EU AI Act

《欧盟人工智能法》（EU AI Act，正式编号 Regulation (EU) 2024/1689）是全球首部综合性、具法律约束力的 AI 专项法规，由欧盟委员会于 2021 年 4 月提出，2024 年 8 月 1 日正式生效。法规以「基于风险」的分级监管为核心架构，依据 AI 系统对健康、安全和基本权利的潜在危害程度施加差异化义务，并具有域外效力——面向欧盟市场的境外企业同样须遵守。

EU AI Act 历经三年多磋商，ChatGPT 的爆发是推动通用 AI 专章纳入的关键转折点。

• 2021：欧盟委员会发布草案，成为全球最早推进综合性 AI 立法的主要法域
• 2022：三方谈判围绕生物特征识别例外与执法豁免展开，ChatGPT 发布后议会随即推动将 GPAI 模型纳入监管
• 2023：欧洲议会于 6 月以 499 票赞成通过谈判立场；12 月三方达成政治协议
• 2024：欧洲议会 3 月全体通过最终文本，5 月理事会投票确认，7 月 12 日发布于官方公报，8 月 1 日生效

法规将 AI 系统按危害潜力划分为四个等级，监管强度逐级递减。

• 不可接受风险（禁止）：政府社会信用评分、利用潜意识技术操控行为、在公共场所实施实时远程生物特征识别（执法场景有严格例外）等，自 2025 年 2 月起全面禁止
• 高风险（严格合规）：用于关键基础设施、教育录取、就业招聘、信贷评估、执法、移民审查、司法裁决等场景的 AI 须完成合规评估并建立持续风险管理体系
• 有限风险（透明度义务）：聊天机器人、深度合成内容须向用户明示其 AI 身份
• 最小／无风险：绝大多数消费级 AI 应用（如垃圾邮件过滤）无额外强制要求

法规为大型基础模型单独设立专章，自 2025 年 8 月 2 日起适用，这是草案原版所没有的内容。

• 基础义务：所有 GPAI 提供商须提供技术文档、遵守版权合规要求并公开训练数据摘要
• 系统性风险门槛：训练算力超过 10²⁵ FLOPs 的模型被推定具有「系统性风险」，须接受额外监管
• 高风险额外要求：须进行对抗性测试（红队测试）、向欧盟 AI 办公室报告严重安全事件并实施网络安全措施
• GPAI 行为准则：欧盟 AI 办公室发布自愿性行为准则，涵盖透明度、版权与安全三章，作为合规实操指引
• 开源豁免：开放权重模型在满足一定条件下可获部分豁免，但被认定具有系统性风险的模型不享有完整豁免

进入欧盟市场的 AI 产品须在上市前及生命周期内持续满足以下核心合规要求。

• 风险定级：须判断产品是否落入附录三（Annex III）高风险场景列表，这决定合规义务的量级
• 技术文档：须准备系统设计、训练数据描述与性能指标的详细文档，供主管当局随时调阅
• 人工监督机制：须在设计层面支持有效人工干预，确保关键决策可被核查或推翻
• EU AI 数据库登记：部分高风险系统须在欧盟官方 AI 数据库完成备案登记
• 持续合规：要求全生命周期维护合规状态，上市后仍需持续更新风险评估文档

法规采用滚动生效安排，为不同主体提供差异化过渡期。

• 2025-02-02：禁止性条款生效，不可接受风险 AI 须全面下线；AI 素养义务同步适用
• 2025-08-02：GPAI 模型治理规则及欧盟 AI 办公室执法职能正式启动
• 2026-08-02：绝大多数高风险 AI 系统义务全面适用，法规整体基本落地
• 2028-08-02：嵌入受监管产品（如医疗器械、机动车）的高风险 AI 系统延长过渡期至此

EU AI Act 建立了多层次治理架构，罚款上限参照 GDPR 逻辑按全球营业额比例设定。

• 欧盟 AI 办公室：负责监管 GPAI 模型提供商，设于欧洲委员会内部，为跨国 AI 监管的核心机构
• 国家主管当局：各成员国指定机构负责本国市场内其他 AI 系统的日常监管与执法
• 禁止性行为违规：最高处全球年营业额的 7% 或 3500 万欧元（取较高者）
• 高风险系统违规：最高处全球年营业额的 3% 或 1500 万欧元
• 向主管当局提供虚假信息：最高处全球年营业额的 1.5% 或 750 万欧元

EU AI Act 被广泛视为全球 AI 监管基准，「布鲁塞尔效应」正推动多国跟进制定本国 AI 政策。

• 域外管辖：与 GDPR 逻辑一致，面向欧盟用户的境外企业同样受约束，与公司注册地无关
• 「布鲁塞尔效应」：英国、加拿大、日本等国家和地区正参照其风险分级框架修订本国 AI 政策
• 对中国出海企业的影响：进入欧盟市场的 AI 产品须提前完成风险定级与合规文档准备，人脸识别与推荐系统需特别关注合规边界
• 罚款参照：违规上限（7%）高于 GDPR 的 4%，目前是全球最严格的 AI 监管罚则