称为“引用纳入”或“引置条款”，意指在制定法律规范时，以引用的方式而并非以明示包含或重复方式将标准中的章节或全部并入法律规范中，如此可使立法更为简洁。实践中，被引用纳入的标准成为立法的一部分，具有拘束力。然而，因版权需要支付费用的问题，公众很难在行政规则制定时了解并评论这些标准。如何提升公众的可访问性是值得讨论的议题，2011年美国联邦行政会议建议行政机关与标准制定组织合作，并使用只读访问等技术工具，以提升引用纳入标准的可获取性。相较而言，中国现行法律引用标准的模式过于简单，主要体现为以强制性标准或通过法律规范普遍性引用标准的方式（如《产品质量法》第13条第1款规定：“可能危及人体健康和人身、财产安全的工业产品，必须符合保障人体健康和人身、财产安全的国家标准、行业标准”，普遍性引用标准一般不说明标准的具体编号、内容等）。此种方式过度依赖标准建设，对标准是否符合法治要求存在考虑不周的情形，未来应进一步予以改进，并引入司法审查，尤其是要在完善标准的实施机制层面下功夫。

实体性控制机制需要讨论的是如何在实体上确保标准符合法律的基本要求。如前所述，通过程序装置能够切实提升实体的合理性，但同时存在着一些不足。于是，事后的司法审查成为实体性控制机制的重要组成，尤其可以确保标准与法律的一致性，以解决前述欧盟协调标准遇到的挑战。在这方面，美国因采取引用纳入的方式以立法或者行政规则制定的形态处理与标准的衔接，故而，行政相对人可依行政法规定就法律规范提起司法审查。而在欧盟，因协调标准系标准化组织的产物，能否审查、原告资格以及如何审查曾滋生争议。即使如今，欧洲法院愿意受理一些协调标准的案件，但其审查强度较弱，偏向于保护产业并持技术尊重原则，由此可能导致欧盟之外的企业无法通过有效的渠道影响欧盟人工智能标准的制定。司法审查有利于弥补标准化组织透明度、代表性方面的欠缺，亦将成为私行政法的重要探讨内容。中国学界有关标准的实体性控制研究有限，更多在于分析标准化体制的弊端，但其中反映出了一些实体性的考量因素。如有学者主张强制性标准规定的内容为技术要求，而非法律上的权利义务，故并非法律规范。之所以具有强制性，是因为《标准化法》及其他部门法的规定。这一认知显然是借鉴了域外有关标准性质、法律引用纳入标准的理论和做法，有一定的积极意义。再如有学者指出国家标准、行业标准和地方标准均为政府型的标准，就性质而言，“主要集中在标准的性质上，而不同于政府部门的级差和隶属”。该学者认为国务院各部门之间，仅为职责分工的差异，而并非相互间的级差和隶属，所以国务院标准化行政主管部门和国务院其他行政部门之间所制定的标准，在推荐性标准上应当一律平等。“现行《标准化法》降低行业标准的品级，使其隶属于国家标准。这既和法理不通，也与标准化自愿采用的平等属性不和，更是现行标准体制矛盾症结之所在。”其进而建议取消行业标准，将本属于市场的标准还权于团体标准，而涉及部门与行业基础性、公益性的标准，仍由国务院行政部门负责修订与发布，但均提升为国家标准。众说纷纭的争点毋宁置于私行政法理念下加以建构与体系化，反而更为合理。未来，需要利用私行政法的理念，既发挥私人主体的优势（进一步完善行业协会的职能）又展开实体考量（如与人权、知识产权、反垄断法的协调），丰富中国式合作规制的样态。

此外，标准不同于人工智能伦理框架及相应的原则，而是要将此类原则、法律要求转化为具体、技术上可实施的措施，并且可以被客观评估与验证。实体层面的讨论要避免将标准视为“技术解决主义”，掩盖更深层次的规范性问题。例如用于评估模型偏差的标准涉及对可接受的歧视风险水平进行隐含的价值判断，而用于披露模型架构或训练数据的透明度标准则必须权衡信息共享的收益与披露给模型开发者可能产生的成本、风险。在实体层面，私行政法更重视试验，以此来达成共识并解决规制步调落后、信息差距。标准作为人工智能立法与规制的持续实验空间与场所，允许多种不同的方法并行发展，从而形成学习与借鉴模式。私行政法亦重视协调，以此来建立更为广泛的治理框架。就人工智能而言，无论是国内还是全球协调均至关重要，标准定义全球公认的最佳实践，克减国家价值观之间的冲突、风险承受能力的差异，帮助发展中国家拓展人工智能能力。当然，私行政法并非仅关注私营部门，行政机关作为有效且包容性治理的促进者仍将发挥作用。行政机关须继续健全法律实施、解决市场失灵和标准化过程中的反竞争、事后追责等内容，在公私互动中进一步形成相对成熟的人工智能的法律与规制理念。

五、结语

数字时代，无论美欧人工智能标准战略抑或国际标准化组织的《ISO战略2030》，足见各主要国家或组织对标准的重视程度，亦体现了各国或组织对新兴技术规制模式选择的省思。标准在新兴技术的开发和应用中起着重要的作用，通过对可信度、准确性、鲁棒性等术语的界定，有助于企业和消费者信任某些人工智能模型，协助法律展开合作规制。不过，从本质上讲，欧盟基于标准的人工智能规制模式源自传统的产品安全规制实践，是落实其基于风险方法的重要途径。多数情形下，该法将治理留给了标准等自愿准则及特定部门立法。此时，人工智能系统的生产商必须确保该系统在进入欧盟市场、投入合作或者以其他方式使用之前符合特定的技术要求。生产商通过自身的内部控制来评估是否符合这些要求，有时亦需要外部认证评估。此种模式过于强调技术及私人主体的作用，导致高风险人工智能系统的决策严重依赖于系统所使用的技术，公众不禁质疑产品安全规制的框架是否能够适用于基本权利的保障。产品安全立法中许多风险可以计算得出，但对于基本权利而言则难以适用；标准机制、认证机制在合规方面发挥功效，却很少面向公众开放。针对这些挑战，本文立足欧盟、结合中国与美国的情况展开比较法的探究，指出应重视私行政法的理念，强调从程序到实体对标准化组织等私人主体加以拘束，使之兼顾公共利益与保障公正。针对欧美的劣势，未来中国可在私行政法理念的指导下，既充分释放市场主体标准化活力，大幅提升市场制定标准的比重；又优化政府颁布标准与市场制定标准二元结构，建立健全政府颁布标准采信市场制定标准的机制。如此，才能够使基于标准的人工智能规制产生预期效果。