一句话总结：Regulation (EU) 2024/1689 的价值链只有五种法定角色——提供者、部署者、进口商、分销商、授权代表（第 3(3)、3(4)、3(6)、3(7)、3(5) 条），没有"网关"这个身份。在应用与模型供应商之间放一层代理，它要么是高风险系统的一部分（那就由投放者按第 3(3) 条成为提供者），要么是第 25(4) 条意义上的第三方组件供应方（须签书面协议），要么自己就是第 53 条意义上的 GPAI 模型提供者。三条路之外没有"中立管道"这一档。日志义务也按这个结构分配：第 19(1) 条给提供者、第 26(6) 条给部署者，各不少于 6 个月。
一、五种法定角色，没有第六种
第 3 条把参与方定义得很死：
| 角色 | 条款 | 判定要点 |
|---|---|---|
| 提供者 provider | 3(3) | 开发 AI 系统或 GPAI 模型，或以自己名义/商标让人开发并投放市场或投入使用，收费与否不论 |
| 部署者 deployer | 3(4) | 在其权限下使用 AI 系统，纯个人非职业活动除外 |
| 进口商 importer | 3(6) | 在欧盟设立，把带有第三国主体名称或商标的 AI 系统投放欧盟市场 |
| 分销商 distributor | 3(7) | 供应链中除提供者与进口商之外，使 AI 系统在欧盟市场可获得的主体 |
| 授权代表 authorised representative | 3(5) | 在欧盟设立，经书面授权代第三国提供者履行本条例义务 |
"operator"（3(8)）是这五类加上产品制造商的统称。可以看到，条例的分类依据是是否投放、是否以自己名义投放、是否使用，而不是技术架构。中间层放多少个组件，都不改变这个判定。
二、第 25(1) 条：三种情形把你变成提供者
这是整条价值链上最硬的一条。分销商、进口商、部署者或其他第三方，只要落入下列任一情形，就被视为该高风险系统的提供者，并承担第 16 条全部义务：
| 情形 | 条款 | 典型触发 |
|---|---|---|
| 在已投放的高风险系统上加上自己的名称或商标 | 25(1)(a) | 白标转售、贴牌集成 |
| 对已投放的高风险系统做实质性修改，且修改后仍属高风险 | 25(1)(b) | 换模型、改判定逻辑、改阈值 |
| 修改预期用途，使原本非高风险的系统（含 GPAI 系统）变成高风险 | 25(1)(c) | 通用助手改成简历筛选、信用评分 |
第 3(23) 条对"实质性修改"的定义有两层：一是初始符合性评定中未预见或未计划的变更，二是该变更影响了第三章第 2 节要求的符合性，或导致已评定的预期用途发生改变。第 43(4) 条进一步明确：实质性修改后必须重新做符合性评定。