2023 年 12 月 8 日，欧洲议会与欧盟理事会谈判代表就《人工智能法案》达成临时政治协议。欧盟委员会称，这使欧盟成为第一个为人工智能使用设定明确规则的地区。法案随后还需经欧洲议会与理事会正式通过，并在欧盟官方公报公布后生效。
这部法案的重要性，不在于条文数量，而在于它采用了一套可操作的风险分级结构。企业需要回答的第一个问题不再是“是否使用人工智能”，而是“这项人工智能属于哪一级风险”。
风险分级的四层结构
法案大致将人工智能系统分为四类：不可接受风险、高风险、有限风险与最小风险。
不可接受风险的用途被禁止，例如以操纵性手段利用个人弱点、社会评分、以及某些场景下的生物识别。高风险系统需要满足更严格的要求，包括风险管理、数据治理、技术文档、记录保存、透明度、人工监督与准确性、稳健性。有限风险系统主要承担透明度义务，例如告知用户正在与人工智能交互。最小风险系统则基本不受额外约束。
通用人工智能模型
法案对通用人工智能模型（包括大语言模型）设置了单独的透明度与风险管理要求。模型提供方需要提供技术文档、使用说明、版权合规声明，并对高风险用途进行评估。
对使用基础模型开发产品的企业，影响是双向的：一方面，模型提供方会向下游传递合规信息；另一方面，产品公司仍需判断自己的具体应用是否属于高风险用途，不能因为“模型已经合规”而免除自身义务。
域外效力
法案具有域外适用效果。只要人工智能系统的输出在欧盟市场使用，或者系统提供方位于第三国但输出用于欧盟，就可能落入适用范围。这与数据保护领域的域外适用逻辑相似。
对中国企业而言，出海欧盟时需要区分三种角色：模型提供方、系统提供方、产品部署方。不同角色承担的义务不同，合规文件也不同。
企业现在可以做的准备
第一，做用途清单。按产品功能列出人工智能用途，逐项判断是否属于禁止性用途或高风险领域。
第二，做角色判断。明确企业在法案下是提供方、部署方还是进口商，避免用错合规模板。
第三，准备技术文档。包括系统描述、设计逻辑、训练数据来源、测试方法与已知局限。
第四，建立人工监督机制。高风险系统需要可执行的人工监督安排，而不是写在说明书里的一句承诺。
第五，关注时间表。法案生效与各项义务的适用时间不同，企业应按产品上线计划倒排合规准备。
涉及欧盟人工智能法案适用判断，可参见欧盟 AI 法案服务；涉及多法域监管比较，参见多法域合规服务；涉及产品上线文件，另见AI 产品上线文件服务。
本文依据欧盟委员会与欧洲议会 2023 年 12 月 8 日关于《人工智能法案》政治协议的公开信息编写，仅供参考，不构成法律意见。