欧盟《人工智能法》解读：风险等级、截止日期与罚款

欧盟《人工智能法》是一项欧盟条例，根据人工智能系统所带来的风险进行分类，并据此设定相应规则。该法于2024年8月1日生效，并将分阶段实施，历时数年。禁令、人工智能素养义务以及通用人工智能（GPAI）模型规则已经适用。2026年通过的一项名为《数字综合法案》（Digital Omnibus）的修正案，将高风险系统规则的适用时间推迟至2027年12月和2028年8月。

本指南内容截至2026年10月。修订后时间表的部分细节仍在明确之中。在做出合规决策前，请查阅《欧盟官方公报》上发布的文本以及欧盟委员会自身的人工智能法案页面。

什么是欧盟《人工智能法》？

《人工智能法》是一项条例而非指令。这意味着它直接适用于每个成员国，各国政府无需将其转化为本国法律。其正式编号为《(欧盟)2024/1689号条例》，于2024年7月公布。欧洲议会研究服务处指出，该法的设计目标是至少需要三年时间才能全面适用。

该法普遍被视为首个全面的、横向的人工智能法律框架，意味着它横跨各个行业，而非只针对某一特定产业。人工智能系统依据风险进行监管，而通用模型则依据其能力进行监管。指南、协调标准和自愿性行为准则则提供技术细节。

《人工智能法》的风险类别有哪些？

该法条文为人工智能系统设定了四个风险等级，另外对通用模型设有单独的规制路径。以下概述依循该法的结构。具体界定见第5条、第6条、附件一、附件三以及第50条。

不可接受的风险（禁止）：包括社会评分，以及操纵人们或利用其脆弱性的人工智能。非定向抓取面部图像被禁止，工作场所和学校中的情绪识别同样被禁止，但设有例外。某些生物特征分类、仅基于画像的预测性警务，以及执法部门在公共场所进行的实时远程生物特征识别（仅有狭窄的例外）也在禁止之列。

高风险：分为两类。附件一涵盖作为安全组件的人工智能，适用于已受欧盟产品法规管辖的产品，例如机械、医疗器械或玩具。附件三涵盖用于敏感领域的独立系统，包括生物识别、关键基础设施、教育、就业、基本服务和信贷、执法、移民与边境管控，以及司法和民主程序。

高风险系统的提供者必须建立风险管理、数据治理和技术文档制度，还需要具备日志记录、人工监督，并达到足够的准确性和稳健性。此外，还须进行合格性评定、加贴CE标志，并在欧盟数据库中登记。

有限风险（透明度，第50条）：必须告知人们正在与聊天机器人互动，深度伪造内容必须加以标注。人工智能生成的内容还须带有机器可读的标识。最低风险：垃圾邮件过滤器或电子游戏等日常工具不承担新的义务。

通用人工智能模型：每家GPAI提供者都必须保存技术文档并制定版权政策。被认定具有“系统性风险”的模型还需承担额外义务。该法推定，训练计算量超过10^25 FLOPs的阈值即存在系统性风险。

《人工智能法》何时适用？当前时间表

按照原定时间表，禁令和人工智能素养义务于2025年2月2日生效。通用模型规则、治理条款和处罚规定随后于2025年8月2日生效。其余大部分条款，包括附件三的高风险规则，原定于2026年8月2日适用。附件一的高风险规则则定于2027年8月2日。

这一计划已经改变。2025年11月19日，欧盟委员会提出了《人工智能数字综合法案》（Digital Omnibus on AI），部分原因是回应2024年德拉吉报告中提出的监管复杂性问题。欧洲议会与欧盟理事会于2026年5月7日达成临时协议。议会于6月16日给予最终批准，理事会于6月29日通过该文本。该文本于7月8日签署，并于2026年7月27日在《欧盟官方公报》发布后生效。

根据修订后的日期，附件三中的独立高风险规则现自2027年12月2日起适用。嵌入受监管产品的人工智能所适用的附件一规则现定于2028年8月开始实施。据Formalize的分析，一般性禁令和GPAI规则并未推迟。

仍有一些问题尚未确定，包括第50条透明度及水印义务在综合法案后的确切日期、是否新增了禁令，以及对中小企业豁免的具体范围。据报道，协调标准的制定也有所延误。请以官方文本为准进行核实。

《人工智能法》适用于哪些主体？

根据该法的适用范围条款，无论位于何处，只要向欧盟市场投放人工智能系统的提供者都在其覆盖之列。该法同样适用于位于欧盟境内的部署者（即使用人工智能的组织），以及进口商、经销商和产品制造商。当欧盟境外提供者和部署者的系统输出在欧盟境内被使用时，同样受其约束。

这种域外效力与《通用数据保护条例》（GDPR）的运作方式颇为相似。在土耳其、美国或其他地方的公司，如果向欧盟销售人工智能，或其人工智能输出在欧盟被使用，都可能落入适用范围。欧盟境外的高风险系统及GPAI模型提供者必须在欧盟指定授权代表。

部分用途被排除在外：军事、国防和国家安全用途；仅用于科学研究的人工智能；以及纯粹个人、非职业性的使用。大多数免费和开源软件也不在适用范围之内，但有一些例外。

欧盟《人工智能法》的罚款标准是什么？

第99条设定了三档罚款。违反禁令最高可处3500万欧元或全球年营业额的7%，以较高者为准。其他大多数运营者义务最高可处1500万欧元或营业额的3%。向主管机关提供不正确或误导性信息，最高可处750万欧元或营业额的1%。

对于中小企业和初创企业，适用两项金额中的较低者（第99条第6款）。据报道，综合法案将这一待遇扩展至“小型中坚企业”。成员国制定详细的国家处罚规则，第99条自2025年8月2日起已经适用。欧盟委员会可对GPAI提供者处以最高1500万欧元或营业额3%的罚款。

与推迟义务相关的罚款档次只有在这些义务适用后才会生效。一些较早的条款仍称高风险罚款自2026年8月2日起开始适用，这一说法已不准确。

各机构现在应该怎么做？

推迟并非停止准备的理由，因为禁令、人工智能素养和GPAI规则已经生效。一个切实可行的第一步是盘点你开发、采购或销售的人工智能系统，并将每个系统对应到相应的风险等级。

对于高风险提供者而言，建立文档、数据治理和人工监督流程需要时间，因此2027年12月看起来比实际更近。如需权威细节，请参考EUR-Lex、欧盟委员会的人工智能法案页面以及人工智能办公室，而非二手摘要。