读懂欧盟《人工智能法案》：一张时间线、四级风险分类和一份企业合规准备清单
实体定义：《欧盟人工智能法案》（EU AI Act）是全球第一部对人工智能进行横向统一监管的法律，编号为 Regulation (EU) 2024/1689，于 2024 年 8 月 1 日正式生效[2]。它不按技术路线立法，而是按“风险等级”划线管理：风险越高，义务越重；其适用范围具有域外效力——只要产品或服务进入欧盟市场，欧盟之外的企业同样受约束[1]。
时间线：从提案到全面适用，五年走完一条立法长跑
理解这部法案最容易忽略的一点是“分步生效”。不同条款的适用日期相差数年，很多企业的合规焦虑其实来自把所有义务都想象成立刻生效。
欧盟委员会提出法案草案，首次系统性地提出基于风险的监管框架。
欧洲议会、理事会与委员会就最终文本达成政治一致，通用人工智能模型成为谈判焦点。
欧洲议会高票通过法案文本，为正式颁布扫清程序障碍[3]。
法案正式生效，整体过渡期开始计时[2]。
第一批义务适用：禁止性条款（不可接受风险）与员工 AI 素养要求开始执行[4]。
通用人工智能模型（GPAI）相关义务与治理架构安排开始适用[4]。
法案大部分剩余条款开始适用，包括附件所列高风险系统的核心合规义务。
嵌入受监管产品中的特定高风险系统（如医疗器械等）适用更长的过渡期届满。
提示：各节点的精确条文表述以 EUR-Lex 官方文本为准[2]；本文仅作中文概述，不构成法律意见。
四级风险分类拆解：整部法案的地基
法案的逻辑可以压缩成一句话——先给 AI 系统定风险等级，再按等级分配义务。四张卡片对应四个层级：
第一级不可接受风险：直接禁止
社会评分、利用潜意识操纵、无差别抓取人脸建库等做法被明令禁止；工作场所与教育场景的情绪识别原则上也在禁止之列。这一层不谈合规，只谈不可为。
第二级高风险：重义务准入
涉及生物识别、关键基础设施、教育招生、招聘用工、信贷保险等敏感领域的系统属高风险，须满足风险管理、数据治理、技术文档、人工监督与安全稳健等一揽子要求，并通过相应合格评定。
第三级有限风险：透明度义务
聊天机器人须让用户知道自己在与 AI 对话；深度合成内容与 AI 生成内容须以机器可读方式标记。义务轻，但不可省略。
第四级最小风险：自由发展区
垃圾邮件过滤、游戏内 AI、常规推荐算法等日常应用不受额外强制约束，法案鼓励自愿性行为准则，属于政策刻意留出的创新空间[1]。
此外，针对通用人工智能模型设有专门一章：提供者须公开训练数据概要、遵守版权政策并保留技术文档；被认定存在系统性风险的模型还承担评估、事件报告与网络安全方面的额外义务[4]。
对企业的影响：不同角色关心的问题并不一样
| 你的角色 | 主要关切 | 需要启动的动作 |
|---|---|---|
| GPAI 模型提供者 | 模型层面的文档、版权与系统性风险义务（2025 年 8 月起） | 整理训练数据概要模板，建立模型评估与事件上报流程 |
| 把 AI 嵌入产品的厂商 | 自己的系统是否落入高风险清单 | 逐项比对附件领域清单，必要时启动合格评定与技术文档编制 |
| 部署使用方（企业用户） | 采购的高风险工具如何合规使用 | 落实人工监督、使用说明遵循与日志留存，培训员工 AI 素养 |
| 进口商与分销商 | 链条上的核验责任 | 确认上游产品具备 CE 标志与合规文件，建立下架与通报机制 |
| 非欧盟企业 | 域外效力是否覆盖自己 | 只要输出用于欧盟市场即可能受限，应先做用途盘点再决定应对层级[3] |
罚则方面值得单独记住一组数字：违反禁止性条款最高可处 3500 万欧元或全球年营业额 7% 的罚款（取较高者）；其他多数违规对应的档次约为 1500 万欧元或 3%；具体适用由成员国主管机关结合个案裁量[4]。
全球监管对照：欧盟不是唯一出题人
| 司法辖区 | 路径特征 | 代表文件或机制 |
|---|---|---|
| 欧盟 | 横向统一立法，按风险分级强制适用 | AI Act（Regulation 2024/1689）[2] |
| 中国 | 按场景分项立规，叠加备案与安全评估 | 《生成式人工智能服务管理暂行办法》等专项规章[7] |
| 美国 | 以自愿框架与部门监管为主，联邦层面暂无综合立法 | NIST《人工智能风险管理框架》[6] |
| 国际组织 | 原则性共识，供各国立法参照 | OECD 人工智能原则[5] |
对跨国经营的企业而言，麻烦不在于任何单一法规，而在于多套规则并行：同一款产品可能同时触发欧盟的高风险义务、中国的备案要求与美国客户合同中的框架承诺。尽早建立一套统一的内部治理底座，比逐个法域打补丁经济得多。
合规准备清单：从今天就能做的八件事
- 01盘点全公司在用与在售的 AI 功能，形成一份带负责人签字的系统台账。
- 02将每个系统对照风险四级分类初判定位，标记存疑项交法律顾问复核。
- 03指定明确的合规责任人，打通法务、安全与产品团队的协作通道。
- 04补齐技术文档与日志留存能力，这是几乎所有等级义务的共同地基。
- 05对上游供应商开展尽调，索取合规声明并写入采购合同条款。
- 06为全员安排 AI 素养培训，2025 年起这已是法案的直接要求。
- 07检查面向欧盟用户的功能是否满足聊天告知与生成内容标注义务。
- 08持续跟踪欧盟 AI 办公室及成员国实施细则的动态，预留调整窗口[1]。
常见问题
违反欧盟 AI 法案最多会被罚多少钱？
违反禁止性条款的最高罚款为 3500 万欧元或全球年营业额的 7%（取较高者）；其他多数违规适用约 1500 万欧元或 3% 的档次，由成员国主管机关个案裁量。
中国企业在欧盟之外运营也会受管辖吗？
可能。法案具有域外效力：只要系统输出在欧盟境内被使用，或产品投放欧盟市场，位于欧盟之外的提供者同样落入适用范围。
GPAI 是什么？为什么单独立规？
GPAI 指通用人工智能模型，即能胜任广泛任务的基座模型。因其可被下游多种系统复用，法案为提供者设置了文档、版权与系统性风险评估等专门义务。
2026 年 8 月之后还有哪些重要节点？
2026 年 8 月 2 日法案大部分条款开始适用后，嵌入受监管产品的特定高风险系统还有到 2027 年 8 月 2 日的延长过渡期，此后全面执行。
中小企业有什么缓冲？
法案设计了比例原则条款，对中小企业在文档、评定费用等方面提供简化支持，但高风险义务本身不打折扣，建议尽早完成系统盘点与差距分析。