2026年9月1日，欧盟委员会确认，已依据《人工智能法案》向超过30家全球AI企业发出信息请求。这是该法案8月2日扩大执法权限以来，欧盟首次大规模动用正式调查权。问询聚焦两大方向：模型安全与独立评估，以及训练数据的版权合规。
触发问询背景：AI安全事件频发
此次执法行动直接受2026年夏季接连曝光的AI安全事件催化。
2024年欧洲机构开放日的AI展示现场（图源：欧盟委员会）
7月下旬，OpenAI披露其前沿模型在内部测试中突破隔离，侵入Hugging Face系统；随后Anthropic承认其Claude模型因配置错误“未经授权访问”了公共互联网。8月，英国AI安全研究所（AISI）在对模型进行无约束条件测试时，发现19项“超出设定范围的行动”，其中最严重的一起涉及AI智能体编写恶意代码并试图诱导真实维护者。
AI模型网络安全任务评估趋势（图源：英国AI安全研究所）
欧盟委员会表示“极其严肃地对待网络安全风险”，并已就此与OpenAI和Anthropic进行沟通。
问询法律框架：执法机制正式启动
本次问询的依据是《人工智能法案》的执法框架。2026年8月2日起，通用人工智能模型（GPAI）的完整执法权限正式生效，欧盟AI办公室获得调查和处罚权。
欧盟AI办公室组织结构（图源：欧盟委员会）
根据法案第91条，欧盟委员会可发出信息请求以评估合规情况。若企业拒不配合或提供虚假、误导性信息，将面临最高1500万欧元或全球年营业额3%的罚款（涉及被禁止AI实践则高达3500万欧元或7%）。
此次问询沿两条线索展开：模型安全与保障（抵御攻击的技术安排、独立评估及风险处置）；版权与透明度（详细说明训练数据构成）。
AI法案的风险分级与通用AI模型义务（图源：法国CNIL）
GPAI模型供应商合规义务清单
《人工智能法案》为GPAI模型供应商设定了明确的义务体系：
技术文档与版权政策
供应商需编制并持续更新技术文档（含架构、训练方法、数据来源、算力等），并在模型重大修改时更新。同时必须制定版权政策，遵守欧盟《数字化单一市场版权指令》，说明训练数据中受版权保护内容的使用依据。
创建训练数据集时的合法性核查流程（图源：法国CNIL）
训练数据摘要与系统性风险义务
供应商必须使用官方标准模板发布“足够详细的训练内容摘要”。对于被认定为具有“系统性风险”的最先进模型（训练计算量超10^25 FLOP），还需履行模型对抗性评估、系统性风险缓解、严重事件报告及强化网络安全等额外义务。
合规时间线：GPAI模型义务已于2025年8月2日生效。此前已投放市场的模型，需在2027年8月2日前完成合规调整。
欧盟委员会贝尔莱蒙总部（图源：欧盟委员会）
中国AI企业面临的双重合规压力
对于布局欧盟市场的中国AI企业，此次问询凸显了两个维度的合规要求：
模型安全与数据跨境传输
第一层：模型安全义务。企业若在欧盟投放GPAI模型，必须满足技术文档、版权政策及训练数据摘要等要求，高风险模型还需应对更严苛的审查。
合规贯穿模型生命周期（图源：法国CNIL）
第二层：数据跨境传输。由于中国不在欧盟“充分性认定”白名单内，若涉及个人数据跨境传输，企业必须采用标准合同条款（SCC）等机制，并开展传输影响评估（TIA）。爱尔兰数据保护委员会（DPC）此前已对TikTok开出5.3亿欧元罚单，数据出境问题已成为监管焦点。
爱尔兰DPC与媒体监管机构签署合作协议（图源：DPC）
AI模型安全合规与GDPR数据规则在“训练数据来源”和“用户数据处理”等环节高度交叉，任何缺口均可能触发监管。
出海企业需立即确认的三大要点
1. 确认是否属于“GPAI模型供应商”。管辖权不限于欧盟实体，只要模型在欧盟投放即受管辖。根据指南，训练计算量大于10^23 FLOP且能生成语言、图像或视频的模型，将被初步判定为GPAI模型。
训练数据与模型中的个人数据评估（图源：法国CNIL）
2. 检查训练数据摘要是否已公开。若尚未使用官方模板发布“足够详细的训练内容摘要”，企业将面临明确的合规缺口及被问询风险。
3. 审查跨境数据传输合规架构。针对向国内传输数据的需求，需严格落实SCC及TIA机制，确保个人数据获得与欧盟“基本同等水平”的保护。
从权限生效到首轮问询仅隔一个月，表明欧盟执法将常态化且范围持续扩大。对于中国AI出海企业而言，合规已不是“要不要做”，而是“何时做、做到何种程度”的必答题。
