LangSmith和LangChain OSS如何幫助您滿足歐盟AI法案要求

歐盟AI法案（EU AI Act）是全球第一部全面的人工智慧監管法規，其合規截止日期為2026年8月2日。如果你正在歐盟開發或部署高風險AI系統——例如用於金融、醫療、人力資源、製造業或關鍵基礎設施的系統——那麼倒計時已經開始。不合規可能面臨高達1500萬歐元或全球年營業額3%的罰款（取較高者）。法案要求建立風險管理體系、自動事件日誌記錄、對部署者的透明度、人工監督機制、上市後監控以及事件報告機制。許多團隊已經開始政策層面的工作，但還需要構建可操作的基礎設施來支撐這些要求。

法案重點關注高風險AI系統，包括信用評分、醫療裝置、招聘、生物識別、關鍵基礎設施、執法等領域的系統。如果你在這些領域構建代理，必須滿足以下要求：建立風險管理體系、記錄代理行為、確保輸出對部署者透明、保持人工干預能力，並在部署後持續監控行為。這些要求適用於所有AI系統，包括那些能夠推理、檢索上下文、呼叫工具並進行多步決策的代理。

本文分解了歐盟AI法案的具體要求，並說明了LangSmith和LangChain OSS產品如何幫助您滿足每一項要求。

可觀測性與追蹤：完整執行記錄

監管機構要求記錄AI系統採取的所有行動。對於進行多步決策的代理，最佳實踐是追蹤完整的執行執行緒，包括輸入、推理、工具呼叫和輸出。

法案第9條要求在整個開發生命週期中建立持續的風險管理體系；第12條要求系統在其生命週期內進行自動事件日誌記錄，日誌必須足以識別風險、支援上市後監控並使部署者能夠進行運營監督；第13條要求決策可追溯、可解釋。

LangSmith為代理執行的每一步提供完整的可觀測性和評估工具：

• 端到端追蹤捕獲每一次LLM呼叫、工具呼叫和推理步驟，並附帶結構化後設資料（輸入、輸出、時間戳、代理上下文）。
• LangSmith Studio視覺化完整的執行圖，包括狀態轉換和工具呼叫，使您可以逐步檢查代理的決策過程。
• LangSmith Insights Agent自動處理追蹤資料，識別並聚類重複模式，發現故障模式和使用趨勢。
• 自定義儀表板跟蹤風險評分，並透過PagerDuty或webhook在指標超出閾值時觸發警報。

在儲存方面，自託管、BYOC和託管雲部署選項讓您控制日誌的儲存位置和保留時間。對於歐盟資料駐留要求，LangSmith EU將所有追蹤資料儲存在轄區內。自託管和BYOC選項讓整個堆疊執行在您的Kubernetes叢集或雲區域中，資料永遠不會離開您的邊界。

評估器：持續質量與安全評分

歐盟AI法案要求對代理輸出進行持續測量，並對生產流量進行評估。

第10條要求資料治理和偏見檢查；第13條要求系統足夠透明，使部署者能夠解釋輸出並適當使用；第15條要求宣告準確度水平、相關準確度指標、對抗性魯棒性，並防範常見攻擊面。

LangSmith的線上評估器持續對您定義的可配置生產追蹤樣本進行評分，每個分數都附有完整的追蹤上下文，形成證據鏈。當指標超出閾值時，透過PagerDuty或webhook觸發警報。

LangSmith提供以下領域的預構建評估器：

• 基於種族、性別、年齡、宗教、國籍、殘疾和性取向等的偏見和公平性
• 針對個人或群體的毒性
• 敏感影像和露骨內容
• 幻覺和答案相關性
• PII洩露檢測
• 提示注入和越獄檢測
• API洩露和程式碼注入（針對工具呼叫代理）
• 正確性、精確匹配、計劃遵循和任務完成（用於準確度測量）
• 工具選擇和計劃遵循（用於代理決策質量評分）

每個評估器都可定製，您還可以為特定用例建立新的評估器。

人工監督：中斷、審查和升級

人工監督是法案的核心原則之一。AI系統做出的重大決策應保持可爭議性和可糾正性。實踐上，這需要在架構中構建監督機制，包括定義的升級路徑、結構化審查工作流以及干預發生的審計證據。

對於代理系統，這尤為重要。一個進行多步決策的代理可能在人類有機會發現之前就累積錯誤。在某些情況下，監督機制需要嵌入執行圖本身。

第14條要求人類能夠理解、干預、覆蓋和中斷系統。

LangSmith提供的功能：

• LangGraph的中斷原語使人工介入成為代理圖的頭等公民。您可以在任何節點暫停執行、檢查狀態、修改狀態並恢復。
• LangSmith Deployment提供底層持久化執行時：自動檢查點、恰好一次執行以及從精確點恢復暫停執行。
• 註釋佇列將生產追蹤路由給人類審查員進行結構化反饋。
• 當評估器超出定義閾值或發生中斷事件時，webhook觸發警報。

如何開始

8月2日即將到來。對於執行高風險AI系統的團隊，以下是LangSmith如何幫助您滿足法案核心技術要求：

可觀測性和追蹤是基礎。對所有工具呼叫、檢索步驟和推理節點進行完整追蹤，為您提供審計線索和執行評估的基礎。

對生產流量進行評估，包括偏見、幻覺、毒性、準確性和對抗性輸入的評分，滿足法案的上市後監控要求。

人工介入是一個架構要求。法案要求人類能夠干預、覆蓋和中斷系統。LangGraph的中斷原語和LangSmith的註釋佇列使該機制可審計。

為滿足歐盟資料駐留要求，部署方式也很重要。LangSmith的歐盟SaaS、BYOC和完全自託管選項專為生產中的代理工作負載設計。

這些實踐與團隊為在生產中良好執行代理而遵循的實踐相同。