欧盟《人工智能法》是什么？
欧盟《人工智能法》（Regulation (EU) 2024/1689）是全球第一部全面规制 AI 的法律，于 2024 年 8 月 1 日生效，按不同义务分阶段适用。2026 年，欧盟通过“AI Omnibus”修订，推迟了高风险系统义务的适用时间，其余义务基本维持原时间表。
四个风险层级
| 层级 | 例子 | 主要后果 |
|---|---|---|
| 不可接受风险（禁止） | 社会评分、利用弱点操纵行为、职场和学校的情绪识别、无差别抓取人脸建库 | 自 2025 年 2 月 2 日起禁止 |
| 高风险 | 附件 III：招聘与员工管理、信贷评分、教育评估、关键基础设施等；附件 I：医疗器械、机械等受监管产品的安全组件 | 风险管理、数据治理、技术文件、日志、人工监督、准确性与网络安全、合格评定 |
| 有限风险（透明度） | 聊天机器人、深度合成内容、情绪识别 | 告知用户在与 AI 交互；标注 AI 生成内容 |
| 最低风险 | 垃圾邮件过滤、游戏 AI | 无强制义务，鼓励自愿准则 |
此外，通用目的 AI 模型（GPAI）的提供者有单独义务：技术文件、向下游提供信息、版权政策和训练数据摘要；具有系统性风险的模型还需开展评估、对抗测试和事件报告。
先判断你的角色
- 提供者（provider）：开发 AI 系统或模型并以自己名义投放市场，义务最重
- 部署者（deployer）：在业务中使用 AI 系统，例如用 AI 筛选简历的企业
- 进口商与分销商：把境外 AI 系统引入欧盟市场
很多中国出海 SaaS 在欧盟是提供者；如果你在产品里调用第三方大模型，同时还可能是该模型的下游使用者。
中国出海 AI 企业的准备路径
- 建立 AI 系统清单：产品中哪些功能用到 AI、面向哪些用户、在哪些国家可用。
- 逐个做风险分类：是否落入禁止情形，是否属于附件 III 用途，是否触发透明度义务。
- 立即落实已生效义务：禁止性实践排查、员工 AI 素养、聊天机器人告知、AI 生成内容标注。
- 为高风险系统准备：即便时间推迟，风险管理体系、数据治理和技术文件都需要长时间积累，建议参考 ISO/IEC 42001 搭建管理体系。
- 看清上游：使用第三方 GPAI 模型时，向模型提供者索取其依法应提供的文档。
关于欧盟《人工智能法》的常见误区
- “我们不在欧盟，所以不适用”：适用范围看系统是否在欧盟投放或使用，不看公司注册地。
- “推迟了就不用管”：禁止性实践、GPAI 和透明度义务已经适用，客户的采购问卷也已经在问。
- “拿到 ISO 42001 就合规了”：认证可以支撑合规，但不能替代法律义务。