本分册为「REGULATION (EU) 2024/1689 学习笔记」系列第 4 部分，覆盖第 III 章第 4 节（第 28–39 条，通知机构与公告机构）、第 5 节（第 40–49 条，标准、合格评定、证书与注册）以及第 IV 章（第 50 条，特定 AI 系统的透明度义务）。系列共 6 个分册，主索引见 ：REGULATION (EU) 2024/1689 人工智能法案学习笔记(总目录）。
第八章：合格评定、CE 标识与注册【引述依据：Art 28–49 / Annex IV–IX】
本章对应第 III 章第 4 节与第 5 节。学习目标：弄清楚"谁有资格来评""按什么标准评""走哪条程序""评完留下什么""怎么在市场上标识自己""什么时候必须登记"，把这一串动作串成一条可执行的上市路径。
8.1 合格评定不是重复测试，而是对证据链的外部检验
第 43 条的合格评定，常被误解为"再做一遍测试"。真实的逻辑不是这样。第 8–15 条已经要求提供者建立风险管理、数据治理、技术文档、日志、说明书、人工监督、准确性鲁棒性与网络安全这一整套证据；合格评定要做的是判断这套证据是否足以支撑"符合第 2 节要求"的结论，并决定这个判断由谁来做、做多深。
由此可以把第 28–49 条拆成三个层次来理解：
| 层次 | 条款 | 解决的问题 | 输出物 |
|---|---|---|---|
| 标准层 | 第 40–42 条 | 用什么"公认技术语言"证明合规 | 协调标准、共同规范、符合性推定 |
| 程序层 | 第 43–46 条 | 由谁评、按哪套程序评、什么情况可减免 | 附录 VI 自查记录或附录 VII 证书 |
| 结果层 | 第 44、47、48、49 条 | 结论如何被市场与监管识别 | 证书、DoC、CE 标识、数据库注册 |
这三层之间是递进关系而非并列关系：标准层决定程序层的入口（用了完整标准才可能选内部控制），程序层决定结果层的形态（有无公告机构识别号），结果层决定市场准入与监管可追溯性。缺任何一层，链条就断。
💡 行业经验提示：很多团队把合格评定当成"送检测试"，于是在项目末期才发现技术文档不满足附录 IV 的结构要求、QMS 没有覆盖第 17 条全部方面。行业里更有效的做法是把附录 VI 或附录 VII 的检查点提前到设计阶段当作设计输入——先按评定逻辑设计证据，再按证据组织开发，最后评定只是"确认"而非"补课"。
8.2 公告机构体系：一套被精心隔离的第三方能力基础设施
第 28–39 条用整整十二个条款来规定"谁来评"，这在产品安全法规中并不罕见，但对 AI 团队往往陌生。理解这套体系的关键词是隔离：把商业利益隔离出去，把评估与决策隔离出去，把咨询与评定隔离出去。
8.2.1 通知机构（第 28 条）
每个成员国应指定或设立至少一个通知机构，负责合格评定机构的评估、指定、通知与监督程序，且这些程序应在各成员国通知机构之间合作制定。成员国可决定由符合 Regulation (EC) No 765/2008 的国家认可机构承担评估与监督。
通知机构的组织方式有几条硬约束：
- 与合格评定机构之间不得存在利益冲突，其活动的客观性与公正性须得到保障；
- 关于合格评定机构通知的决定，必须由与实施评估不同的人员作出（评估与决策分离）；
- 不得提供合格评定机构所从事的任何活动，也不得以商业或竞争方式提供咨询服务；
- 须按第 78 条对获取的信息保密；
- 须配备足够数量的胜任人员，专业覆盖信息技术、AI 与法律（含基本权利监督）。
第 28(8) 条还处理了一个非常实际的问题：对于附录 I A 部分所覆盖的 AI 系统，如果相关产品法规本身允许"单一申请、统一评估"，那么同时依本法规与产品法规申请指定的机构应当可以只提交一次申请、走一次统一评估；已依产品法规获指定的公告机构在申请本法规指定时也可使用这一机制；已依多项 A 部分法规获指定的机构只需申请一次。第 28(9) 条补充：依 A 部分法规指定的通知机构，除非成员国另行指定，否则也同时是本法规统一评估程序的通知机构。
💡 行业经验提示：第 28(8) 条的"单一申请、统一评估"对同时受机械法规、医疗器械法规、无线电设备指令约束的产品极其关键。行业里常见的浪费是：企业按两套体系分别准备两份 QMS 文件、接受两次现场审核，最后发现两份文件 80% 内容重复且版本不一致。建议在立项时就确认产品是否落在附录 I A 部分，若是，则从一开始就按"一套 QMS、两套条款映射"的方式搭建。