《European Journal of Risk Regulation》：From the Law of the Horse to the Workflow: Why Institutions, Not the Model, Decide the EU AI Act’s Effectiveness: Lessons from Hungary’s First-Wave Implementation
编辑推荐：
新技术是否需要自身法律是一个古老问题；对人工智能（Artificial Intelligence, AI）而言，该问题被置于错误的抽象层次。反对技术专门法的主张和支持通过设计进行监管的主张，都将AI模型视为受监管对象，尽管通用目的模型（general-purp
新技术是否需要自身法律是一个古老问题；对人工智能（Artificial Intelligence, AI）而言，该问题被置于错误的抽象层次。反对技术专门法的主张和支持通过设计进行监管的主张，都将AI模型视为受监管对象，尽管通用目的模型（general-purpose model）只有在部署时才获得其风险。研究人员将监管对象重新定位为部署工作流（deployment workflow），其定义为围绕使用中模型的阈值、升级路径和人工检查点所构成的外壳，并将《欧盟人工智能法案》（EU Artificial Intelligence Act, EU AI Act）解读为管理型监管（management-based regulation）：该监管只有在工作流可被指定且常设监管者（standing supervisor）对其进行审查时才有效。匈牙利首波实施表明第二项条件决定结果：相同义务在金融领域由中央银行监督，在就业领域由一个没有审查关系的部委监督，因此法案统一的文本掩盖了一个成员国境内不均衡的监督。《人工智能数字综合法案》（Digital Omnibus on AI）因标准和主管机构迟延而推迟高风险义务，并打开了审慎建设监督的窗口：优先事项不是更好的定义，而是更好的监督。
研究背景：AI是否需要专门法，可追溯至Easterbrook在1996年反对围绕单一技术构建“马法”（law of the horse）与Lessig在1999年提出“代码即法律”（code is law）的争论。既有讨论多将AI模型本身视为受监管对象，但通用目的、生成式模型一次构建、跨多场景复用，其确定目的与确定风险只在部署时出现；在模型层面，既无可分类的确定风险，也无可逐行读取并对照法律标准审计的架构。研究人员因此将监管对象转向部署工作流（deployment workflow），即围绕使用中模型的阈值、升级路径、覆盖逻辑和人工检查点等确定性外壳。该研究将EU AI Act解读为管理型监管（management-based regulation），并提出两项条件：第一，工作流外壳须可被指定到足以吸收模型残余风险；第二，须存在具有持续审查关系的常设监督者，将纸面义务转化为真正改变行为的问责。缺乏第二项条件时，管理型监管义务容易停留于文档。匈牙利首波实施提供了近似受控比较：同一义务在金融由Magyar Nemzeti Bank（MNB）监督，在医疗由医疗器械主管机关监督，在就业由负责企业发展的部委监督。Digital Omnibus on AI将高风险义务推迟至2027年12月和2028年8月，匈牙利政府更替又重开了监督架构设计。研究结论是，EU AI Act实效更多取决于国家指定机构与监督关系，而非条例文本。
关键技术方法：研究人员采用规范分析与法律解释方法，将EU AI Act重构为管理型监管；提出可指定性（specifiability）与监督支持（supervisory backing）两项条件；以匈牙利首波实施为案例，比较金融（MNB）、医疗（医疗器械主管机关）与就业（部委、NAIH）的监督关系；分析Digital Omnibus on AI延期及AI Office专属权限；材料为EU AI Act、Act LXXV of 2025、Government Decree 344/2025 (X.31.)、MNB与NAIH实践及相关学术文献。无样本队列或实验数据。
研究结果：
I. Introduction（引言）：通过理论分析指出Easterbrook与Lessig之争停留在错误抽象层次；监管对象应从模型转向部署工作流，EU AI Act属于管理型监管，其成功取决于工作流可指定与常设监督关系。
II. Relocating the regulatory object（重新定位监管对象）：通过分析通用目的生成模型，指出其行为不能从代码读取，模型层面无法承载风险分类与架构审计；部署工作流是可设计、可记录、可审计的确定性外壳，因此监管对象应移至该层面。
III. The AI Act as management-based regulation（作为管理型监管的AI法案）：通过法律文本分析，将Articles 9至17解读为流程义务，CE标志与新立法框架（New Legislative Framework, NLF）使其表现为产品安全工具；两弱点为工作流规格不足与监督关系缺失；Digital Omnibus延期承认标准与主管机构迟延，并赋予AI Office对特定通用模型及超大型在线平台（VLOP）和超大型在线搜索引擎（VLOSE）的专属监督，但其他部署者仍由国家监督。
IV. The Hungarian case（匈牙利案例）：
1. The designation（指定）：匈牙利以Act LXXV of 2025和Government Decree 344/2025 (X.31.)实施；国家认证局为通知机构，企业发展的部长为市场监督机构与单一联系点，金融由MNB负责，匈牙利AI委员会仅咨询而无决策权；部委指定缺乏独立性，且偏离国家AI战略提出的独立AI办公室。
2. Financial services: both conditions present（金融服务：两项条件均具备）：信贷评估与信用评分属高风险，输出有界，工作流可指定；MNB已常规监督信用机构并于2025年扩展至AI，具有持续审查关系，因此管理型监管可执行。
3. Healthcare: object-specific supervision, partial specifiability（医疗：对象特定监督，部分可指定性）：医疗器械AI通过Medical Devices Regulation由医疗器械主管机关监督，但监督止于器械，不审查医院部署；有界临床AI可指定，开放式生成式临床AI不可指定，故为边界案例。
4. Employment: specifiability present, supervisor absent（就业：可指定性具备，监督者缺失）：就业AI属高风险且输出有界，GDPR第22条、Platform Work Directive及劳动法文献指向决策本身；但市场监督由企业发展的部长承担，部委无审查关系，NAIH虽独立但第22条实践薄弱；人工监督不能替代监督关系，故原则上有问责而实践上惰性。
V. The redesign window: from placeholder to architecture（重新设计窗口：从占位到架构）：通过政策分析指出同一法案产生三种结果：金融可执行、医疗部分充足、就业惰性；Digital Omnibus延期与匈牙利政府改组打开窗口；优先将横向AI监督移出部委，建立独立且有审查能力的匈牙利AI办公室；其次为工作流外壳提供可审计的操作性标准；Omnibus简化措施将负担移向第二条件，提高指定选择的重要性；该诊断可推广至其他成员国。
VI. Conclusion（结论）：见下文研究结论翻译。
讨论部分总结：研究人员认为，EU AI Act文本统一，但监督关系不统一，导致同一法案在不同高风险领域产生不同实效。延期和匈牙利机构改组提供了短暂窗口，应优先建立独立监督机构并赋予工作流外壳可审计内容；否则管理型监管义务易沦为纸面合规。该发现不限于匈牙利，对所有即兴完成首波指定的成员国均适用。
研究结论翻译：Easterbrook–Lessig之争将AI监管框定为二元选择：要么一般法足够，要么需要技术专门架构。在模型层面，该问题没有答案，因为模型既不能被一般原则治理，也不能作为架构被读取。在工作流层面，该问题消解。Lessig正确之处在于架构具有规制作用，但重要的是部署工作流的确定性外壳，它被设计、可读取且可审计。Easterbrook正确之处在于一般制度治理新技术，但仅当这些制度与部署者保持常设监督关系时如此。该法案并不证明两位理论家中的任何一方正确：它是管理型监管的一个实例，其成功取决于可指定工作流，尤其是监督支持。匈牙利表明两项条件在同一法域内发挥作用。该法案可能在中央银行已监督之处得到执行，在临床任务无法充分指定之处仅部分奏效，在由部委替代真正监管者之处仍为一纸空文。教训不是该法案过于雄心勃勃或其定义不完善。相反，其实效始终由国家指定决定而非条例文本决定，欧盟现已承认这一点。延期给匈牙利以及每个即兴完成首波指定的成员国一个短暂且不可重复的机会，以审慎选择监督架构，并建立法案预设但自身并不创造的监督关系。下一阶段AI监管的优先事项不是更好的定义，而是更好的监督。模型将持续变化；守望它们的制度才是持久者。
