[论文解读] Internal Deployment Gaps in AI Regulation

Joe Kwon, Stephen Casper|arXiv (Cornell University)|Jan 12, 2026

Ethics and Social Impacts of AI被引用 0

一句话总结

本文分析在欧盟与美国框架下，关于内部部署的三大结构性缺口（范围模糊、静态合规模标准以及信息不对称）及其成因与应对路径。

ABSTRACT

Frontier AI regulations primarily focus on systems deployed to external users, where deployment is more visible and subject to outside scrutiny. However, high-stakes applications can occur internally when companies deploy highly capable systems within their own organizations, such as for automating R&D, accelerating critical business processes, and handling sensitive proprietary data. This paper examines how frontier AI regulations in the United States and European Union in 2025 handle internal deployment. We identify three gaps that could cause internally-deployed systems to evade intended oversight: (1) scope ambiguity that allows internal systems to evade regulatory obligations, (2) point-in-time compliance assessments that fail to capture the continuous evolution of internal systems, and (3) information asymmetries that subvert regulatory awareness and oversight. We then analyze why these gaps persist, examining tensions around measurability, incentives, and information access. Finally, we map potential approaches to address them and their associated tradeoffs. By understanding these patterns, we hope that policy choices around internally deployed AI systems can be made deliberately rather than incidentally.

研究动机与目标

• 识别2025年前沿AI监管在欧盟与美国情境中对内部部署的处理方式。
• 刻画可能使内部部署的AI系统逃避监管的三大结构性缺口。
• 分析这些缺口为何持续存在，聚焦可量化性、激励与信息获取。
• 梳理解决缺口的潜在路径并讨论权衡，以为有意识的政策选择提供依据。

提出的方法

• 评述并比较监管框架：欧盟AI法案（EU AI Act）、GPAI行为准则、加州SB 53、纽约RAISE法案，以及美国AIREA提案。
• 描述各框架如何界定内部使用的范围、部署与监督。
• 通过分析范围、静态合规模标准与信息不对称，识别三大结构性缺口。
• 讨论不同监管设计选择的治理含义与取舍。

实验结果

研究问题

• RQ1 当前前沿AI监管中的哪些缺口会为内部部署系统的监管盲区带来风险？
• RQ2 欧盟与美国框架在界定内部部署的范围、合规时点与信息获取方面有何差异？
• RQ3 为什么这些缺口在多法域与多设计过程中仍然存在？
• RQ4 有哪些办法可以缓解这些缺口，它们带来怎样的权衡？

主要发现

• 存在三大结构性缺口：范围模糊使内部部署规避义务、静态合规模标准无法覆盖持续演变的内部系统，以及信息不对称阻碍监管者掌握情况与执法。
• 缺口出现在欧盟AI法案+GPAI行为准则、加州SB 53、纽约RAISE法案以及美国AIREA等框架中，原因在于广泛豁免、部署定义和自我决定的实质性变更。
• 内部部署与外部部署在系统配置、访问模式、应用场景、对监管者的可见性以及边界划定方面存在差异，从而带来不同的治理挑战。
• 监管者存在信息空白，因为内部部署产生的信号相对较少，无法像外部部署系统那样具有市场与公众信号。