本分册为「REGULATION (EU) 2024/1689 学习笔记」系列第 6 部分，覆盖第 VIII 章（第 71 条，EU 数据库）、第 IX 章（第 72–94 条，上市后监测、信息共享与市场监管）、第 X 章（第 95–96 条，行为准则与指南）、第 XI 章（第 97–98 条，授权与委员会程序）、第 XII 章（第 99–101 条，处罚）、第 XIII 章（第 102–113 条，最终条款），并给出附录 I–XIV 的完整导览。系列共 6 个分册，主索引见 ：REGULATION (EU) 2024/1689 人工智能法案学习笔记(总目录）。
第十三章：上市后监测、市场监管与处罚【引述依据：Art 71–94 / Art 99–101】
13.1 监管重心的转移：从"发证那一刻"到"整个生命周期"
第 III 章到第 IX 章的结构关系，容易让人误以为合规的终点是"拿到 CE 标识、完成注册"。但从执法设计看，真正的重心在投放市场之后。原因很直接：AI 系统的性能会随数据分布漂移、随用户行为变化、随上下游模型更新而改变，一次合格评定只能证明"那一天、那一版"的状态。
第 IX 章用四层机制处理这个时间维度：
| 层级 | 机制 | 主要条款 | 责任落点 |
|---|---|---|---|
| 第一层 | 上市后监测体系与监测计划 | Art 72 | 提供者主动、持续收集与分析 |
| 第二层 | 严重事件报告 | Art 73 | 提供者对成员国市场监管机构 |
| 第三层 | 市场监管与联盟保障程序 | Art 74–83 | 成员国机构、委员会 |
| 第四层 | 处罚与救济 | Art 85–87、Art 99–101 | 成员国、委员会、EDPS |
这四层的顺序不是流程先后，而是证据生成顺序：提供者先产生数据（第一层），异常转化为事件（第二层），事件触发外部核查（第三层），核查结果决定责任（第四层）。理解这个顺序，就能理解为什么第 72 条的监测计划会被写进附录 IV 的技术文档——它是后续所有举证的基础。
💡 行业经验提示：行业里最常见的结构性误判，是把上市后监测当成"客服与质量部门的售后工作"。实际上第 72 条要求的是合规性评估，不是满意度跟踪。有效的做法是把监测指标直接映射到第 8–15 条的每一项要求：准确性对应什么指标、稳健性对应什么数据、漂移在什么阈值触发复核。指标与条款不对应，监测记录在监管问询时几乎无法证明"持续合规"。
13.2 第 71 条 EU 数据库：注册信息流向谁【引述依据：Art 71】
第 71 条是第 49 条注册义务的"另一半"：第 49 条讲谁该登记什么，第 71 条讲这些信息进入什么系统、谁能看。
| 要素 | 规则要点 | 实务含义 |
|---|---|---|
| 覆盖对象 | 依第 6(2) 条与附录 III 的高风险系统；另含依第 6(3) 条自评为非高风险但依第 6(4) 条登记的系统 | 自评豁免也要留痕，登记本身就是可核查的声明 |
| 建设与维护 | 委员会与成员国共同建立并维护 | 数据库是联盟级公共基础设施，不是成员国各自台账 |
| 录入主体 | 附录 VIII A、B 节由提供者或授权代表录入 | 授权代表不只是"联系人"，还承担录入动作 |
| 录入主体（公共部门） | 附录 VIII C 节由作为或代表公共机构行事的部署者录入 | 公共部门部署者负有独立的登记义务 |
| 公开性 | 依第 49 条登记的信息原则上公开、易检索、机器可读 | 竞争对手、媒体、研究机构都可读取 |
| 例外 | 第 49(4) 条与第 60(4)(c) 条涉及的部分不公开 | 真实世界测试的敏感信息有单独通道 |
| 第 60 条信息 | 仅市场监管机构与委员会可见，除非提供者同意公开 | 测试阶段信息默认封闭，同意即开放 |
| 个人数据 | 仅限于收集与处理所必需；含负责登记的自然人姓名与联系方式 | 合规联系人会进入公开或半公开系统 |
| 控制者 | 委员会为数据库控制者，须提供技术与行政支持并满足无障碍要求 | 数据主体权利请求指向委员会 |
这里有一个容易被忽略的合规细节：公开可读意味着"声明留痕"。提供者在附录 VIII 中填写的预期用途、适用领域、风险管理结论，会成为外部判断其是否"超范围使用"的第一手材料。行业共识是：登记信息应当与使用说明书、技术文档保持同一口径，任何"登记写得宽、文档写得窄"或反之的做法，都会在跨文档比对时暴露。
💡 行业经验提示：建议把 EU 数据库登记当作一次"对外发布"来管理，而不是一次行政填报。具体做法是：登记文本由技术、法务、质量三方共同确认版本，并纳入变更控制——系统发生实质性修改时，登记信息的同步更新常被遗漏，而这类遗漏在市场监管抽查中属于最容易证明的形式不合规。