本文内容
2027 年欧洲软件采购：上线或续约前要拿到哪些证据？
规划 2027 年软件采购，先厘清产品、AI 用途和云服务的分类，再按自身角色对应的日期索取证据：发布与漏洞记录、AI 责任与测试，以及数据导出和退出条款。每个未解决事项都要有内部负责人和决策日期。
范围与来源核对日期：2026 年 11 月 5 日。本指南由 Wavect 发布，把供应商选择与工程证据联系起来，面向涉及欧盟市场的软件采购。时间表仅概括部分欧盟要求，示例和项目节点是我们建议的采购方法。具体分类与合同应交由合资格法律顾问评估。某一法规的较晚适用日期，不能推迟另一法规已经适用的义务。
哪些 2027 年日期可能影响软件采购决定？
分别为产品安全、高风险 AI 和云服务切换建立时间表。每个日期都需要先判断适用范围，才能转化为项目要求。下列日期已对照所链接的法规核实，并非根据供应商的合规标识推断。
| 日期 | 需要判断的要求 | 对采购的影响 |
|---|---|---|
| 2026 年 9 月 11 日，已适用 | 《网络韧性法案》（CRA）第 14 条报告义务，须符合该法规的适用范围。 | 现在就确定报告负责人和流程，不能等到 2027 年一般适用日期才准备报告机制。 |
| 2027 年 12 月 11 日 | CRA 对范围内产品开始一般适用。 | 先确认产品及相关经济运营者的角色，再于投放市场前索取适用的产品安全证据。 |
| 2027 年 12 月 2 日 | 《人工智能法案》第 III 章第 1 至 3 节，第 6(5) 条除外，适用于按第 6(2) 条及附件 III 分类的高风险系统。 | 记录预期用途和分类，明确该系统所需记录分别由哪一方提供。 |
| 2027 年 1 月 12 日 | 《数据法案》第 29 条对适用范围内数据处理服务的切换收费禁令。 | 把受禁令约束的供应商切换费，与迁移工作及其他合同款项分开，并核对第 31 条例外。 |
CRA 第 69 条与第 71 条规定适用日期和过渡安排。报告操作流程另见CRA 报告操作指南。
现行《人工智能法案》2026 年 7 月 27 日整合文本第 113(c) 条，还将按第 6(1) 条及附件 I 分类的高风险系统所对应要求，定于 2028 年 8 月 2 日适用。这些是特定高风险要求的适用日期，并非所有 AI 义务一律延期。作出 2027 年采购承诺前，应再次核对现行法规。
《数据法案》第 29 至 31 条区分切换收费、其他费用和符合条件的定制服务。第 31(1) 条使部分为单个客户定制、且未通过服务目录向广泛市场提供的服务，免于第 29 条及另一些指定条款。它并未将这些服务一概排除在整章切换规则之外。
产品、AI 和云服务，哪些范围问题必须先判断？
先描述买方收到什么、将如何使用，再与负责的法律及技术人员确认角色。同一项目中，委托定制开发、购买软件许可和续约云服务，可能涉及不同问题。
| 采购内容 | 先问什么 | 索取哪些证据 |
|---|---|---|
| 基于现有 SaaS 平台的内部知识助手 | AI 的预期用途是什么，各方分别承担什么角色？ | 流程说明、数据流、访问模型、评估证据、运营责任和适用的法律评估。 |
| 需要远程处理组件才能运行的联网产品 | 交付是否属于 CRA 产品定义及适用范围，谁是制造商？ | 产品及版本边界、角色评估、安全记录，以及与评估相符的漏洞处理流程。 |
| 计划更换服务商的云服务续约 | 是否属于范围内的数据处理服务，第 31 条例外是否适用？ | 服务说明、导出范围、合同约定的切换流程、费用明细和所主张的例外。 |
CRA 第 2 条和第 3 条界定适用范围与产品，包括相关远程处理解决方案。不能仅因为采购对象是软件，就把每项 SaaS 服务都归为 CRA 产品。同样，使用相同模型的两个 AI 功能，也不自动属于相同风险类别。应记录预期用途，不能直接沿用产品名称暗示的分类。
签约或续约前应要求供应商提供什么？
索取与你要采购的系统和版本对应的记录。有用的答复会注明版本、解释检查了什么，并列出未解决事项。还要问清：依赖项、运营模式或预期用途变化后，谁负责维护这些证据。
- 选定供应商前：范围与角色记录、拟定交付负责人、依赖项、验收条件，以及完整运营成本明细。
- 发布前：约定的验证结果、已知缺陷、部署与恢复说明，以及有权接受剩余风险的人。
- 续约前：支持范围、产品与依赖项变更、导出能力、过渡条款，以及更新后的待补证据清单。
对于 CRA 范围内产品，将证据请求与第 13 条要求的制造商风险评估和技术文档对应起来。你能收到哪些记录、获得哪些权利，需要在合作中明确约定。供应商的内部义务，不会自动赋予买方取得全部内部文档或拥有源代码的权利。
软件方案条款审阅指南深入讨论合同问题。软件开发公司选型指南帮助你用相同需求比较候选方。
如何从上线时间倒排采购节点？
按实际上线或续约日期安排证据截止时间，留出修补缺口的空间。下列 90/60/30 天安排仅是内部规划示例，不是法定最短提前期，也不承诺所有项目都能在三个月内完成。
- 决策前 90 天：确定预期用途和系统边界，指定法律分类及技术证据负责人，记录访问权限、采购和供应商依赖。
- 提前 60 天：审阅拟提供记录，测试有代表性的正常与失败场景。要求供应商解释不完整证据，并制定有日期的补齐计划。
- 提前 30 天：演练约定的恢复或导出路径，解决关键未知项，记录剩余限制，决定继续、缩小范围还是延期。
已经适用的报告义务，现在就需要运营流程，不能等这套节点。方案提交较晚，也不会使法定日期顺延。如果必要决定无法及时完成，就要与责任人调整商业或发布计划。
2027 年云服务切换会变成免费吗？
适用第 29 条时，供应商的切换费项目可以按零列入预算；迁移投入、并行运行和其他合同承诺仍需单独计算。先确认服务类型及第 31 条例外，再判断收费禁令是否适用。
| 类别 | 假设金额 | 如何处理 |
|---|---|---|
| 法定范围内的供应商切换费 | €0 | 假设在 2027 年 1 月 12 日后适用第 29 条，仍需验证这一前提。 |
| 单独约定范围的迁移实施 | €4,000 | 假设的工程工作，不能把供应商切换费改名后归入此项。 |
| 并行运行 | €600 | 假设新旧两个环境存在重叠运行期。 |
| 内部测试与核对投入 | €900 | 内部时间的经济价值，不一定对应外部付款或发票。 |
| 示例经济成本合计 | €5,500 | €4,000 + €600 + €900，未计税费和任何提前终止承诺。 |
把提前终止违约金与正常服务费保留为单独问题，第 29(4) 条区分这些类别。请评估实际金额和条款，不要假设只要给费用起了名称就必然有效。具体过渡工作可参照软件服务商更换指南。
供应商决策记录应包含哪些字段？
用一份登记表，把每项要求与负责人及可检查的证据对应起来。状态可记为已演示、已写入合同、仅见于公开服务，或仍待解决。这些标签说明你掌握了什么，不构成供应商评分或合规认证。
可复制字段：系统与版本；预期用途；角色及范围判断；所需证据；供应商文档或来源；内部责任人；适用时的法规依据；内部截止日期；未解决问题；发布或续约决定。
记录示例：系统与版本：客户门户 1.0；预期用途：发票查询；角色及范围：等待法律评估；所需证据：角色 A 无法访问角色 B 的发票；来源：发布构建的测试报告；责任人：产品负责人；法规依据：待范围评估；内部截止日期：试点前；未解决问题：备份恢复演练；决定：试点待批准。这是建议记录，并非客户成果。关键未知项应明确保留，不能与无关证据平均后掩盖。
我们公开的 Bond Analytics 案例提供相邻领域的工程背景，不证明 2027 年法规实施成果，也不构成正式法律意见。Wavect 的技术咨询服务可以帮助你梳理工程决定及所需证据。欢迎带上拟定系统边界，进行软件采购范围讨论。