合规不盲目 | 近日欧盟《人工智能数字综合法案》正式生效，出海AI企业需要注意什么？

一、企业合规减负

1. 合规豁免延伸至中小盘企业（SMC）

新规将部分合规豁免与倾斜保护措施，由中小企业（SME）延伸至中小盘企业（SMC）。

企业规模判定标准：

• “中小企业”（SME）：职工人数少于 250 人，且年营业额不超过 0.5 亿欧元或资产总额不超过 0.43 亿欧元。
• “中小盘企业”（SMC）：职工人数少于 750 人，且年营业额不超过 1.5 亿欧元或资产总额不超过 1.29 亿欧元。

具体减负措施：

• 简化技术文件：SMEs 与 SMCs 可采用简化方式提供高风险 AI 系统技术文档，欧盟委员会将制定统一简化表格。
• 相称的质量管理体系（QMS）：QMS 的实施难度需与企业规模相称。允许小企业采用更灵活的方式完成合规记录，但安全标准与保护水平不得降低。
• 优先接入监管沙盒：欧盟层面监管沙盒优先向 SMEs 和 SMCs 开放，帮助其在安全环境中测试，降低试错成本，缩短产品上市周期。

2. 不强制要求人工智能素养达标

新规明确，提供商和部署者应采取相称措施支持员工提升 AI 素养，但不要求保证任何个人达到特定水平。合规重点在于“是否提供合理培训与支持”，而非“员工是否全部达标”，以避免过度增加企业负担。

二、优化高风险人工智能系统监管

1. 收紧“高风险”判定标准

针对此前“安全组件”定义不清导致监管范围过大的问题，新规明确：只有当组件履行“安全功能”，或其故障直接危及人身财产安全时，才构成安全组件。

仅用于辅助用户、优化性能、提升效率等非安全相关功能的 AI 系统，不被视为具备安全功能。即使嵌入受监管产品中，也不自动具备安全功能属性。

2. 延缓高风险 AI 合规义务实施时间

因关键协调标准尚未出台，新规推迟了部分高风险 AI 系统的合规义务实施时间：

• 生物识别、关键基础设施、招聘系统等（附件三）：推迟至2027 年 12 月 2 日适用。
• 嵌入医疗器械、汽车中的系统（附件一）：推迟至2028 年 8 月 2 日适用。

延期旨在等待标准成熟，避免企业在无标可依时盲目猜测，并非降低监管门槛。

三、补充生成式人工智能风险治理规则

1. 新增禁止性实践

严禁未经自然人明确同意，利用 AI 生成或操纵可识别自然人的私密部位图像、视频或露骨性活动材料。此举为打击“裸体应用”及深伪勒索提供了坚实法律依据，划定了生成式 AI 的道德与法律底线。

2. 明确偏见检测中的特殊数据处理规则

为解决算法偏见检测难题，新规允许在特定情况下依法处理种族、宗教等敏感个人数据以进行偏见检测与纠正。但必须严格落实 GDPR 规定的保障措施，如假名化、匿名化、严格访问控制及全流程记录。

四、强化人工智能治理

1. 增强人工智能办公室集中监管

欧盟人工智能办公室获得专属管辖权，负责监管基于通用大模型开发的系统（同一提供者开发），以及集成于超大型在线平台或搜索引擎的 AI 系统，实现点对点高效监管。

2. 推广监管沙盒与真实世界测试

新规允许在监管沙盒之外的真实世界条件下，对附件一涵盖的高风险 AI 系统进行测试，以便更全面地评估和验证系统合规性。

面对欧盟精细化监管趋势，中国 AI 企业应从以下三点完善合规体系：

1. 精准核算身份，善用绿色通道

对照 SME 及 SMC 标准厘清定位。若符合条件，积极利用简化技术文档表格与相称的 QMS 要求，有效降低合规成本。

2. 重估高风险认定，抓住窗口期

重新梳理产品架构，争取将非安全核心功能排除出高风险范畴。对于确属高风险的系统，利用 2027-2028 年的缓冲期，提前建立技术文档与质量管理体系，跟踪后续标准，确保届时快速达标。

3. 严守内容红线，规范数据使用

涉及生成式 AI 的企业须建立严格的“知情 - 同意”机制，杜绝非法生成私密内容。涉及偏见检测需处理敏感数据时，务必落实假名化、匿名化等安全措施，确保符合 GDPR 与新法案的双重要求。

@王捷律师

垦丁（广州）律所创始合伙人、主任

荣登钱伯斯 2026 大中华区 TMT：数据保护和隐私律师榜单

jie.wang@kindinglaw.com

+86 13650790754