欧盟《人工智能法》最全解析：中企出海的合规“避坑指南”

《人工智能法》采取分阶段实施策略，为企业预留了缓冲期，但不同条款的生效时间各不相同。

2024年8月1日，法案正式生效，但此时尚无强制要求。真正的合规倒计时从2025年开始：2025年2月2日，关于禁止类人工智能实践的规定开始适用，这意味着涉及不可接受风险的AI系统必须在此之前完成整改或退出市场。2025年8月2日，通用人工智能模型的相关规定开始适用，所有GPAI模型提供者都需要开始履行相应义务。2026年8月2日，高风险人工智能系统的大部分要求开始适用，这是绝大多数企业需要重点关注的时间节点。2027年8月2日，关于高风险系统界定的补充条款开始适用。

特别需要提醒的是，在2025年8月2日前已投放市场的通用人工智能模型提供者，需要在2027年8月2日前完成合规整改。

特别提醒

《人工智能法》采用基于风险的分类方法，将人工智能系统分为四个等级。企业需首先判断自身系统的风险等级。

不可接受的风险属于绝对禁止范畴，包括潜意识操纵技术、社会评分系统、公共场所的实时远程生物识别系统、无目标抓取面部图像创建数据库等八类行为。这是法案划定的红线禁区，一旦触碰将面临最高3500万欧元或全球年营业额百分之七的罚款。

高风险人工智能系统是法案的监管重点，主要包括两类。第一类是作为产品安全组件使用的人工智能系统，或者人工智能系统本身即为产品，且属于附件一所列欧盟统一立法的适用范围。第二类是附件三所列领域中使用的人工智能系统，包括关键基础设施、教育、就业、执法、移民管理等八个领域。

有限风险人工智能系统主要面临透明度义务，例如聊天机器人需要告知用户正在与人工智能交互，深度合成内容需要标注“人工生成”等标识。

最小风险人工智能系统如垃圾邮件过滤器等，可在现有法律框架下自由开发和使用，无需承担额外法律义务。

如果企业的人工智能系统被归类为高风险，则需要承担一系列繁重的合规义务，这些义务主要落在提供者身上，但部署者、进口商、分销商也各有责任。

高风险人工智能系统的提供者需要建立贯穿全生命周期的风险管理系统，确保训练数据具有相关性、代表性和准确性，编制详细的技术性文件以备监管审查，确保系统具备日志记录功能以便追溯，向部署者提供充分的使用说明，设计和开发方式要便于人工监督，确保系统的准确性、稳健性和网络安全水平，建立质量管理体系并保存相关文件至少十年，在投放市场前完成符合性评估并加贴CE标志，在欧盟数据库中完成登记，建立上市后监测系统并报告严重事件。

高风险人工智能系统的部署者同样需要履行义务，包括采取适当的技术和组织措施确保系统按规定使用，指派具备能力的自然人进行人工监督，确保输入数据的质量，监测系统运行情况并在必要时通知相关方，保存系统自动生成的日志至少六个月，告知雇员将使用高风险人工智能系统，在特定情况下进行数据保护影响评估和基本权利影响评估。

进口商和分销商也有相应的核查义务，需要确保系统符合要求、加贴CE标志、附有符合性声明等，并在发现问题时采取纠正措施。

通用人工智能模型是指具备显著通用性、能够胜任执行多种不同任务的人工智能模型，大型生成式人工智能模型是典型代表。

根据欧盟委员会发布的指南，通用人工智能模型的具体判断标准包括训练计算量需超过1023次浮点运算，且具备生成语言、文本转图像或文本转视频的能力。

通用人工智能模型的提供者需要履行以下义务。需要编制并不断更新模型技术文件，以便应要求向监管机构提供。需要编制并向下游提供者提供信息和文件，使其了解模型的能力和局限性。需要制定政策以确保遵守欧盟版权法的规定。需要起草并公开模型训练内容的全面摘要。需要与欧盟委员会和成员国主管机关进行必要的合作。在欧盟之外设立的提供者还需要指定一名在欧盟内设立的授权代表。

如果通用人工智能模型具有系统性风险，即训练计算量超过1025次浮点运算，或被欧盟委员会认定具有相当影响，则需要承担额外义务。这包括进行模型评估和对抗测试以识别和降低系统性风险，评估并减轻可能产生的系统性风险，跟踪并及时报告严重事件，确保对模型及物理基础设施提供足够水平的网络安全保护。

欧盟《人工智能法》设置了严厉的罚则，根据违法行为的不同，罚款金额也有所不同。

违反禁止类人工智能实践的规定，最高可能被处以3500万欧元或企业上一财政年度全球年营业额百分之七的罚款，以较高者为准。

违反高风险人工智能系统的规定以及特定人工智能系统的透明度规定，最高可能被处以1500万欧元或企业上一财政年度全球年营业额百分之三的罚款，以较高者为准。

向公告机构或成员国主管机关提供不正确、不完整或误导性信息，最高可能被处以750万欧元或企业上一财政年度全球年营业额百分之一的罚款，以较高者为准。

违反通用人工智能模型提供者的相关规定，最高可能被处以1500万欧元或企业上一财政年度全球年营业额百分之三的罚款，以较高者为准。

面对这部全球最严的人工智能立法，中国企业应当如何应对？

首先应当评估自身定位。需要判断企业的人工智能系统是否属于《人工智能法》规制范围，如果在范围内，则需要进一步判断系统的风险等级，同时明确企业在供应链中的角色是提供者、部署者、进口商还是分销商。

其次需要对照履行义务。根据风险等级和供应链角色，对照法案要求履行相应的合规义务。对于高风险系统提供者，需要重点关注风险管理系统、数据治理、技术文件、日志记录等方面。对于通用人工智能模型提供者，需要重点关注技术文件、信息提供、版权合规、训练内容摘要等方面。

最后需要持续关注动态。欧盟委员会正在陆续发布一系列配套文件，包括关于禁止类人工智能实践的指南、关于人工智能系统定义的指南、通用人工智能实践准则等，这些文件将为合规提供更具体的指引。同时，欧盟人工智能办公室和欧盟人工智能委员会也已成立，将成为人工智能治理的核心机构。

律意是一家创新型综合性跨境法律服务平台。

基于创始团队在法律大数据及法律服务行业近20年的经验，拥有覆盖全球157个国家和地区的资深律师网络及各行业法律专家资源，已经为数十家跨境制造与消费类企业节约了50%的时间与经济成本。致力于为企业出海提供专业、完善、便捷的一站式法律服务。