监管与许可现状（截至 2026 年 10 月）
一份写于 2024 年的合规清单，如今已经错了两处：欧盟在 2026 年 7 月推迟了高风险义务的截止日期，微软在 4 月从其版权赔偿承诺中删去了一项过滤器要求。到目前为止，已经定下来的规则只在边缘触及软件团队：AI 素养、漏洞报告、来源标注和赔偿条件。本附录读过的条文中，没有一份把编码助手列为高风险。下面每一项都注明日期并附上一手来源，每一个法律推断都写成留给法律顾问的问题。以上均不构成法律意见。
现状一览
各项来源见后文各节。这些条目所服务的治理论证在《向更多团队推广》；风险概述在《经济性、风险与度量》。
综合修正案之后的欧盟《人工智能法》
据欧盟委员会（2026 年 10 月查阅），该法于 2024 年 8 月 1 日生效。禁止性规定与 AI 素养自 2025 年 2 月 2 日起适用，通用模型义务自 2025 年 8 月 2 日起适用，整体自 2026 年 8 月 2 日起适用。附件 III 的高风险规则现改为自 2027 年 12 月 2 日起适用，嵌入受监管产品的附件 I 系统则可延至 2028 年 8 月 2 日。作为修正案的"AI 综合修正案""已于 2026 年 7 月 27 日生效"。它即第 (EU) 2026/1744 号条例，于 2026 年 7 月 24 日在《欧盟官方公报》上公布。
修正后的第 4 条要求提供者与部署者"采取措施，支持 AI 素养的培养"（第 (EU) 2026/1744 号条例，它取代了此前"确保"AI 素养的义务）。任何部署了编码助手的团队都是部署者。因此培训很可能成为一项合规材料，《人：角色、技能与初级工程师培养》可以在此基础上展开。
附件 III 第 4(b) 点涵盖在劳动关系中用于"监控和评估人员的表现与行为"的系统（附件 III，artificialintelligenceact.eu 上的合并文本，二手来源）。编码助手不在其列。第 14(4)(e) 条要求高风险系统的监督者能够通过"'停止'按钮或类似程序"使其停下（第 14 条，同一合并文本，二手来源）。
留给法律顾问的问题。一个给个别开发者打分或排名的 AI 仪表盘，自 2027 年 12 月 2 日起是否落入附件 III 第 4(b) 点？运行内部编码智能体，是否在某些情况下会让公司成为提供者而非部署者？在法律顾问给出答案之前，《衡量成效，以及何时回退》出于其自身的度量理由，已建议不把 AI 指标用于个人绩效评估。
欧盟《网络韧性法》
欧盟委员会的 CRA 页面（2026 年 10 月查阅）给出三个日期。该法于 2024 年 12 月 10 日生效。报告义务"自 2026 年 9 月 11 日起适用"。主要义务自 2027 年 12 月 11 日起适用。它涵盖"带有数字元素的软件或硬件产品"。对向欧盟交付此类产品的团队来说，报告的时钟已经开始走了。
留给法律顾问的问题。来源对 AI 生成的代码只字未提。制造商的 CRA 义务是否像适用于人写的代码一样，原样适用于智能体写的代码？本书在规划控制措施时假定如此，但这只是推断，不是对条文的解读。
自愿性框架：NIST AI RMF 与 ISO/IEC 42001
NIST 的 AI 风险管理框架 1.0 于 2023 年 1 月 26 日发布，"供自愿使用"。其生成式 AI 配置文件（NIST AI 600-1）于 2024 年 7 月 26 日发布。截至 2026 年 10 月，NIST 表示"AI RMF 1.0 正作为白宫《AI 行动计划》的一部分进行修订"。MANAGE 2.4 与本书的回退设计直接对应，它要求具备相应机制，"取代、脱离或停用那些表现或结果与预期用途不符的 AI 系统"（NIST AI 100-1）。
ISO/IEC 42001:2023 是一项 AI 管理体系标准，于 2023 年 12 月 18 日发布（据 IEC 网上商店的条目；iso.org 页面无法读取）。实践中它多出现在采购环节。2025 年 1 月 13 日，Anthropic 宣布已由一家获认可的机构认证符合该标准（厂商公告）。证书覆盖的是厂商的管理体系，而不是它的工具在你的流水线里如何表现。本 wiki 在《ISO 42001、NIST AI RMF、欧盟〈人工智能法〉与 AIUC-1 对比》和面向智能体的 NIST AI RMF 中对这些框架做了比较。
版权、Copilot 诉讼与赔偿承诺
美国版权局。其报告关于可版权性的第 2 部分于 2025 年 1 月 29 日发布（copyright.gov）。报告的结论是："鉴于当前普遍可用的技术，仅凭提示词并不能提供足够的人类控制，使 AI 系统的用户成为输出的作者。"在输出中可以感知到的人类表达，以及对输出的创造性选择、编排或修改，仍可受到保护（报告 PDF）。
Doe v. GitHub。2026 年 9 月 16 日，第九巡回上诉法院（案号 24-7700）驳回了 DMCA §1202(b) 的"输出"理论。Copilot 与 Codex 并没有"删除或篡改"版权管理信息，它们"而是创造了从未包含该信息的新作品"。两项违约诉求"仍待审理"。法院还称，GitHub 的重复检测过滤器"在一定程度上证明 Copilot 能够、也确实会输出逐字相同的代码副本"（判决书）。
微软客户版权承诺。对 GitHub 产品而言，"自 2026 年 4 月 3 日起，没有额外的强制缓解措施。使用重复检测过滤器功能不再是获得 CCC 保障的必要条件"（CCC 强制缓解措施，页面更新于 2026 年 7 月 13 日）。Azure OpenAI 客户仍有强制缓解措施，其中包括在代码生成场景中开启受保护代码过滤器。
留给法律顾问的问题。鉴于版权局对提示词的立场，一个主要由智能体写成的代码库归谁所有？既然赔偿承诺已不再要求重复检测过滤器，而法院又从这个过滤器中读出了上述含义，关掉它是否会改变你的许可风险？本 wiki 的智能体产出的知识产权与版权页面跟踪细节。
开源项目政策
如果你的智能体会向上游项目提交拉取请求，每个项目的政策都是硬约束，而这些政策分成三派。
Assisted-by: AGENT_NAME:MODEL_VERSION [TOOL1] [TOOL2]，7.3-rc7 版文档要求 Assisted-by: LLM [TOOL1] [TOOL2]。Assisted-by: 尾注。贡献者"对这些贡献的全部内容负完全责任"。AI 可以协助评审者，但不得成为实质性判断的"唯一或最终裁决者"。内核与 Fedora 的做法——披露加上只由人类签署——是《模板》中来源标注政策模板的基础。本 wiki 的监管格局与面向智能体的欧盟《人工智能法》页面提供了更广的背景。
怎么做。
- 每季度对照一手来源重新核对现状一览中的每一行，并记下你查阅的日期。仅 2026 年就至少有两行发生了变化。
- 如果你向欧盟交付带有数字元素的软件，现在就要准备好 CRA 漏洞报告的运行手册。这项义务自 2026 年 9 月 11 日起已经适用。
- 在任何智能体向上游提交拉取请求之前，先记录该项目的 AI 政策。对拒绝 AI 贡献的项目，禁止智能体提交。
- 在法律顾问回答附件 III 的问题之前，不要用 AI 工具给个别开发者打分。
- 对每一份厂商赔偿承诺，写下其条件和你查阅的日期。是否开启重复检测过滤器，应出于许可方面的理由，而不是赔偿方面的理由。
- 把本附录中的开放问题交给法律顾问。不要在工程文档里替他们作答。