一句话总结：Regulation (EU) 2024/1689 第 10 条要求训练、验证、测试数据集满足八项治理实践与三项质量判据，而第 10(2)(f)(g) 条的偏差审查与缓解往往需要处理特殊类别个人数据——这类处理原来在条例里没有正面依据，2026/1744 修订新增的第 4a 条给了例外通道：在严格必要于偏差检测与纠正时，可例外处理特殊类别个人数据，但必须同时满足 (a)~(f) 六个条件。第一个条件就把顺序定死了——先证明无法用其他数据（含合成或匿名数据）达成。
一、第 10 条的四个段落
| 段 | 内容 |
|---|---|
| 10(1) | 使用模型训练技术的系统，须基于符合第 2、3、4 段以及第 4a(1) 条的数据集开发 |
| 10(2) | 数据治理与管理实践须特别关注 (a)~(h) 八个方面 |
| 10(3) | 训练/验证/测试数据集须相关、充分代表、在最大可能范围内无错误且在预期用途视角下完整，并具备适当统计特性 |
| 10(4) | 须按预期用途所需，考虑特定地理、情境、行为或功能环境的特征 |
| 10(6) | 不使用模型训练技术的系统，第 2、3、4 段与第 4a(1) 条仅适用于测试数据集 |
第 10(3) 条末尾有一句实务上很好用的话：这些数据特征可以在单个数据集层面满足，也可以在组合层面满足。数据分散在多个来源、单个集不具代表性时，用组合口径论证是条文允许的。
二、第 10(2) 条：八项实践
| 项 | 内容 |
|---|---|
| (a) | 相关设计选择 |
| (b) | 数据收集过程与数据来源；涉及个人数据的，还须记录原始收集目的 |
| (c) | 数据准备操作：标注、打标、清洗、更新、富集、聚合 |
| (d) | 假设的表述，特别是数据应测量与代表什么 |
| (e) | 所需数据集的可得性、数量与适用性评估 |
| (f) | 审查可能影响健康安全、损害基本权利或导致联盟法禁止的歧视的偏差，尤其是数据输出影响未来操作输入的情形 |
| (g) | 检测、预防与缓解 (f) 所识别偏差的适当措施 |
| (h) | 识别妨碍合规的数据缺口或缺陷，以及如何弥补 |
(b) 里的"原始收集目的"是一个容易被漏记的字段：数据从别处买来或复用内部数据时，用途链断了，这一项就写不出来。(f) 与 (g) 是一对——只做检测不做缓解，等于只完成一半。
三、第 4a 条：六道闸，顺序不能换
第 4a(1) 条的适用前提是"为确保依第 10(2)(f)(g) 条进行偏差检测与纠正所严格必要"，对象是高风险系统的提供者。除须遵守其指向的联盟数据保护法外，还须同时满足六项条件：
| 项 | 条件 |
|---|---|
| (a) | 偏差检测与纠正无法通过处理其他数据有效完成，包括合成数据或匿名化数据 |
| (b) | 特殊类别个人数据受再利用的技术限制约束，并采取最先进的安全与隐私保护措施，包括假名化 |
| (c) | 采取确保数据安全受保护的措施与适当保障，包括对访问的严格控制与记录，确保仅获授权人员可访问并承担相应保密义务 |
| (d) | 特殊类别个人数据不得被其他方传输、转移或以其他方式访问 |
| (e) | 偏差纠正完成或数据达到保留期届满时即删除，以先到者为准 |
| (f) | 依联盟数据保护法编制的处理活动记录须写明：为何该处理对检测与纠正偏差属严格必要，以及为何该目标无法通过处理其他数据达成 |
(a) 的位置很关键：它是可行性排除，不是"说明理由"。你必须先做过"用匿名或合成数据能不能测出这个偏差"的尝试，并留下结论，才谈得上例外。
(f) 是唯一一项"写文档即合规"的条件，但它的内容不是模板话术——两个"为什么"要能被核查。