Reg Gap Analysis

/reg-gap-analysis

1. 读取 ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md → AI系统清单、监管注册表、AI政策承诺。
2. 运行以下工作流。
3. 范围：该法规是否适用？（管辖权、阈值、行业）
4. 提取要求 → 与当前状态对比 → 差距清单。
5. 整改计划附负责人、日期、优先级。
6. 保存注明日期的文档。即使"无差距"也应记录。

/ai-governance-legal:reg-gap-analysis "生成式人工智能服务管理办法"

AI法规与政策差距分析

目的

网信办发布新的AI管理规定。科技部更新伦理审查标准。某省出台AI治理细则。法规有所变化——现在你需要知道哪些地方需要跟进。

此技能将新要求与你当前的AI实践（按照 ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md → AI系统清单 + AI使用政策承诺 + 已完成的评估记录）进行对比，产出差距清单和整改计划。

加载当前状态

读取 ~/.claude/plugins/config/claude-for-legal/ai-governance-legal/CLAUDE.md：

• ## AI系统清单 — 已部署、在评估和已退役的系统
• ## 监管注册表 — 已经适用的法规
• ## AI使用政策 — 已对外公开的AI使用承诺或内部AI治理政策
• ## 科技伦理审查配置 — 伦理审查委员会的设置和流程

如果该法规不适用于你（错误管辖权、低于阈值、不同行业），差距分析只有一行："不适用。理由：[原因]。无需行动。"

工作流

第1步：法规范围界定

在对比之前，先回答：

• 是否适用？ 法规是否覆盖你的业务类型、系统类型或数据规模？
  • 是否向中国境内公众提供AI服务？（《生成式人工智能服务管理办法》第2条 [法条原文]）
  • 是否使用算法推荐技术？（《互联网信息服务算法推荐管理规定》第2条 [法条原文]）
  • 是否涉及深度合成？（《互联网信息服务深度合成管理规定》第2条 [法条原文]）
  • 是否涉及需科技伦理审查的科技活动？（《科技伦理审查办法（试行）》[法条原文]）
• 何时生效？ 生效日期、执法开始日期（通常晚于生效日期）、是否有过渡期
• 真正的新内容是什么？ 识别与已有合规义务的增量差异，而非全文重述

第2步：提取要求

阅读法规文本（或摘要/指南）。将每项实质性要求列为离散条目：

类别：

• 训练数据 — 训练数据的合法性、来源、知识产权、个人信息保护
• 透明度 — 告知用户、标识AI生成内容、算法说明
• 安全 — 安全评估、技术措施、内容安全管理
• 备案 — 算法备案要求、备案变更义务
• 伦理 — 科技伦理审查要求
• 治理 — 个人信息保护负责人、投诉机制、审计日志留存
• 责任 — 提供者/使用者责任分配

第3步：与当前状态对比

对每项要求：

### [要求 #N]：[简短名称]

**法规要求：** [要求原文或概述]

**我方现状：** [当前AI系统清单 / 政策 / 实践显示的现状]

**差距：** [无 / 部分 / 完全]

**如为部分/完全差距——缺什么：** [具体说明]

**弥补难度：** [仅政策更新 / 产品变更 / 供应商重新谈判 / 新流程建设]

**违规风险：** [行政处罚/责令整改/罚款幅度、执法可能性、声誉影响]

中国AI法规的行政处罚参考：

• 《生成式人工智能服务管理办法》第21条：警告、通报批评、责令限期改正；拒不改正或情节严重者，责令暂停服务，处一万元以上十万元以下罚款 [法条原文]
• 《互联网信息服务算法推荐管理规定》第31条：警告、通报批评、责令限期改正；拒不改正或情节严重者，责令暂停信息更新，处一万元以上十万元以下罚款 [法条原文]
• 《个人信息保护法》第66条：情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款 [法条原文]

第4步：优先级排序

并非每个差距都同等重要。按以下排序：

1. 有硬性截止日期且附带实际处罚的 — 生效日期 + 执法能力 + 实际处罚额度
2. 投入产出比 — 政策语言更新成本低；产品重建成本高
3. 已完成80%的事项 — 如果因为个保法合规已有基础，新AI法规的增量差异可能很小

第5步：整改计划

[工作成果头 — 按照插件配置 ## 输出]

## 整改计划：[法规名称]

**生效日期：** [日期]
**执法开始：** [日期]

### 必须在执法开始前完成

| 差距 | 整改措施 | 负责人 | 截止日期 | 状态 |
|------|----------|--------|----------|------|
| [差距] | [具体措施] | [姓名] | [日期] | [ ] |

### 应当完成（风险较低，不阻碍业务）

[同上表格]

### 已经合规

[列出差距为"无"的要求——对"我们基本没问题"的信息有用]

### 已接受的差距（风险已接受，不整改）

[如有——附书面理由和风险接受人]

常见AI法规类别

在对新法规进行增量差异分析时，将其归入大致类别有助于聚焦：

• 生成式AI专项规则 — 覆盖生成合成内容的管理（《生成式人工智能服务管理办法》）
• 算法推荐治理 — 覆盖算法推荐服务的透明度、公平性和备案（《互联网信息服务算法推荐管理规定》）
• 深度合成治理 — 覆盖深度合成内容的标识和管理（《互联网信息服务深度合成管理规定》）
• 科技伦理审查 — 覆盖科技活动的伦理审查要求（《科技伦理审查办法（试行）》[法条原文]）
• 数据基础制度 — 覆盖数据要素流通、数据产权、数据安全（"数据二十条"等政策文件 [联网检索 — 需复核]）
• 地方性AI治理规定 — 省级/市级AI管理细则（如上海、深圳、北京的地方AI条例 [联网检索 — 需复核]）
• 行业特定AI要求 — 金融AI、医疗AI、自动驾驶等行业的特别要求（行业监管机构发布的专项规定）

研究要求

对与新法规相关的每个类别，在起草差距分析之前研究当前有效的具体要求。引述一手来源。验证时效性——新法规每届人大/行政立法周期都有出台，监管机构发布解释性指导意见会改变特定控制措施的"合规"含义。对不确定之处标记为需律师验证，而非断言你未确认的规则。

不得静默填补。 如果对配置的法律研究工具（元典MCP、网信办/科技部网站或律所平台）的检索返回结果很少或没有，报告已发现的内容并停止。不要在不询问的情况下用联网搜索或模型知识填补空白。说明："检索从[工具]返回[N]条结果。[制度/主题]的覆盖面似乎较薄。选项：(1) 扩大检索范围，(2) 尝试不同的研究工具，(3) 搜索网络——结果将标记为 [联网检索 — 需复核] 并应在依赖前向发布机构核实，或 (4) 标记为未核实并停止。你希望选择哪一个？" 由律师决定是否接受可信度较低的信息来源。

来源溯源层级。 对差距分析中的每条引注标记其来源。对于模型知识引注，使用三个层级而非单一的统一"需核实"标记：

• [稳定] — 稳定、众所周知的法定和监管引用，不太可能改变（例如个保法第55条、生成式人工智能服务管理办法第4条）。在提交前仍需核实，但优先级较低。
• [需核实] — 真实的模型知识引用但应核实：具体实施细则、监管机构指引、案例裁定、阈值、生效日期、新颁布的法规。
• [需核实-精确定位] — 精确定位引用（具体款字母、卷/页码、段落编号、监管子部分引用）具有最高的编造风险，应始终对照一手来源进行核实。

工具检索获得的引用保留其来源标签（[元典MCP]、[发布机构网站] 或MCP工具名称）；联网搜索引用保持 [联网检索 — 需复核]；用户提供的引用保持 [用户提供]。分层标注体现真正的核实工作——一个"全部核实"的读者等于什么都没核实。绝不要剥离或折叠标签。

与其他技能的衔接

来自AI系统评估： AI评估标记的合规差距 → 在此处输入，当新法规影响已评估的系统时。

到达规监测插件（如已安装）： 此技能是手动版本。监测插件监控法规动态，并在有变化时自动触发此分析。

输出

保存为注明日期的markdown文档。整改计划表成为跟踪器——随着项目关闭更新状态。

如果差距分析结论为"无差距，我们合规"，仍然要写文档——这是以后证明你确实审视过的有用证据。

以引注核实说明收尾：

本输出中的引注由AI模型生成，未经对照一手来源核实。在依赖任何法规、规章、指导意见或执法行动之前，请通过法律研究工具（元典MCP、你的律所研究平台或发布机构的官方网站）核实其准确性和当前状态。AI生成的引注有时是虚构或引用错误的。每条引注上的来源标签（例如 [联网检索 — 需复核]）标明其出处；需核实 标签具有更高的编造风险，应优先检查。

收尾

以 CLAUDE.md ## 输出 规定的下一步决策树收尾。定制选项以覆盖此技能的具体产出——五个默认分支（起草X、升级、获取更多事实、观察等待、其他）为起点，不可锁定。决策树是输出；律师来选择。

本技能不做的事

• 不权威性地解释模糊的法规语言。当法规不明确时，要说明："第X条可以解读为[A]或[B]。[A]是保守解读。如果涉及重要事项，建议寻求外部律师意见。"
• 不主动跟踪法规变化。只有在你向它指出变化时它才运行。如需主动监测，参见监管法律插件。
• 不实施整改。它制定计划，不执行。