欧盟AI法案合规
2026 年 8 月全面生效，禁止性条款 2 月已先行实施。AI 系统按风险分级，通用模型另有单独义务。先定角色与等级再搭体系，等执法再动窗口期很短。
全球最严AI监管，不是"等一等"就能过去
欧盟AI法案（EU AI Act）已于2024年8月1日生效，2025年2月禁止性行为条款率先实施，2026年8月高风险系统义务全面落地。留给企业的窗口期，已经不多了。
这不是一部"建议性"法规——违反禁止性行为最高罚款3500万欧元或全球营业额7%，违反高风险系统义务最高罚款1500万欧元或全球营业额3%。而且，管辖范围不限于欧盟企业：任何向欧盟市场提供AI系统的企业，无论注册地在哪里，都受管辖。
关键时间节点
| 时间 | 生效内容 |
|---|---|
| 2025年2月 | 禁止性行为条款生效（社会评分、潜意识操纵、利用弱点等） |
| 2025年8月 | 通用AI模型义务生效（系统性风险模型需额外合规） |
| 2026年8月 | 高风险AI系统义务全面生效（分类、合规评估、透明度等） |
| 2027年8月 | 执法全面启动 |
合规路径：从风险分类到体系搭建
第一步：适用性判断
- 你的AI系统是否落入EU AI Act管辖范围？
- 是否有向欧盟用户提供服务（含免费）？
- AI系统的输出是否在欧盟被使用？
- 是否属于禁止性行为的任何情形？
第二步：风险等级分类
- 对照法案附件III，判断是否属于高风险AI系统
- 评估通用AI模型是否属于"系统性风险"模型
- 识别有限风险和最小风险场景
- 输出风险分类报告与合规义务清单
第三步：合规体系搭建
- 高风险系统：建立风险管理体系、质量管理体系、技术文档、人类监督机制
- 通用AI模型：模型评估、系统性风险缓解、安全测试、事件报告
- 透明度义务：标注AI生成内容、告知用户正在与AI交互
- 数据治理：训练数据合规评估、版权合规
第四步：持续合规与更新
- 跟踪欧盟AI办公室（AI Office）的实施指南和执法动态
- 产品迭代时同步更新合规评估
- 年度合规审查与更新
AI 企业的特殊判断
- 先定角色，再看义务。 中国厂商向欧盟提供系统通常构成提供者（provider），仅内部使用可能是部署者（deployer）；角色决定义务清单。
- 通用模型义务已先行适用。 通用模型提供者需履行透明度、版权政策与训练数据摘要等义务，与高风险系统的合格评定是两条线。
- 高风险清单决定要不要合格评定。 生物识别、关键基础设施、教育、就业等场景落入附件清单，需要风险管理体系与技术文档。
- 域外效力按投放市场判断。 系统在欧盟市场投放，或输出在欧盟使用，都可能适用，与是否设立欧盟实体无关。
- 时间表要按产品路线排。 不同条款分阶段生效，产品迭代节奏要与合规节点对齐，而不是等全部生效再动。
最容易踩的坑
痛点1："我们不向欧盟用户提供服务"不等于不受管辖
EU AI Act的管辖逻辑是"效果原则"——只要AI系统的输出在欧盟被使用，就可能受管辖。你的网站没有欧盟语言版本？用户可能是通过VPN访问的？这些都不能作为免责理由。
痛点2：把风险分类想简单了
很多AI产品在多个场景下使用——招聘、信贷、教育、医疗……每个场景都可能触发高风险分类。一个AI系统可能同时存在多个风险等级，需要分别评估。
痛点3：等执法再动就晚了
2025年2月禁止性行为已生效。如果你的AI系统涉及社会评分、潜意识操纵、利用特定群体弱点——现在就已经违规。等到2026年8月再合规，意味着有18个月的违规窗口期。
我们怎么做
简深从2023年开始跟踪EU AI Act立法进程，对法案文本、实施指南和执法动态有系统性研究：
- 适用性快速判断：15分钟帮你判断是否需要合规，不需要就不浪费时间
- 风险分类评估：不是逐条翻译法条，是对你的产品场景做精准分类
- 合规体系搭建：从制度文件到技术实现，给出可落地方案而非理论框架
- 与国内合规统筹：你的AI产品同时受国内算法备案和EU AI Act约束，两套体系有重叠也有分歧，需要统筹规划避免重复建设
- 持续跟踪：EU AI Office的实施指南在持续更新，合规体系需要同步调整
服务流程与交付物
| 阶段 | 工作内容 | 交付物 |
|---|---|---|
| 第一阶段 | 适用性与角色映射 | 适用范围意见 + 价值链角色图 |
| 第二阶段 | 按用途做风险分级 | 分级登记表 + 义务矩阵 |
| 第三阶段 | 对应等级的合规搭建 | 风险与质量体系、技术文档、监督设计 |
| 第四阶段 | 透明度与部署方文件 | 用户告知、使用说明、内容标识 |
| 持续 | 监管跟踪与重新分级 | 更新日志 + 年度复核 |
AI 专项交付物
- 角色与风险分级意见：提供者、部署者或进口商的身份认定，对应风险等级与义务清单。
- 通用模型合规文件：技术文档、训练内容摘要与政策文件包。
常见问题
我们是不是高风险？ 按用途判断，用于招聘、教育、信用评估、关键基础设施等场景的系统多属高风险，需履行全套义务。
通用目的模型有什么义务？ 需提供技术文档、训练数据摘要、版权合规政策与系统性风险评估，开源模型有部分豁免。
罚款有多重？ 最高可达全球营业额 7% 或 3500 万欧元，取较高者，按违规类型分级。
中国厂商不在欧盟设立，也要遵守吗？ 要。只要系统输出在欧盟使用，提供者即落入域外适用；需要指定欧盟授权代表，并准备技术文档与符合性声明。
开源模型可以豁免吗？ 只有通用目的模型的部分义务可豁免，且不适用于高风险系统或具系统性风险的模型；开源不等于免责，下游部署者的义务仍然成立。