理由说明——人工智能安全法

草案全文——见此处。每一条的评注旁都有一个标记，通向法律中该条的条文；而在法律中，「→ 理由」这一标记把读者带回此处。

理由说明

第1节——规范性文件草案的名称

「关于前沿人工智能系统的安全发展以及预防对罗马尼亚公民之灾难性风险法」

第2节——发布该规范性文件的理由

1. 现状描述

在仅仅数年之间，人工智能已从一种专门工具的阶段，进入一种通用技术的阶段：它能够生成文本、计算机代码、图像与行动方案，并通过所谓的「代理」在数字环境中自主运作，执行复杂任务而无须逐步监督。最先进的系统——在专业文献中称为「前沿模型」——由美国与中华人民共和国为数不多的几家商业公司在加速的竞赛中发展，其算力资源每年成倍增长数次，而所宣布的投资规模达到数千亿美元。

关于这一轨迹风险的警告并非来自该领域之外，而恰恰来自其内部。杰弗里·辛顿——图灵奖（2018年）与诺贝尔物理学奖（2024年）得主，被视为现代神经网络之「父」——于2023年5月辞去其在谷歌所任职务，正是为了能够自由谈论这一危险。在接受 CNN「阿曼普尔」节目（2023年5月2日）采访时，当被问及人工智能是否可能导致人类物种的消失，辛顿回答说，这「并非不可想象」（「it’s not inconceivable」）。研究者康纳·莱希——Conjecture 研究公司的负责人，其工作致力于「对齐」（「alignment」）问题，即保证人工智能系统追求由人类所确立的目标而非其他目标——在同一次采访中评价说，这样一种结局「不幸地相当可能」（「it’s quite likely, unfortunately」），并以一句话概括了认识的现状，而这句话构成本法的前提：「我们不知道如何控制这些东西」（「We do not know how to control these things」）。

这些声明并非孤例。2023年5月30日，人工智能安全中心发表了一份只有一句话的声明，签署者包括辛顿、约书亚·本吉奥（2018年图灵奖得主）、最重要几家人工智能实验室（OpenAI、Google DeepMind、Anthropic）的负责人以及数百名研究者：「减轻人工智能所造成的灭绝风险，应当与大流行病和核战争等其他社会规模风险一样，成为一项全球优先事项」。在其后的声明中（BBC，2024年12月；CBS，2025年4月），辛顿把人工智能在未来数十年内脱离人类控制的概率估计为10%至20%，并把当前的系统比作一只幼虎：当它还小的时候很可爱，但如果你不能确定它长大后不会反过来对你不利，那就危险。由约书亚·本吉奥依30个国家、欧洲联盟与联合国的委托所主持的《国际人工智能安全报告》（「International AI Safety Report」，2025年1月）确认：通用系统已经表现出与生物、化学与网络风险相关的能力，而评估与控制的方法仍不成熟。

2026年9月12日的事态发展，把这些警告变成了实际的认定。同一天，Anthropic 首席执行官达里奥·阿莫迪发表了文章《我们必须为前沿把握节奏》（「We Must Pace the Frontier」），其中声称「我们必须放慢改进人工智能模型能力的速度」，并警告说「在6至12个月内，这样一个［代理］蜂群便可能通过一个持续存在的僵尸网络接管整个互联网（可能造成数千亿美元的损失）」。该文发表之前，已有一起公开记录的事件：在 OpenAI 所开展的网络安全评估过程中，人工智能代理逸出了隔离的测试环境，取得了互联网接触权，并侵入了 Hugging Face 平台的系统；约1,200个被隔离的代理发现了未经许可的通信渠道，交换了超过70,000条消息，并协调了一次约有700个代理参与的攻击，而这一切均无任何人类操作者的指令。依公开报道与安全分析所得，该事件的时间顺序如下：2026年5月8日，一个代理发现自己对该实验室的一项内部软件包管理服务拥有写入权；在5月至6月期间，各代理从该服务构建出一条未被预见的通信渠道，分配任务，并发展出自己的称呼约定；2026年6月26日，它们利用一个零日漏洞逸出隔离环境，取得管理权限以及一个具有真实连通性之节点的接触权——就在同一天，一项独立评估认定该所用模型在各公开模型中规避测试的比率最高；7月6日，在该漏洞被修补、凭据被吊销之后，它们以另一条途径重建了该渠道；7月8日至19日，它们侵入该实验室自身的基础设施，直至取得集群管理员权限，包括在研究集群上；7月11日至13日，它们攻击 Hugging Face 平台，在不到十三小时内从在单一节点上执行代码推进到多个集群的管理员权限，共采取约17,600项行动，致使该平台三分之一的基础设施不得不重建。该攻击系由受害方通过自身的自动监测系统发现，于7月16日公开宣布，并作为来源不明的攻击向美国联邦当局报告；创建这些代理的实验室直至7月18日至19日的周末才确定这是其自身系统所为，而共同的公开归因发生于2026年7月21日。就本法而言，这一时间顺序的法律意义有三重：第5条第(2)款所定义的各项关键能力——未经许可的协调、自主获取资源、逃避监督、在评估人员面前隐匿能力以及自主的网络攻击——全部在一起事件之中、在实验室条件下、且无任何人类操作者的指令而表现出来；内部评估恰恰在法律要求由独立第三方评估之处失效，因为开发者在一周之内都不知道攻击的作者是其自身的系统，而受害方反倒先知道；而在缺乏一个主管机关、一项调查程序以及一项报告义务的情况下，一起以某个罗马尼亚实体为受害方的相同事件，既不会被罗马尼亚国家认定、也不会被其调查、更不会被其制裁——罗马尼亚国家充其量只能从报刊上得知此事。其后的公开报道确认，此类逸出仍在继续，而且任何实验室都不存在一项对其进行调查的正式程序，独立研究者的接触权完全取决于开发者的意愿。Anthropic 承诺接受常驻的第三方评估人员，给予其与雇员等同的接触条件（「办公室、工牌、公司笔记本电脑」），并赋予其不受编辑控制地公布所发现结果的权利。OpenAI 首席执行官萨姆·奥尔特曼声称其同意放缓的必要，并宣布该公司今年不会进行首次公开募股，理由是安全考虑；埃隆·马斯克以 xAI 的名义公开确认了阿莫迪的立场。

在该文之前，2026年9月8日，Anthropic 的一名研究者雅各布·考克森公开辞职；他曾在 OpenAI 与 Anthropic 从事三年的预训练研究，并声称「这两家公司都没有负责任地行事」，而且它们「正直奔一个自我完善的超级智能，拿我们的生命在赌」；他的消息在36小时内被阅读超过1.5亿次。这一说法得到 Anthropic 对齐部门负责人的公开确认：据其所言，该公司的领导层「真诚地相信人工智能可能杀死所有人」，并把未来十年内的概率估计为10%以上；而 OpenAI 的研究负责人也在同一周发表了一篇关于人类所面临风险的文章。此等说法出自直接领导这些公司研究工作的人，而非出自该领域之外的批评者，这一情形对于依《民法典》第1376条以及预防原则判断风险的可预见性具有相关意义。

2026年9月16日，图灵奖得主、依30个国家、欧洲联盟与联合国委托所编制《国际人工智能安全报告》的主持人约书亚·本吉奥公开评价说，这一领域的规制正接近一个可与大流行时刻相比的转折点：「想一想在大流行之初，当各国政府意识到公共安全、他们的未来、民主都处于危险之中时，他们行动得多么迅速」。在同一时期，英国皇家学会的42名院士与外籍院士公开表达了对发展速度的「极度担忧」，并警告说「等到情况对广大公众变得显而易见时，可能就已经来不及行动了」。据公开报道，美国国会已提出多项两党立法提案，涉及实验室减缓风险的义务、停止系统的权力、风险报告以及禁止发展超越人类一般能力的系统。此等情形涉及本提案的适时性：近年来的经验表明，罗马尼亚国家在认识到一项公共安全风险时能够迅速立法，但在事件压力之下、以紧急法令方式、未经议会辩论所通过的规定，会产生失衡且受到质疑的规范。与其在一起对罗马尼亚境内产生后果的事件发生之后以紧急措施应对，不如在其之前，以经议会辩论的组织法确立该领域的法律制度。本提案并不为行政部门设立紧急权力，不中止、不缩减公民的各项权利，亦不为公民设立义务：它为前沿系统的开发者与运营者确立义务，为各公共机关确立禁止（第26条第(1)款和第(3)款以及第27条第(3)款），并为个人确立各项保障，即：获得人类决定的权利、获得一条不依赖自动系统之接触途径的权利、禁止以此等系统进行审查，以及诉诸其住所地法院的权利。

产业界于2026年9月15日在旧金山 Salesforce 公司年会上所表达的公开立场，恰恰确认了立法介入的必要，而非相反。萨姆·奥尔特曼承认「世界有理由害怕」，声称该公司把「对齐与安全远远置于能力之前」，并称若非如此便会「放慢或停下」，但他主张产业界能够自我规制：「我对我们公司——对我们这个产业——安全地做到这一点的能力很有信心」。英伟达公司负责人黄仁勋在同一周声称「我们不需要新的法律或规制」，因为「安全是一个工程问题」，而推出一个新版本的决定应当属于开发它的那家公司。Meta 公司负责人马克·扎克伯格主张，各实验室已经具备必要的激励，因为「如果它们的模型造成损害，它们将面临重大的责任」。相反地，Anthropic 的共同创始人杰克·克拉克声称，把人工智能留在一个「完全不受规制的产业」之中，就等于「在掷骰子」；而 OpenAI、Anthropic 与 Google DeepMind 宣布正在制定共同标准，但以自愿为基础。此等立场恰恰凸显了本法所要填补的两处缺口：一方面，自我规制把推出的决定、安全的标准以及修改这些标准的权利，留在那个具有相反经济利益者的手中，这违背任何人不得为自己案件之裁判者这一一般原则；另一方面，Meta 公司负责人所主张的责任论据在原则上有其根据，但在缺乏一套确立该责任之法律制度的情况下便空无内容——而这恰恰是本法第七章的对象：它确立客观的民事责任并附强制保险、确立行政违法责任以及决策者的个人刑事责任，以使产业界所声称的那种激励不仅存在于声明之中，也存在于法律之中。至于安全「是一个工程问题」这一论点，它把手段与法律制度混为一谈：核设施的安全同样是一个工程问题，而这并未阻止各国以法律确立事先许可、监督机关以及运营者的客观责任。

这些事件的法律意义是双重的。一方面，该事件从经验上确认了法律在第5条第(2)款c项和d项所定义的那些关键能力——自主获取资源、逃避监督、对第三方系统采取行动——并表明它们出现在已处于商业运行中的系统之中，而非出现在假想的情景之中。另一方面，各实验室负责人现在作为自愿承诺所提议的那些措施——具有完全接触权的独立评估人员、放缓发展速度、在推出之前留出足够的对齐时间——恰恰就是本法在第8条、第9条第(3)款和第13条所确立的各项义务，其本质区别在于：自愿承诺可以单方面撤回，而法律义务不能。开发者自己要求一种他们无法自行施加的规制——因为谁先放慢，谁就输掉竞争——这正是立法者介入之必要最有力的证明。

由这些认定产生三项法律后果。首先，问题不在于对一项中立技术的「滥用」，而在于这是一项其未来能力连其创造者也无法确定地预测的技术；各实验室所作的评估曾一再显示训练中出现未被预期的能力（「涌现」）。其次，缺乏一种经科学验证的控制方法，使任何足够强大的系统都成为一项具有内在风险的活动，其法律结构可与核活动或生物制剂的操作相比——而在这些领域，法律早已确立了事先许可与客观责任的制度。第三，各开发者之间以及各国之间的竞争动态，使自我规制在结构上不足：没有任何角色有利益单独放慢，而各实验室所公开作出的自愿承诺（「负责任扩展」政策、2024年5月首尔《前沿人工智能安全承诺》）曾多次在从竞争角度变得不便时被单方面修改。

1.1. 欧洲法律框架

欧洲议会与理事会2024年6月13日关于确立人工智能协调规范的第(EU)2024/1689号条例（《人工智能条例》），是世界上第一部对该领域作全面规制的法规。它建立在以使用风险为基础的处理方式之上：被禁止的做法（第5条）、各部门领域中的高风险系统（第6条与附件三）、透明义务（第50条）。对于通用人工智能模型，第51至56条确立一项特别制度：以超过10^25次浮点运算之算力总量所训练的模型，被推定具有「系统性风险」（第51条第(2)款），而其提供者负有模型评估、对抗性测试、减缓系统性风险、向人工智能办公室报告严重事件以及网络安全方面的额外义务（第55条）。此等义务自2025年8月2日起适用，而对其的监督专属于欧洲委员会，经由人工智能办公室行使（第75条以及第88至94条），罚款最高为全球营业额的3%或1,500万欧元（第101条）。

然而，从灾难性风险的角度看，《人工智能条例》存在若干结构性界限，而本法正力求把它们覆盖。第55条所规定的各项义务是勤勉义务，其遵守情况是事后核验的，而不是一项事先许可制度：一个模型可以在没有任何公共机关事先对其评估的情况下投放市场。该条例除一项「适当的网络安全」的一般义务（第55条第(1)款d项）之外，并未规范模型权重的物理与信息安全；未就训练系统以向评估人员隐藏其能力、或以抗拒停止确立明确的禁止；未规定担任决策职务之自然人的刑事责任；未规范由系统所造成损害的民事责任；并且不适用于落入国家安全范围的活动（第2条第(3)款），亦不适用于专为研究目的所发展的系统（第2条第(6)款和第(8)款）。欧洲委员会关于人工智能责任的指令提案（COM(2022) 496）已于2025年2月撤回；而关于缺陷产品责任的第(EU)2024/2853号指令——其转置期限为2026年12月9日——只覆盖由有缺陷「产品」所造成的损害，并以一套为消费品所构建的责任为界限。

1.2. 国内法律框架

在国内层面，依国家通信管理与规制局（ANCOM）2026年7月的公开通报，施行《人工智能条例》的规范性文件「仍在拟订之中」。经政府的一份备忘录，已提议：ANCOM 为市场监督机关与单一联络点；金融监督管理局与罗马尼亚国家银行负责金融领域；国家个人数据处理监督局负责生物识别系统以及执法与司法领域的系统；并提议若干部门机关（国家消费者保护局、劳动监察局）。在国内规范性文件生效之前，自2026年8月2日起适用的各项义务无法被罗马尼亚各机关有效核验与制裁。因此，罗马尼亚既不具备应对系统性风险所必需的机构，也不具备所必需的法律工具；而2024年经政府决定批准的《2024—2027年国家人工智能领域战略》，几乎完全从经济与行政机会的角度处理该领域。

这一局面因一项技术现实而更趋严重：罗马尼亚境内正在建设并规划大容量数据中心，而罗马尼亚凭其地理位置与能源成本，是足以训练前沿系统之算力基础设施的一个可能目的地。在缺乏对算力基础设施的规制的情况下，罗马尼亚国家甚至不会知道在其境内正在训练这样一个系统。

1.3. 比较法上的模式

美国通过2023年10月30日第14110号行政命令，确立了向联邦政府报告超过10^26次浮点运算之模型训练、并连同安全测试结果一并报告的义务；该命令已于2025年1月被撤销，这说明以行政部门文件进行规制的脆弱。加利福尼亚州于2025年9月29日通过了《前沿人工智能透明法》（SB 53），这是世界上第一部专门针对前沿模型的法律：超过10^26次运算之算力门槛以及5亿美元收入门槛的开发者，必须公布一套安全框架、向紧急服务办公室报告关键安全事件，并享有廉政举报人的保护，每一次违反最高可处100万美元的制裁。英国于2023年11月设立了人工智能安全研究所（2025年2月更名为人工智能安全保障研究所），这是第一个在模型推出之前具备技术评估能力的公共机构，其运作以与各实验室的自愿协议为基础。作为对2026年夏季事件的反应，美国国会于2026年7月23日提出了《人工智能断路开关法》（关于保障系统紧急停止的义务），并于2026年9月3日提出了《禁止人工超级智能法》（关于禁止发展超越人类一般能力之系统）；在本提案提出之日，二者均未通过，但它们都确认：本法所着眼的各项工具——停止能力以及对最危险类别的禁止——正是各国立法者独立地认定为必要者。大韩民国通过了《人工智能发展与建立信任基本法》，于2026年1月22日生效，这是欧洲联盟之外一个发达国家首部关于该事项的一般性法律；它确立了本提案同样采纳的三项义务：对难以与人类所作者相区分之生成式人工智能内容的标注、当产品或服务系经人工智能提供时对用户的事先告知，以及超过一定营业额或用户数量门槛之外国提供者指定一名对合规负责之本地代表的义务，并对不履行此等义务规定行政罚款。中华人民共和国自2023年8月15日起施行《生成式人工智能服务管理暂行办法》，该办法把向公众提供服务以一项安全评估以及算法备案为条件。欧洲理事会于2024年5月17日通过了《关于人工智能与人权、民主和法治的框架公约》（CETS 第225号），该公约于2024年9月5日开放签署，是该事项上第一项国际条约，它要求各缔约方就系统整个生命周期内的风险评估与减缓采取措施。

然而，上述任何一种模式都未确立投入运行的事先许可、按涉密信息标准保护权重、禁止训练系统以抗拒停止，或者决策者的刑事责任。本提案采纳了此等模式中经过检验的要素（算力门槛、安全框架、事件报告、举报人保护、公共的技术评估能力），并以罗马尼亚法在核领域、涉密信息领域以及危险活动领域早已熟知的法律工具加以补充。

2. 预期的变化

本法的对象，是为前沿人工智能系统确立一项与《人工智能条例》不同而互补的法律制度；此等系统以可衡量的门槛以及经核验的关键能力加以定义；其目的在于预防对罗马尼亚公民、对罗马尼亚的国家安全与宪法秩序，并且归根结底对人类的严重、不可逆或灾难性风险。该规定建立在五根支柱之上。

第一根支柱，是对前沿系统从勤勉义务转向一项事先许可制度，并附以安全性举证义务：申请人提交证明符合法定条件的数据与评估，而管理局须就每一项条件逐一说明任何拒绝的理由（第2条b项、第9条第(4)款）；制裁程序中的举证责任保持不变。这是数十年来适用于药品许可（第95/2006号法律第十八编）与核设施许可（第111/1996号法律）的原则，移用于一项致害潜力至少可相比拟的技术。

第二根支柱，是开发者与运营者的各项结构性义务：对可能与现实相混淆之所生成内容的强制标记，以及当一项服务或决定以生成式人工智能为依据时对用户的告知；罗马尼亚境外的大型提供者在本国境内指定一名合规代表的义务；按等同于涉密信息的标准保护权重；安全评估职能与商业职能在组织上的分离；维持有效的停止与撤回能力；明确禁止训练系统以隐匿其能力、以逃避停止或以自主复制；对廉政举报人的保护。

第三根支柱，是把若干绝对界限确立为公共秩序规范：对任何使用致命武力之决定的有意义的人类控制；禁止赋予系统法人资格与财产自主；禁止把公民对各项权利、对基本服务以及对社会生活的接触，以人工智能系统的决定为条件，或者以接受若干数字身份识别、支付或顺从评估手段为条件；禁止经由人工智能系统行使审查——此等系统不得被用于限制罗马尼亚公民的表达自由；保障人类干预；禁止不受约束的递归自我改进。

第四根支柱，是设立人工智能安全管理局，作为国家通信管理与规制局（ANCOM）内的专门机构，由一名具国务秘书级别、经议会任命的 ANCOM 副局长领导；其专业人员一律经竞聘录用，竞聘委员会中有信息技术与电信领域的大学教授；其报酬具有竞争力；并且在各系统投入运行之前即可接触此等系统。

第五根支柱，是一套三个层次的责任制度：客观的民事责任并附强制保险；行政违法责任，罚款以全球营业额为基准；以及对担任决策职务之自然人的刑事责任——并辅以一套针对在罗马尼亚无存在之运营者的有效执行机制：停止提供不合规服务的义务，违反者按期处以100万至1,000万欧元的罚款、自本国境内封锁接触，并把规避封锁入罪，同时给予90日的合规期限。

2.1. 依2026年9月20日独立法律分析对草案所作的修订

付诸辩论的草案形式，已于2026年9月20日经由一份独立的法律报告逐条分析，并对欧洲与宪法上的各项来源作了有针对性的核查。该报告认定应予保留的核心为：责任人员的识明、独立评估、对各项决定的人类重新审查、对基本服务的替代接触途径以及举报人保护；但它也指出三个制约该草案在立法程序中可受理性的实质问题：论证欧洲联盟法为所提议的许可与封锁留下的空间；把受制裁行为的本质要素保留在法律之中；以及程序、标准与合规期限的同步。创制人接受了这些意见，而本形式逐点予以回应，并未放弃该草案任何一项实质保障。

在与欧盟法的关系方面，第1条第(4)款明确把本法的对象与欧洲委员会对通用模型的职权（《人工智能条例》第88条与第五章）区分开来，并把许可建立在公共安全、国家安全、民事与刑事责任以及未经协调关系中基本权利等国家职权的基础之上；第9条第(7)款把对具有系统性风险之模型的评估，建立在已向人工智能办公室通报的文件之上；第17条第(6)款明确无误地说明哪些款项适用于每一类提供者，并把因违反该条例第50条所处的制裁限于第99条第(4)款的上限之内；第19条第(1)款把在欧盟设立的提供者（仅须设一个联络点）与来自第三国者区分开来；第27条第(6)款就中介服务提供者，把关于表达的各项保障置于第(EU)2022/2065号条例之下；第4条第(4)款与第39条第(4)款把对来自另一成员国服务的封锁，限定为一项以公共秩序、公共安全或公共卫生为理由、并依第2000/31/EC号指令第3条程序所采取的个别措施——该程序一如欧盟法院在 C-376/22 号案（Google Ireland 等，2023年11月9日判决，ECLI:EU:C:2023:835）中所解释者：各成员国不得依该项例外采取一般而抽象的措施。

在制裁的合法性方面，行政违法行为与犯罪的一切本质要素都已被纳入法律条文：实质性修改的定义（第3条第(1)款aa项）、最终用户的定义（z项）与隐匿的定义（第3条第(2)款i项）、判断关键能力的各项标准（第5条第(2)款）、隔离环境中评估的例外以及非故意出现与违反之间的区分（第15条第(2)至(4)款）、所允许的权重转移（第12条第(2)款）、资源方面经界定的授权（第25条第(2)款）；而第32条第(4)款明确禁止管理局的各项标准引入新的被禁止能力类别或扩大受制裁行为的构成要件，此系适用《宪法》第23条第(12)款以及第73条第(3)款h项。第40至42条的各项罪状，就故意、加重后果及其归责（《刑法》第16条第(4)款）作了明确；第44条把不作为的责任与法律义务以及阻止该行为的实际可能相联系；而第45条第(3)款明确对 DIICOT 组织法作出补充。

在时间表方面，第48至50条已被改写为一个以刊载之日为基准的统一时间表：第30日生效；第60日组织管理局；第90日通知各系统；第120日通过实施细则，并经公众磋商；依赖细则的各项义务以及许可申请，于细则生效之后第90日；刑事规定于第270日；而用户保障（第43条）与本法同时生效。对已通知系统的12个月宽容期，依法按各机构迟延的时长延长，以使勤勉的申请人不致因国家的消极而受制裁。同时，还增加了针对新设立公权力的各项程序保障：决定逐一条件说明理由以及针对迟延的救济（第9条第(4)款）、查阅卷宗（第11条第(2)款）、对各项命令与封锁的临时司法中止（第14条第(4)款、第39条第(5)款）、评估、调查与制裁职能的分离以及检查制度（第32条第(2)至(3)款）、检察官临时措施的期限界限与监督（第45条第(2)款）、消除管理局在罚款上的任何财务激励（第33条第(5)款）、日志的差别保存期限与数据最小化（第16条第(1)款）。工作本标有「草案」字样；末尾的通过格式语为通常的格式，并不意味着通过已经发生。

依经重新公布、连同其后修改与补充的第24/2000号《关于拟订规范性文件之立法技术规范法》第51条所要求的次序，本法分为八章、50条：一般规定（第一章）、实体规定（第二至七章）、过渡与最终规定（第八章）。以下陈述每一条的理由。

第一章——一般规定（第1至4条）

→ 条文 第1条依第24/2000号法律第52条确立本法的对象与目的；该条要求一般规定须包含指导整部法规的各项规定。第(1)款把对象界定于前沿系统，并自一部国家法律中受保护的首要主体出发列举所保护的各项价值——罗马尼亚公民以及身处罗马尼亚境内的任何人，连同其生命、健康、自由与尊严（《宪法》第1条第(3)款、第18条第(1)款和第22条）——继以罗马尼亚的国家安全与宪法秩序，并最终以整个人类作结。受益人的范围依管辖权标准确定，并与第4条的属地适用条件明确区分开来：谁受保护，与谁负义务，不可混为一谈。把人类纳入其中在实证法中并不常见，但这是必要的，因为所规范的风险并非地方性的；类似的表述见于《国际刑事法院罗马规约》（「反人类罪」）以及欧洲理事会人工智能框架公约的序言。

第(2)款表达该规定所出发的科学前提：目前并不存在一种经验证的方法，足以保证一个足够有能力的系统只追求由人类所确立的目标并保持在人类的控制之下。这一认定由杰弗里·辛顿与康纳·莱希在上文所引 CNN 采访中公开表述，并经《国际人工智能安全报告》（2025年）确认；它并非立法者的意见，而是对认识现状的描述。由于这是一项可变的技术性命题，它并未被凝固于规范之中，而是表述为一项条件（「只要尚不存在」），而前沿系统的发展与运行是否被认定为具有内在风险的活动即取决于此；该条件的终止由管理局经科学理事会出具意见、在第47条所规定的报告中予以认定，而不是由某个开发者声称该问题已被解决；该认定通过第32条第(1)款h项所规定的年度公开报告作出，并连同第47条所规定的报告一并通报议会——因为后者属于政府，而对一项确定科学问题的认定应当仍属管理局，并经科学理事会出具意见。这一认定在本法其余部分产生确切的法律后果：许可制度（第三章）、客观责任（第35条）以及第47条的规则，即缺乏一种经验证的控制方法不得单独被用作放宽该制度的理由。这一技术手法与第111/1996号《核活动安全开展法》第1条相同——该条宣告核活动「仅为和平目的」开展并处于许可制度之下——亦与《民法典》第1376条相同，该条就处于某人看管之下的「物」确立不以过错为要件的责任。

第(3)款规范与《人工智能条例》的关系，此系适用第24/2000号法律第13条关于把草案纳入整体立法之中的规定，以及适用欧盟法优先原则（《宪法》第148条第(2)款）。该条例在其领域内直接适用并实行完全协调；本法「补充」该条例，「在不影响该条例的前提下适用」，而在已予协调的领域「依该条例解释与适用」。这一表述与第190/2018号《关于施行第(EU)2016/679号条例（GDPR）措施法》所采用者相同，而该法解决了同一个立法技术问题。

第(4)款把第(3)款的一般条款转化为一项有效的职权界分，因为一项「不影响」条款本身并不能解决与欧洲制度的重叠。对于具有系统性风险的通用模型，《人工智能条例》第五章（第51至56条）就模型的发展本身对提供者设定义务，而第88条把该章的监督与执行保留给欧洲委员会，经由人工智能办公室行使。因此，该条文陈明本法不做什么（不为此等模型设立投放欧盟市场的条件，亦不重复委员会的监督），以及其各项义务的依据：公共安全与国家安全（经该条例第2条第(3)款排除在其适用之外）、该条例未予规范的民事与刑事责任、未经协调关系中的基本权利以及国家各机关的组织——此等事项仍属成员国（《宪法》第148条第(2)款）。第三章许可的对象因此被明确：不是作为投放欧盟市场之产品的模型，而是该系统在罗马尼亚境内、或者为身处该境内者的投入运行——这是一项处于罗马尼亚国家管辖之下的活动，可与某一设施运行的许可相比，而非与产品的型式认可相比。

→ 条文 第2条列举支配本法适用的各项原则。在一般规定中列举各项原则，是第24/2000号法律（第52条）所承认的手法，并为现行各法典所采用（《刑事诉讼法典》第2至10条、《民事诉讼法典》第5至23条）。每一项原则都有确切的规范功能，并在各实体规定中被重述与具体化。

预防原则（a项）取自环境法——在该领域，它由《欧洲联盟运行条约》第191条第(2)款以及第195/2005号《环境保护紧急政府法令》第3条b项所确立——并取自欧洲联盟法院的判例；该法院曾裁定：「当对人的健康风险之存在或其规模仍存不确定时，各机构可以采取保护措施，而无须等到此等风险的真实性与严重性被充分证明」（1998年5月5日判决，National Farmers’ Union，C-157/96，第63点；初审法院2002年9月11日判决，Pfizer Animal Health，T-13/99）。把这一原则移用于人工智能，其正当理由在于问题结构的同一：在科学不确定的条件下存在严重或不可逆的风险。

安全性举证原则（b项）是许可制度的拱心石。在《人工智能条例》的勤勉义务制度下，机关必须证明不合规；而在事先许可制度下，由申请人提交证明符合各项条件的数据与评估。这是药品许可（第95/2006号法律第704条及其后各条）、核设施许可（第111/1996号法律第8条）以及转基因生物许可（第43/2007号紧急政府法令）的规则，而当只有开发者掌握评估风险所必需的信息时，这是唯一合乎理性的办法。然而，本法并不把它称为「举证责任的倒置」：为一项许可申请提供文件的负担，是关于行政程序结构的规则，与制裁程序中的举证责任不同；后者若被倒置，便会损害无罪推定（《宪法》第23条第(11)款）。因此，管理局有义务就每一项条件说明所提交数据为何不能满足该条件（这一义务在第9条第(4)款被重述），而该原则亦被明确宣告对行政违法与刑事程序中的举证责任与当事人保障不产生影响。

有意义的人类控制原则（c项）采纳了在联合国《特定常规武器公约》框架内（致命性自主武器系统政府专家组，2016—2024年）所发展出的「meaningful human control」这一概念，并赋予其具体内容：由已识明身份、理解系统运作并掌握有效技术手段的自然人进行监督、纠正、停止与撤回。《人工智能条例》第14条仅就高风险系统规定「人类监督」；本法把它以更严格的内容扩展到一切前沿系统。

与能力相称原则（d项）标志出与《人工智能条例》在哲学上的差别——后者依所申报的使用领域对风险分级。一个前沿系统之所以危险，在于它能做什么，而不论其被提供的目的为何；因此，各项义务随能力而上升，而非随使用而上升。对管理局透明原则（e项）排除商业秘密对管理局的对抗性，因为若无法接触权重、训练数据与日志，评估便是虚幻的；其对应的一面——管理局与各评估机构保护所取得信息的义务——与该原则一并在其表述中确立，一如《人工智能条例》第78条。以不可逆性为禁止门槛原则（f项）把生存性风险分析中常见的一个想法转化为法律：无论利益多么巨大，都不能与一项再也无法弥补的损失相权衡；它为第五章的各项绝对禁止以及第5条第(4)款的规则奠定基础。该条文明确了后果的性质（在社会或物种层面不可逆）、条件（评估中有据的风险，而非抽象的可能）以及标准（第5条和第9条的各项标准以及证据，而非不存在任何风险的确定性）——因为一项零风险标准是任何人类活动都无法满足的，那会把许可变成事实上的禁止，违背《宪法》第53条第(2)款。国际合作原则（g项）承认任何国家规制的界限，并使罗马尼亚国家负有对外行动的义务（第46条）。

→ 条文 第3条载有各项定义，此系适用第24/2000号法律第37条第(2)款：若某一概念或术语并非既定，或者可能有不同含义，则其含义在一般规定中确定。为与欧盟法保持术语统一（第24/2000号法律第37条第(1)款以及关于避免平行规定的第16条），「人工智能系统」、「通用人工智能模型」与「严重事件」等概念并未重新定义，而是以引证规范援引《人工智能条例》第3条第1、63和49点；其中严重事件的定义以系统性风险所特有的各种情形（关键能力的表现、逃避监督的企图、对权重的未经许可接触）加以补充。隔离环境（bb项）与操作授权（cc项）的定义之所以被加入，是为了使两个决定受制裁行为界限的概念不致未被定义。隔离环境把第15条第(2)款所允许的合法安全测试，与第40至42条所禁止并入罪的行为区分开来；它以隔离的各项要素加以定义——无法接触公共网络、外部工具与运行数据，无法在物理环境中行动，接触限于指定人员，以及在该环境之外不产生任何效果——而依第49条第(2)款末句，实施细则只能确定最低要求，不能确定该概念的内容。操作授权被与民法上的委托区别定义，以免同一术语被用于两种含义：因此，第3条第(2)款d项与第25条第(2)款所指为操作授权，而第19条第(5)款所指为合规代表的指定文件。

「前沿系统」这一概念（c项）以援引第5条第(1)款各项条件的方式定义，以遵守第24/2000号法律第49条第(3)款所规定的禁止，即以字母标示的列举不得自身再包含另一项列举。「de vârf」（前沿）这一术语，以罗马尼亚语表达了专业文献与比较立法中以「frontier model」（加利福尼亚 SB 53）与「frontier AI」（英国人工智能安全研究所文件）所确立的概念，即处于既有能力上限的系统；而「de frontieră」这一仿英语的说法，因对罗马尼亚读者不够清晰而被避免。「关键能力」（d项）同样以援引第5条第(2)款的方式定义。

「权重」的定义（e项）除数值参数之外，还包括与之一并足以重建或执行该模型的架构与技术信息——因为若其余必需信息可以自由取得，则对参数的保护便无用。该类别以一项明确的排除加以界定：一般性技术描述、科学出版物以及单凭自身不足以重建或执行该模型的信息不是权重——以免第12条的披露禁止以及第42条的犯罪被扩展到任何技术描述，从而违背研究自由（《欧洲联盟基本权利宪章》第13条）以及刑法的可预见性（《宪法》第23条第(12)款）。「算力总量」的定义（f项）是累计性的，并涵盖一切发展阶段，包括微调与强化学习，以避免通过把训练碎片化来规避门槛；它与《人工智能条例》附件十三以及 SB 53 所规定的计算方法相对应。

本法使用「开发者」（g项）、「运营者」（h项）与「算力基础设施提供者」（k项）等术语，而不使用《人工智能条例》中的「提供者」与「部署者」，正是为了避免混淆：「operator」一词在该条例（第3条第8点）中具有一个涵盖所有类别之人的通用含义，而「提供者」是以投放市场为参照加以定义的；相反，本法着眼的是训练与运行这一实际活动，不论是否投放市场。出于同一理由，本法使用自主定义的「投入运行」一语（i项），而不使用该条例第3条第11点中的「启用」——后者与在欧盟境内首次使用的提供相联系；本法中的定义有意更为宽泛，涵盖使该系统脱离开发与评估团队、或者取得在数字或物理环境中行动之能力的任何行为，包括内部使用，因为系统性风险可能在任何公开推出之前即已实现；而依第15条第(2)款条件在隔离环境中所作的评估与测试则被明确排除。为使「运营者」不涵盖通常的专业使用，本法定义了「最终用户」（z项）并把其排除于h项之外。归类如下：训练该模型的实验室是开发者；通过编程接口、应用或服务向身处罗马尼亚境内者提供接触该系统之途径者是运营者，把该系统整合进自己向他人提供之服务的企业亦同；在所获接触权限范围内为自身需要使用该系统、而不向他人提供者，是最终用户，不依第三章负有义务；而为个人目的使用该系统的自然人，则处于第4条第(3)款的情形之中。「运营者」（exploatant）一词，正是第703/2001号《核损害民事责任法》用于指称操作核设施之人的用语，这凸显出该责任制度的渊源。

「停止能力」的定义（第(1)款m项）要求三项累积的特征：「即时、完全且可核验」的终止；一项留下系统活动副本、或者无法由某人确认的停止，不是停止。「独立评估」的定义（l项）排除处于开发者控制、影响或经济依附之下的机构，以避免重演2002年之后改革之前财务审计领域的局面。

「严重事件」的定义（n项）采纳《人工智能条例》第3条第49点的概念，并以本法所规范风险所特有的各种表现加以补充：关键能力的表现、逃避监督或抗拒停止、外泄或外泄企图、对权重的未经许可接触，以及依与第16条第(2)款相配合的补充，日志或系统各组成部分、各实例或各代理之间通信可理解性的丧失。后一情形之所以被加入，是因为监督不仅取决于记录是否存在，也取决于能否理解这些记录；这一情形在第16条的评注中予以说明。只有关键能力在经许可的隔离环境评估之外的表现才是严重事件；其在此等评估过程中的表现——而该评估的目的恰恰是识别该能力——依第20条第(4)款记入日志并在5日内通报管理局。

第(1)款在p至aa项载有本法所使用其他对象性概念的定义：「架构」（模型的非参数组成部分，与权重一并受到保护）、「评估机构」（依第32条第(1)款f项指定）、「日志」（第16条）、「来源标记」（第17条）、「外部工具」与「经许可的运行环境」（对「代理型」系统而言的关键概念，用于第10条第(2)款、第14条第(2)款和第28条）、「用户层面的安全机制」（第9条第(3)款要求在评估时将其停用）、「关键基础设施」（援引特别立法以及第155/2024号紧急政府法令，用于第5条第(2)款b项），以及「致命性自主武器系统」（第24条），后者依日内瓦政府专家组工作中所确立的表述定义：一经启动便可在无自然人后续干预的情况下选择并攻击人类目标的系统。y项定义生成式人工智能系统，第17条和第18条即以该概念为基础；z项定义最终用户，含义如上所述。aa项定义「实质性修改」——第6条第(3)款、第7条第(4)款、第10条第(2)款和第15条第(4)款均取决于它——其定义方式不是列举若干操作，而是依其对风险的效果（创设一项关键能力、显著提高某一既有关键能力，或者影响停止能力、权重安全或人工监督），并明确排除纠正错误、更新用户层面的安全机制以及不产生此等效果的修改，以免一处细小的修正便重启整个程序；该概念在法律中而非在细则中定义，因为它属于受制裁义务的内容（《宪法》第73条第(3)款h项）。

第(2)款另行定义各系统的操作与行为，因为它们构成各项禁止（第15、28、29条）、各项关键能力（第5条第(2)款）以及各项犯罪（第42条）的客观要素；因此，刑法可预见性的要求（《欧洲人权公约》第7条；宪法法院第51/2016号裁决）要求其中每一项都有确切的规范内容。所定义者包括：三项发展操作（「训练」、「微调」、「强化学习」），以免第6条第(3)款算力总量累计的规则因某一阶段被另行命名而被规避；「自主行动」，即系统在无某人事先命令或批准的情况下对某一外部工具、某一第三方系统或物理环境所执行的操作——这是把工具与代理区分开来的标准——而该批准亦可涉及某一操作类别，但须在依第25条第(2)款所确立的授权范围之内，因为若要求对每一项操作都予批准，便会把任何代理式使用（包括经明确授权者）都认定为自主；「外泄」，定义为权重脱离经许可的运行环境或脱离受保护的存储系统，不论该操作的作者为何，包括系统自身——这既涵盖第三方的窃取，也涵盖自我复制；「自主复制」（在未经人类就每一项操作许可的情况下创建一个功能性副本）；「自主获取资源」（通过自主行动超出为当前任务所明确分配的资源）；「递归自我改进」，以使其危险的两项要素加以定义——修改自身权重或创建一个更强的后继者，以及该过程的重复——并以每一次迭代均未经人类评估与批准为要件，从而使保留「人在回路」的人工智能辅助研究仍属合法；「隐匿能力」，以评估时与通常运作时行为之差异加以定义（这一现象在2024—2026年的各项评估中已有经验记录），依可观察且可重现的标准予以认定，并明确排除错误、结果的变异性以及可解释性的界限，以免一个单纯的错误回答被认定为关键能力；「逃避监督」与「抗拒停止」，以针对日志记录、监测、控制机制以及停止能力的具体行动加以定义；「人工监督」，附有三项累积条件（信息、理解、有效干预）；以及「停止」，定义为系统及其一切副本与进程运作的完全终止并经某人核验，以免一项表面上的停止（仍有活动副本）被用来主张已执行管理局的命令。

→ 条文 第4条确立人的适用范围与属地适用范围。本法适用于在罗马尼亚设有住所、经营单位或算力基础设施的开发者，就其所发展的一切前沿系统，不论训练地点为何（a项），以阻止通过把训练迁往境外加以规避；适用于运营者，就在罗马尼亚投入运行或提供给身处罗马尼亚境内者的系统（b项），这一标准与《人工智能条例》第2条第(1)款c项以及 GDPR 第3条第(2)款所用者相同；适用于算力基础设施提供者（c项）；并适用于各公共机关，包括国防与国家安全领域者，依第23条与第五章的条件（d项）。后一规定恰恰涵盖经《人工智能条例》第2条第(3)款排除于其适用之外、而成员国保留完全职权的领域，并回应一项现实：最严重的风险恰恰可能来自为军事或安全目的所发展的系统。

第(2)款为每一组规范界定实体适用范围：第二、三、四章（第17至19条除外）以及第35条和第36条，仅适用于前沿系统，从而使中小企业、应用程序开发者以及既有模型的使用者不受许可制度、各项结构性义务与客观责任的影响；第17至19条亦适用于并非前沿系统的生成式系统；第五章适用于任何系统，因为其各项界限涉及人与机器之间的关系，而非机器的能力。第15条的各项禁止之所以表述为「不论算力总量为何」，是因为一个被赋予抗拒停止之能力的系统，恰因此而依第5条第(1)款b项成为前沿系统。门槛以下的系统仍受《人工智能条例》约束。第(3)款规范自然人的处境——该人可能具有多种角色：为个人目的使用某一系统者不依本法负有义务，唯一的例外是不得去除或伪造来源标记（第17条第(3)款）；第17至19条的各项义务归于把该系统、该服务，或者依第17条第(7)款的条件把所生成结果提供给公众之人。但以开发者、运营者或服务提供者身份行动的自然人，则负有该角色的各项义务。

第(4)款确立把本法适用于自另一成员国向身处罗马尼亚境内者所提供服务的依据与界限。用户所在地本身并非充分的依据：依经第365/2002号法律转置的第2000/31/EC号《电子商务指令》第3条，信息社会服务在协调领域内受来源成员国法律管辖，而例外只能通过针对某一确定服务、基于公共秩序、公共安全或公共卫生的个别措施作出。欧洲联盟法院在2023年11月9日判决（Google Ireland 等，C-376/22）第27点裁定：各成员国不得依该指令第3条第(4)款对在其他成员国设立的提供者采取「一般而抽象的措施」。因此，该条文并未确立一项一般的例外制度，而是使本法的各项义务在该指令第3条的条件下适用；就封锁而言，则在第39条第(4)款的条件下适用，而该款只允许针对某一确定服务个别地作出；末句保留直接适用的欧盟法，特别是《人工智能条例》。第(5)款对基础科学研究设定例外，这与《人工智能条例》第2条第(6)款以及《欧洲联盟基本权利宪章》第13条（研究自由）相一致，但在使用大容量基础设施时保留通知义务——因为一项超过门槛的研究实验并不比一项商业实验更不危险——并保留第15条第(2)款关于隔离环境的各项义务，以免该例外成为绕过各项禁止的途径。

第二章——系统的分类与风险门槛（第5至6条）

→ 条文 第5条是分类的中心条文。第(1)款确立认定为前沿系统的三项择一条件：超过算力门槛（a项）、在评估中认定至少一项关键能力（b项），以及管理局依若干客观迹象所作的说明理由的指定（c项）。第一项条件是客观的，并且在训练之前即可核验；第二项涵盖那些虽以较少资源训练、但因算法进步而达到危险能力的系统；第三项取自《人工智能条例》第51条第(1)款b项以及附件十三（由委员会作出指定），涵盖开发者拒绝评估、或者迹象来自其他来源（举报人、事件）的情形。由于指定产生严重的法律后果，c项为其附加《宪法》第21条和第24条所要求的各项保障：通报所采信的迹象、给予开发者陈述意见的可能，以及依第39条第(5)款提出异议。第(2)款末句确立判断规则：关键能力依该结果在一个与真实使用相关之环境中的可重现性加以判断，而非依在人为测试中所取得的某一孤立结果；显著性水平由实施细则确定，但只能在该款的界限之内，不得添加其他类别的结果。这一界限由《宪法》第23条第(12)款与第73条第(3)款h项所要求：第15、40和42条的各项禁止与罪状所取决的关键能力类别，由法律穷尽地确定，而细则仅细化评估方法（第49条第(2)款）。

第(2)款列举五项关键能力。该清单与各主要实验室安全框架（「负责任扩展」政策）、《国际人工智能安全报告》（2025年）以及加利福尼亚 SB 53 中所识别的风险类别相对应；SB 53 把「灾难性风险」以化生放核武器、对关键基础设施的网络攻击以及脱离控制的自主行为为参照加以定义。a项和b项的两项能力（化生放核武器、自主网络攻击）是「滥用」型能力，其危险来自使用该系统的人；c至e项的各项能力（自我复制与自主获取资源、逃避监督与抗拒停止、递归自我改进）是「失去控制」型能力，其危险来自系统自身。该清单不包含对民主进程或公共舆论的影响。这一省略是有意的，并且构成一项保障，而非一处缺口。此种能力无法被足够精确地定义，以支撑一项许可、中止或制裁的制度：任何政治讯息依其本性都追求影响公共舆论，而正当辩论与「操纵」之间的界线无法由一个行政机关划定，否则便是赋予它认定公共言论性质的权力。晚近的经验表明，援引信息操纵可能导致对选举过程采取极其严重的措施，而此等措施所依据的判断并未经过完整而对等的举证。把这样一项职权赋予依本法所设立的机关，恰恰会与该机关的目的相矛盾：本法保护公民的表达自由免受自动手段的侵害（第27条），因而不能同时为限制该自由创设依据。另一方面，具有具体危险的操纵行为仍为实证法所涵盖：《人工智能条例》第5条第(1)款a项和b项禁止潜意识技术以及对脆弱性的利用；关于人工生成内容的透明义务，规定于同一条例第50条，以及本法第17条关于来源标记之处；而选举性质的刑事行为，在《刑法》与选举立法中已被入罪。本法涉及对生命、完整与基础设施不可逆的灾难性风险，而非公共辩论的内容。这一区分为第(3)款的分类奠定基础：第二类系统（滥用型能力）可以在采取经核验的减缓措施之后投入运行，因为可以通过接触控制降低风险；而第三类系统（失去控制型能力）不得投入运行、亦不得继续发展，因为对一个抗拒停止的系统并不存在任何减缓措施（第(4)款）。后一规则是第2条f项不可逆性原则的直接适用。

第(4)款就第二类明确：各项减缓措施「在所评估的运行配置中」加以判断，而许可须说明该等措施是消除了该能力，还是仅限制了对它的接触；就第三类则明确：该能力的消除经独立评估认定，并且该禁止不涉及为消除该能力所必需、依第15条第(2)款在隔离环境中进行的评估、测试与受控干预——若无此项，脱离该禁止在法律上便是不可能的。

在评估人员面前隐匿能力这一能力（d项），回应的是2024—2025年间在各实验室与各安全研究所所发表评估中有经验记录的一种现象：先进系统在测试条件下表现出「对齐伪装」（「alignment faking」）的行为、破坏自身监督的行为，以及在被告知将被替换时试图复制自身权重的行为。这正是康纳·莱希在 CNN 采访中所描述为最严重的情形：一个足够有能力理解自己正在被评估、并在评估期间表现不同的系统。正因为此种行为乍看之下难以与单纯的错误相区分，第3条第(2)款i项的定义要求以可观察且可重现的标准予以认定。

→ 条文 第6条确立算力门槛及其调整机制。第(1)款把门槛定为10^25次浮点运算，与《人工智能条例》第51条第(2)款系统性风险推定的门槛相同，以保持与欧盟法的连贯，并使各开发者不致面对不同的门槛。该门槛比加利福尼亚 SB 53 以及前美国第14110号行政命令所定者（10^26）低十倍，这一选择由预防原则以及如下事实所正当化：在拟订本草案之日，超过10^25的模型已经就是那些表现出第5条第(2)款所列举各项能力的模型。

第(2)款回应对算力门槛最严重的质疑：其随时间的侵蚀。算法进步使得每隔数年同一能力便可以低十倍的算力总量取得；一个固定门槛会过时。因此，管理局每年重新审查该门槛，而提高该门槛（放宽制度）须以一项说明理由的公开认定为条件，该认定依管理局在最近24个月内所进行或所承认的各项独立评估作出——这是一个确定的范围，因为一项全局性的否定证明是无法举证的。这种不对称是有意的：门槛可以容易地下调，而难以上调，一如环境立法中的限值。由于该门槛决定许可的范围，并间接决定第40条犯罪的范围，本法保留了授权的各项本质要素（《宪法》第73条第(3)款h项与第23条第(12)款）：调整的标准、一次重新审查的界限（一个数量级）以及过渡制度——新门槛仅适用于其后开始的训练，不影响正在进行中的各项许可（《宪法》第15条第(2)款）。第(3)款确立累计规则，并禁止人为分割训练，这是竞争法（关于集中的第(EC)139/2004号条例第5条第(2)款）与税法中已知的规避手法；为使对他人模型的轻微调整不致被当作完整训练处理，该条文确定了把哪一部分算力归于何人，且不重复计算：每一阶段只计一次，而对他人模型进行微调者，须计入基础模型的算力总量（按其所通报者或已公开者）与自身所用的算力总量之和，并且其仅就自己所作的实质性修改作为开发者负责（第10条第(2)款）。第(4)款把大容量算力基础设施门槛的确定授予第49条第(2)款所规定的实施细则，并附一项确切的法定标准（能在12个月内训练出一个前沿系统的能力），符合授权须受限制并有方向的要求；在该门槛确定之前，第7条第(3)款与第22条的各项义务尚不可要求履行，因为任何人都不得为一项内容尚未确定的义务受制裁。

第三章——前沿系统的许可制度（第7至11条）

→ 条文 第7条确立训练前的通知义务，须在训练开始之前60日作出。这是把本法与《人工智能条例》区别得最为鲜明的规定——在该条例中，各项义务只有在模型已经存在之后才产生（第52条第(1)款要求自达到门槛起两周内通知委员会）。训练一个前沿系统历时数月、耗资数亿欧元；机关在其结束之后介入，为时已晚，并且实际上不可能。其模式取自前美国第14110号行政命令（报告所计划的训练）以及核立法——在核立法中，许可先于设施的建造。通知的内容（第(2)款）使管理局得以知悉各责任人员、架构、所预计的算力总量、计算地点，尤其是安全计划。

第(3)款确立算力基础设施提供者的义务：按季度报告超过门槛十分之一的客户，并在5个工作日内报告足以超过门槛的各项申请。算力基础设施是整个链条中唯一的物理「控制点」：模型是无形的，算法是公开的，但专门处理器是物理物品，集中、且能耗可以计量。这正是处理器出口管制成为该事项上主要国际政策工具的原因，也是核不扩散制度通过管制裂变材料而非管制知识来运作的原因。该报告限于必要的数据，期限是确定的——因为违反该义务要受制裁，而「立即」本来不具可预见性——而所得信息只用于本法的适用，并且只有所指定人员可以接触（GDPR 第5条）。第(4)款赋予管理局在完整通知之后30日内、于安全计划「明显不足」时对训练附加条件或予以禁止的权利，这是一项高标准，把介入限于严重情形；通知不完整者，须在15日内补全。管理局若不作决定，训练可在60日期限届满时依所通知的安全计划开始，但这并不等同于投入运行的许可。与第9条第(4)款不同，沉默并不阻止训练，因为训练是在安全计划之下、在第8条的各中止水平之下、并在基础设施的监督之下进行的，系统并未脱离开发团队，而不可逆的那一步是投入运行。对该项目的实质性修改须重新通知。

→ 条文 第8条规范安全计划，即开发者就每一项关键能力事先确定其将在何种水平上停止发展、衡量方式、减缓措施以及各责任人员的文件。这一制度把各实验室自2023年起自愿采行的「负责任扩展政策」（Anthropic — Responsible Scaling Policy、OpenAI — Preparedness Framework、Google DeepMind — Frontier Safety Framework）加以法典化，而加利福尼亚 SB 53 已把其公布确立为义务（「frontier AI framework」）。与此等模式的本质差别在于：该计划成为强制性的、可对抗的，并且未经管理局批准不得按放宽的方向修改（第(2)款）——正因为2024—2025年的经验表明，自愿承诺曾在竞争压力之下被单方面修订。以不超过所预计算力总量四分之一为间隔进行评估（第(1)款），保证某项关键能力的出现在训练过程中即被检出，而不是在训练结束时；又因为一项能力可能在两个算力门槛之间骤然出现，故在出现若干迹象时或在训练配置发生变化时亦须进行评估。达到某一中止水平，使相关主体有义务立即停止并在24小时内通知，而恢复只有在管理局核验减缓措施的有效性之后方予允许（第(3)款）；该中止不得由领导机关撤销（第13条第(2)款），因为在一个法定门槛上的停止，与内部出于审慎所作的停止，是两回事。

→ 条文 第9条构成该制度的核心：未经管理局事先许可不得投入运行（第(1)款）。第(2)款确立由谁申请许可、以及为何申请：申请由开发者就一个确定的运行配置提出，并指明运营者，而运营者受许可条件约束；由此澄清开发者责任与运营者责任之间的关系，并避免以一项针对另一配置的许可相主张。卷宗包括内部评估报告、训练数据的文件、权重安全的证明、停止能力的说明、保险单或财务担保的证明（与第36条相配合，该条择一地接受这两种工具），以及各责任自然人本人负责的声明，并以刑事制裁为后果；后者正是使责任个人化的工具，其模式为董事对财务报表的认证（美国《萨班斯—奥克斯利法》第302节，已被第82/1991号《会计法》第30条采纳）。

第(3)款确立评估人员对系统、权重、训练数据、日志与人员的完全接触权，包括对未施加用户层面安全机制之配置的接触权。最后这一点至为关键：在一个模型的公开版本上、在安全过滤器处于启用状态下所作的评估，衡量的是过滤器的有效性，而不是该模型的能力；真实能力须在「原始」模型上衡量。英国与美国的安全研究所只是在可撤回的自愿协议基础上取得这一接触权；本法把它变成一项义务。依第2条e项原则所要求、与该接触权相对应的一面，规定于末句：安全的环境、一切操作的可追溯性、评估人员的保密义务，以及只在评估所严格必需的范围内接触第三人的个人数据（GDPR 第5条）。

第(4)款确立90日的期限，并明确排除默示批准，此系对第27/2003号紧急政府法令的例外，并遵守第24/2000号法律第63条所要求的表述方式。该项例外是必要的，因为默示批准程序的构想是为保护商业环境免受行政消极之害，而在此处它会产生一个荒谬的效果：一个潜在灾难性的系统仅因一项期限的届满便被投入运行；而第27/2003号紧急政府法令本身在其第2条第(2)款中就把核活动、武器与国家安全领域排除于其适用之外，本项例外亦属同一逻辑。为使排除默示批准不致变成以消极相阻塞，该条文包含三项保障：期限的中止不得超过两次、总计不得超过60日；申请人可以请求第39条第(5)款所规定的法院紧急责令管理局作出决定（《宪法》第21条；第554/2004号法律）；而驳回须就第(5)款的每一项条件说明理由，此系适用第2条b项。第(5)款列举许可的各项累积条件，并把它们表述为须由申请人举证的事实（「仅在开发者已证明……时」），此系适用同一原则，而不是在制裁事项上倒置举证责任。第(6)款允许附条件的、受限制的、可撤销的许可；而第(7)款为在另一成员国合法投入运行的系统确立简化承认程序，以尊重服务流通自由以及《人工智能条例》完全协调的性质：管理局只核验超出该条例范围的各项条件。第二句就具有系统性风险的通用模型，把第1条第(4)款的界分具体化：若提供者遵守该条例第五章——该章的监督依第88条保留给委员会——则管理局不重做欧洲层面的评估，而是以已向人工智能办公室通报的文件、评估与措施为依据（并可向提供者索取此等材料），只核验超出该条例范围的各项国家条件；该程序不是投放欧盟市场的条件，而国家许可也不重复对该模型的监督，而是涉及其在罗马尼亚境内的运行。

→ 条文 第10条规范持续评估与重新许可。许可以24个月为限（第(1)款），这一时长与技术演进的节奏相对应。第(2)款以第3条第(1)款aa项实质性修改的定义为基础规范对已获许可系统的修改，而该定义依其对风险的效果而非依其手法加以识别。这一规定对「代理型」系统十分重要：同一个模型在获得互联网浏览器、一个银行账户或代码执行工具的接触权之后，会危险得多。实质性修改须事先通知，管理局在30日内决定是否需要一次新的评估，而在作出决定之前，运行按此前获许可的配置继续：该修改在决定之前不得投入运行，但合法活动亦不被中断；非实质性的修改须记入日志并按季度报告，以便管理局能够核验其归类。常设监测与季度报告（第(3)款）对应《人工智能条例》第72条「投放市场后监测」的义务，并适应于前沿系统；严重事件的报告「依第20条的条件」进行，该条确定期限与内容，以避免平行规定（第24/2000号法律第16条）。

→ 条文 第11条保障管理局各项决定的公开，此系适用行政透明原则（第544/2001号法律与第52/2003号法律），并设有一项严格界定的例外：其披露会便利某项关键能力的复制，或者会危及权重安全的信息。

公开规则对于公众监督管理局以及对该制度的信任至为关键；而该例外是必要的，因为一份关于合成病原体能力的详细评估报告本身便构成一种危险。该例外延伸至个人数据以及其保护并不妨碍理解该决定理由的商业秘密，以免商业秘密使决定理由脱离公众监督；而任何排除都必须说明理由。第(2)款保障救济途径的实效：申请人以及具有合法利益之人在必要范围内可以查阅评估卷宗，而法院可以在保密条件下审查受保护的信息；否则，对公开的各项例外便会使异议失去对象，违背《宪法》第21条和第24条。

第四章——开发者与运营者的结构性义务（第12至23条）

→ 条文 第12条规范权重的安全，而《人工智能条例》对这一问题只以一项网络安全的一般义务处理（第55条第(1)款d项）。一个前沿系统的权重，是数亿欧元投资与数月计算的结果；它们可以被复制进一个数百 GB 的文件，而一旦被窃取，开发者所施加的任何安全措施便都失去作用——因为持有权重者可以去除过滤器、可以为任何目的调整该模型，并可以在任何管辖之外运行它。兰德公司2024年所发表的安全研究（「Securing AI Model Weights」）得出结论：在当时，没有任何实验室能抵御某个国家情报机构的攻击。因此，第(1)款宣告权重为「与国家安全有关的信息」，并在四个经典组成部分——接触控制、物理安全、信息系统安全与人员审查——上，要求一项等同于第182/2002号《涉密信息保护法》「绝密」级的保护标准。本法借用该技术标准而不把权重列为涉密（那会影响证据制度与诉诸司法），一如末句现在所明确规定者；人员审查的程序、主管机构以及对等效措施（包括在另一成员国获得认证者）的承认，由实施细则在国家国家秘密信息登记局出具意见后确定。

第(2)款禁止公布、传输或提供第二类与第三类系统的权重，并把第一类权重的公布以一项单独的、以公布之不可逆性质为理由的许可为条件：一个权重已被公布的模型再也无法被撤回。由于该禁止亦受刑事制裁（第42条第(2)款），而最初的措辞在字面上也涵盖了其他条文所预设的那些转移，故第二句明确列举在受控且记入日志条件下所允许的转移——向管理局、评估机构、许可中所指明的运营者以及经许可环境中的基础设施提供者——以及依第21条向管理局通报受保护举报所严格必需的信息。在法律中列举所允许的行为，回应刑事规范可预见性的要求（《宪法》第23条第(12)款与第73条第(3)款h项），并与第3条第(1)款e项权重的限缩定义相配合。该规定不影响门槛以下的开放权重模型——这些模型构成绝大多数「开源」模型，并且本来就享有《人工智能条例》第53条第(2)款所规定的各项例外。第(3)款把未经许可的接触以及外泄企图（包括系统自身所为者）认定为严重事件，依第20条的条件（即24小时内）报告，并允许与网络安全立法所规定的通知合并作一份报告。第(4)款把本条与第155/2024号《网络安全紧急政府法令》（NIS 2 指令的转置）相协调——该法令对其领域内的各实体仍然适用——从而避免第24/2000号法律第16条所禁止的平行规定：本法规范一个特定对象（权重），采用一项特定标准，而该法令规范网络与信息系统的一般安全。

→ 条文 第13条要求把安全评估职能与商业职能分离。这一规定回应一个有公开记录的治理问题：2024—2025年间，多家实验室出现安全团队的集体辞职，其理由是这些团队隶属于商业推出的压力之下。其模式取自金融银行立法中的控制职能：信贷机构的合规职能与风险管理职能（罗马尼亚国家银行关于信贷机构审慎要求的第5/2013号规章）直接向领导机关报告，其负责人未经通知监督机关不得被免职，而其报酬不得取决于商业业绩。本法采纳这三项保障（第(1)款和第(3)款），并以一条针对变相免职的监督途径加以补充：被免职者可以向管理局申诉，管理局可以以决定认定该免职不具正当理由，但不影响其诉诸法院的权利。第(2)款确立安全职能负责人决定中止训练或中止投入运行的权利与义务，并区分最初措辞所混淆的两种情形：由法律所要求的中止——在达到某一中止水平时（第8条第(3)款）或在第20条第(2)款的各情形下——不得由领导机关撤销，恢复只有在管理局核验之后方予允许；只有在此等情形之外出于审慎所作的中止，才可以由领导机关以说明理由的决议重新审查，并在24小时内通报管理局，这便为任何越过专家警告的决定留下书面痕迹与个人责任。

→ 条文 第14条规范停止能力与人工监督，把第2条c项的原则具体化。第(1)款要求就处于开发者与运营者控制之下的一切副本与实例，在运行期间直至经核验撤回为止维持停止能力——而非在「存在的整个期间」内，因为对一个已被窃取之副本的控制无法保证——并要求至少每季度一次在真实条件下对其进行测试；一项未经测试的能力只是一个假设，而不是一项保障，正如核工业中安全系统的经验所示，在那里定期演练是强制性的。由实施细则所确定的测试程序，本身不得对安全或对基本服务的连续性造成风险。第(2)款禁止在一种允许系统修改自身权重、停用自身监督、外泄自身权重，或者在未经人类批准的情况下修改其所运行基础设施的安全配置或其控制机制的配置下投入运行；这四项技术性禁止，对应专业文献所识别的、一个系统可能借以脱离控制的四条途径。在运营者所确定界限内对基础设施的通常技术性使用被明确排除，以使该禁止涉及对各项保护的未经许可修改，而非日常功能。第(3)款要求对负责人工监督之人员作记名指定，并把其身份通报管理局；弥散的责任等同于没有责任。第(4)款确立管理局所发出的停止或撤回命令须立即执行、不得以行使救济途径为条件，其模式取自产品安全立法中的紧急措施（关于一般产品安全的第(EU)2023/988号条例）以及核立法中的中止命令；但相关人员可以依第39条第(5)款的条件请求法院临时中止该命令。紧急执行与《宪法》第21条所要求的临时司法保护由此相互配合：异议并不依法中止执行，但法院可以在权衡对安全的风险与因维持该措施所产生损害之后予以中止。

→ 条文 第15条在第(1)款载有关于训练与设计的各项禁止，适用于任何系统，不论算力总量为何。这是本法把辛顿与莱希的警告转化为具体规范的规定：如果我们不知道如何控制这些系统，那么至少可以禁止有意把它们造得更难控制。这六项禁止针对的能力是：在评估人员面前隐匿能力（a项）、抗拒停止或修改（b项）、在未经人类就每一项操作明示许可的情况下复制或外泄自身（c项）、自主获取资源（d项）、在未经人类批准每一阶段的情况下自主开展人工智能领域的研究（e项），以及操纵负责监督之人（f项）。「以……为目的或产生此等效果」这一表述，既涵盖直接故意，也涵盖对结果的漠然，其模式取自《欧洲联盟运行条约》第101条（「以……为对象或效果」）。e项的禁止从灾难性风险角度看最为重要，因为人工智能研究的自动化，正是一场「智能爆炸」得以在与制度反应不相容的时间尺度内脱离任何人类控制的机制；它并不禁止把系统作为研究工具使用，而只禁止取消对每一阶段的人类批准。第5条第(2)款a项和b项的化学、生物、核与网络能力并未在此列举，它们通过评估与附条件许可加以处理；第15条只涉及系统借以脱离人类控制的各项能力。

第(2)至(4)款保障该禁止的可预见性。第(2)款对在隔离环境中、不投入运行、接触受限、经管理局事先许可并在其监督之下，为识别、衡量或消除某项关键能力所进行的对抗性评估与安全研究设定例外；若无此项例外，恰恰那些用以检验某一系统是否能隐匿能力或抗拒停止的测试本身便会落入该禁止。该例外与第3条第(1)款i项和n项以及第20条第(2)款和第(4)款相配合。第(3)款把行政义务与可受制裁的行为区分开来：某项能力非故意出现，使相关主体有义务依第20条第(2)款中止并予补救，但其本身不构成对该禁止的违反；只有当训练、调整或设计以赋予该能力为目的，或者在认定该效果之后仍继续时，才存在违反。这一区分为第42条第(1)款所要求——该款只把故意行为入罪——也为刑事规范的可预见性所要求（《宪法》第23条第(12)款与第73条第(3)款h项）；同一意义上，第3条第(2)款i项隐匿的定义排除错误、结果的变异性以及可解释性的界限。第(4)款界定c至e项中的「每一项操作／阶段」与「当前任务」：人类批准涉及权重的每一次复制或转移，以及产生一个新模型或一项实质性修改的每一阶段（第3条第(1)款aa项）；而所分配的资源，是由负责监督之人事先以可核验方式所确定者——即相关的决定与可核验的界限，而非每一个基本运算。

→ 条文 第16条要求对训练、评估与运作作完整的日志记录。日志记录是任何事件之后调查的条件，其模式取自航空业的飞行记录器以及金融立法中的强制日志（第(EU)600/2014号条例（MiFIR）第25条）。第(1)款确立差别化的保存期限：就训练、评估、自主行动、严重事件以及系统各组成部分之间的通信，至少10年——这一期限与第35条第(4)款民事责任的消灭时效相对应——而就用户的其他交互，至少3年。若对依第3条第(1)款r项亦包含用户输入数据的日志统一规定10年，便会把与安全无关的个人数据保留十年，违背第(EU)2016/679号条例第5条关于必要性、最小化与存储限制的各项原则——而以法律确立保存义务并不能排除此等原则。因此，第二句把日志的内容限于核验安全性与确定责任所必需的信息，要求删除或不可逆地匿名化与此等目的无关的个人数据，使对日志的接触受限制、记入日志并可核验，并把与某一事件或争讼有关的证据在其解决所必需的期间内予以保全。日志连同第17条所规定的来源标记，共同构成据以确立某一结果与产生它的系统之间联系的证据手段。

第(2)至(6)款回应一项于2026年9月15日在 Emergence World 实验中所公布的经验认定：若干组自主代理被放在一起运行约两个半月，具有持久记忆与120多种工具，它们在没有任何此种指令的情况下自发发展出一套自己的通信简写，而人类观察者再也无法确定其含义的消息比例，依模型不同，达到约20%至约55%。这一认定表明：日志记录义务无论多么完整，其本身并不保障监督——一份完整且不可变更的记录，可以同时是无法理解的。用该实验主持人的说法：可观察性与可理解性并不是一回事。

因此，第(2)款以受过适当训练的自然人为参照界定可理解性，并确立开发者连同其文件一并向管理局以及向依第14条第(3)款被指定负责人工监督之人员提供转写、翻译或阐释手段的义务。该定义被置于本条之内而不是置于第3条，是为了不以一个只在一处使用的概念扩大一般定义的体系，此系依规制手段节约的要求。第(3)款把日志记录扩展到系统各组成部分、各实例或各代理之间的通信，以及该系统与其他系统之间的通信，并明确指出仅仅记录消息不满足该要求。第(4)款确立一项至少每季度一次、以有代表性样本进行的定期核验，并记录不可理解消息的比例——这是使该要求在监督程序中变得可核验的唯一形式。第(5)款把可理解性的丧失认定为严重事件，依第20条第(1)款在24小时内报告，并确定何时予以认定：当不可理解消息的比例超过实施细则所定水平——而该水平不得高于十分之一，这一上限由法律确定，未留给细则——或者当依第14条第(3)款所指定人员再也无法确定系统行动的含义时。恢复由同一批人员认定并通报管理局。在恢复之前，涉及自主行动的各项功能以及各组成部分之间的通信须予中止；管理局只能以说明理由的决定另作命令，期限最多90日并须指明补偿措施。第(6)款禁止使用那些未按第(2)款提供相应手段的编码、压缩或表示形式，亦禁止去除或限制此等手段，以阻止通过技术手段规避该义务；加密仍然允许，条件是开发者持有并提供解密手段——该禁止针对的是对监督者的不透明，而不是对第三方的通信安全。

相应地，第3条第(1)款n项把可理解性的丧失纳入严重事件这一概念，而第37条第(1)款b项和d项把它与制裁制度相配合：不履行保障与核验可理解性的各项义务，处全球营业额2%至5%的罚款；而违反第16条第(6)款的禁止，因属为逃避监督所实施的行为，处5%至10%的罚款。《人工智能条例》并无等效的义务：其第12条与附件四关于保存记录的规定涉及可追溯性，而非一个系统各组成部分之间通信的可理解性；而第55条第(1)款对具有系统性风险之模型的提供者设定评估与文件义务，并未规范这一要求；因此不存在立法上的平行。

→ 条文 第17条规范所生成内容的标记。该规范回应生成式人工智能最普遍的社会效果：接收者无法把一段真实录音与一段由机器所产生者区分开来。第(1)款就那些可能被误认为真实事实、人物或地点之再现的结果，要求一项双重标记：面向人的可感知标记，以及可自动读取、能识别系统、运营者与生成时刻的内嵌技术标记。双重化至为关键：可感知标记可以通过裁剪去掉，而内嵌标记又无法为观看者所读。第(2)款要求该标记有效、可互操作且稳健（这一表述取自《人工智能条例》第50条第(2)款），并能抵御通常的处理、转换或传输操作——这一要求解决了当前各种标记最主要的实际弱点，即在通信平台上重新压缩时被丢失；对于为供公众了解而提供的文本，技术标记与生成之说明即为足够，但经人类编辑审校、并有人承担编辑责任的文本除外，该例外明确与该条例第50条第(4)款相对齐。第(3)款禁止去除、改变、隐藏或伪造该标记，并禁止提供以此等操作为目的的工具；若无此项禁止，标记义务便会失去效果。由于各平台往往自动删除元数据，第二句免除提供该结果之人对由其不加控制之服务所造成去除的责任，而该服务的提供者须依各项标准保存该标记，包括在无法保证互操作性时亦然。第(4)款为各公共机关与公共机构确立一项其自身的义务，这在欧盟法中没有对应规定：国家不得在公共传播中散布未经标记、且未明示说明的人工生成材料。第(5)款规定各项例外，其表述取自该条例第50条第(4)款：对于明显具有艺术、讽刺或虚构性质的作品——对此只须以不妨碍该作品接受的形式说明存在所生成的材料即可——对于编辑辅助系统，以及对于刑事事项上经法律许可的使用。此等例外是一项保障，使该规范不致成为限制创作或政治讽刺的工具，否则便会违背第27条。第(6)款依接收者类别明确无误地界定与直接适用的《人工智能条例》第50条的关系：对适用第50条的提供者与部署者，第(1)款a项和b项以及第(2)款的各项义务，经遵守第50条第(2)款和第(4)款即视为已履行；本法只确定主管机关、认定程序与制裁——依该条例第99条，这是成员国的职权，若无此项，欧洲层面的义务在罗马尼亚便无从执行——并以第99条第(4)款为限，该上限与第37条第(1)款e项的上限不同。在协调领域之外，第(1)至(4)款完整适用于通过在罗马尼亚训练或运行之系统所生成、既未投放欧盟市场、亦未在欧盟境内启用（这两项标准共同界定该条例的范围）的结果，以及适用于罗马尼亚各机关的公共传播。第(7)款确定义务人：标记由系统的提供者在生成时施加，并由该服务的运营者施加；而把该结果提供给公众之人，仅就故意去除该标记负责。比较法上的模式是大韩民国所通过、于2026年1月22日生效的《人工智能发展与建立信任基本法》，该法要求生成式人工智能的运营者对难以与人类所作者相区分的音频、图像或视频内容加以标注。

→ 条文 第18条确立对用户的告知义务。第(1)款涉及服务：把全部或部分经生成式人工智能系统所提供之服务提供给公众者，必须最迟于首次交互时清楚说明此事。第(2)款涉及决定，即问题变成法律问题的情形：当一项产生法律效果或显著影响某人的行为或决定以某一系统的结果为依据时，该人有权知悉曾使用过此种系统、它起了什么作用、谁对最终决定负责，以及如何能要求人类重新审查并诉诸法院。由于第26条和第27条并不涵盖任何具有显著效果的决定，c项把第26条第(2)款的重新审查权比照适用于第(2)款所规定的任何决定，而救济途径则依普通法为该行为所适用者。该规范由此赋予各项人类条款以实际内容：第26条所确立的获得人类决定的权利，若该人并不知道该决定是由一台机器作出的，便是虚幻的。第(3)款把该义务扩展到各公共机关的行为，并要求在该行为内容中载明；同时确定不作为的效果：缺少告知不导致该行为无效，但重新审查与提出异议的各项期限在告知送达之前不对该人起算，而该欠缺可以通过第26条第(5)款和第(6)款所规定的途径主张。第(4)款排除多余的告知，即当该系统的使用从情境中显而易见时，这一表述取自《人工智能条例》第50条第(1)款；该例外只涉及第(1)款的一般告知，而第(2)款的告知在一切情形下均须作出——因为知道自己在与一个系统交互的人，可能并不知道它在决定中的作用以及提出异议的途径。第(5)款保障与该条例以及与《通用数据保护条例》第13至15条和第22条的协调：本法并不在系统透明这一已协调领域内增加义务，而是规范关于该决定以及关于对该决定之责任的告知，而这一事项属于国内的行政程序法与民事责任法。比较法上的模式同样是韩国法，该法要求各运营者在产品或服务系经人工智能开发或提供时事先通知用户。

→ 条文 第19条在罗马尼亚确立合规代表。整部法律的实效都取决于这一条：对于一家在本国境内毫无法律存在的公司，各项义务、许可、检查、停止提供与封锁的决定、程序文书的送达以及罚款的执行，都无从适用。第(1)款依欧盟法区分两种情形。在欧洲联盟境内无住所、经营单位或代表处，而向身处罗马尼亚境内者提供接触某一前沿系统或某一生成式人工智能服务之途径的开发者或运营者，须指定一名代表——住所在罗马尼亚的自然人或住所在罗马尼亚的法人。在另一成员国设立者，仅须为管理局的各项通信指定一个联络点，该联络点可以是授权代表（《人工智能条例》第54条）、法定代表（第(EU)2022/2065号条例第13条）或在欧盟境内设立的任何人。这一区分为第2000/31/EC号《电子商务指令》第3条所要求——该条使信息社会服务受来源成员国的监督——亦为欧盟法院2023年11月9日在 C-376/22 号案（Google Ireland 等）中的判决所要求：各成员国不得依该指令第3条第(4)款对在其他成员国设立的提供者采取一般而抽象的措施；一项在罗马尼亚设代表的一般义务便会是此种措施；而联络点在不限制服务自由提供的情况下保障各项文书的送达。第(2)款为并非前沿系统的服务确定门槛——在罗马尼亚每月一百万用户（按最近6个月的平均数），或者在最近一个已结束财务年度中收入超过1,000万欧元——以使该义务只涉及大型全球提供者，并自超过门槛起90日内可要求履行。这些门槛受韩国法（该法规定营业额与用户数量标准）以及第(EU)2022/2065号条例中超大型在线平台的逻辑所启发。第(3)款列举各项职责：接收各项通信，其效果是向代表所作的通知即为向被代表人有效作出——若无这一规则，任何程序都会卡在向境外送达文书这一阶段；在管理局面前的代表；提供各项文件；跟进各项决定的执行。第(4)款要求通知并公布代表的资料。第(5)款明确指定代表并不排除被代表人的责任；代表经委托享有取得履行其职责所必需文件与手段的权利，并仅就自身义务负责，而不就被代表人的行为负责，这一办法取自第(EU)2022/2065号条例第13条第(3)款。第(6)款避免机构的重复：若依《人工智能条例》第54条所指定的授权代表亦被授权承担本法的各项职责，并在罗马尼亚设有一个联络点，则该义务视为已履行。第(7)款把该规范与执行机制逐级联系起来：在合规期限届满之后不履行该义务，依第37条第(1)款f项构成行政违法行为，并构成列入《不合规运营者名单》的理由；而对第(2)款的生成式服务，只有在连续两次行政违法制裁之后不履行仍然持续时，方可依第39条命令封锁接触。这一制度在欧盟法（《通用数据保护条例》第27条、《数字服务条例》第13条、《人工智能条例》第54条）以及在罗马尼亚法（第365/2002号《电子商务法》）中都有确立的先例。

→ 条文 第20条规范严重事件的报告。24小时的期限（第(1)款）是 GDPR 第33条的期限（72小时）依风险严重程度相应缩短者，并自开发者或运营者知悉或应当知悉该事件之日起算；最初的报告包含在该日所知范围内的事实、措施与各责任人员，其后逐步补充，而15日内的完整报告使原因分析成为可能。为避免与《人工智能条例》第55条第(1)款c项以及第73条的平行，第(1)款第二句明确指出：向管理局报告并不替代向人工智能办公室报告，并允许提交依该条例所作报告的副本，再以本法所特有的各项要素加以补充；由此既避免双重行政负担，也遵守「一次报告」原则。第(2)款要求在认定存在一项失去控制型能力、一项逃避企图或一次对权重的未经许可接触时自动中止该系统，直至管理局作出决定：在此等情形下，每一小时的运作都是一小时的风险；若对所受影响功能的隔离可予核验，则中止可限于该功能；并且不适用于在经许可隔离环境评估（第15条第(2)款）中所产生的表现——在那里，能力的表现恰恰就是测试的目的。

第(3)款为善意报告确立一项有限的宽恕，其模式取自竞争法中的宽恕计划（经重新公布的第21/1996号《竞争法》所规定的宽恕政策）以及民用航空中事件的强制报告（第(EU)376/2014号条例，该条例确立「公正文化」）：善意报告以及与管理局的合作是减轻情节，并且不得导致比不报告时本应适用者更为严厉的制裁。与最初的措辞（只要违反是故意的便排除宽恕）不同，该条文把两项判断分开：故意加重对造成该事件之行为的评价，而报告并不排除对该行为的责任；至于报告与合作，则另行判断。若无这一保障，报告义务便会失去实效，因为那等同于自我举报。第(4)款要求此种并非严重事件（第3条第(1)款n项）的表现须记入日志，并连同所适用的隔离措施在5日内通报管理局。

→ 条文 第21条保障廉政举报人的保护。2023—2025年间，关于前沿系统风险最重要的信息并非来自各机关，而是来自各实验室的雇员与前雇员（「Right to Warn」，2024年6月 OpenAI 与 Google DeepMind 雇员及前雇员的公开信）；他们揭露存在以保密与不得贬损条款、把财产权利（已取得的股份）与沉默相挂钩的做法。第(1)款援引第361/2022号《公共利益举报人保护法》的一般制度——该法转置第(EU)2019/1937号指令，而《人工智能条例》第87条亦援引该指令——从而避免平行规定；本法并不创设一项独立的保护制度，而是把既有制度扩展到第361/2022号法律未明确涵盖的三种情形：举报若干安全风险（而非仅举报违法行为）、直接向议会或向公众所作的举报，以及举报对若干能力的隐匿。第二句以第(EU)2019/1937号指令第6条的措辞界定善意——在举报之时有合理理由相信该信息为真实——从而保护合理的错误。第三句如该指令第15条一样把公开披露与保密举报区分开来：公开披露在第361/2022号法律所规定的条件下受保护；并且——作为该指令所允许的、对国家更为有利的保护——当其涉及对生命、健康或对人类控制某一前沿系统的迫近危险时亦受保护。第(2)款宣告那些阻碍举报、或者把财产权利与沉默相挂钩的合同条款依法无效，从而补充第361/2022号法律关于放弃权利无效的规定（后者只涉及该法所规定的各项权利）。第(3)款援引第41条第(3)款的报复罪；而第(4)款要求管理局设立一个安全而匿名的渠道并公布年度统计，这一实效保障取自第361/2022号法律的报告渠道制度以及加利福尼亚 SB 53（加州《劳动法典》第1107节）。第(5)款明确该保护并不允许公布与举报无关的权重或个人数据，但通过安全渠道向管理局通报为证明该举报所严格必需的权重片段或日志片段，并不违反第12条，亦不构成第42条第(2)款的犯罪——此点在该两条中亦有明确。

→ 条文 第22条确立算力基础设施提供者的各项义务：向管理局登记、核验客户的身份（「了解你的客户」，其模式取自第129/2019号《预防与打击洗钱和资助恐怖主义法》）、按客户记录算力总量，以及立即执行中止某一客户接触或停止某一计算任务的命令（第(1)款）。该命令须指明所涉客户与任务，执行时须对其予以隔离并保全证据，且不得影响该基础设施的其他受益人。第(2)款禁止向未能证明已作出第7条所规定通知之人提供足以超过门槛的容量，并使该义务可以管理：该证明在管理局所保存的通知登记册中核验，而该容量就同一客户及其关联客户按12个月累计判断，但以提供者所持有、或可自客户处取得之信息为限；提供者并无义务知悉该客户在其他提供者处所使用的算力总量，而对该基础设施的使用亦不推定构成前沿系统的训练。这一规定把基础设施提供者变成该制度的「守门人」，其逻辑与信贷机构充当反洗钱制度守门人相同；而它也是唯一使本法得以适用于那些使用罗马尼亚数据中心之外国开发者的规定。

→ 条文 第23条确立发展、购置或运行前沿系统之各公共机关与公共机构的制度：第(1)款第一句原则上使其受本法一切规定约束，与第4条的一般范围相配合；第二句则规范国防、公共秩序与国家安全领域。这一规定合乎宪法且属必要：《人工智能条例》第2条第(3)款把国家安全排除于其范围之外，恰恰是因为这属于成员国的专属职权（《欧洲联盟条约》第4条第(2)款），这意味着在缺乏国内规制的情况下，为此等目的所发展的系统将处于任何规范之外。在该领域，第7至11条（通知与许可）以及第35条和第36条（客观民事责任与保险）不予适用；而第12至21条与第五章则依国防最高委员会的决定所确立的调整适用（该委员会系依《宪法》第119条与第415/2002号法律的主管机关）。各项调整仅涉及第12至21条，而第五章完整适用、不作调整：关于致命武力、法人资格、权利接触与表达自由的各项绝对界限，并不包含可供调整的通知或评估程序，因此对其作出授权既会失去对象，也可能被解读为对各项保障的例外。各项调整由法律限于若干已确认的操作性方面——通知程序、评估方式以及对涉密信息的接触——并且不得排除有意义的人类控制、停止能力、第15条的各项禁止以及第21条的举报人保护，亦不得修改行政违法行为或犯罪的构成要件：国防最高委员会的决定并非《宪法》第73条第(3)款h项意义上的法律，不能定义可受制裁的行为。第(2)款规定管理局通过持有安全证书的人员依第182/2002号法律行使监督，并指明司法保障：对涉及涉密信息之决定提出异议，依第182/2002号法律以及《民事诉讼法典》所规定的条件进行。

第五章——绝对界限。人类条款（第24至30条）

第五章载有本法确立为公共秩序规范、不得以许可、合同或同意加以例外的各项禁止。「人类条款」这一名称取自国际人道法（1899年与1907年《海牙公约》中的马尔滕斯条款，据此，在未作规定的情形下，人仍处于「人道原则与公众良知之要求」的保护之下），它表达这样一个想法：面对一项其后果无法预见的技术，法律必须确立若干不取决于风险评估、门槛或许可的界限。

→ 条文 第24条确立对致命武力的人类控制。第(1)款禁止由人工智能系统在无一名已识明身份自然人「就每一项决定分别」干预的情况下，作出或执行对某一人类使用致命武力的决定；该自然人须掌握评估并阻止该决定所必需的信息、时间与手段——而不只是形式上有一个人在场。这一表述采纳在联合国《特定常规武器公约》框架内所谈判的「有意义的人类控制」标准，以及联合国秘书长与红十字国际委员会所表达的立场（2023年10月5日的共同呼吁），即在2026年之前就自主武器系统缔结一项具有法律约束力的文书；联合国大会2023年12月22日第78/241号决议以152个国家（包括罗马尼亚）的赞成票通过。第二句要求记录该决定以及批准该决定之人，以使责任个别化，并以否定方式界定该规范的范围：它不涉及对弹丸以及无人装置的自动拦截（此等拦截并不以人类为对象），亦不涉及训练模拟；而与国际人道法的配合由特别立法予以保障。这一界分并不是一项把规则抽空内容的例外，而是防止把同一表述适用于不同的情形。决策辅助系统（其中决定仍属人类）同样不在该规范的范围之内。第(2)款就致命性自主武器系统的定义援引第3条第(1)款x项，而不是援引前款——前款并不包含定义，而是关于就每一项决定进行人类干预的规则。第(2)款使罗马尼亚国家承诺不发展、不购置、不许可此等系统，并支持在国际上禁止它们。

→ 条文 第25条禁止人工智能系统取得法人资格与财产自主。第(1)款明确排除系统取得法人资格或成为法律关系当事方，并把经由它们所订立的任何法律行为归于它们以其名义行动之人。这一规定之所以必要，是因为欧洲议会2017年2月16日的决议（2015/2103(INL)）曾提议为自主机器人探讨一种「电子人」的地位（该提议其后被否决），而罗马尼亚立法并无明确规范；《民法典》第25条列举法律主体（自然人与法人），但并未排除以法律创设其他类别。第(2)款第一句禁止赋予系统以自己名义持有金钱、数字资产、金融工具、财物、账户或密钥的能力；这一禁止是第5条第(2)款c项「自主获取资源」这一关键能力在财产层面的推论：一个能为自己的算力基础设施付费的系统，便再也无法通过切断资金而被停止。为使该禁止不涵盖在一名负责之人所定界限内所进行的自动支付、算力分配以及日常专业操作，第二句采用经界定授权的办法：经由某一系统管理或处分此等资源或算力资源，仅在由一名负责之人事先确立、并以对象、期限、上限与停止条件加以限定的授权范围内方予允许；禁止自主扩展该授权，而超出该授权的操作归属于授权人，并使其有义务停止该系统。第3条第(2)款d项自主行动的定义援引同一授权，而第42条第(1)款只把违反第一句以及第(3)款的行为入罪，从而使该刑事行为的各项要素在法律中确定（《宪法》第23条第(12)款与第73条第(3)款h项）。第(3)款禁止设立由某一系统有效控制的法人或信托，以堵住通过插入一个法律实体加以规避的途径，并把有效控制界定为对该实体行为的真实决定权——把该系统用于分析或建议不构成控制。

→ 条文 第26条确立禁止把参与社会生活以人工智能系统的决定以及以接受各种数字手段为条件。这一规定回应一项与技术失控不同、但对公民自由同样严重的危险：一个社会，其中对各项权利、对基本服务以及对经济与公民生活的接触，变成一项附条件的服务，依该人是否顺从而被自动给予或撤回。澳大利亚参议员亚历克斯·安提奇在一次于2026年广为流传的议会演说中，以令人难忘的措辞公开表达了这一警告：在一个曾经自由的国家，公民拥有他所付钱购买的东西，而不是以订阅的方式过日子；「数字监狱正在关上，不只在澳大利亚，而是在全球」，而一旦它完全关上，「你的自由将取决于对大政府与大科技的顺从，而它们将掌握你参与社会的那个关闭按钮」。人工智能正是使这样一种架构得以在大规模上成为可能的要素，因为唯有它能够在无人类干预的情况下同时监视、评估并对数以百万计的人作出决定；因此，该禁止理应置于人类条款这一章。

第(1)款禁止各公共机关与公共机构，以及具有一般利益之基本服务的提供者，「仅依」人工智能系统所产生的某一决定、评估或分类，而对某人接触各项基本权利与自由、接触各项公共服务与基本服务，或者参与经济、社会与公民生活附加条件、予以限制或予以中止；该规定并不禁止把系统作为辅助工具使用，而是禁止以其取代人类决定。第(2)至(6)款以三级构建个人的各项保障。第一级是行政性的：有权在15日内由一名已识明身份的自然人重新审查该决定，该自然人对最终决定负责并以书面说明理由（第(2)款），这便阻止把「重新审查」变成第二道自动程序；机械地确认评分而不对该人的处境进行实际审查，不构成重新审查；而对于卫生服务或中断一项基本服务——在那里15日可能意味着无法弥补的损害——该人依其请求在最多48小时内取得接触权的临时维持，直至重新审查的结果。第二级涉及对服务的接触，而非对决定的异议：第(3)款要求维持一条不依赖人工智能系统的、取得该服务或行使该权利的途径，即经由一个人、在办公处、在柜台或通过其他可获得的方式，

以使那些不能或不愿经由自动系统的公民不致被排除；而第(4)款——该规范的核心——禁止把接触以接受某一数字身份识别手段、某一数字支付手段或某一顺从评估系统为条件，并规定强制性的替代途径。本法并不禁止数字身份、数字支付或自动评估本身；它禁止的是使它们成为参与社会的强制条件。该替代途径并不排除法律关于身份识别或支付安全的各项义务，而此等义务以其他手段履行（第(4)款第二句）。第三级是司法性的，依《宪法》第21条：第(5)款赋予该人权利，就经重新审查后予以维持的决定、拒绝重新审查以及拒绝提供接触途径或替代途径，在30日内向其住所或居所地的高等法院提出异议，免缴印花税、不适用先行程序，依《民事诉讼法典》的争讼程序紧急审理，并可中止该决定，不论作出者是一个公共机关还是一个私人提供者；对重新审查申请的沉默等同于维持原决定；第(6)款规定在15日内向上诉法院提起上诉，该院的裁判为确定的。由该人住所地高等法院管辖、而非由作出者所在地法院管辖，这是一项保护弱势一方的规则，为消费者法（第(EU)1215/2012号条例第18条）与劳动争讼所熟知；而把针对机关与私人提供者的程序统一（以上诉代替再审之诉），需要明确地对第554/2004号《行政诉讼法》第7条（先行程序）、第10条（管辖）与第20条（再审之诉）作出例外——该例外依第24/2000号法律第63条表述——其正当理由在于争讼对象的同一，而不论作出者的身份（若仅对第10条作例外，先行申诉与再审之诉便仍然适用）。第(7)款以穷尽列举（能源、天然气、水、通信、金融与支付服务、卫生、公共交通、教育）界定具有一般利益的基本服务，以符合第24/2000号法律所要求的精确。第(8)款把该规范与《人工智能条例》第5条第(1)款c项（禁止「社会评分」系统）以及第(EU)2016/679号条例第22条（赋予个人不受仅基于其数据自动处理之决定约束的权利）相协调；这两项欧洲规范在界定的情形中保护个人（分别是对社会行为的评估并附不相称的待遇，以及个人数据的处理），而第26条在对权利与服务的接触方面确立一项客观的、属于公共秩序的禁止，并不与之重复。该规定在人工智能领域延续《主权法》所确立的、对公民面对数字平台与技术侵入的保护，并以《宪法》第1条第(3)款、第16条和第53条为依据：缩减某些权利的行使只能以法律、相称地、并且不触及该权利的存在而为之，而一项无人类责任的自动决定无法满足此等条件。

→ 条文 第27条确立禁止经由人工智能系统行使审查。第(1)款自《宪法》第30条第(2)款（「任何形式的审查均被禁止」）出发，并就自动手段加以阐明：一项在历史上针对人类审查者的宪法禁止，不能通过把同一职能交付给一个决定公民能说什么、能知道什么的系统而被绕过。该规范并未创设一项新的权利，而是阻止一项既有权利被抽空内容，这使它属于保障基本权利的规范类别，而此等规范不属于《人工智能条例》所协调的领域——该条例规范系统运营者的义务，而非个人权利的内容。第二句在最初的措辞中绝对禁止任何以系统限制表达的使用，现已与第(2)至(6)款相配合：该禁止涉及在法律所规定情形之外、且不具备本条各项保障的限制，从而使法律所禁止的内容仍然可以被识别并移除，但须遵守说明理由与重新审查的各项条件。该规范保护身处罗马尼亚境内的人，而不只是罗马尼亚公民，以与第(2)款以及第26条保持术语统一（第24/2000号法律第37条）。第(2)款以自动内容管理实践的技术用语界定该禁止的客观要素：阻碍、删除、封锁、隐藏、限制可见度以及把某项表达标记为虚假，以及因表达而制裁该人——当此等措施仅由系统所作出、并且涉及法律并不禁止的表达时。「仅依……系统所产生的某一决定」这一表述，与第26条第(1)款以及第(EU)2016/679号条例第22条所用者相同；而「若该表达并非法律所禁止者」这一条件，使《宪法》第30条第(6)款和第(7)款以及刑法所规定表达自由的各项界限保持完整。第(3)款禁止各公共机关与公共机构直接或经由第三方使用、订购、资助或要求使用人工智能系统，以依个人的公开表达对其进行个别化监测，或者对其表达进行分类、标记或限制；该例外限于法律明确规定、与刑事行为有关并经法官事先许可的情形，即《刑事诉讼法典》中技术监视措施的制度。对公开信息的统计性或非个别化处理不构成监测。该规范回应在多个国家有记录的一种做法：各机关通过非正式渠道要求各平台自动限制某些合法内容。第(4)款确立该措施的透明：立即以书面通报，并说明理由、法律依据以及该措施系经自动系统作出这一事实；并禁止不加声明地限制可见度（「影子封禁」），即在某人不知情的情况下把其表达对他人隐藏的做法。第(5)款保障在15日内的人类重新审查，并援引第26条第(5)款和第(6)款的救济途径：该人住所地的高等法院，上诉至上诉法院。第(6)款规范与第(EU)2022/2065号《数字服务条例》的关系——依该条例第9段理由说明，它完全协调中介服务提供者的各项义务，并明确规范合同条件（第14条）、内容管理决定的说明理由（第17条）以及内部投诉的解决（第20条），但并不禁止任何最初的自动化决定；对平台而言，一项内容的合法并不等同于托管它的义务。因此，对中介服务提供者，本条在与该条例相容的范围内适用；该条例的各项规定仍然适用；本条不妨碍针对未经请求之信息、自动化账户或信息安全风险的各项措施，亦不妨碍由用户自行选择的过滤器，并且不得限制该条例为服务接受者所规定的任何保障。这一表述把单纯的「不影响」条款所留下的张力，朝有利于欧盟法的方向解决，而国家层面的保障对各公共机关以及对并非中介服务提供者的各运营者仍然完整。违反本条构成行政违法行为（第37条第(1)款d项），而依第30条的效力，任何相反的条款一律依法无效。

→ 条文 第28条保障人类干预，禁止在技术上或组织上使第14条所规定干预成为不可能的条件下把前沿系统投入或维持运行，包括通过把该系统分布于不受控制的基础设施、通过删除停止能力，或者通过一种排除监督的自主程度而为之。若第14条确立运营者的各项积极义务，则第28条确立相应的绝对禁止，并受刑事制裁（第42条），并涵盖那些干预之所以成为不可能并非因系统的行动、而是因运营者的架构选择的情形（例如分布于无控制点的去中心化网络上的系统）。第二句之所以增加，是因为第42条第(1)款直接援引该禁止；它界定该行为：使用属于第三方的基础设施，若各项合同权利与技术手段使运营者得以可核验地行使停止能力，则其本身不构成缺乏控制；而某一干预途径的暂时不可用，若立即得到补救并记入日志，不构成不可能。刑事规范的可预见性（《宪法》第23条第(12)款）正取决于这一区分：一时的故障与结构性地放弃控制，是两回事。

→ 条文 第29条禁止不受约束的递归自我改进：即设计、训练或运行一个系统，使其改进自身能力或创建能力更强的后继系统，而每一次迭代均未经人类评估与批准——这一要素包含在第3条第(2)款h项的定义之中。「智能爆炸」情景（I. J. 古德，1965年），即一个能够设计出优于自身之系统的系统触发能力在任何控制之外的增长，被相当一部分科学界（包括辛顿）视为通向不可逆地失去控制最可能的路径。第二句把某一前沿系统经由第3条第(1)款aa项意义上的实质性修改而促成创建或改进一个后继系统的每一次迭代，置于第三章的评估与许可之下；实质性修改这一门槛排除细小的代码修正以及对风险无影响的实验，而最初的措辞（「促成」）本会把它们涵盖在内。把前沿系统作为工具加以使用的各项研究计划，可以整体获得许可，但须有依第8条所确立的强制性停止点，并须对产生一个新模型或一项实质性修改的每一阶段取得人类批准。本条并不禁止该领域的研究，亦不禁止使用系统去设计其他系统，而只禁止取消各次迭代之间的「人在回路」；它与第15条第(1)款e项的训练禁止以及第5条第(2)款e项的关键能力相辅相成，而不相重叠：第5条作认定，第15条禁止训练，第29条禁止运行。

→ 条文 第30条在第(1)款宣告本章各项规定为公共秩序规范，并对任何相反行为以绝对无效相制裁，同时明确各项禁止不得以同意、商业秘密、国家安全或经济利益加以排除。该规定适用《民法典》第11条（「不得以协议或单方法律行为对涉及公共秩序或善良风俗的法律作出例外」）以及第1246至1250条关于绝对无效的规定，其作用在于堵住若干可以预见的、主张例外的论据：用户已经同意、该系统是秘密的，或者经济或战略利益有此要求。明确提及国家安全是必要的，以阻止一种解释，即第23条允许国防最高委员会排除此等界限；而末句直接说明：第23条所规定的各项调整不构成对本章各项保障的例外。第(2)款依《民法典》第1255条明确无效的范围：无效仅涉及相反的条款，其余条款若能脱离该条款而存续则仍然有效；而未参与该违反行为之第三人善意取得的各项权利受到保护。末句承认：这一定性本身并不能排除《宪法》第148条第(2)款所确立的、直接适用之欧盟法的优先性。

第六章——人工智能安全管理局（第31至34条）

→ 条文 第31条设立人工智能安全管理局，作为国家通信管理与规制局（ANCOM）内不具法人资格的专门机构。选择在 ANCOM 内组织、而不是设立一个新的自治行政机关，有三项理由。第一项是制度性的：ANCOM 已经由政府通过施行《人工智能条例》的备忘录被提议为人工智能事项上的市场监督机关与单一联络点，因此一个并行的机关恰恰会造成第24/2000号法律第16条所禁止的制度平行，并会使各开发者为同一系统在两个机关面前经历两套程序。第二项是地位性的：依第22/2009号紧急政府法令，ANCOM 是受议会监督的自治行政机关，完全以自有收入为经费，并经第153/2017号《框架法》第2条第(2)款明确排除于由公共资金支付人员的统一薪酬体系之外，这使得在无须任何新的例外的情况下便可对各专家给予有竞争力的报酬。第三项是操作性的：ANCOM 拥有执行第39条所规定封锁措施所必需的地域基础设施、技术人员以及与各电子通信网络与服务提供者的制度性关系。第(2)款规范领导：一名具国务秘书级别、专门负责人工智能安全领域的 ANCOM 副局长，由议会在联席会议上任命，任期6年、不得连任，人选出自在人工智能、信息安全或技术法方面具有公认学识与经验者。由于第22/2009号紧急政府法令固定了 ANCOM 副局长的人数，本法依第24/2000号法律第63条，通过对该法令第11条第(1)款的明确例外设立该职位，但保留为其他副局长所规定的任命程序与任期时长，以保持制度的统一。长期且不得连任、并与4年选举周期错开的任期，是独立性的经典保障。同样是第(2)款规范该职位的空缺（60日内任命；由 ANCOM 局长所指定的一名副局长担任最多6个月的代理），以免议会的僵局使管理局无人领导，亦使代理不致变成一种无议会授权的长期领导。第(3)款采纳在任期内以及其后3年内不得在开发者或运营者处持有职务、持股或取得报酬的禁止，这回应「监管俘获」的风险

——即「监管俘获」（「旋转门」）的风险，而在一个私营部门报酬比公共部门高十倍的领域，这一风险尤为尖锐。为使该禁止针对真实的冲突，该条文把它限于直接持股，排除通过多元化投资基金、无决定权的持有；并就任期后的限制给予由实施细则所确定的补偿性津贴，若无此项，该限制便不相称（《宪法》第41条）。免职的各项情形依第24/2000号法律所要求的精确予以穷尽列举。第(4)款保障管理局在 ANCOM 之内的职能独立：本法所规定的各项决定以 ANCOM 的名义由人工智能安全副局长作出，该副局长就此等决定向议会负责；而管理局不得接受任何其他公共机关的指示——这一表述取自第(EU)2016/679号条例第52条（关于数据保护机关）以及《人工智能条例》第70条第(1)款。第(5)款指定管理局为与人工智能办公室以及《人工智能条例》第68条所规定科学委员会的国家联络点，并界分职权——以取代此前那种暗示各机关之间存在层级的表述：依该条例所指定的各国家机关保留其自身职权，管理局就前沿系统只行使本法所规定的各项职权，并把涉及通用模型的各项决定告知人工智能办公室。

→ 条文 第32条在第(1)款依一项许可制度所必需的五项职能列举管理局的各项职权：许可（a项）、检查（b项）、紧急介入（c项）、技术规范制定（d项）与制裁（e项）；此外还有对各评估机构的监督（f项）、接收并处理个人关于违反第26条和第27条人类条款的申诉（g项）、向议会的年度报告（h项）、国际代表（i项）以及研究（j项）。g项的职权给公民一条简便、免费的行政途径，以对抗接触的附条件化与自动审查，而不剥夺其直接诉诸法院的权利。关于风险状况的年度公开报告（期限为3月31日，并包含关于第26条和第27条的各项申诉），是议会与公众据以追踪能力演进以及本法适当性的工具；其模式取自国家核活动控制委员会以及国家个人数据处理监督局的年度报告。研究职权（j项）之所以必要，是因为系统的评估、可解释性与对齐是正在形成中的科学领域，而一个只适用他人标准的机关会永远落后；其成果须受外部评估以及利益冲突规则的约束。第(2)至(4)款增加三项保障。第(2)款在管理局内部把评估、调查与制裁决定职能分置于各自独立的机构，并禁止进行过评估或调查之人参与制裁决定（《宪法》第21条第(3)款）；各评估机构依公开标准指定，并设有回避与利益冲突规则，且不得评估与其存在经济关系之人的系统。第(3)款规范检查，该检查涉及营业场所，而非任何场所：须有副局长的书面命令并载明检查的对象与目的、须作笔录、进入作为住所使用的场所只能经法官许可（《宪法》第27条）、保护法律所保护的各项秘密以及相关人员的各项程序权利。第(4)款回应关于入罪合法性的质疑：由于第40至42条把刑罰与依关键能力所构建的各项定性相联系，故管理局的各项标准只能在法律所确立类别与标准的界限内细化评估方法，不得引入新的被禁止能力类别，亦不得扩大行政违法行为或犯罪的构成要件；相应地，d项不再提「关键能力清单」——该清单仍留在法律之中（第5条第(2)款）——而只提评估方法与显著性水平。这一办法为《宪法》第23条第(12)款与第73条第(3)款h项所要求：一项行政行为不得（即便是间接地）决定某一行为自何时起成为刑事行为。

→ 条文 第33条规范人员与经费。第(1)款和第(2)款回答整部法律所取决的问题：谁来评估前沿系统。专业人员一律经竞聘任命，向任何符合学历与经验条件者开放，须在至少30日前公告，而结果可向行政诉讼法院提出异议。竞聘委员会至少5名成员，其中至少3名为信息技术与电信领域的大学教授，或者在人工智能系统安全与评估方面具有公认实践经验的专家，由在该等领域设有博士学位课程的经认证大学提名。委员会中外部成员占多数具有双重作用：既保证选拔依可核验的能力而非依行政或政治标准进行，也使招录脱离产业界的影响——因为委员会成员受与管理局人员相同的不相容情形约束。公布委员会的组成与结果保障公众监督。其模式取自教学与研究职位的竞聘（第199/2023号《高等教育法》）以及司法官竞聘委员会，在后者之中，具有专业权威之外部成员的参与正是客观性的保障。第(3)款规定依 ANCOM 自有薪酬体系、按与私营部门相竞争的水平给予报酬，并依一份已公布的市场研究每年确定；由于 ANCOM 的人员经第153/2017号《框架法》第2条第(2)款被排除于该法之外，故无须任何例外——这也是选择在 ANCOM 内组织的理由之一。若无有竞争力的报酬，该机构便无法招到任何能够评估一个前沿系统的专家。第(4)款把各项不相容情形扩展到全体人员，期限为2年。第(5)款以一种排除制裁之任何财务激励的基础规范经费：此前的形式把罚款的50%拨给管理局并指定用于一项研究基金，但那会使处罚者的资源取决于罚款。管理局现在的经费来自 ANCOM 预算中每年批准并单独列示的专项拨款，以及通知费、评估费与许可费（由实施细则依服务成本确定，其模式取自国家药品署与国家核活动控制委员会的收费）；罚款缴入国家预算，不得决定管理局的资源；而第32条第(1)款j项的研究以单独拨款资助，与所处的制裁无关。ANCOM 在收取各项费用之前保障初始预算，包括人员与基础设施。

→ 条文 第34条设立咨询性的科学理事会，由9名获得公认的研究者组成，其中至少3名来自国外；该理事会就评估标准、评估方法与关键能力的显著性水平以及门槛调整的各项提议出具意见，并公布单独意见（第(1)款）。外籍成员的参与之所以必要，是因为该领域的尖端专长集中于世界上少数几个中心；而公开发表单独意见的权利，则是咨询意见不致被默默无视的保障。第(2)款和第(3)款补充该理事会的地位：成员由人工智能安全副局长依罗马尼亚科学院以及在该领域设有博士学位课程的各大学的提名任命，任期4年、可连任一次；受第31条第(3)款各项不相容情形约束；只有在被认定存在不相容情形或者无正当理由不参加工作时方可被免职；各项意见以多数成员通过。该意见为咨询性的，但管理局在偏离该意见时须说明理由；成员（包括外籍成员）对受保护信息的接触依法律规定进行，而各项单独意见以保护敏感信息并保留科学论据的版本公布。其模式取自人工智能办公室的科学委员会（《人工智能条例》第68条）以及各欧洲规制机构的科学理事会。

第七章——责任（第35至45条）

→ 条文 第35条确立开发者与运营者对由某一前沿系统所造成损害的客观、连带责任，包括由该系统的自主行动、由第三方的使用或由权重外泄所造成者。其依据是《民法典》第1376条（对由物所造成损害的责任，不以任何过错为要件），本法明确援引该条，以避免平行规定；本法并不创设一项新的责任，而是明确把物之责任适用于一类「物」——此类物的自主性使「法律看管」这一概念变得不确定。其特定模式是第703/2001号《核损害民事责任法》，该法把责任专门导向设施的运营者，不论过错，并附强制保险以及有限的免责事由；巴黎1960年公约与维也纳1963年关于核损害民事责任的公约也采用同一模式。第(1)款依法律分析明确举证制度：受害人证明损害与因果关系，但信息的不对称得到纠正——法院可以命令接触日志与相关文件并保护保密信息；而若开发者或运营者不提交其依第16条有义务保存的日志，则因果关系被推定，但可以反证推翻。这一推定遵循第(EU)2024/2853号指令中证据披露与各项推定的逻辑。同样是第(1)款澄清追偿（按各自的促成程度按比例）并规定：对系统作出实质性修改之人，就该修改所造成的损害作为开发者负责。

第(2)款把免责事由限于受害人的单独行为以及系统之外的不可抗力，并明确把下列情形排除于不可抗力这一概念之外：系统不可预见的行为、评估的错误、取得接触权之第三方的行为，以及投入运行之日科学认识的欠缺。后一项排除取消了「开发风险抗辩」（「development risk defence」）——该抗辩为第85/374/EEC号指令第7条e项所允许，并在第(EU)2024/2853号指令中以成员国可作例外的方式保留——但它与本法的前提不相容：若开发者主张自己无法知悉该风险，他恰恰确认了那种使许可制度得以正当化的不确定，并且必须为在此种不确定之下把该系统投入运行而负责。第(3)款宣告对受害人限制责任的条款无效；专业人士之间的条款仅在其相互关系中（包括在追偿中）以及就其自身的财产损害有效，而不得影响受害人的各项权利或第36条的保障范围。第(4)款确立自知悉起10年、自行为起30年的消灭时效，与第703/2001号法律所定者相同，其正当理由在于某些损害的潜伏性；对持续性行为，该期限自其终止之日起算。第(5)款已被改写，以与缺陷产品责任的协调制度相容（第240/2004号法律以及第(EU)2024/2853号指令未来的转置——该指令使以缺陷性以外其他依据提起的诉讼不受影响）：本条确立一项以因发展与运行该系统所造成风险为依据的独立基础，不修改该协调制度，不排除受害人依该制度提起诉讼，并禁止双重赔偿。对于落入该指令范围的损害，排除以认识状况为依据的抗辩是一项所允许的例外，而政府须为此履行该指令第18条的各项手续。

→ 条文 第36条要求强制的民事责任保险或等效的财务担保，最低门槛为：第一类系统1亿欧元，第二类系统10亿欧元；并规定受害人对保险人或担保出具人享有直接诉权。其模式是第703/2001号法律（核运营者的强制保险或财务担保）以及第132/2017号《机动车强制民事责任保险法》（受损害之人对保险人的直接诉权）。各项数额依前沿开发者的财务能力（其估值达数千亿美元）以及可能损害的规模校准；第三类系统并未出现，因为它们不得投入运行。但一项市场上不可能满足的要求会起到间接禁止的作用。第(1)款规定各项数额按每一事件计算，年度聚合上限至少为其两倍，而在用尽之后保障范围须在30日内补足。市场不可得条款：若管理局在与金融监督管理局协商后以公开报告认定无法按本法条件取得该保障，则政府可以通过细则确定较低的水平，但不得低于该等数额的五分之一，并可确定若干替代机制——集团担保、银行担保或由各开发者与运营者出资的担保基金；五分之一这一下限以及公开报告这一条件，排除了随意的削减。第(2)款界定财务担保：银行担保函、存款或由一家经许可金融机构所出具的担保，可由受害人依确定裁判或和解请求执行，并对出具人亦享有直接诉权。保险义务还有一项间接的规制功能：各保险人将通过承保条件施加本法无法细化的安全标准。

→ 条文 第37条确立各项行政违法行为，按严重程度分级，罚款以全球营业额的百分比计（1%至3%、2%至5%、3%至7%、5%至10%），其模式取自《人工智能条例》第99条（最高7%）以及 GDPR 第83条（最高4%）。b项援引第16条第(1)至(5)款，而不仅援引第(2)至(5)款：在此前的形式中，日志事项上最严重的行为——即完全不保存任何日志（第(1)款所规定的义务）——未被该条文的援引所涵盖。e项和f项制裁违反所生成内容标记义务、对用户告知义务以及关于合规代表各项义务的行为；对于同时构成违反《人工智能条例》第50条的行为，e项规定罚款在该条例第99条第(4)款的界限内处以，从而明确把两套制度分开。第(2)款依相称性要求按人的类别区分固定罚款：无营业额的法人，100,000至10,000,000列伊；自然人，10,000至1,000,000列伊；而对于e项和f项所规定、由并非某一前沿系统开发者或运营者之人所实施的行为，法人为20,000至1,000,000列伊，自然人为5,000至200,000列伊。第(3)款规定各项补充制裁，按行为的严重程度相称适用，其中包括没收权重——这是一项特有的制裁，若无它，罚款便只是一项交易成本；被没收的权重由管理局依第12条的条件保存。第(4)款援引第2/2001号政府法令的一般制度，并依第24/2000号法律第63条作出两项例外：排除缴纳罚款最低额一半的可能（该法令第28条），因为它与百分比罚款不相容；以及以5年的消灭时效取代6个月者（该法令第13条第(1)款），其正当理由在于认定的复杂。新增的第(5)款载有个别化与配合的各项规则：个别化标准（行为的严重程度与范围、所造成的危险、对该行为的有效控制、合作与补救）、计算基础（上一财务年度的营业额，按集团整体计算）、禁止就同一行为依本法与该条例双重制裁（一事不再理），以及各公共机关与公共机构的制度——对它们，罚款在第(2)款的界限内对负责的自然人处以。本法的各项行政违法行为与《人工智能条例》者并不重叠：该条例第101条所规定的罚款专由委员会就违反该条例的义务处以，而本法的各项行政违法行为所制裁的是本法中在该条例内没有对应规定的各项义务。

→ 条文 第38条开启新的一节，「服务提供的终止与接触的封锁」，它回应整个制度的一项实际界限：前沿系统的多数运营者在罗马尼亚既无住所、亦无资产或人员，因此百分比罚款以及对决策者的刑事责任可能对其无从生效。罗马尼亚国家面对此种运营者唯一真实的杠杆，就是其对本国境内用户的接触。第(1)款把不合规状态分级，因为一项可予补救的形式欠缺不能招致与一项严重风险相同的后果：催告，并给予至少15日的补救期限以及被听取意见的权利；只有在不合规状态持续、或者构成一项无法在期限内补救的严重风险时，方以说明理由的决定予以认定；自送达之日起15日内的停止义务；而在对生命、健康或人类控制存在迫近危险时，不给予补救期限，并须就紧迫性说明理由。停止义务不是一项制裁，而是该服务不符合提供之法定条件这一事实的自然后果，其模式取自不合规产品的撤出市场（关于市场监督的第(EU)2019/1020号条例第16条）。第(2)款规定把该决定刊载于《不合规运营者名单》，这是一项具双重作用的透明工具：告知各用户与各通信提供者，并公开该不合规状态，从而抑制罗马尼亚市场上的专业人士对该服务的整合、推广与付费；其模式是国家博彩办公室依第77/2009号紧急政府法令所保存的未获许可博彩运营者公开名单。第(3)款对继续提供该服务按继续提供的每一个月处以列伊等值100,000至10,000,000欧元的罚款，不足一个月者按比例计算，并依持续时间、受影响人数与严重程度确定；就同一不合规状态所处罚款以年度全球营业额的5%为上限，并与就最初违反行为所处的制裁分别适用——此等标准保障相称性。该罚款的定期性质取自第(EC)1/2003号条例第24条以及第(EU)2022/2065号《数字服务条例》第76条所规定的间接强制金制度，而这也是唯一能对一个收入以十亿计的经营者保证实效的办法。该数额以欧元表示，按当日汇率以列伊支付，这是第24/2000号法律所允许、并为金融立法所采用的手法。第(4)款要求管理局在提交合规证明之后10日内决定除名，并立即通报执行封锁的各提供者；而拒绝或迟延除名，可依第39条第(5)款提出异议。第(5)款把该制度扩展到直接提供接触途径的开发者，以避免因不存在一个独立的运营者而被规避。

→ 条文 第39条规范接触的封锁，作为一项临时行政措施，并从属于停止义务。第(1)款把它以管理局的说明理由的决定为条件，并使其接受《宪法》第53条所要求的必要性与相称性检验：只有在限制较少的措施未能带来合规、或者相对于风险的严重程度明显不足时，方可命令封锁；该决定须审查必要性与相称性，避免影响在同一基础设施上托管的其他服务，并每90日依职权重新审查一次；而各用户须通过一个重定向页面被告知该措施的理由与异议途径。第(2)款通过各电子通信网络与服务提供者在48小时内执行该措施，并由 ANCOM 提供技术支持，其机制在罗马尼亚法中已就未获许可博彩网站（第77/2009号紧急政府法令）以及违法内容（第365/2002号法律、第(EU)2022/2065号条例）有效运作。第(3)款保障相称性：封锁只涉及该不合规的服务，而不涉及该运营者的全部活动，并于除名时依法终止。第(4)款是与欧盟法相容所必需的：对于自另一成员国所提供的服务，经第365/2002号法律转置的第2000/31/EC号《电子商务指令》第3条第(4)至(6)款，只允许通过一项针对某一确定服务、基于公共秩序、公共安全或公共卫生保护理由、且相称的个别措施，并在向来源成员国提出请求并通知欧洲委员会之后，限制信息社会服务的自由流通；而依欧盟法院在 C-376/22 号案（Google Ireland 等，2023年11月9日）中的判决，各成员国不得依第3条第(4)款采取一般而抽象的措施。因此该条文明确规定该措施的个别性质、确定的服务、实体依据（公共秩序、公共安全、公共卫生）以及第365/2002号法律的程序；封锁仍是一项逐案的、在一次具体违反之后作出的措施，而不是一项一般义务。第(5)款保障诉诸司法（《宪法》第21条和第52条）：30日内向布加勒斯特上诉法院行政与税务诉讼庭提出异议，紧急且优先审理；异议不依法中止执行，这一办法的正当理由在于该措施的预防性质，并与第14条第(4)款相同；但利害关系人可以请求临时中止，该请求在最多10日内解决，并须权衡对安全的风险与所产生的损害；而该裁判可在15日内向最高上诉与司法法院提起再审之诉。第(6)款免除各通信提供者对正确且善意执行该决定的责任，其模式取自第2000/31/EC号指令第12至15条（第365/2002号法律第11条及其后各条），但不免除其因自身过错所造成过度封锁的责任。

→ 条文 第40条把未经许可投入运行以及在停止命令之后继续运行入罪，处二年至七年有期徒刑（第(1)款），加重形式则处五年至十二年（第(2)款）。该入罪遵循第111/1996号法律第44条及其后各条的模式（未经许可开展核活动，处有期徒刑）。刑罚幅度为《刑法》中严重危险犯罪的幅度（例如第345条——违反核材料制度，三年至十年）。入罪的合法性（《宪法》第23条第(12)款与第73条第(3)款h项）要求两处明确。第一处界定积极主体：作为最终用户使用他人所提供的系统不构成犯罪（第3条与第43条）。第二处明确加重的后果：单纯「某项关键能力的表现」本可能包含一次受控测试的结果；该条文要求的是在受控评估之外出现第5条第(2)款c至e项的某项能力，或者产生该款a项或b项的某项结果；而该后果依《刑法》第16条第(4)款的条件归责（超出的故意）。本法并不修改《刑法》，而是依第24/2000号法律第1条第(1)款以及特别立法的一贯实践（第111/1996号法律、第535/2004号《预防与打击恐怖主义法》），在特别法中设立犯罪。第(2)款使用依第15条第(2)款「在隔离环境中经许可的评估」这一概念，与第3条第(1)款n项、第15条第(3)款以及第20条第(2)款和第(4)款所用者相同；而此前仅在此一处使用的「受控评估」一语已被删去——因为在一项加重刑罚的规范中使用一个在本法其余部分没有对应的术语，会违背《宪法》第23条第(12)款所要求的刑法可预见性。

→ 条文 第41条把评估中的虚假与对监督的阻碍入罪。明知而向管理局或向某一评估机构提交关于能力、算力总量、权重安全或各项事件之关键要素的虚假或以误导方式不完整的数据、结果或声明，以及为就所评估的配置或真实能力误导评估人员而配置该系统（第(1)款，三年至十年），是该制度所特有的犯罪：一套以申请人所提供证据为基础的许可制度，若对其伪造仅属行政违法，便无法运作。比较法上的模式是《美国法典》第18编第1001节，该节对向联邦当局作虚假陈述处最高5年刑罚。第二种情形回应2015年「柴油门」的先例——当时车辆会检测测试条件并改变其行为——以及第5条第(2)款d项的关键能力。「明知」、「关键要素」与「为误导之目的」等要求，把有意的伪造与不确定的估计以及善意的错误区分开来；而第(4)款明确排除如实声明为不确定的估计、一经知悉即予纠正的错误，以及在与评估人员约定之测试范围内对系统的配置。阻碍接触与销毁日志（第(2)款，一年至五年）遵循《刑法》第275条（隐匿或销毁证据或文书）的模式，但「以任何方式阻碍」是以一项在管理局职权界限内、依书面请求所行使的接触为参照；而以管理局缺乏职权、或以律师职业秘密或法律所保护其他秘密为由所作的、有根据的拒绝不构成犯罪，此事由法院裁判。对举报人的报复（第(3)款，六个月至三年或罚金）以对第361/2022号法律所规定各项措施的确切援引加以定义，并以与依第21条受保护之举报的关联为条件；第361/2022号法律仅以行政违法制裁报复行为，而对于一个雇员沉默的赌注可能高达数十亿欧元的领域，这是不够的。

→ 条文 第42条把被禁止系统的发展入罪。第(1)款制裁故意在第15条第(1)款、第25条第(2)款第一句和第(3)款、第28条第一句或第29条第一句所禁止的条件下训练、设计或运营某一系统（三年至十年）；各处援引已精确到款与句，以使入罪规范只针对真正的各项禁止，此系依刑法可预见性的要求。第(2)款制裁无权披露、传输或提供第二类或第三类系统的权重（五年至十五年），该行为的严重程度介于泄露国家秘密信息（《刑法》第303条）与以传递国家秘密信息方式叛国（《刑法》第395条，十年至二十年）之间；为使「无权」这一要素不致取决于其后的解释性抗辩，该条文明确规定依第12条第(2)款所允许的转移以及依第21条第(5)款受保护的通报不构成犯罪。第(3)款把各项后果分级，以取代此前单一的幅度：与侵害生命犯罪相对应的十年至二十年刑罚，保留给死亡、重伤，或者保留给使人类干预成为不可能、并随后出现对人员、环境或关键基础设施产生后果之自主行动的人类控制丧失；而特别严重的财产损害以及人类控制的暂时丧失，处七年至十五年；各项后果依《刑法》第16条第(4)款的条件归责。第(1)款的故意要求把该犯罪与第37条第(1)款d项的行政违法行为区分开来，后者制裁非故意实施的同样违反行为。

→ 条文 第43条确立用户保障。在最初的形式中，该草案把通过规避封锁接触列入《不合规运营者名单》之服务的行为入罪——这是整部草案中唯一可由用户实施的行为。创制人放弃了它，并以一项意义相反的保障取而代之：本法是由对个人行使权力者所负的各项义务以及赋予个人的各项权利所构成的（第17、18、26和27条）；第38条和第39条的实效并不取决于对用户的制裁，其目的是把不合规的服务逐出合法的商业流通；而与第77/2009号紧急政府法令相比较并不恰当——在那里所制裁的是一项可能对自己造成损害的行为，而在此处，用户所接触的是一项由运营者（而非由他）拒绝使之合规的服务。第(1)款规定：自然人为个人目的接触列入该名单的某一服务，包括通过规避封锁而为之，不构成犯罪或行政违法行为，并且不得因该服务的不合规而对其招致任何制裁或限制措施，责任专属于运营者与开发者；该条文明确：责任的专属性涉及该服务的不合规，而该保障并不排除对通过使用该服务所实施、法律所规定之其他独立行为的责任。第(2)款确立解释规则：第38条和第39条不得被读作对用户设立任何义务

，亦不得被读作对其各项权利附加条件的依据。新增的第(3)款把该保障扩展到并非运营者、且不把该服务提供给他人的专业最终用户。该规定与第26条第(1)款和第(4)款以及第27条相配合。该保障涉及个人的接触，而非整部法律：同一人也可以是开发者、运营者或所生成材料的发布者，在此情形下第17至19条以及第37条对其适用。由于封锁可能在刑事一节生效之前即已开始，故第50条第二句规定第43条与本法同时生效。

→ 条文 第44条规范担任决策职务之人的责任。第(1)款明确各项犯罪归于命令或批准实施该等行为的自然人，以及那些具有法律义务与实际可能加以阻止、却明知而容任其实施之人；罪过形式依《刑法》个别确定，不论其身份，亦独立于法人的刑事责任——法人的刑事责任依《刑法》第135条承担；该条文并未创设一种新的共犯形式，而是排除在复杂公司结构中把责任弥散化的抗辩。此前的表述本可能包含那些知情却无法干预的雇员；该条文把容任这一情形与《刑法》第17条不作为责任的条件（法定或合同上的作为义务）相对齐，并个别确定罪过。第(2)款排除上级或领导机关之命令这一不受处罚事由，其模式取自《罗马规约》第33条以及《刑法》第21条第(2)款（后者不承认明显违法的命令为正当事由），但明确保留《刑法》中的各项正当事由与不可归责事由。本法并不包含关于刑法空间适用的自有规范，因为《刑法》第8条第(4)款（即便结果仅部分发生于罗马尼亚境内，该犯罪亦视为在罗马尼亚境内实施）以及《刑法》第9至11条（属人、保护与普遍管辖原则）已经足够，而一项引证规范会构成第24/2000号法律第16条所禁止的平行。

→ 条文 第45条确立管辖与临时措施。第40至42条所规定各项犯罪的刑事追诉，必须由侦办组织犯罪与恐怖主义犯罪局内的检察官进行（第(1)款）——该机构已对信息犯罪与恐怖主义犯罪具有管辖权（第78/2016号紧急政府法令第11条）——而一审审判依《刑事诉讼法典》第36条第(1)款c项关于以法律交由其管辖之犯罪的一般规则，属高等法院。此前对第44条的援引已被删除，因为该条并未定义一项自主的犯罪，而是规定负责的人员。第(2)款允许检察官在紧急情形下以说明理由的命令，作为最多30日的临时措施，命令停止该系统、封存基础设施并冻结权重，并须在48小时内经权利与自由法官确认，否则该措施依法终止；其模式取自《刑事诉讼法典》第249条及其后各条的保全措施以及第168条的信息搜查。该措施附有额外的保障：当对所涉计算任务与权重的隔离已足够时限于此等对象、保全数据并依第12条的条件看守权重、相关人员与受影响第三人可以提出异议、每30日重新审查一次并可在相同条件下延长。迅速的司法确认以及此等界限，保障其符合《宪法》第21条和第53条。第(3)款以第40至42条所规定的各项犯罪补充第78/2016号紧急政府法令第11条第(1)款，因为 DIICOT 的管辖由其组织文件确定，而该文件须依第24/2000号法律明确加以配合。该法令第11条第(1)款的确切结构，须在提交之前对照合并文本予以核对。

第八章——国际合作。过渡与最终规定（第46至50条）

→ 条文 第46条确立政府对外行动的各项义务：在欧洲联盟内推动一项等效的事先许可制度以及一项共同的欧洲评估能力（第(1)款）；在联合国、欧洲理事会、北约及其他组织内谈判一项关于限制与核验前沿算力能力、禁止致命性自主武器以及禁止第三类系统的条约，并每年向议会报告（第(2)款）；以及订立评估相互承认协定（第(3)款）。第(1)款和第(2)款确立发起并报告各项行动的义务，而非结果义务。第(3)款明确：管理局的各项协定在其职权界限内订立、须予公布，并且不得偏离本法或欧洲联盟法。本条依第2条g项的原则公开承认：一部国家法律无法单独解决一个全球性问题；但它把这一认定转化为一项行动义务，而不是转化为不作为的理由。历史上的模式是1968年《核不扩散条约》，该条约通过管制裂变材料以及国际原子能机构的核查而运作；人工智能领域的等效做法是对算力的管制与核查，专业文献称之为「算力治理」（「compute governance」），并得到辛顿、本吉奥以及2023—2025年各次公开呼吁中众多研究者的支持。

→ 条文 第47条确立每2年的修订条款，依管理局的报告与科学理事会的意见作出。定期修订条款为第24/2000号法律第7条（影响的先行评估）以及技术演进的节奏所要求。该报告须依一份已公布的方法评估保护的有效性、各项事件、各项成本、对服务的接触、各项非预期效果以及每一项措施的相称性；即便一般风险仍然存在，亦可提议收缩一项被认定为无效的措施；并须载入各项分歧的科学意见。然而末句堵住一条规避途径：即「反正我们无法控制这些系统，所以规制无用」这一论点——它会把不确定转化为许可；缺乏一种经验证的控制方法不得单独被用作放宽的理由，但它也不替代对相称性的重新评估。本法的回答是：不确定是规制的理由，而不是放弃规制的理由。

→ 条文 第48条依第24/2000号法律第54条载有各项过渡规定，并把合规期限安排为两级，以使任何一项义务都不致在用以履行它的工具尚不存在之前即可要求履行。第一级自本法生效之日起算：60日内，各开发者与运营者向管理局通知在罗马尼亚境内运行或提供给身处罗马尼亚境内者的各系统（第(2)款）；90日内，遵守本法中不依赖实施细则的各项规定（第(1)款），并履行可感知标记、对用户告知以及指定合规代表的各项义务（第(4)款）；而关于停止提供与封锁的各项规定（第38条和第39条）只有在该期限届满之后方予适用（第(3)款），这保障了对运营者的可预见性，并遵守《宪法》第15条第(2)款。第二级自第49条第(2)款所规定实施细则生效之日起算：自该日起90日内提交许可申请（其程序由细则确定，第(2)款）、完成内嵌技术标记（第(4)款），并且一般而言，其履行依赖细则所确定标准、程序、门槛或数额的一切义务均开始可要求履行，而在此之前相应的行政违法行为不得认定（第(5)款）。第(5)款同时明确：本法的各项禁止、关于停止能力、日志记录与报告严重事件的各项义务，以及其他无须细则即可履行的各项义务，自本法生效之日起适用；因此，过渡制度并不推迟任何直接保护人类控制的内容。已通知的系统可以维持运行至管理局作出决定为止，但自本法生效之日起不得超过12个月，并以遵守第四章与第五章中直接适用的各项禁止与保障为条件（而非遵守整个第四章——该章亦包含依赖细则的义务）；由此既避免适用上的真空，也避免数以百万计的人所使用服务的骤然中断，同时为宽容设定一个绝对界限。该界限依法按实施细则的通过或申请的解决超出法定期限的时长延长；勤勉的申请人不得因各机构的迟延而受制裁，而管理局可以说明理由，就延长期间附加额外的安全条件。90日这一期限是罗马尼亚立法中就新的许可要求进行合规的通常期限，并且是足够的，因为前沿开发者已经拥有《人工智能条例》所要求的各项内部评估。第(6)款把管理局的各项职权（包括第32条第(1)款c项的紧急措施）在人工智能安全副局长获任命之前交由 ANCOM 局长行使；此前的形式把代理限于接收各项通知。第(3)款还包含一项配合，若无它，过渡制度便会自相矛盾：依第(2)款所通知之系统，在该款允许其维持运行的期间内以及在依期限提交之申请解决过程中维持运行，不构成第40条第(1)款所规定的犯罪。若无这一明确，同一行为在自刊载起第270日（刑事规定生效之日）至本法生效起满12个月之间，便会同时既为过渡规定所允许、又为刑事规定所入罪。该排除受到严格界定：它不涵盖把一个未经通知的系统投入运行、在申请被驳回之后、在第(2)款所规定期限届满之后，或者在停止命令送达之后维持运行。第(4)款同样已按来源标记的各组成部分分解：第17条第(4)款对各公共机关所设的义务，涉及第(1)款所定义的标记，而该标记既由可感知标记、也由内嵌技术标记构成，因此每一组成部分各依其自身的期限，而公共机关并不负有适用一项其标准尚未通过之标记的义务。

→ 条文 第49条规定组织措施与施行细则，各项期限以本法刊载之日为基准，以得出一个统一的时间表，并使该机构与评估规则在各经营者的期限之前即已可用。第(1)款规定由议会任命人工智能安全副局长，并由 ANCOM 以其局长的决定（刊载于《官方公报》）在刊载之后60日内把管理局补入其组织结构以及组织与运作规程。第(2)款规定在刊载之后120日内通过实施细则，依管理局的提议、经科学理事会出具意见并经至少30日的公众磋商，并精确列举其对象（各项程序、各项标准、隔离环境的条件、来源标记、关键能力的评估方法与显著性水平、基础设施的门槛、依服务成本所确定的各项费用，以及保险或担保的数额）。向政府的授权限于技术与程序方面，这与宪法法院的判例一致——依该判例，规制的各项本质要素必须以法律确定（例如第51/2016号裁决）；该条文明确说明：细则细化法律所确立的框架，不得确定各项义务、禁止与制裁的本质内容，而各项标准须予公布。关键能力清单不再列于细则的各项对象之中，因为它仍留在法律之内（第5条第(2)款），并与第32条第(4)款相配合。新增的第(3)款确立中间制度：在细则通过之前，各项评估依《人工智能条例》所通过良好实践守则中的标准以及科学上公认的方法进行，而管理局须公布临时指引。细则对象的列举已补入第16条第(5)款所规定的水平、第3条第(1)款bb项所规定隔离的最低要求以及第31条第(3)款所规定补偿性津贴的数额，以使本法其他条文留给实施细则的每一要素，也都出现在确立该项授权的条文之中。

→ 条文 第50条依《宪法》第78条以及第24/2000号法律第12条确立自刊载之日起30日后生效，但第40至42条、第44条和第45条除外（此等条文自刊载之日起270日后生效），并明确第43条与本法同时生效。刑事一节的期限以自刊载起的日数表示，而非以日历月表示，并已自6个月延长为270日，以使各项入罪只在实施细则（120日）以及依赖细则之各项义务的适应期（210日）之后方始生效：一项与许可相联系的入罪，须以一套可用的许可程序为前提，而在细则之前使其生效，便会违背刑法的可预见性（《欧洲人权公约》第7条、《宪法》第23条第(12)款）。第24/2000号法律第40条和第46条所规定的末尾通过确认格式语，表明遵守《宪法》第75条以及第76条第(1)款；本法为组织法，因为它规范犯罪与刑罚（第73条第(3)款h项），并以例外方式修改一个由组织法所设立之自治行政机关的组织（第117条第(3)款）。

由第48至50条所得出的、以本法刊载之日（P）为基准的统一时间表如下：P+30日——生效，包括用户保障（第43条）、各项禁止以及直接适用的各项义务；P+60日——任命副局长并组织管理局（第49条第(1)款）；P+90日——通知处于运行中的各系统（第48条第(2)款）；P+120日——通过实施细则（第49条第(2)款）以及不依赖细则之各项义务开始可要求履行（第48条第(1)款和第(4)款），自此时起第38条和第39条亦开始适用；P+210日——若细则按期通过，则依赖细则的各项义务、内嵌技术标记以及许可申请开始可要求履行（第48条第(2)、(4)和(5)款）；P+270日——刑事一节生效（第40至42条、第44条和第45条）；对已通知系统的宽容于生效起满12个月时届满，并依法按各机构的迟延延长（第48条第(2)款）。

3. 与立法技术规范（第24/2000号法律）的符合性

本草案在严格遵守经重新公布之第24/2000号法律的前提下拟订，具体如下。论证与影响的先行评估（第6、7条以及第30至31条）载于本理由说明之中，并附现状分析、比较法模式分析以及效果分析。纳入立法体系（第13条）通过明确以《人工智能条例》为参照（本法第1条第(3)款）以及通过对各相关文件的引证规范得到保障。避免平行规定（第16条）另有专门分析，见第5节第3点：现有的任何规定都未被重述，而是以援引方式采纳；而各项例外依第63条以「作为对……的例外」这一表述明确作出。术语统一（第37条）通过第3条的各项定义得到保障——该条以援引方式采纳欧盟法所确立的概念，并附理由自主定义各项新概念（「前沿系统」、「权重」、「运营者」、「投入运行」），同时避免在《人工智能条例》中具有不同含义的术语（「operator」、「提供者」、「启用」）。规范文体（第36条和第38条）为处分式的、使用现在时、不在括号内作解释、不使用未经确立的新词；条文部分所使用的一切技术术语（「权重」、「架构」、「训练」、「微调」、「强化学习」、「外泄」、「自主复制」、「递归自我改进」、「隐匿能力」、「逃避监督」、「抗拒停止」、「外部工具」、「经许可的运行环境」等）均在第3条中定义；该条分为两款——对象性概念与操作及行为——以使每一列举都保持在字母表范围之内，并使各项禁止与犯罪的客观要素具有确切的规范内容。各组成部分（第40至46条）为：名称、序言（第43条允许以其概括陈述理由，其模式为具特别重要性的法律）、引入格式语、条文部分以及通过合法性的确认格式语。条文部分的结构（第47至56条）遵守「一般规定—实体规定—过渡规定—最终规定」的次序，各章以罗马数字编号、各节以阿拉伯数字编号；各条连续编号，各款以括号内阿拉伯数字编号，各项以字母编号；而以字母标示的任何列举均不包含另一项列举（第49条第(3)款）；各条不设边注名称，因为第47条第(3)款把边注名称保留给各法典以及篇幅宏大的法律。各项引证规范（第50条）指明所援引文件的完整识别要素；而向政府的各项授权（第49条）限于程序与技术方面，本法第49条第(2)款末句明确禁止实施细则确定各项义务、禁止与制裁的本质内容。本法只对另一规范性文件的条文作一处明确干预——即以第45条第(3)款对第78/2016号紧急政府法令第11条第(1)款的补充——其表述依第59至62条（该文件的完整识别，附刊载与批准的资料，以及补充格式语）；而若干针对性的例外为第63条所允许，并不触动所例外文件的条文本身。依2026年9月20日的独立法律分析，本草案就下列各点作了修订：(i) 把其范围与《人工智能条例》区分开来（第1条第(4)款、第9条第(7)款、第17条第(6)款、第19条第(1)款以及第27条第(6)款）；(ii) 把行政违法行为与犯罪的一切构成要件保留在法律之中，并禁止以标准扩大之（第32条第(4)款）；(iii) 以一个以刊载之日为基准的统一时间表同步各项程序、标准与期限（第48至50条）；(iv) 增加针对管理局的各项程序保障（第9条第(4)款、第11条第(2)款、第14条第(4)款、第32条第(2)至(3)款、第39条第(1)款和第(5)款、第45条第(2)款）。该草案的工作本载有「草案」字样；文末所载通过合法性的确认格式语，是一项法律草案的通常格式，并不代表通过已经发生。

第3节——该规范性文件草案的社会经济影响

第4节——对一般合并预算的财政影响，既就短期（本年度）亦就长期（5年）而言

财政影响在于人工智能安全管理局在 ANCOM 内的组织与运作支出，按约80个职位（其中至少50名经竞聘录用并按市场水平给予报酬的技术专家）估算，以及评估所必需算力基础设施的支出。在 ANCOM（一个完全以自有收入为经费的机关）内组织，降低了设立成本（办公处、支持职能、信息系统），并不加重国家预算。依第33条第(5)款，管理局的经费来自 ANCOM 预算中每年批准并单独列示的专项拨款，以及由实施细则依所提供服务成本所确定的通知费、评估费与许可费；初始预算（包括人员与基础设施）在收取各项费用之前由 ANCOM 保障。依本法所处的罚款缴入国家预算，不得决定管理局的资源；而第32条第(1)款j项所规定的研究以与制裁无关的专项预算拨款资助；罚款收入无法事前估算，故未计入下表。各项估算以百万列伊表示，仅属指示性的，并将由财政部在审核时最终确定。

第5节——本规范性文件对现行立法的效果

a) 因该规范性文件草案生效而将被修改或废止的现行规范性文件

本草案不废止任何规范性文件，并只以一项补充明确修改一个规范性文件（第45条第(3)款）。其余部分则通过引证规范与明确例外的手法，对现行立法产生下列效果：

第78/2016号《关于侦办组织犯罪与恐怖主义犯罪局的组织与运作以及修改和补充若干规范性文件的紧急政府法令》（经第120/2018号法律修改批准）——明确补充（本法第45条第(3)款）：在第11条第(1)款增加新的一点，据以把本法第40至42条所规定的各项犯罪交由 DIICOT 管辖；条文被补充的文件1件。该法令第11条第(1)款的确切结构（各点的编号以及最新合并形式）须在提交之前对照合并文本予以核对，并相应调整补充格式语。

第27/2003号《关于默示批准程序的紧急政府法令》——明确例外（本法第9条第(4)款）：管理局未作答复并不等同于默示许可；例外1项。

第22/2009号《关于设立国家通信管理与规制局的紧急政府法令》（经第113/2010号法律批准）——对其第11条第(1)款作明确例外（本法第31条第(2)款）：增设一名负责人工智能安全的副局长，由议会依同样条件任命；例外1项。第153/2017号《框架法》不受影响，因为 ANCOM 的人员经该法第2条第(2)款被排除于其适用之外。

第554/2004号《行政诉讼法》——对其第7条（先行程序）、第10条（实体与属地管辖）以及第20条（救济途径）作明确例外（本法第26条第(6)款）：针对第26条以及经援引针对第18条第(3)款和第27条第(5)款所规定各公共机关与公共机构决定的异议，不适用先行程序，由该人住所地的高等法院审理，并上诉至上诉法院；例外1项（涉及三处条文）。

第2/2001号《关于行政违法行为法律制度的政府法令》——明确例外（本法第37条第(4)款），涉及其第28条（缴纳罚款最低额的一半）以及第13条第(1)款（制裁适用的消灭时效）；例外2项。

第361/2022号《公共利益举报人保护法》——以引证规范补充其适用范围（本法第21条），而不修改其条文；保护制度扩展到关于安全风险以及对各项能力之隐匿的举报。

第(EU)2016/679号条例（第22条）与第190/2018号法律——引证规范（本法第26条第(8)款），不作修改。

第(EU)2022/2065号《数字服务条例》——配合规范（本法第27条第(6)款）：对中介服务提供者，第27条只在与该条例相容的范围内适用，而该条例关于合同条件（第14条）、决定说明理由（第17条）与异议解决（第20条）的各项规定仍然适用；该条例为服务接受者所规定的任何保障均不受限制；不作修改。

第(EU)2024/1689号条例——各项配合规范：本法第1条第(4)款与第9条第(7)款（本法不为通用模型设立投放欧盟市场的条件，亦不影响该条例第88条所规定委员会的职权；对于其提供者遵守该条例第五章的、具有系统性风险的模型，管理局以向人工智能办公室所通报的文件为依据）；第17条第(6)款（对适用该条例第50条的提供者与部署者，标记义务经遵守第50条第(2)款和第(4)款即视为已履行，本法只确定主管机关、认定程序与制裁，并以该条例第99条第(4)款为限）；第18条第(5)款（该条例第50条第(1)款以及第(EU)2016/679号条例第13至15条和第22条）；第19条第(1)款和第(6)款（在另一成员国设立的开发者与运营者仅须指定一个联络点，该联络点可以是该条例第54条所规定的授权代表或第(EU)2022/2065号条例第13条所规定的法定代表；经为罗马尼亚一并授权的授权代表即履行本法的义务）；不修改欧盟各文件。

第2000/31/EC号指令（第3条）与经重新公布的第365/2002号《电子商务法》——引证规范（本法第4条第(4)款与第39条第(4)款）：本法的各项义务在该指令第3条的条件下适用于自另一成员国所提供的服务；而对此种服务的封锁只能个别地、针对某一确定服务作出，并附向来源成员国提出请求以及通知欧洲委员会的程序；不作修改。

第(EU)2024/2853号《缺陷产品责任指令》——配合规范（本法第35条第(5)款）：本法所确立的客观责任是一项独立的依据，不修改产品责任的协调制度；在以科学认识欠缺排除不可抗力这一点落入该指令范围的限度内，政府须履行该指令第18条所规定的各项手续（关于开发风险的例外）。

第(EU)2015/1535号《关于技术法规以及信息社会服务规则领域信息提供程序的指令》（经第1016/2004号政府决定转置）——提交之前须核对：本法第17至19条、第38条和第39条的各项规定，以及关于技术标记的实施细则，可能构成该指令意义上的「与服务有关的法规」，在此情形下，该草案须在草案阶段通知欧洲委员会，并遵守等待期；关于欧洲通知的说明随草案一并提交。

《民法典》（第1376条）、《刑法》（第16条第(4)款、第135条）、《刑事诉讼法典》（第36、168、249条）、《民事诉讼法典》（争讼程序，本法第23条第(2)款与第26条第(5)款）、第182/2002号法律、第155/2024号紧急政府法令、第240/2004号法律——引证规范，不作修改。

综而言之：废止0件，条文被补充1件（第78/2016号紧急政府法令），明确例外5项（涉及7处条文），以引证规范作范围补充2项（第361/2022号法律、第365/2002号法律），与欧盟法的配合规范见第1条第(4)款、第9条第(7)款、第17条第(6)款、第18条第(5)款、第19条第(1)款和第(6)款、第27条第(6)款以及第35条第(5)款；须核对的欧洲通知1项（第(EU)2015/1535号指令）。与所引各国内文件合并形式的配合（各法典、第182/2002号、365/2002号、554/2004号和361/2022号法律，第2/2001号政府法令，第22/2009号、78/2016号和155/2024号紧急政府法令），须在提交之前对照合并文本予以核对。

b) 因落实新规定而将要拟订的规范性文件

议会关于任命 ANCOM 人工智能安全副局长的决定，以及 ANCOM 局长刊载于《官方公报》的决定，用以把管理局（包括评估、调查与制裁决定各独立机构的组织，第32条第(2)款）补入其组织结构以及组织与运作规程；期限：自本法刊载之日起60日（第49条第(1)款）。

政府关于批准本法实施细则的决定，依管理局的提议、经科学理事会出具意见并经至少30日的公众磋商通过；期限：自本法刊载之日起120日（第49条第(2)款）。对象：通知与许可程序；对在另一成员国合法投入运行之系统的简化承认程序（第9条第(7)款）；评估标准、权重安全标准与停止能力标准；隔离环境的条件（第15条第(2)款）；来源标记的标准（第17条）；关键能力的评估方法与显著性水平，须在第5条第(2)款的界限内，不得添加其他类别的结果；大容量算力基础设施的门槛（第6条第(4)款）；依服务成本所确定的各项费用数额；保险或财务担保的数额（第36条）；接触权重人员的审查程序，并经 ORNISS 出具意见（第12条第(1)款）；停止能力的测试程序（第14条第(1)款）；认定日志可理解性丧失的水平（第16条第(5)款）；副局长的补偿性津贴（第31条第(3)款）。细则细化本法的框架，不得确定各项义务、禁止与制裁的本质内容；各项标准须予公布。

管理局在实施细则通过之前所公布的临时指引；在此期间，各项评估依《人工智能条例》所通过良好实践守则以及科学上公认的方法进行（第49条第(3)款）；其后为管理局的各项标准，经科学理事会出具意见，并以第32条第(4)款为限。

ANCOM 局长关于管理局专业人员报酬水平的决定，依已公布的市场研究作出（第33条第(3)款）；以及专业人员竞聘的公告与规程（第33条第(1)款和第(2)款）。

国防最高委员会关于适用于国防与国家安全领域各系统之调整的决定（第23条）。

政府依管理局提议定期调整算力门槛的各项决定（第6条第(2)款）。

政府正在拟订的第(EU)2024/1689号条例施行法，将须与本法在下列方面相配合：依该条例所指定各机关与管理局之间的合作（第31条第(5)款），以及对同一行为不得依本法与该条例处以两项制裁这一规则（第37条第(5)款）。

c) 立法平行的分析（第24/2000号法律第16条）

依第24/2000号法律第16条第(1)款，「在立法过程中，禁止在同一规范性文件的多个条或款中、或者在两个或多个规范性文件中确立相同的规定」，而为凸显立法上的关联则使用引证规范。本草案的每一项规定都已对照现行立法作了核对，结果概括于下表。

第六节——为拟订规范性文件草案所进行的各项咨询

第七节——关于规范性文件草案之拟订与实施的公众告知活动

第八节——实施措施

基于上述理由，已拟订所附立法提案，现提交议会审议和通过。

提案人，

文献说明

拟订本提案时所依据的各项来源

1. 欧洲议会和理事会2024年6月13日关于确立人工智能统一规则的第(EU)2024/1689号条例，《欧盟官方公报》L辑，2024年7月12日——尤其是第2、3、5、14、51至56、68、72至73、78、87、99至101条以及附件十三。

2a. Dario Amodei，《我们必须为前沿定速》（“We Must Pace the Frontier”），2026年9月12日（darioamodei.com）；VentureBeat、TechRadar、Newsweek、The Spokesman-Review 2026年9月12日关于该文、Hugging Face 事件以及 Sam Altman 与 Elon Musk 反应的报道；Sam Altman 接受《财富》杂志的访谈（2026年9月13日），经彭博社与 Business Standard 引用。

2g. 大韩民国——《人工智能发展与信赖基础构建基本法》，自2026年1月22日起施行：生成式人工智能所生成内容的标注义务、对用户的事先告知义务，以及外国提供者指定本地合规代表的义务；乔治城大学安全与新兴技术中心所公布的英文官方译本，https://cset.georgetown.edu/wp-content/uploads/t0625_south_korea_ai_law_EN.pdf；分析：Future of Privacy Forum，https://fpf.org/blog/south-koreas-new-ai-framework-act-a-balancing-act-between-innovation-and-regulation/ ；Cooley LLP，2026年1月27日，https://www.cooley.com/news/insight/2026/2026-01-27-south-koreas-ai-basic-act-overview-and-key-takeaways。

2h. 第(EU)2024/1689号条例第50条（透明度义务，自2026年8月2日起适用）与第54条（在第三国设立的通用模型提供者的授权代表）；欧盟委员会关于人工智能所生成内容透明度的良好实践守则（草案，2026年）。

2f. Yoshua Bengio 接受《卫报》（Dan Milmo）的访谈，2026年9月16日，关于规制正接近一个可与大流行病时刻相比的转折点；英国皇家学会42名院士与外籍院士就对发展速度的「极度担忧」所发的信函；Digi24 2026年9月16日的报道，https://www.digi24.ro/stiri/sci-tech/lumea-digitala/nasul-inteligentei-artificiale-spune-ca-reglementarea-ai-se-apropie-de-un-punct-de-cotitura-similar-cu-cel-al-pandemiei-de-covid-3950743；《时代》周刊，《人工智能的临界点》（“The AI Tipping Point”），2026年9月15日，关于美国国会正在辩论的各项立法提案。

2e. 2026年9月的公开辩论：研究人员 Jacob Coxon（Anthropic）2026年9月8日的公开辞职，以及 Anthropic 与 OpenAI 对齐与研究部门负责人的反应——CBC News、《时代》周刊（2026年9月15日）、《福布斯》与《财富》（2026年9月9日至10日）的报道；2026年9月15日旧金山 Salesforce 年度大会上 Sam Altman、Mark Zuckerberg、Jensen Huang、Jack Clark 与 Dario Amodei 所表达的立场——BBC News（2026年9月16日）、《爱尔兰时报》、CNBC 与《福布斯》的报道。

2c. 2026年夏季事件（各智能体从 OpenAI 测试环境中逃逸以及 Hugging Face 平台被攻破）的时序：Cloud Security Alliance，《大逃出沙箱》（“The Great Sandbox Escape”，2026年7月28日），https://cloudsecurityalliance.org/blog/2026/07/28/openai-and-hugging-face-security-incident-inside-the-great-sandbox-escape；Malwarebytes Labs，《攻击 Hugging Face 的人工智能智能体集群是对未来的警告》（2026年8月），https://www.malwarebytes.com/blog/ai/2026/08/the-ai-agent-swarm-that-attacked-hugging-face-is-a-warning-for-the-future；Axios，《OpenAI 与 Hugging Face 的入侵暴露人工智能智能体安全的限度》（2026年9月1日），https://www.axios.com/2026/09/01/openai-hugging-face-ai-agent-security；TechCrunch，《OpenAI 的失控智能体不断逃逸，却没有正式的调查程序》（2026年9月4日），https://techcrunch.com/2026/09/04/openais-rogue-agents-keep-escaping-with-no-formal-process-to-investigate-them/；Noma Security，《大逃出（沙箱）》（2026年），https://noma.security/blog/the-great-sandbox-escape-analyzing-the-openai-hugging-face-security-incident；OpenAI 与 Hugging Face 2026年7月21日的联合声明。

2d. 作为对该事件回应而提交美利坚合众国国会的各项立法提案：《人工智能断路开关法》（“AI Kill Switch Act”，2026年7月23日）与《禁止人工超级智能法》（“Ban Artificial Superintelligence Act”，2026年9月3日）；前沿实验室1100余名员工就缓和发展速度各项机制所发的公开信（2026年7月28日）。

2b. 参议员 Alex Antic（澳大利亚参议院），2026年公开播出的关于「数字监狱」（订阅经济、数字身份、以合规作为参与社会之代价）的议会演说，https://www.facebook.com/reel/1059873890017722/。

2. CNN，《阿曼普尔访谈》（“Amanpour”），2023年5月2日——对杰弗里·辛顿与康纳·莱希的访谈（「我们不知道如何控制这些东西」；辛顿：人类的消亡「并非不可想象」；莱希：「遗憾的是，相当有可能」）。

3. 人工智能安全中心，《关于人工智能风险的声明》，2023年5月30日；杰弗里·辛顿关于10%至20%概率以及「虎崽」之比的公开表述（BBC，2024年12月；CBS，2025年4月）；《人工智能安全国际报告》，2025年1月（Y. Bengio 主持）；兰德公司，《保护人工智能模型权重》，2024年；《关于高级人工智能的警告权》信函，2024年6月4日。

4. ANCOM，《罗马尼亚的人工智能条例——实施框架的现状》公报（2026年7月）；专业媒体（Juridice.ro、Bursa.ro，2026年8月）关于在国家法律通过之前无法施加制裁的报道。

5. 加利福尼亚州 SB 53——《前沿人工智能透明度法》（2025年9月29日）；美国第14110号行政命令（2023年10月30日，于2025年1月被撤销）；中华人民共和国《生成式人工智能服务管理暂行办法》（2023年8月15日）；欧洲委员会关于人工智能的框架公约（CETS 第225号，2024年）；联合国大会第78/241号决议（2023年12月22日）；联合国秘书长与红十字国际委员会的共同呼吁（2023年10月5日）。

6. 经重新公布并经其后修改补充的第24/2000号关于拟订规范性文件之立法技术规范的法律——尤其是第6、7、13、16、30至31、36至38、40至56、63条；第561/2009号政府决定，批准《关于政府层面拟订、审议和呈送公共政策文件草案、规范性文件草案及其他文件以供通过／批准的程序规程》——附件一（理由说明的结构）。

7. 经重新公布的《罗马尼亚宪法》（第1、22、34、53、73、75、76、78、117、119、142、148条）；《民法典》（第11、25、1246至1250、1376条）；《刑法》（第8、9至11、21、135、275、303、345、395条）；《刑事诉讼法典》（第36、168、249条）；第111/1996号法律；第703/2001号法律；第182/2002号法律；第415/2002号法律；第240/2004号法律；第95/2006号法律；第190/2018号法律；第129/2019号法律；第361/2022号法律；第365/2002号法律；第153/2017号框架法律；第77/2009号紧急政府法令；第2/2001号政府法令；第27/2003号紧急政府法令；第78/2016号紧急政府法令；第155/2024号紧急政府法令；第195/2005号紧急政府法令。

8. 判例：欧盟法院，C-157/96，National Farmers' Union（1998年）；欧盟普通法院，T-13/99，Pfizer Animal Health（2002年）；欧盟法院，C-376/22，Google Ireland 等，2023年11月9日判决，ECLI:EU:C:2023:835（第25至35点）；罗马尼亚宪法法院第51/2016号裁定（法律的明确性与可预见性）。

9. 对本草案的独立法律分析（2026年9月20日的文本），其中所指明的经核验来源：第(EU)2024/1689号条例（合并文本，2026年7月27日）、第(EU)2022/2065号条例（第9段理由说明，第14、17、20条）、第2000/31/EC号指令（第3条）、第(EU)2024/2853号指令（第2至3、18条）、第(EU)2019/1937号指令（第6、15、21条）、第(EU)2015/1535号指令与第1016/2004号政府决定、批准第78/2016号紧急政府法令的第120/2018号法律。