欧盟《人工智能法案》已非遥不可及——它正在成为现实。执法工作正稳步推进，各项截止日期已确定。对于治理、风险与合规专业人士而言，此刻正是采取行动而非冒险的时刻。
无论您是供应商、部署方还是第三方合作伙伴，这项全面法规正在重塑整个欧洲人工智能治理的实施方式。评估人工智能风险、调整内部流程并确保组织准备就绪的时钟正在滴答作响。
让我们剖析当前可执行的内容、后续发展方向，以及GRC团队如何引领企业应对本十年最重要的监管变革之一。
欧盟《人工智能法案》涵盖的内容
欧盟《人工智能法案》的核心是一个基于风险的监管框架。该框架将人工智能系统分为四类：
- 不可接受的风险——完全禁止（例如社会评分系统）
- 高风险——需要文件记录、审计和人工监督（例如：医疗保健、就业、公共服务）
- 有限风险——必须履行透明度义务（例如聊天机器人）
- 风险极低——监管负担轻（例如垃圾邮件过滤器）
每类技术都伴随着特定的义务。某些做法被直接禁止——例如在公共场所进行实时生物特征监控（除非获得严格限定的豁免）。其他技术，如执法领域的人工智能应用或生物特征身份验证，则被视为高风险领域并受到严格监管。
与此同时，研发活动、军事应用以及某些开源通用人工智能系统（GPAI）可能获得豁免，具体取决于使用场景和部署状态。
提示：若您从事研究或产品原型开发工作，请注意查验豁免条款——但仍需记录您的治理保障措施。
我如何判断自己的系统是否属于高风险系统？
若您的AI涉及对人权、安全或服务获取的决策，则很可能属于监管范围。您还需判断模型是否属于通用人工智能（GPAI）——这类模型经过训练可用于多种下游场景。通用AI需遵循特定治理规则，尤其当其存在系统性风险时。
提示：将您的AI产品组合与《法案》附件三中的风险等级进行对照。若存在不确定性，请假定将接受审查并做好相应准备。
欧盟《人工智能法案》是否适用于我的组织？
即使您不在欧盟境内，该法案也极可能适用于您。该法案具有域外效力。若您的组织销售、部署或提供影响欧盟境内民众的人工智能系统，则很可能被纳入监管范围。这包括在美国境内提供SaaS工具或在线开源通用人工智能平台的企业。您的具体义务取决于所扮演的角色——无论是供应商、部署方、进口商还是分销商。
最佳实践：明确内部职责。确定组织中哪些人员需根据《人工智能法案》承担法律责任，尤其当您依赖供应商或白标解决方案时。
欧盟《人工智能法案》违规处罚
处罚力度严厉。违规行为可能导致巨额罚款，使《人工智能法案》的执法级别与《通用数据保护条例》相当，且影响范围更广。
- 违反禁令行为最高可处以3500万欧元罚款或全球营业额的7%
- 最高可达1500万欧元或营业额的3%的合规违规罚款（例如：GPAI文件缺失）
- 因反复或系统性违规行为而进行的公开点名、产品召回或市场禁令
除监管罚款外，未能遵守欧盟法案的企业还可能面临民事赔偿和声誉损害。公民有权就人工智能系统提出投诉，并"获得关于基于高风险人工智能系统且影响其权利的决策的解释"。这些投诉将取决于受技术侵害公民的人工智能素养和应变能力。
好消息是？遵循欧盟《全球公共采购倡议行为准则》可降低风险并展现主动合规姿态——监管机构在执法时可能会将此纳入考量。
您的防护盾：立即遵守自愿性行为准则，避免日后暴露于风险之中。
欧盟《人工智能法案》关键执行期限及应对措施
执法行动分阶段进行——但已然启动。
| 截止日期 | 要求 |
| 2025年2月2日 | 所有人工智能系统的用户和提供者都必须接受人工智能素养培训。 |
| 2025年8月2日 | 通用人工智能（GPAI）提供商必须遵守合规要求。 |
| 2026年8月2日 | 高风险人工智能义务生效 |
| 2027年8月2日 | 规则扩展至更广泛的附件二系统 |
| 到2030年 | 必须完成与欧盟大型系统的全面整合 |
不要等待。即使是风险有限的系统，也可能需要在这些截止日期前进行透明度披露。让我们深入探讨这些要求可能对贵组织产生的影响。
人工智能素养要求：2025年2月2日
所有部署或提供人工智能系统的组织——无论风险等级如何——都必须确保用户接受适当培训。这适用于员工、承包商和服务提供商。
有效的AI素养培训应涵盖：
- 人工智能系统如何运作及其局限性
- 如何评估人工智能生成的输出内容
- 如何处理法律与道德考量
- 如何确保人类对自动化决策的监督
仅靠文档是不够的。培训必须是动态的、针对具体岗位的，并融入您的合规计划中。
对人工智能素养要求仍存疑虑？请参阅欧盟委员会如何在《人工智能法案》中界定具体条款。
通用人工智能（GPAI）合规性——2025年8月2日
具备执行多种任务能力并应用于不同领域的通用人工智能模型（GPAI），在《人工智能法案》下需履行特定义务。
若贵组织开发或在欧盟市场投放GPAI模型，则需：
- 维护详细的技术文档
- 发布训练数据摘要
- 实施版权合规政策
- 监测系统性风险
- 追踪并报告严重事件
- 遵循网络安全最佳实践
尽管GPAI行为准则是自愿性质的，但它有助于证明善意合规，并减少潜在处罚。
高风险系统全面监管：2026年8月2日
截至该日期，被视为高风险的人工智能系统必须满足全面的合规要求。这包括：
- 正式风险评估
- 健壮的文档
- 实时人工监督
- 部署前的符合性评估
每个欧盟成员国还必须至少提供一个监管沙盒，以支持高风险系统的安全测试。
扩展合规要求：2027年8月2日及之后
自2027年8月起，附件二所列的人工智能系统（包括具有中高风险应用的人工智能系统）也将纳入监管范围。
届时，欧盟境内部署的每套人工智能系统——无论级别高低——都必须证明：
- 透明运作
- 持续风险缓解
- 人机协同决策
展望2030年，融入欧盟大型信息技术基础设施的人工智能系统将面临更严格的治理要求及法律约束，这些约束涉及安全、司法和公民自由等领域。
欧盟人工智能法案合规措施
若您正在开发或向欧盟市场投放人工智能系统，您可能需要：
- 维护技术文档
- 对高风险系统进行符合性评估
- 建立质量和风险管理体系
- 对员工进行人工智能素养培训
- 发布训练数据摘要并确保版权合规
对于高风险模型，必须实施详细日志记录、人工监督和上市后监测。全球人工智能计划（GPAI）提供商还需缓解系统性风险、执行网络安全协议并报告严重事件。
下一步：制定与风险分类相匹配的合规路线图。不要等到执法行动开始才着手记录控制措施。
《人工智能法案》行动计划：企业治理、风险与合规领导者如何今日即刻行动
为满足欧盟《人工智能法案》的截止期限并加强组织准备，请考虑采取以下行动：
绘制您的AI风险画像
盘点所有在用AI系统，按风险等级分类，并记录每项系统的合规需求。
构建基于角色的AI素养计划
开发针对技术、管理和运营岗位的定制化培训路径。涵盖AI应用的法律、伦理及实践维度。
将人工智能监管纳入治理、风险与合规（GRC）计划
将人工智能管控措施融入更广泛的风险与合规框架。考虑采用ISO42001或NIST人工智能风险管理框架（AI RMF）等标准来支持计划制定。
加强第三方治理
对人工智能供应商和合作伙伴进行审计。在合同中纳入欧盟人工智能法案的要求，并监督通用人工智能应用的下游合规情况。
追踪监管动态
委员会或将简化中小企业的监管规则。及时掌握信息，保持业务敏捷性。
