核心要点
先定角色再谈义务：EU AI Act 下 provider（模型/系统提供者）与 deployer（部署者）义务完全不同。只要产品向 EU 用户呈现 AI 生成内容，无论公司注册在哪国都是 deployer，Art.50 义务就落在自己身上，不能甩给基础模型供应商。
Art.50 三件事：聊天机器人必须披露交互对象是 AI；AI 生成的图片/音频/视频必须做机器可读标记；描绘真人的深度伪造内容必须做可见披露。
罚则分档不可混淆：禁止类实践最高 €35M 或全球年营业额 7%；GPAI 违规（Art.101）与多数透明度义务约 €15M 或 3%；拒绝提交文件、无视委员会命令等程序性违规同样可罚。
高风险推迟不等于透明度推迟：Digital Omnibus 推迟的是高风险系统合规（至 2027-12-02），Art.50 与 GPAI 罚则 2026-08-02 已生效——「全面推迟」是执法首周最常见的误判。
合规证据要留存：Code of Practice 签署带来「合规推定」但不是豁免，执法看证据链；标注技术选型（C2PA + 水印组合）与披露文案都应可审计。
简要回答
上线流程要加四道闸：第一，角色判定——明确自己在这个功能上是 provider 还是 deployer，两者义务不同，多数产品同时是两种角色要分别对表；第二，内容标注管线——AI 生成的图片/音频/视频默认过「机器可读标记」，实践上用 C2PA 内容凭证加隐形水印的组合，同时覆盖「可溯源」与「可检测」；第三，披露层——聊天入口加 AI 身份披露，深度伪造场景加可见标注，文案与触发条件做成配置项便于多市场复用；第四，证据与监控——留存标注与披露的实现证据，跟踪首批执法案例校准标准。罚则上记住两档：禁止类 €35M/7%，透明度与 GPAI 约 €15M/3%，且「不配合调查」本身可罚。
标准回答
一、为什么上线流程必须改
2026-08-02 起 EU AI Act 进入实质执法：欧盟委员会对 GPAI 提供商获得直接执法权，Art.50 透明度义务同时进入可罚状态。执法首周的信号很明确——Anthropic、OpenAI 成为首批被加强审查的对象（news-7338），委员会直接监督风险缓解措施合规。对普通产品团队，最关键的认知是：Art.50 的责任主体是 deployer，只要你的产品向 EU 用户呈现 AI 生成内容，义务就在你身上，与模型供应商无关。
二、上线清单的四道闸
（1）角色判定：在 PRD 阶段就为每个 AI 功能标注 provider/deployer 角色。调用第三方模型做生成的产品通常是 deployer，但要检查是否因深度定制而构成 provider。（2）内容标注管线：机器可读标记的工程落地用「C2PA 内容凭证 + 隐形水印」双层组合——C2PA 解决溯源（内容从哪来、谁编辑过），水印解决检测（是否 AI 生成），两者互补且同时满足 Art.50 的标记要求。（3）披露层：聊天机器人入口的 AI 身份披露、深度伪造的可见披露，做成与管辖区无关的可配置组件。（4）证据与监控：留存标注实现与披露触发记录，建立法规动态跟踪——首批执法案例会定义实际标准。
三、罚则与时间线
罚则三档要分清：禁止类实践 €35M 或 7% 取高；GPAI 义务（Art.55/101）与多数透明度义务 €15M 或 3% 取高；程序性违规（拒交文件、无视命令）也在 Art.101 覆盖内。时间线上：2026-12-02 禁止 AI 生成非自愿露骨内容条款适用，2027-12-02 高风险系统规则适用，2028-08-02 受监管产品内嵌 AI 适用——高风险虽推迟，但文档与数据治理需要一年以上建设期，应作为 2026 项目启动。
四、超出欧盟的考量
Brussels Effect 实证研究（poolId P-512）显示近半数引用 AI Act 的公司并无法律义务遵守——EU 标准正在成为全球治理基线。因此正确的工程决策不是「为欧盟做一套」，而是把透明度能力做成全球默认基线，按市场配置差异，避免日后逐市场补课。
常见误区
⚠️ 常见踩坑
误区一：「Digital Omnibus 推迟了，所以 8 月不用动。」 错。推迟的只有高风险系统合规（至 2027-12），Art.50 透明度与 GPAI 罚则 2026-08-02 已生效，这是执法首周最普遍的误判。误区二：「透明度义务是模型厂商的事。」 错。Art.50 责任主体是 deployer——向 EU 用户呈现 AI 生成内容的产品方，与供应商在哪国无关。误区三：「只加水印或只做 C2PA 就够了。」 不完整。水印回答「是否 AI 生成」，C2PA 回答「从哪来、谁编辑过」，机器可读标记的稳妥实现是两者组合。误区四：「罚则都是 7%。」 混档。7% 是禁止类实践上限，透明度/GPAI 多为 3% 或 €15M 档；误判档位会系统性高估或低估风险敞口。
追问
追问 1：如果基础模型供应商声称「我们的输出已经带了标记」，deployer 还需要做什么？
**仍需要对「呈现环节」负责，并独立验证供应商标记的可靠性。**Art.50 的披露与标记义务落在 deployer 身上，供应商声明不能转移责任。工程上应做三件事：一是验证标记的持久性——内容经过转码、压缩、截图后水印是否仍可检测；二是补上供应商不覆盖的部分——聊天交互的 AI 身份披露和深度伪造可见披露通常必须由产品层实现；三是留存验证证据——把供应商标记的技术文档与自己的检测结果归档，作为执法时的证据链。把供应商声明当作输入而非结论，是 deployer 合规的基本姿态。
追问 2：首批执法案例还没出现，合规投入怎么向管理层论证 ROI？
**用「选项价值」而非「罚款期望值」来论证。**罚款期望值（概率×金额）在执法初期确实难算，但合规投入买到的是三个确定性收益：一是市场准入——EU 市场不可放弃，不合规等于主动退出；二是基线复用——Brussels Effect 显示 EU 标准正成为全球基线，现在建的透明度能力是多市场复用的资产，边际成本递减；三是时间窗口——高风险合规 2027-12 生效，文档与数据治理需要一年以上建设期，晚启动就是被动。对照 GDPR 早期案例的执法轨迹：首批案例定义标准后，补课成本远高于提前建设。合规投入应定位为「全球治理基线的预付款」，不是区域性罚金保险。
🔗 相似问题
同一考点的不同问法，换着练更稳
延伸学习
按主题分类的相关资源，便于系统复习