欧盟《人工智能法》合规与风险防控研究报告

欧盟《人工智能法》合规与风险防控研究报告总结

一、欧盟《人工智能法》基本框架

适用范围

• 欧盟《人工智能法》适用于在欧盟市场投放的人工智能系统或通用人工智能模型，无论其设立地；设立或位于欧盟境内的部署者；系统输出在欧盟境内被使用的情况。
• 域外效力通过三条路径触发：投放欧盟市场、欧盟境内部署、输出在欧盟境内被使用。

风险分级体系与核心义务

• 四级风险结构：禁止性实践、高风险系统、特定透明度风险、最低风险应用。
• 禁止性实践（八类）：潜意识操纵、利用脆弱性评分、犯罪风险评估、人脸识别数据库、情绪识别（非医疗）、生物特征分类、实时远程生物特征识别（严格例外）、生成非自愿亲密影像/儿童性虐待材料。
• 高风险系统（附件一、附件三）：医疗器械、生物特征识别、关键基础设施、教育、就业、基本服务、执法、移民、司法等领域的系统，需满足全周期风险管理、数据治理等要求。
• 透明度义务（第50条）：与自然人交互的系统需告知交互身份；合成内容需标识为AI生成；深度伪造内容需披露。
• 最低风险应用：未触发上述义务的系统原则上无额外义务，鼓励自愿行为准则。

通用人工智能模型专门规则

• 一般义务：编制技术文档、提供必要信息、遵守版权法、公开训练内容摘要。
• 系统性风险加重义务：超过1025次浮点运算的模型需开展评估、测试、缓解风险、报告事件、落实网络安全。
• 第三国提供者需委任欧盟授权代表。

治理架构

• 欧盟集中协调与成员国分散执法相结合。
• AI办公室负责通用人工智能模型规则监督和执法。
• 欧洲人工智能委员会协调成员国立场，科学专家组与咨询论坛提供评估和意见。

处罚梯度

• 三档行政罚款：违反禁止性实践最高3500万欧元或全球营业额7%；其他违规最高1500万欧元或3%；提供错误信息最高750万欧元或1%。
• 对中小企业及初创企业罚款上限优惠。

分阶段适用时间表

• 2025年2月2日：禁止性实践和人工智能素养义务适用。
• 2025年8月2日：通用人工智能模型规则、治理架构等适用。
• 2026年8月2日：透明度义务适用，欧委会开始对通用模型罚款。
• 2026年12月2日：新增禁止规则适用。
• 2027年8月2日：存量通用模型合规，成员国至少设立一个人工智能监管沙盒。
• 2027年12月2日：附件三独立高风险系统适用。
• 2028年8月2日：附件一嵌入产品的高风险系统规则适用。

二、中资企业关键合规议题

域外适用基本原则

• 中资企业可能被纳入规制的四类场景：出口产品、跨境提供模型、在欧运营平台部署系统、系统输出在欧盟境内被使用。
• 价值链角色决定义务：提供者、部署者、进口商、分销商、授权代表分别承担不同责任。
• 第三国提供者需委任欧盟授权代表。

高风险系统的评定

• 附件三与中资企业出海业务交集的五类场景：人力资源科技、教育科技、金融科技、生物特征应用、关键基础设施。
• 不同类型系统适用不同评定路径：产品类系统适用部门立法程序，生物特征系统可选择内部控制或第三方评定，其他系统采用内部控制程序。

通用人工智能模型出海的专门义务

• 中资企业提供通用模型需遵守相关义务，自由开源模型豁免条件严格。
• 《通用人工智能行为守则》为自愿合规工具。

执法不确定性

• 主要来自协调标准未发布、产品部门法与《人工智能法》衔接、欧委会指南持续更新。
• 欧盟对中资企业的选择性监管有潜在可能性。

三、实操建议

进入欧盟市场前的合规评估

• 建立人工智能资产清单与风险筛查机制。
• 明确价值链角色并实施设计端排除。
• 审慎选择进入欧盟市场的模式。

日常运营的合规机制

• 建立质量管理与内部治理体系。
• 完善文档、日志与登记管理。
• 运行入市后监测与事件响应机制。
• 将部署者义务嵌入日常流程。

分阶段时间表下的合规排期

• 优先落实2026年近端义务。
• 倒排高风险系统合规工期。
• 建立规则跟踪机制。

结语

• 《人工智能法》影响中资企业合规成本、监管时间表、合规能力复用。
• 不同企业应根据业务类型配置合规资源。
• 建立持续验证的合规证据链。
• 重点跟踪协调标准发布、产品部门法衔接、成员国执法差异。

关键提示

• 高风险义务延期不改变其余义务实施节奏。
• 欧盟进口商或分销商“间接入市”不可行。
• 《人工智能法》合规不替代GDPR等既有欧盟法义务。
• 报告不构成具体法律意见，企业应征询专业机构。

附件：核心数据来源

• 列出相关法规、指南、文件等数据来源。