扫二维码关注摩尔实验室
了解行业最新资讯，为您的产品保驾护航
解答各种产品认证检测问题，为您的产品保驾护航
【摩尔资讯】AI遇上网络安全：当AI系统成为CRA监管下的"数字元素"时，企业如何实现双
2026-06-04 15:51:01 栏目：通讯专栏
核心导读
文章脉络/关键词：
CRA、 AI Act、 双重合规、 物联网安全、 高风险AI系统、 数字元素
内容摘要：
当AI系统融入物联网产品，企业需同时遵守CRA（网络安全法规）和AI Act（人工智能法案）的双重要求。文章提出核心判定规则：一般由AI Act主导，但若产品被CRA列为“重要”或“关键”类别，则网络安全评估优先按CRA执行。企业要通过四步实现合规：判定AI风险等级、确定CRA产品类别、整合技术文档（涵盖网络攻击与AI特有风险）、统一CE标志。关键时间节点：AI Act高风险义务2026年8月2日生效，CRA报告
AI 深度解读
文章聚焦于AI系统与物联网产品在欧盟CRA和AI Act双重监管下的合规路径。核心在于理解两部法规的交叉设计：原则上，若AI系统属于高风险且产品非CRA关键类别，则符合性评估由AI Act主导；但若产品为CRA认定的“重要”或“关键”产品（如AI防火墙、智能门锁），则网络安全部分需遵循CRA的评估程序，AI Act仅保留数据治理、透明度等其他要求。企业需分四步操作：首先按AI Act风险等级分类，确认是否高风险；其次识别CRA产品类别，判断主导法；然后整合两类风险文档，将网络漏洞、对抗攻击、数据投毒等纳入统一风险管理；最后用一份CE标志和EU DoC声明双重合规。时间表显示紧迫性：AI Act高风险义务在2026年8月2日全面执行，CRA报告义务紧随其后（2026年9月11日），而主要义务推迟至2027年底。这意味着企业需立即启动产品梳理与文档整合，否则可能面临市场准入障碍。文章强调，双重合规不是两套孤立流程，而应基于设计融合，实现网络安全与AI可信的协同。
AI遇上网络安全：当AI系统成为CRA监管下的“数字元素”时，企业如何实现双重合规？
随着AI技术渗透到智能门锁、联网摄像头、智能音箱、可穿戴设备甚至工业传感器中，今天的“智能终端”或“物联网产品”往往不再是简单的硬件，而是一个同时承载数字元素（CRA范畴） 与人工智能系统（AI Act范畴） 的复杂产品。当一款产品同时满足这两部法规的适用条件时，企业必须建立一套融合网络安全与AI治理的合规框架，才能顺利进入欧盟市场。
核心判定：物联网/AI产品如何落入“双重管辖”？
根据CRA的定义，“含数字元素的产品”是指任何软件或硬件产品及其远程数据处理解决方案。当您的AI系统（例如一个智能客服软件、一个AI图像识别SDK、或一个内置AI决策引擎的物联网设备）以软件或硬件形式投放欧盟市场时，它本身就构成了CRA监管下的一个“数字元素”。
这意味着，该AI系统必须首先满足CRA的基本网络安全要求：安全设计、默认安全、漏洞管理、安全更新等。在此基础上，如果该AI系统还符合AI Act中“高风险AI系统”的定义，则需额外满足AI Act的特定要求。
关键规则：原则上由AI Act主导，但重要/关键产品例外
CRA法规正文及AI Act的相关条文明确了两部法规的交叉设计：
- 一般原则（AI Act主导）：对于同时属于高风险AI系统的含数字元素产品，其符合性评估程序应适用AI Act（即由AI Act的公告机构或基于内部控制的程序），而非CRA自身的程序。CRA明确规定：“就网络安全基本要求的符合性评估程序而言，应优先适用AI Act第43条。”
- 重要例外（CRA主导）：如果该AI系统被CRA归类为 “重要产品”或“关键产品”（例如AI防火墙、AI入侵检测系统、AI安全芯片等），则上述规则不得降低必要的保障水平。AI Act明确指出：此时网络安全方面的符合性评估应按照CRA的规定进行，而AI Act的其他要求（如数据治理、透明度、人类监督）仍按AI Act的内部评估程序处理。
针对智能终端/IoT产品的四个核心评估与合规步骤
第一步：判定AI系统的风险等级
- 对照AI Act风险等级分类：确认您产品中的AI系统（例如：智能摄像头的人脸识别模块、智能音箱的语音分析模块、健康手环的生命体征评估模块）是否属于高风险类别。
- 若不属高风险：仅需遵守CRA的全部要求（以及AI Act的透明度义务，如聊天机器人告知）。
- 若属于高风险：则进入双重合规轨道。
第二步：判定产品在CRA下的类别
- 对照CRA 产品分类：确认您的物联网产品（如智能门锁、智能温控器、工业传感器网关）是否被列为“重要”或“关键”产品。
- 这一步是关键：它决定了网络安全部分的符合性评估是由AI Act的公告机构主导，还是由CRA的公告机构主导。
第三步：整合技术文档与风险评估
两部法规都要求建立风险管理系统和技术文档，但视角不同：
- AI Act要求：覆盖对“基本权利、健康、安全”的影响，以及数据治理、偏见监测、人类监督等。
- CRA要求：覆盖“网络安全漏洞、网络攻击、数据泄露”等针对产品的全生命周期安全。
- 整合方法：CRA的制造商在执行CRA要求的网络安全风险评估时，必须额外考虑AI Act所规定的AI特有风险，例如数据投毒（Data Poisoning）、对抗性攻击（Adversarial Attacks）以及未经授权的第三方试图改变AI系统的使用、行为或性能。企业可以将两套文档有机融合，形成一份同时满足双方要求的技术文档集合。
例如：对于一台支持AI预测性维修的工业IoT传感器，其风险评估必须同时包含：CRA下的传感器固件漏洞链、AI Act下的模型对抗攻击防护，以及数据出境的传输安全。
第四步：统一CE标志与EU DoC
- 一个CE标志：产品只需一个CE标志。
- 一份整合声明：在EU符合性声明（EU DoC）中清晰说明产品同时满足AI Act和CRA的相关要求。
- 特殊程序：对于高风险AI系统（非重要/关键类），由AI Act公告机构出具AI相关的符合性报告；对于重要/关键CRA产品，由CRA公告机构出具CRA相关的符合性报告。
时间表：物联网/AI企业现在就要行动
- AI Act禁止条款：2025年2月起已适用。
- AI Act高风险义务：从 2026年8月2日 起全面执行（这意味着2026年下半年上市的高风险AI产品必须做好合规准备）。
- CRA报告义务：从 2026年9月11日 起生效，覆盖所有市场上的物联网产品（即使是老旧型号）。
- CRA主要义务：适用于 2027年12月11日 之后首次投放欧盟市场的产品。
从设计源头融合安全与可信
面对CRA与AI Act的双重监管，物联网和智能终端企业不应将其视为孤立的两套流程。两部法规在设计时就留出了明确的接口——通过统一的风险管理、整合的技术文档、互补的评估路径，完全可以实现“一次设计、双重合规”。尽早将网络安全与AI伦理团队协同起来，不仅能规避上市风险，更能让产品在“可信AI”与“韧性安全”的双重标签下，赢得欧盟用户的信任。
常见问题
Q: 我的产品同时属于高风险AI系统且是CRA下的重要产品，哪个法规的符合性评估程序优先？
A: 根据文章解释，对于同时满足两款法规的产品，若被CRA归类为“重要”或“关键”产品，则网络安全方面的符合性评估必须按照CRA的规定进行（由CRA公告机构主导），而AI Act的其他要求（如数据治理、透明度）仍按AI Act的内部评估程序处理。这意味着在网络安全评估上CRA优先，但AI Act的其他条款仍需满足。
Q: 双重合规时，技术文档如何有效整合？
A: 文章建议将CRA要求的网络安全风险评估与AI Act要求的AI特有风险整合为一套文档。例如，需同时覆盖：CRA下的产品固件漏洞、网络攻击、数据泄露；以及AI Act下的数据投毒、对抗性攻击、模型偏见的监测与缓解。企业可以建立统一的“风险管理报告”，分章节对应两部法规的要求，并在CE标志声明中注明同时满足两法。
Q: 企业现在需要为哪些时间节点做准备？
A: 关键时间节点包括：AI Act高风险AI系统的义务自2026年8月2日全面生效；CRA的报告义务（通知主管当局漏洞和事件）自2026年9月11日起适用；CRA的主要义务（安全设计、默认安全、漏洞管理等）适用于2027年12月11日后首次投放欧盟的产品。企业需根据自身产品上市计划，提前6-12个月启动合规准备。
