立场论文：AI 治理需类 ISO 互操作协议，而非仅靠各国法律

arXiv 上发表的一篇立场论文指出，随着 AI 系统深度嵌入全球关键基础设施，单一依靠各国法律与自愿性框架的治理方式已显不足。作者主张，AI 治理应建立在类似 ISO 的互操作协议之上，使风险信息能够以标准化、可机读的格式跨国流通。

当前治理格局的碎片化

论文梳理了当下三类主导性框架：以欧盟 AI 法案为代表的区域立法、中国的算法治理体系、以及美国 NIST AI 风险管理框架。作者认为，这些方案虽然侧重点不同，但都局限在各自司法管辖区内，彼此之间缺乏统一的技术接口与表达语言。监管者与企业不得不重复填报、重复审计，跨国部署一个 AI 系统往往要面对多套互不兼容的合规要求。

借鉴 GDPR 与 ISO 27001 的路径

论文以 GDPR 的落地经验为参照：GDPR 的法律条文之所以能在全球范围被有效执行，关键在于 ISO 27001、Privacy by Design 等配套标准将抽象义务转化为可操作的工程实践。作者由此推论，AI 治理同样需要一套「法律 + 技术标准」的双层结构，把合规要求下沉为可被自动化读取与验证的协议。

AI 营养标签：统一的风险信息载体

作为具体抓手，论文提出为 AI 系统配备「营养标签」式的清单文件，核心字段包括：

• 偏见与公平性指标
• 训练与推理阶段的能耗数据
• 数据来源与谱系（data provenance）
• 模型版本、适用场景与已知限制

这些清单以机器可读的清单（manifest）形式随模型一并发布，使得监管机构、集成方与终端用户都能以同一套指标横向比较不同产品，降低中小企业进入合规流程的门槛。

回应「标准扼杀创新」的担忧

针对「统一标准会拖慢迭代」的常见质疑，论文主张采用模块化、版本化的协议设计，使标准可以与技术同步演进，而非一次性冻结。作者呼吁治理重心从「孤立的法律合规」转向「可互操作的技术一致性」，从而为负责任的 AI 部署建立一种全球共享的语言。