欧盟 AI 法案：formexposed 如何使用 AI

本文件以多种语言发布。如各语言版本存在差异，以波兰语版本为准。

版本 1.1 · 最后更新：2026年10月23日

本页说明经欧盟第2026/1744号条例修订的欧盟第2024/1689号条例（“人工智能法案”）对 formexposed 意味着什么：本服务在哪些环节使用人工智能、在哪些环节明确不使用、模型能看到哪些数据，以及我们如何评估该条例对我们适用的义务。本页描述的是服务的现状和我们的法律评估，并非合同文件；我们对客户承担的义务以服务条款和数据处理协议为准。本页与隐私政策和处理活动记录一同构成我们的法律文件。

1. 简要说明

人工智能法案于2024年8月1日生效。其禁止性规定和人工智能素养义务自2025年2月2日起适用，通用模型的义务自2025年8月2日起适用，第50条的透明度义务自2026年8月2日起适用（第113条）。

formexposed 在三处使用语言模型：辅助对我们的规则无法识别的表单进行分类；为付费账户将扫描检测结果汇总为按优先级排列的行动计划；以及在“Fix it for me”中，应您的要求将我们的防护模块嵌入您的表单代码。在这三种情况下，模型都运行在我们位于波兰的自有服务器上，任何输入都不会发送给人工智能提供商。评分、结论、提醒、滥用防范以及插件中的垃圾信息防护均不是人工智能，而是由我们编写、可以手工复算的规则。人工智能的输出不会对任何人作出任何决定。

2. formexposed 在哪些地方使用人工智能

2.1 检查服务中的表单分类

每次检查时，爬虫都需要知道它面对的是哪种表单：联系表单、登录、订单、搜索、新闻通讯等。这决定了一个表单是否会被评估。分类分两个阶段进行：

1. 先用规则。将字段类型、字段名称、标签、按钮文字以及表单周围的文字与固定的德语、英语和波兰语词表进行匹配。绝大多数表单在这一步即可完成分类。
2. 只有当规则判定为“未知”时才使用语言模型。此时模型会收到对该表单的描述，并返回一个类型以及0到1之间的置信度。如果模型没有响应、返回空内容或返回未知内容，该表单仍为“未知”。如果模型出现故障，检查会跳过这一阶段继续进行。

模型可以做什么受到严格限制，而且这种限制写在代码中，而不仅仅是一种意图：

• 由模型分类的表单永远不会被提交。测试提交仅针对规则以高置信度识别出的联系表单，对于客户而言，也仅限于已证明控制权的域名。
• 由模型分类的表单不计入评分和结论。它仍会显示在已发现表单的列表中，但永远不会被视为该域名的相关联系表单，而监控、视觉比对、客户门户和“Fix it for me”都以该相关联系表单为基础。如果模型认为某个表单是联系表单，代码会将其置信度降至最多0.6，因为在我们的测试中，模型曾把搜索框和保险计算器误认为联系表单。
• 报告会在每个表单旁注明其分类来源：“规则”或“AI”，并以百分比显示置信度。

2.2 “Fix it for me”：将防护模块嵌入您的代码

在付费套餐中，工作区的所有者和管理员可获得适用于 PHP、Node.js 或 Python 的现成防护模块。模块本身是不使用人工智能的固定模板，只会插入您的主机名和上次检查中的字段名称。您还可以选择粘贴表单代码，由语言模型将模块嵌入其中。您会收到修改后的文件，除非文件非常大，还会收到一个补丁。在您看到结果之前，我们的代码会在不使用人工智能的情况下检查两件事：

• 对模块的调用是否确实已嵌入——如果缺失，界面会明确提示：请勿按此部署；
• 语法是否正确（php -l、node --check 或 py_compile）；您的代码只会被检查，不会被执行。

每次给出结果时，界面都会说明结果来自人工智能、人工智能可能出错，且语法检查并不检验您的业务逻辑。我们不会部署任何内容：我们无权访问您的服务器，也不会索要访问权限。下一次检查将显示更改是否生效。

2.3 通过我们的 MCP 接口接入的第三方 AI 助手

在 Business 套餐中，您可以通过 Model Context Protocol 将您自己的 AI 助手（例如 Claude、ChatGPT 或 Cursor）连接到您的账户，以查询您的域名、检查和事件。这不是我们的人工智能：我们只是向助手提供数据，与 REST API 的作用相同。哪家提供商如何使用这些数据，取决于您的选择以及您与该提供商之间的合同。通过该接口，助手只能读取数据和启动检查。

2.4 我们自有表单上的 Google reCAPTCHA

我们自己的表单（免费检查、安全响应头工具、退出（opt-out）、登录、注册、密码、支持和联系）受 Google reCAPTCHA v3 保护。为此，Google 会使用其自有方法计算出一个0到1之间的数值；我们只能看到这个数值，低于固定阈值的提交会被拒绝。该方法属于 Google，而非我们。被拒绝的用户可以重试，或通过电子邮件联系我们。详情请参阅隐私政策。

2.5 付费报告中按优先级排列的行动计划

对于付费账户中符合条件的域名检查，同一个本地模型还会根据主机名、总体结果和评分、CMS、相关表单类型和页面地址、识别出的插件，以及选定的未通过或不明确的检测结果，编写简短且按优先级排列的行动计划。为此，模型不会收到截图或已提交的表单字段值。计划会标明是 AI 摘要；各项检测结果仍是判断依据。计划不会更改网站或扫描结果。

模型会被要求生成3到5个简短的编号步骤，如果防护已经良好，则生成1到2个步骤。这些是给模型的指令，并不保证建议正确。输出会缩短并整理为纯文本；尚未实现对其事实正确性的检查。

3. formexposed 在哪些地方不使用人工智能

以下部分完全基于人工设定的规则。它们不从数据中进行推断，也不进行学习，因此不属于第3条第(1)款意义上的人工智能系统（参见序言第12段的说明）：

• 评分和结论：对缺失的防护措施（CAPTCHA、陷阱字段、令牌、时间戳等）进行加权求和，得出0到100的分数；超过固定阈值时分别判定为“暴露”“部分防护”或“已防护”。权重由我们设定，不会因被检查的数据而改变。
• 防护措施、第三方脚本、Cookie 横幅和无障碍性的识别：与页面源代码及页面行为中的已知特征进行匹配。
• 监控和提醒：与上一次检查进行比较；响应时间与以最初若干次测量的中位数为基准的基线进行比较，并使用固定阈值。
• 免费检查的滥用防范：按 IP 地址、会话和时间段计数，并设有固定上限。超过上限者将在当前时间段内被拒绝，最长24小时。异常情况会被标记，并由人工处理。
• 表单视觉比对：使用固定阈值，通过比较连续检查截图中各行和各列的亮度分布，来报告表单发生偏移或被隐藏的情况。
• 群体防护：如果被拦截消息中的链接所指向的某个域名在固定时间段内出现在最低数量的不同网站上，该域名会被加入共享列表；大型服务不受此限，且每一次拦截都会进入隔离区，而不会被直接丢弃。
• WordPress 插件和 TYPO3 扩展中的垃圾信息防护：陷阱字段、签名令牌、最短填写时间、交互证明、算术题、换行检查和可接收邮件的邮件域名检查、频率限制、一次性邮箱地址列表、基于 Unicode 类别的文字系统识别、自定义词表和国家/地区。检查本身在客户的网站上运行。在网站与账户相连期间，我们只会收到计数、扩展的名称和版本；在网站参与群体防护期间（WordPress 插件中默认启用），我们还会收到被拦截消息中链接的域名——不会收到消息内容，也不会收到地址。

4. 模型接收哪些数据，以及运行在何处

功能	模型输入	输出	存储内容
表单分类	页面标题和地址、提交按钮的文字，每个字段的类型、名称、标签、占位文字以及是否必填或隐藏，最多400个字符的可见表单文字。不包括任何已输入的值。	表单类型和置信度	类型、置信度、来源“AI”以及模型名称，与检查结果一同存储，并适用检查结果的保留期限；不存储请求本身
“Fix it for me”	您粘贴的代码（最多30,000个字符）以及包含您的主机名和字段名称的防护模块	修改后的文件	不存储任何代码（为进行语法检查，修改后的文件仅在检查期间作为临时文件保存在我们的 Web 服务器上）；活动日志中仅记录语言、长度、是否成功、调用是否已嵌入以及语法检查结果
付费报告中按优先级排列的行动计划	主机名、总体结果和评分、CMS、相关表单类型和页面地址、识别出的插件，以及最多18项不同的未通过或不明确的检测结果，包括键、结果和每项缩短至200个字符的备注；不含截图或已提交的字段值	使用所选语言的简短且按优先级排列的计划，最多1,500个字符	请求和响应暂存于内部任务队列；已取回的计划文本、语言、状态和时间戳与扫描结果一同按其保留期限存储

• 无数据外流。模型运行在我们位于波兰的自有检查服务器上。爬虫在其隔离环境内访问模型，我们的 Web 服务器则通过内部网络访问模型。任何输入都不会发送给人工智能提供商或其他第三方。应用程序和工作进程的代码不能确定模型服务是否记录请求内容。本次审查尚未核实模型主机的日志配置；因此，我们在此不声称所有模型服务日志都只包含技术元数据。
• 不进行训练。我们不训练也不修改模型，既不使用检查结果，也不使用您的代码来改进模型。每个请求都是独立的。
• 个人数据。这些功能为实现其预期用途，不需要访客消息或实际提交的表单字段值。这并不意味着其输入是匿名的。在个别情况下，第三方页面的表单文字中可能会出现姓名，例如表单旁联系人的姓名。在“Fix it for me”中，我们请您在粘贴前删除密码、API 密钥和个人数据；界面会在输入处提醒您注意密码和 API 密钥。
• 行动计划的存储。请求暂存于我们的内部任务队列。取回结果后，队列条目会被删除；定时清理也会删除超过一小时的队列条目。生成的文本、语言、状态和时间戳与扫描结果一同存储，并遵循其保留期限，包括保留每个域名最后一次已完成的检查，以及在删除域名时删除。
• 行动计划的输入。主机名、页面地址和检测结果备注可能偶然包含个人信息。行动计划的提示不会要求提供访客消息或已输入的字段值。
• 使用限制：使用人工智能的“Fix it for me”每个工作区每天的请求次数有限，以确保服务器能够继续用于检查。

5. 我们在人工智能法案下的角色

模型：我们使用的是第三方提供商公开提供的开放权重通用语言模型。模型本身的义务（第53条及以下各条）由其提供者承担。由于我们既不训练也不修改该模型，我们自身不会因此成为此类模型的提供者。

系统：表单分类、行动计划功能和“Fix it for me”由我们构建，并以 formexposed 的名义运营。根据我们的评估，我们是这些人工智能系统的提供者（第3条第(3)款），因为它们由我们自行开发并以我们自己的名义投入使用。我们自己也运行表单分类和行动计划功能，因此在这一范围内是部署者（第3条第(4)款）。仅仅接收或阅读行动计划，本身并不会使客户成为部署者。“Fix it for me”由我们的客户在其职业活动中使用；根据我们的评估，客户在此过程中属于部署者。

风险分类：就此处描述的预期用途而言，这三项功能均不属于附件三所列的高风险领域（例如生物识别、关键基础设施、教育、就业、基本服务、执法、移民、司法行政），也不是附件一所指产品的安全组件。它们对表单进行分类，将技术扫描检测结果汇总为建议步骤，并编辑程序代码，不对人进行评估。因此，它们不属于第6条规定的高风险人工智能系统；针对此类系统的要求及其提供者和部署者的义务（第三章）不适用于它们。它们须遵守人工智能素养义务（第4条），并在满足条件时遵守第50条的透明度义务。

禁止的做法（第5条）：formexposed 不进行情绪识别、生物特征分类或识别、社会评分、犯罪预测，也不使用操纵性或潜意识技术。

6. 透明度（第50条）

• 没有聊天机器人。在 formexposed，没有人与人工智能对话。第50条第(1)款涉及的是旨在与自然人直接互动的人工智能系统。行动计划在后台生成，并在报告中以明显标识说明其由人工智能生成。表单分类不与任何人接触；“Fix it for me”接收代码并返回代码，界面会明确说明结果来自人工智能。因此，使用该功能的人无论如何都知道自己在与人工智能打交道。
• 生成的代码。“Fix it for me”生成程序代码，并将其标明为人工智能输出。其预期改动是插入我们的防护模块；这可能改变代码的行为和含义。因此，我们不假定第50条第(2)款关于标准编辑或语义不变的例外在所有情况下均适用。必须针对实际输出评估该条款及任何例外是否适用。补丁在可用时会显示发生更改的行，但本身并不能证明存在例外或机器可读标记。对于非常大的文件，不提供补丁；在这种情况下，请您自行比对文件。
• 行动计划文本和机器可读标记。行动计划根据检测结果生成摘要和按优先级排列的建议。就此用途而言，我们将其视为第50条第(2)款所涵盖的生成文本，而非保持含义不变的标准编辑。该条款要求机器可读标记和可检测性，但须考虑其适用条件及现有技术水平。仅有可见的人工智能提示，并不能证明已满足该技术要求。当前代码审查确认了可见提示以及纯文本存储和显示，但并未证实整个生成和输出流程中存在有效的机器可读标记。因此，我们不声称此项要求已得到全面核实。
• 报告的使用背景。计划在后台生成，作为提供给网站运营者的建议。其生成目的不是第50条第(4)款所指的就公共利益事项向公众提供信息。不过，任何持有报告随机链接的人仍可在不登录的情况下打开报告。如果日后为了公共利益目的发布报告，需要另行评估；凭持有链接即可访问，并不构成透明度规则的一般豁免。
• 报告中的分类凡来自模型的，均标注为“AI”。
• 行动计划在付费报告中会标明是由我们在自有服务器上运行的人工智能生成的摘要。提示会说明各项检测结果是判断依据。
• 我们不生成图像、音频或视频内容，也不生成深度伪造内容。

7. 人工监督，无自动化决策

模型的输出是辅助手段，而不是决定。表单分类本身无法触发任何操作：不会提交、不会给出结论、也不会发出提醒。“Fix it for me”不会更改您服务器上的任何内容；由您阅读结果、作出决定并自行部署。行动计划仅是建议文本：显示计划不会改变网站，也不会改变评分或结论；由用户决定采取哪些步骤。根据我们的评估，formexposed 的任何功能都不会作出对个人产生法律效力或类似重大影响的决定（GDPR第22条）。如果 reCAPTCHA 或我们的某项固定上限自动拒绝了某次输入，您可以重试或写信给我们，届时将由人工查看该情况。我们的评估针对的是网站和表单，而不是人。

如果您认为某项分类有误，请将报告链接发送给我们。我们会进行查看并改进规则。

8. 人工智能素养（第4条）与质量

• formexposed 的人工智能功能由所有者亲自构建并亲自运营；目前没有其他人员使用这些功能。每次更换模型之前，他都会熟悉模型的工作原理和局限性，以及该条例的最新情况。如果今后有员工或服务提供商参与使用这些功能，他们将在首次使用前接受关于这些功能的工作原理、局限性和风险的培训；我们会以书面形式记录培训情况。
• 在部署或更换模型之前，我们会使用一组测试表单对其响应时间、有效响应和错误分类进行测试。这是由所有者执行的工作步骤，而不是由代码强制执行的流程。第2.1节中的限制正是基于此类测量结果。
• 如果您作为客户在职业活动中使用“Fix it for me”，第4条同样适用于您。本页及界面中的提示旨在为此提供帮助。

9. 变更与联系方式

一旦新增、重大变更或移除某项人工智能功能，我们将更新本页；重大变更会列于合同文件变更中。有关我们使用人工智能的问题和疑虑，请发送至 contact@lukaswojcik.com，或通过联系页面或支持窗口与我们联系。投诉按照投诉中的程序处理。这不影响向主管市场监督机构提出申诉的权利（第85条）。

提供者：LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland。