OpenAI/TanStack事件启示：欧盟AI法部署者须要求供应商提供安全事件证据

文章指出，OpenAI事件暴露出AI系统部署者(deployer)在供应链安全事件中的脆弱性——当上游供应商(如开源组件维护方)发生安全事件时，部署者往往无法及时获得足够的技术细节和证据，从而难以履行AI法第52条和第53条关于透明度披露和风险报告的要求。

根据欧盟AI法，高风险AI系统的部署者有义务记录并报告系统性风险，但当事件根源在供应商侧时，部署者常常缺乏足够信息来评估对自身系统的影响。文章建议企业在AI供应链合同中明确要求供应商在发生安全事件时提供：事件时间线、受影响组件版本、技术缓解措施、以及持续监控数据。

此外，文章还讨论了AI法与NIS2、CRA在供应链安全要求上的交叉，建议企业将供应商安全事件响应纳入整体AI治理框架，建立从事件发现到监管报告的端到端流程。