欧盟 AI 委员会与 AI Act：一部管住「不可接受风险」的全球首部全面人工智能法
当全世界还在争论「AI 要不要管、怎么管」时，欧盟已经把答案写成了法律。2024 年 8 月 1 日生效的《人工智能法案》（AI Act，法规编号 Regulation (EU) 2024/1689）是全球第一部针对人工智能的综合性横向立法；而负责在欧盟层面监督并执行其中通用人工智能（GPAI）义务的，正是 2024 年初正式组建的「欧盟 AI 办公室」（European AI Office）。这不是一篇产品测评，而是一份面向中国读者、带出处的政策解读：它怎么立法、谁在管、按什么标准分级、哪些系统会被盯上、违规要罚多少，以及它和美、中两条监管路径到底差在哪。
一句话认识它：欧盟 AI 委员会/欧盟 AI 办公室（EU AI Office）是设在欧盟委员会通信网络、内容与技术总司（DG CNECT）内部的专门机构，依据 2024 年 1 月 24 日的委员会决定成立，核心使命是在欧盟层面监督并执行《人工智能法案》中涉及通用人工智能模型的义务，并统筹跨境执法协调[1]；而 AI Act 本身是一部以「风险分级」为骨架的横向法规，按不可接受、高、有限、最小四类风险对应不同强度的义务，于 2024 年 8 月 1 日生效、并按节点分阶段适用[2]。
一、立法时间轴：从提案到分阶段生效
理解 AI Act，先要理解它「边生效边落地」的节奏。它不像普通法律某天统一施行，而是把不同章节拆到十几个关键日期，给企业留出合规准备期。下面这条线，是监管者与企业都反复参照的官方时间表。
- 2021.04.21
委员会提出立法提案
欧盟委员会发布首个 AI 法案提案，确立「基于风险」的监管哲学，目标是统一各成员国零散规则、在保护基本权利的同时保住欧洲竞争力。这一步比 ChatGPT 引爆全球早了一年半。
- 2023.12.08
三方会谈达成政治协议
欧洲议会与理事会就法案文本达成临时政治协议；正是基于这一节点，委员会决定提前组建 AI Office，以便法规一生效就能立刻投入准备与执行工作[3]。
- 2024.01.24
欧盟 AI 办公室正式成立
委员会通过决定设立 AI Office，2024 年 2 月 14 日刊载于欧盟官方公报、2 月 21 日生效；办公室设在 DG CNECT 内部，由 Lucilla Sioli 出任负责人[4]。
- 2024.07.12
刊登于欧盟官方公报
AI Act 正式以 Regulation (EU) 2024/1689 的编号发布于官方公报，成为有法律约束力的欧盟法规（条例直接适用于各成员国，无需国内转化）[2]。
- 2024.08.01
法案生效（entry into force）
AI Act 正式生效，但此时绝大多数实质义务尚未开始适用，只是启动两到三年的过渡与准备期[5]。
- 2025.02.02
禁止类条款与「AI 素养」义务适用
被认定为「不可接受风险」的八类 AI 实践（如社会评分、实时远程生物识别等）正式被禁；同时要求供应商与部署者具备基本的 AI 素养[2]。
- 2025.08.02
通用人工智能（GPAI）规则落地
针对 GPAI 模型提供者的义务、欧盟层面治理架构（AI 委员会、科学小组、顾问论坛）、保密与罚则框架开始适用；在 2025 年 8 月 2 日前已上市模型的提供者，可宽限至 2027 年 8 月 2 日达成合规[6]。
- 2026.08.02
透明度规则与多数条款开始适用、执法启动
第 50 条透明度义务（聊天机器人须声明由 AI 驱动、合成内容须带机器可读标记、深度伪造须标注）正式适用；AI Office 获得对 GPAI 提供者实质执法权，国家市场监管机构也对相应范围启动执法[7]。需说明：高风险系统义务后被《数字综合法案》（Digital Omnibus，Regulation (EU) 2026/1744）推迟——附件三高风险系统延至 2027 年 12 月 2 日、嵌入附件一受监管产品的高风险 AI 延至 2028 年 8 月 2 日。
时间轴里最容易被忽略的一点：AI Act 是「条例」（Regulation）而非「指令」（Directive），它直接在成员国适用、不经国内立法转化。这意味着无论你在德国还是希腊做生意，面对的是同一套规则文本，落地差异只体现在各国指定的主管机构与罚则细则上。
二、谁在管：欧盟 AI 办公室的结构与职责
AI Act 把执法权一分为二：绝大多数条款由各国市场监管机构执行，而 GPAI 模型这一最前沿、最跨境的部分，由委员会通过 AI Office 独家执行。AI Office 不是一个空壳协调组，它被拆成五个业务单元，各管一块硬活。
AI 安全单元
开发测试框架，识别 GPAI 模型可能带来的系统性风险并研究缓解措施；以「累计训练算力超过 10²⁵ 次浮点运算」作为系统性风险模型的门槛，对应美国、英国 AI 安全研究所的同类职能[4]。
AI 与机器人卓越单元
资助并支持前沿模型研发与落地应用，协调 GenAI4EU 倡议，把生成式 AI 引入医疗、气候、制造等 14 个行业与公共部门。
社会公益 AI 单元
牵头跨国社会公益应用，例如天气建模、癌症诊断、文化遗产的数字孪生等，让可信 AI 直接服务公共利益。
创新与政策协调单元
统筹欧盟 AI 战略执行、监测投资与趋势，推动 AI 工厂（AI Factories）与欧洲数字创新枢纽，用监管沙盒支持中小企业创新。
值得中国企业注意的是：AI Office 对 GPAI 提供者的管辖权具有域外效力。只要你的通用模型（包括大语言模型 API）在欧盟市场可用，无论公司注册地在哪里，都须向委员会（经 AI Office）履行义务；若在欧盟无固定机构，还需指定一名欧盟授权代表[9]。换句话说，「不在欧洲设公司」并不能绕过 AI Act。
三、风险分级机制：四档对应四套强度
AI Act 的全部逻辑都建立在一句话上：风险越高，义务越重。它把 AI 系统分成四档，从「直接禁止」到「自由使用」，中间两档是监管主战场。
不可接受风险（禁止）
对安全、生计与基本权利构成明显威胁的系统一律禁止，例如政府或企业的社会评分、利用弱点进行剥削、工作场所与学校的情绪识别、实时远程生物识别（少数例外除外）等八类实践。禁令自 2025 年 2 月起适用。
高风险（严格义务）
涉及健康、安全或基本权利的重要场景，如招聘筛选、教育评分、关键基础设施、执法、移民与司法等。上市前须做风险评估、数据治理、技术文档、人类监督与合规认证（CE 标志）。
有限风险（透明义务）
主要指与人的交互类系统，如聊天机器人须明示「你正在和机器对话」，AI 生成内容须可识别、深度伪造须标注。第 50 条自 2026 年 8 月起适用。
最小或零风险（自由）
垃圾邮件过滤器、游戏 AI、纯净基础工具等被认定风险极低，法案原则上不设额外义务，但鼓励自愿遵守《可信 AI 准则》。
一个高频误读：很多人以为「只有高风险系统才要管」。错。第 50 条的透明义务是独立于风险等级的——它看的是「系统做了什么」（是否与人交互、是否生成合成内容、是否识别情绪），而不是它是否被归入附件三的高风险清单。一个最小风险的营销聊天机器人，照样要声明自己是 AI。
四、被盯上的高风险 AI 系统：真实场景举例
「高风险」不是抽象概念，AI Act 附件三列得很具体。下面这些，都是法案点名会被严格监管、且企业最容易踩线的实际用例。每一条都意味着：上市前要做合规评估、留技术文档、设人类监督。
- 招聘与用工管理用于筛选简历、排序候选人、评估员工表现的 AI（如 CV-sorting 软件），直接影响就业权利，须满足数据质量与人类监督要求。
- 教育考试评分决定入学或职业走向的考试打分 AI、教育机构的录取与分班系统，一旦出错会扭曲一个人的人生轨迹。
- 信用评分与基础服务准入银行用 AI 拒贷、公共福利资格判定系统，可能不公平地剥夺公民获得贷款或社会福利的机会。
- 远程生物识别与情绪识别事后追认商店扒手、在执法中使用的生物识别系统，以及面向人群的情绪/生物特征分类，均属高风险且受严格限制。
- 关键基础设施安全组件交通、能源等领域 AI 安全组件一旦失效会危及生命，须达到相应稳健性与网络安全等级。
- 执法、移民与司法评估证据可靠性、自动审查签证申请、辅助起草法院裁决的 AI，因涉及基本权利受到最严审视。
- 医疗与器械中的 AI机器人辅助手术中的 AI、受监管医疗器械里的诊断算法，须随产品监管路径一并完成 AI Act 合规。
对出海企业最有现实意义的，往往是前三条：招聘、信贷、教育类 AI 是很多 SaaS 与金融科技产品的核心功能。若目标用户含欧盟居民，这些功能从设计阶段就要把「风险评估 + 文档 + 人类监督」当成必修课，而不是上线后再补。
五、不同风险等级，对应不同义务
把四档风险和义务摊开成表，能最直观地看出「管到什么程度」。下表按风险递进，归纳各档的核心合规动作。
| 风险等级 | 典型系统 | 核心义务 | 主要执行方 |
|---|---|---|---|
| 不可接受 | 社会评分、实时远程生物识别、情绪识别（特定场景） | 直接禁止，不得投放或部署 | 各国市场监管机构 |
| 高风险 | 招聘、信贷、教育、执法、医疗 AI | 风险评估、数据治理、技术文档、人类监督、稳健性/网络安全、CE 标志与数据库登记 | 各国市场监管机构 |
| 有限（透明） | 聊天机器人、生成式 AI、深度伪造 | 明示「由 AI 驱动」、AI 内容可识别并带机器可读标记、深度伪造标注 | 各国市场监管机构 |
| 最小/零 | 垃圾过滤、游戏 AI、基础工具 | 无强制义务，鼓励自愿合规 | 不适用 |
| 通用模型 GPAI | 大语言模型、基础模型（含系统性风险模型） | 技术文档、训练数据摘要、版权政策、系统性风险模型的评估与事件报告 | 欧盟 AI Office（委员会） |
六、罚则：三档罚款，最高全球营收 7%
AI Act 不是「建议」，罚则是它的牙齿。第 99 条把罚款分成三档，按违规严重程度递进；GPAI 提供者另有第 101 条专门由委员会直罚。
| 档位 | 适用情形 | 最高罚款 | 法律依据 |
|---|---|---|---|
| 第一档 | 违反第 5 条禁止类实践 | 3500 万欧元，或全球年营业额 7%（取高者） | 第 99(3) 条 |
| 第二档 | 高风险系统义务、透明度规则等其他违规 | 1500 万欧元，或全球年营业额 3%（取高者） | 第 99(4) 条 |
| 第三档 | 向通告机构或主管机关提供虚假/不完整信息 | 750 万欧元，或全球年营业额 1%（取高者） | 第 99(5) 条 |
| GPAI 专条 | 通用模型提供者违反第五章义务、不配合委员会评估 | 1500 万欧元，或全球年营业额 3%（由委员会经 AI Office 直罚） | 第 101 条 |
注意「取高者」的算法：固定金额只是下限而非上限。一家年营收 20 亿欧元的公司若触犯禁止类条款，7% 即 1.4 亿欧元，远高于 3500 万固定额，最终按 1.4 亿计。对中小企业与初创公司，第 99(6) 条改为「取低者」，使处罚与公司体量相称，但实质义务不豁免[10]。
七、横向对比：欧盟、美国、中国三条路径
同一件事，三大经济体走了三条截然不同的路。看清差异，才能理解为什么「一套合规方案走天下」在 AI 领域行不通。
欧盟 · 权利优先
- 全球首部综合性 AI 法，风险分级、横向适用
- 禁止类条款 2025 年落地，高风险义务 2027–2028 年分阶段
- 罚则严厉、具域外效力，合规成本高但可预期
- 理念：预防原则，宁严勿漏
美国 · 创新优先
- 无统一联邦 AI 法，呈「联邦空白、州级填补」碎片化格局
- 更倚重行业自律、自愿承诺与现有消费者/反歧视法执行
- 加州等州先行（如 AI 透明度法 2026 年生效），FTC 主动执法
- 理念：市场驱动，把合规当成「预算项」而非硬门槛
中国 · 效率与备案主导
- 《生成式 AI 服务管理暂行办法》《算法推荐管理规定》等分层规范
- 基础模型须备案/申报，应用登记 streamlined，落地速度快
- 要求 AI 生成内容标识、训练数据来源合法，备案模型已超 700 款
- 理念：发展与安全并重，行政效率高、约束直接
三者的张力其实指向同一个商业现实：一家想同时服务欧、美、中三地的 AI 公司，要在欧盟做最重的风险评估与文档、在美国应对分散的州法与机构、在中国走备案与内容标识流程。AI Act 的「布鲁塞尔效应」正在外溢——哪怕你总部不在欧洲，只要产品碰欧盟用户，这套风险分级逻辑就会反向塑造你的全球合规架构。
八、常见问答
「欧盟 AI 委员会」和「AI Office」是一回事吗？
容易混淆。欧盟 AI 办公室（AI Office）是设在委员会 DG CNECT 内的执行机构，独家负责 GPAI 模型的监督与执法；而「欧盟 AI 委员会」（AI Board）是由各成员国代表组成的协调论坛，负责推动各国监管口径统一。二者是执行与协调的关系，不是同一个机构。
AI Act 现在（2026 年）到底哪些条款已经生效？
截至 2026 年 8 月：禁止类条款（2025.02）、GPAI 义务与治理框架（2025.08）、第 50 条透明度规则与 AI Office 对 GPAI 的执法权（2026.08）均已适用；而附件三的高风险系统义务被 Digital Omnibus 推迟到 2027 年 12 月，嵌入受监管产品的高风险 AI 推迟到 2028 年 8 月。
中国公司不在欧盟设实体，也要遵守吗？
要。AI Act 具域外效力：只要你的 AI 系统（含 GPAI 模型、大模型 API）在欧盟市场可被使用，就受约束；非欧盟提供者若未在欧设机构，还需指定欧盟授权代表。地域不是避风港。
「系统性风险」模型的门槛是什么，我的模型会中招吗？
AI Act 以「累计训练算力超过 10²⁵ 次浮点运算」作为系统性风险 GPAI 模型的认定门槛；委员会可经授权法案调整该阈值。低于此阈值的通用模型仍须满足第五章基本透明度与版权义务，只是不触发额外的系统性风险评估与事件报告。
聊天机器人必须标注「由 AI 驱动」吗，哪怕它风险很低？
必须。第 50 条透明义务独立于风险分级，只要系统与人交互（聊天机器人、语音助手）或生成合成内容，就要明示并打机器可读标记。这是很多轻量应用最容易忽略的合规点。
罚钱之外，还有哪些现实后果？
除罚款，违规高风险系统可能被要求整改、下架、召回，并登记进欧盟数据库影响采购与信任；GPAI 提供者不配合委员会评估还可能被直接处罚。对出海企业而言，合规已是一道「市场准入门槛」而非事后成本。
参考资料
- 来源：欧盟委员会数字战略——欧盟 AI 办公室（AI Office）官方政策页，含机构使命与治理结构：https://digital-strategy.ec.europa.eu/en/policies/ai-office
- 来源：欧盟委员会数字战略——AI Act 监管框架官方页（风险分级、禁止类实践、透明度规则原文概述）：https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- 来源：欧盟官方公报——2024 年 1 月 24 日委员会决定（建立欧洲人工智能办公室，C/2024/1459）：https://data.europa.eu/eli/C/2024/1459
- 来源：维基百科——European Artificial Intelligence Office（成立时间、隶属 DG CNECT、五单元架构与负责人）：https://en.wikipedia.org/wiki/European_Artificial_Intelligence_Office
- 来源：Future of Life Institute — AI Act 实施时间线（分阶段生效关键日期总览）：https://artificialintelligenceact.eu/implementation-timeline/
- 来源：欧盟 AI Act 服务台——官方实施时间线（2024–2028 各节点与 Digital Omnibus 修订）：https://ai-act-service-desk.ec.europa.eu/en/ai-act/eu-ai-act-implementation-timeline
- 来源：Regulation AI — 2026 年 8 月执法变化解读（第 50 条透明度义务与 AI Office 执法权启动）：https://www.regulation-ai.eu/en/blog/eu-ai-act-enforcement-august-2026
- 来源：Deeploy — AI Act 罚则详解（第 99 条三档罚款与第 101 条 GPAI 罚则）：https://deeploy.ai/eu-ai-act-hub/articles/eu-ai-act-fines-explained-penalty-tiers-up-to-e35-million-under-article-99/
- 来源：TechRepublic — 什么是欧盟 AI Office（五单元职责与执行权说明）：https://www.techrepublic.com/article/what-is-the-eus-ai-office/
- 来源：Licentium — AI Office 对 GPAI 提供者的全面执法权（域外效力与欧盟授权代表要求）：https://www.licentium.io/post/eu-ai-office-activates-enforcement-powers-gpai-model-providers-2-august-2026
青衣网络 AI 观察团队 · 最后更新 2026-08-25 | 本文基于欧盟委员会官方文件、欧盟官方公报、欧盟 AI Act 服务台及公开权威资料整理，用于帮助中文读者理解欧盟 AI 监管框架与 AI Office 的职责边界；法案条款、生效日期与罚则可能随 Digital Omnibus 等修订而调整，涉及具体合规请以欧盟官方最新文本与专业法律意见为准。