OpenAI Frontier Governance Framework 2026：API审计清单

治理合规问题过去属于法务团队的领域。2026年5月28日起，它也进入了你的API路由策略。

OpenAI 发布了前沿治理框架，说明其内部安全实践如何映射到两个具约束力的法律体系：加州《前沿AI透明度法案》和《欧盟AI法案》通用目的AI行为准则。EU AI Act执法权力将于2026年8月2日生效——距今仅十周。在欧盟受监管场景下通过 OpenAI API 部署AI的企业，需要理解这份文件对运营的实际影响。

发生了什么

OpenAI 将前沿治理框架作为独立公开合规文件发布，有别于2023年以来指导其内部风险运营的准备框架（Preparedness Framework）。新框架涵盖四类危害的风险评估（网络攻击、CBRN风险、有害操纵和失控）、向监管机构报告模型能力的义务、安全风险管理、事件响应、外部红队测试承诺以及随法规演变的更新节奏。

内部准备框架仍是运营基线；新文件是构建于其上的公开合规层。

与此同时，欧盟正在扩大覆盖范围。欧盟委员会正与 OpenAI 就访问新型网络攻击能力模型展开磋商，并表示一旦8月执法权生效，将强制要求访问 Anthropic 的 Mythos 模型。

为什么AI工程团队需要关注

大多数API运营商此前未将 OpenAI 使用视为受监管活动。对于特定类别的部署，这将改变。

EU AI Act范围：超过算力阈值的通用目的AI模型被归为具有系统性风险的GPAI模型。OpenAI 前沿模型属于此类。自8月2日起，在欧盟部署这些模型的运营商必须记录供应商选择中的尽职调查——供应商的治理姿态进入你的合规文档。

API层面的影响：

• 通过前沿模型路由欧盟用户流量，需要在供应商评估中引用治理文件。
• 应用与 OpenAI 之间的任何网关或代理，需能生成审计记录：调用了哪个模型、何时、基于何种策略。
• 切换至 Anthropic、Google 或其他供应商时，每个供应商的治理姿态是独立的合规问题。

多供应商治理缺口：OpenAI 已发布文件；Anthropic 面临欧盟就 Mythos 的主动施压；Google 有其自己的合规路径。跨多供应商路由的团队面临碎片化格局，每个上游供应商的义务和事件响应协议各不相同——而你的 gateway 是唯一能看到全貌的层面。

Router/operator 视角

供应商选择有了合规维度。 路由策略检查清单应增加一项：该供应商是否发布了满足我们合规义务的治理框架？这对欧盟金融、医疗或公共部门部署尤为重要。

事件响应影响 fallback 策略。 当重大安全事件发生时，你的 fallback 路由策略决定哪个供应商承接流量。没有合规备用供应商的单一依赖，同时承载技术风险和监管风险。

审计记录是基本要求。 证明供应商尽职调查仅凭发票不够——需要每请求的模型ID、供应商和时间戳记录。这是通过集中网关记录请求级别元数据的有力论据。

8月2日前运营检查清单：

1. 识别欧盟用户流量——路由至GPAI模型的请求自8月2日起进入合规范围。
2. 获取每个上游供应商的治理文件。
3. 验证 fallback 链：备用供应商是否也有已发布的治理姿态？
4. 检查审计日志覆盖范围：能否提供每请求的模型ID、供应商和时间戳？
5. 在7月15日前安排合规审查——执法日期前两周。

TheRouter 用户的关注点与行动建议

如果你通过 TheRouter 路由 OpenAI API 流量，请求账本提供每请求级别的供应商和模型记录——这是合规团队日益要求的审计记录的起点。关注 Anthropic 和 Google 的治理文件更新；主要供应商框架对齐前，合规格局不会稳定。

更紧迫的行动：现在就审查你的 fallback 链。将供应商治理作为选择标准（与延迟和成本并列）纳入路由策略，是合规意识强的团队在2026年8月前的必要准备。