欧盟 AI 法案
正式落地之后

6 月 25 日，一个将深刻影响全球 AI 产业格局的日子。

经过长达四年的立法博弈、数十轮修订、无数次利益相关方游说之后，欧盟《人工智能法案》（EU AI Act）正式从立法阶段进入执行阶段。这不是一份建议性文件，不是一个行业自律框架——它是法律，是有牙齿、有罚款、有执法机构的硬性规则。任何想在欧盟 4.5 亿人口市场提供 AI 服务的公司，从今天起都必须认真对待这件事。

这是全球第一部综合性 AI 立法，也是目前为止最严格的 AI 监管框架。它的影响不会止于欧洲——就像 GDPR 当年成为全球隐私保护的事实标准一样，欧盟 AI 法案很可能定义未来十年全球 AI 治理的基本范式。

四级风险分级：核心逻辑

欧盟 AI 法案最核心的设计，是按照 AI 系统对用户权利和安全的潜在风险，将所有 AI 应用划分为四个等级：

第一级：不可接受风险——直接禁止。包括：利用弱势群体（如儿童、老年人）的潜意识操纵技术、社会评分系统（基于个人行为预测对其进行差别对待）、实时远程生物识别（在公共场所无差别人脸识别监控），以及利用 AI 进行情绪识别和政治倾向判断的某些应用。这些 AI 系统在欧盟境内完全非法，做了就是违法。

第二级：高风险——严格合规。这是法案中篇幅最大、要求最细的部分。涉及领域包括：医疗诊断、教育评估（如 AI 打分系统）、招聘筛选、信用评估、执法预测、边境管控、司法辅助决策等。这些 AI 系统必须满足一系列严格要求：训练数据质量审查、技术文档完备、可解释性达标、人类监督机制到位、上线前经过合规评估、上市后持续监控。高风险 AI 的提供者需要对系统的输出承担法律责任。

第三级：有限风险——透明度义务。主要指 Deepfake（深度伪造）内容、AI 生成的文本/图像/视频、AI 聊天机器人等。这类应用不被禁止，但必须明确告知用户"你正在与 AI 交互"或"这是 AI 生成的内容"。你在抖音上看到的 AI 换脸视频、在新闻里看到的 AI 合成画面，如果没有标注，在欧盟就是违法的。

第四级：最小风险——自由使用。垃圾邮件过滤、AI 游戏 NPC、视频推荐算法等对用户权利影响极小的应用，法案不加干预，企业可以自由使用。

通用 AI 模型的特殊条款

法案中最引发争议、也是对大模型公司影响最大的部分，是针对"通用 AI 模型"（General-Purpose AI Models，GPAI）的专门条款。GPT、Claude、Gemini、豆包、通义千问——这些可以执行多种任务、被下游应用广泛调用的基础模型，被单独归为一类，施加了额外的义务。

具体要求包括：必须提供训练数据摘要（披露训练数据的来源和构成，回应版权争议）；必须遵守欧盟版权法（尊重权利人的 opt-out 权利）；必须进行红队测试（系统性地测试模型的安全性和对抗性风险）；必须发布透明度报告（公开模型的能力边界、已知风险、缓解措施）；如果模型能力达到"系统性风险"级别（通常指参数量极大、影响面极广的前沿模型），还需要额外进行系统性风险评估、事件报告和网络安全防护。

这些要求说起来简单，做起来每一条都是真金白银的成本。训练数据摘要意味着你不能再"闭源+不解释训练数据"；红队测试需要专门的安全团队持续投入；透明度报告需要建立常态化的信息披露机制——这些合规工作对 OpenAI、Google 这样的大公司是可承受的运营成本，对小公司和创业团队则可能是一道无法逾越的门槛。

罚款力度：比 GDPR 更狠

法案的罚款力度显示了欧盟的决心。

违规使用被禁止的 AI 应用，最高可处全球年营业额 6% 的罚款；提供高风险 AI 不合规，最高罚 4%；提供虚假信息或不配合监管，最高罚 2%。作为对比，GDPR 的最高罚款是全球年营业额的 4%——AI 法案比以严格著称的 GDPR 还要高出 50%。

6% 是什么概念？如果一家公司全球年营收 1000 亿美元，6% 就是 60 亿美元。这个数字足以让任何公司的法务团队彻夜难眠。

对中国 AI 公司的影响

欧盟 AI 法案的执行，对中国 AI 公司出海欧洲构成了实质性的合规门槛。

豆包、通义千问、Kimi、文心一言、DeepSeek——这些在国内市场已经取得领先地位的中国大模型，如果要进入欧洲市场提供服务，都必须满足通用 AI 模型的全部合规要求。这不仅仅是"加一个隐私政策页面"那么简单，它涉及训练数据的版权审查、模型安全评估、数据跨境传输合规、欧盟用户数据存储本地化等一系列深度改造。

出海的 AI 创业者更是需要从第一天就把合规成本纳入考量。过去中国互联网公司出海的常见路径是"产品先上、用户先涨、合规再补"，这条路在 AI 时代走不通了——因为不合规的 AI 产品在欧盟根本无法合法上线，一旦违规就是 6% 全球营收的罚单，没有"先发展后治理"的缓冲期。

但挑战中也藏着机会。合规门槛会把大量小玩家、白嫖玩家、不愿意投入合规成本的玩家挡在门外，欧洲市场反而会成为少数有能力做合规的大公司的舞台。字节跳动在 TikTok 上已经证明了一件事：中国公司只要愿意投入资源做合规，完全可以在欧洲市场取得成功。

不只是欧盟

更值得注意的是，欧盟 AI 法案不是一个孤立事件。

美国虽然在联邦层面尚未通过统一的 AI 法案，但白宫已经通过行政命令对高风险 AI 施加了安全评估要求，多个州（尤其是加州和科罗拉多州）正在推进各自的 AI 立法。中国在 2025 年发布了《生成式人工智能服务管理暂行办法》并持续完善配套规则，在深度合成、算法推荐、数据安全等领域已有多项法规落地。英国、日本、加拿大、韩国也都在加速推进各自的 AI 监管框架。

全球 AI 监管正在从"野蛮生长"进入"有法可依"的阶段。欧盟第一个出牌，并且凭借其 4.5 亿人口的统一大市场的体量，事实上掌握了规则制定的话语权——任何想做全球生意的 AI 公司，都不得不按照欧盟的标准来设计合规体系，因为单独为欧洲做一套产品的成本太高了。这就是所谓的"布鲁塞尔效应"：欧盟的规则，最终会成为全球的规则。

监管是双刃剑

最后说一个可能不太受欢迎的观点：监管不完全是坏事，但过度监管有代价。

从积极的方面看，合规门槛会把不负责任的玩家淘汰出局，让真正有技术实力、愿意投入安全和合规的公司获得更健康的竞争环境。用户对 AI 的信任度也会因为监管的存在而提高，这对整个行业的长期发展是有利的。就像金融监管没有扼杀金融行业，反而让金融行业变得更加可信和规模化一样，AI 监管也可能起到类似的作用。

但风险同样存在。欧盟在互联网时代和移动互联网时代都没有产生出世界级的科技公司——一个重要的原因就是过度的监管倾向和对创新的保守态度。如果 AI 法案的执行过于严苛、合规成本过高，最可能出现的结果是：欧洲成为 AI 产品的"消费市场"而非"创造市场"，AI 创新的中心仍然在美国和中国，欧洲用户享受着别人开发的 AI 服务，同时缴纳着合规带来的额外成本。

GDPR 实施八年，欧洲没有长出自己的 Google、Meta、TikTok，但欧洲用户也确实获得了比世界其他地区更好的隐私保护。AI 法案会不会重演同样的故事？这个问题，可能需要五年后才能回答。

但对于中国 AI 公司来说，与其纠结监管是否合理，不如提前做好准备——因为规则已经写好了，游戏已经开始了。

---

明天见。