生成式AI如何支持法规遵从

诸如ChatGPT、Claude、Gemini和NoteBookLM等工具正在展现出巨大潜力，能够支持组织管理复杂的法规，如《数字运营韧性法案》（DORA）、NIS2指令和《通用数据保护条例》（GDPR）。以下是用于法规遵从的生成式AI工具。

通过正确使用生成式AI工具，即使是其免费版本，也能极大地促进所有与监督、实施和验证越来越多影响信息系统和企业安全的法律法规相关的活动。

以下是用于DORA、NIS2、GDPR、《人工智能法案》等法规遵从的免费版本生成式AI工具。

生成式AI与法规遵从

生成式AI正在成为应对日益复杂的欧洲法规格局的基本工具。

诸如ChatGPT、Claude、Gemini和NoteBookLM等工具，既有免费版本也有付费版本（通常提供不同级别的订阅，包括专用于特定公司的云空间），在支持组织管理复杂的法规（如DORA、NIS2和GDPR）方面展现出非凡的潜力。

生成式AI的正确方法：三大范式

需要考虑的第一个范式是，个人在使用每个工具时的经验对其评估而言意义不大。这些工具以惊人的速度发展，今天某个工具做得不好的事情，明天（从字面意义上）可能就会做得非常出色。

各种工具竞相成为最佳，竞争确实非常激烈。

第二个范式是，与其他计算机应用程序不同，一旦理解了可以直接向工具本身请求任何东西，就不必学习如何使用它们。

第三个范式是，可以要求工具插入任何信息来补充其默认提供的简单答案。

一个例子

例如，可以要求它描述其得出某个结论的推理过程，指明所写每个段落的来源，并引用原始来源文本以供即时核对，从而识别可能的“幻觉”。

如果工具提供的答案没有包含我们感兴趣的一系列基本要素，只需要求它加入这些要素即可。

当然也存在明显的局限性，首当其冲的就是刚才提到的“幻觉”，这是由于工具无论如何都会响应用户的请求，如果它们不知道某事，就会编造出来。

如何解决“幽灵参考文献”

就在几天前，ChatGPT在为我提供所请求信息的答复时，编造了相关的参考文献。

实际上，我本可以立刻察觉到这些参考文献是编造的；所列文件旁边没有任何链接。我通过搜索列出的单个文件发现了这一点：全都是编造的。

因此，最好只在与自身专业知识相关的主题上使用这些工具，以便能够立即评估答案的质量。

使用过程中上传信息的保密性

这些工具的另一个重大限制，也是令用户可能过度担忧的问题，涉及使用过程中上传信息的保密性。在某些情况下，这些信息可能被用于训练模型，正如一些产品在使用时明确提示的那样。

解决方案

在这方面也不乏解决方案，从信息匿名化到使用可本地安装且无需任何外部连接的免费AI模型。

法规分析

以DORA法规为例，生成式AI应用程序可以分析整个法规体系，并生成所施加所有义务的详细清单，将其划分为不同的类别：组织要求、技术要求、安全要求和法律要求。

可以要求AI将单个条款分解为其具体义务，识别谁有义务履行、规定的截止日期是什么，以及在未履行的情况下可能适用的制裁措施。

AI还可以识别文本中包含的所有相关技术和法律定义，并将其与其他法规的定义进行比较，突出显示可能具有重大操作影响的术语相似性和差异性。

差距分析

新法规的生效总是需要仔细分析与现有法规的差异，以找出差距。

AI可以比较新法规与先前法规的要求，例如将新的DORA法规与欧洲银行业管理局的指导方针进行比较，生成一份差异分析，精确指出哪些是新要求。

实际上，这种分析并非单向的。

AI在差距分析中的优势

AI能够识别新法规中存在而旧法规中缺失的要素，反之亦然，从而提供法规连续性和非连续性的完整视图。

一个具体例子是，AI能够识别DORA中特定的技术要求，这些要求在EBA指导方针中没有对应部分。

同样，在比较NIS2和DORA时，AI可以映射两部法规共有的要求，并将其与各自特有的要求区分开来。这种比较表示能力使组织能够优化实施工作，识别可能的协同效应，并将资源集中在真正必要的地方。

创建文档

内部政策、操作程序、表格：所有这些文件都可以在AI的支持下生成。

在DORA背景下，最敏感的领域之一涉及与信息和通信技术服务提供商的合同。金融机构与提供商之间签订的合同必须满足非常具体的要求，AI可以生成完整的合同草案，包含法规要求的所有要素。

审计与核查

生成式AI的应用示例是无限的。在审计活动方面，AI可以：创建检查清单、访谈提纲、建议审计报告的结构、定义审计方法和评估标准。但它也适用于制作帮助审计师开展工作的应用程序。

业务连续性应用程序

针对DORA和NIS2范围内的业务连续性、供应链领域，我开发了一些可以在任何个人电脑上本地运行的应用程序。

这些应用程序由单个HTML文件构成，提交一份包含50到100个问题的审计检查清单。每个问题有5个可能的答案，对应5个不同的要求实施成熟度级别。

这些应用程序是通过一个非常简单的提示创建的，编写时间不超过20秒，它们极好地证明了使用这些工具所能达到的不同效率水平。

参考文献

• G.Butti – AI e audit, ITER 2024;
• G.Butti – Compliance 4.0, ITER 2025
• G.Butti – Supply chain: gestire i rischi con strumenti di AI gratuita, ITER 2025.