欧盟AI Act按不可接受、高、有限、最低四级风险分类监管，具有长臂管辖效力，经2026年Omnibus简化法案调整后义务分阶段生效至2028年，违规最高罚款3500万欧元或全球营业额7%。
关键日期
欧盟《人工智能法案》（EU AI Act，法规编号 (EU) 2024/1689）于2024年8月1日正式生效。作为全球首部综合性人工智能监管法规，它采用了基于风险的分级监管框架，对进入欧盟市场的AI产品设定了具有法律约束力的合规标准。
该法案具有显著的域外效力：无论企业总部位于何处，只要其AI产品进入欧盟市场或影响欧盟境内人群，都必须遵守相关规定。
法案将AI系统划分为四个风险等级，不同等级对应不同的合规义务：
| 风险等级 | 定义 | 典型示例 | 义务要求 |
|---|---|---|---|
| 不可接受风险（禁止类） | 对基本人权构成明显威胁 | 潜意识操纵、社会评分、实时远程生物识别、利用弱势群体漏洞等 | 完全禁止投放市场或使用 |
| 高风险 | 对健康、安全或基本权利有重大潜在危害 | 关键基础设施、教育/职业培训、就业/员工管理、信用评分、执法、边境管理等八大领域 | 履行最严格的合规义务（风险管理、数据治理、技术文件、透明度、人类监督、网络安全、上市后监控等） |
| 有限风险 | 存在一定透明度风险 | 聊天机器人、深度伪造内容等 | 履行透明度义务（告知用户正在与AI交互、对AI生成内容进行标识等） |
| 最低风险 | 风险极低或无风险 | AI驱动的视频游戏、垃圾邮件过滤器等 | 无额外强制义务，可自愿遵守行为准则 |
高风险AI系统的具体分类（附录I和附录III）：
附录I（产品类）：作为受欧盟产品安全法规（如医疗器械、机械、玩具、汽车等）管辖产品的安全组件
附录III（独立类）：生物识别、关键基础设施、教育和职业培训、就业和员工管理、基本私人和公共服务、移民/庇护/边境管制、执法、司法行政等八大独立应用场景
欧盟近期通过 “AI Omnibus”简化法案（2026年5月7日达成临时协议，6月正式通过），对原定时间线进行了重要调整。高风险AI义务并未全面推迟，而是被重新排序和分阶段实施。
| 时间节点 | 关键事项 |
|---|---|
| 2025年2月2日 | 禁止类（不可接受风险）AI应用规定生效 |
| 2025年8月2日 | 通用人工智能模型（GPAI）相关义务生效 |
| 2026年8月2日 | 全面执法启动：欧盟AI办公室获得完整调查、评估与处罚权限；透明度义务全面生效（聊天机器人须告知用户正在与AI交互） |
| 2026年12月2日 | AI生成内容标识/水印义务适用（2026年8月2日前已投放市场的系统享有3个月宽限期）；新增禁止AI生成儿童性虐待材料及非自愿亲密/性露骨内容 |
| 2027年12月2日 | 附录III独立类高风险AI系统义务适用（原为2026年8月2日），覆盖就业、教育、关键基础设施、执法、信用评分等场景 |
| 2028年8月2日 | 附录I产品类高风险AI系统（嵌入医疗器械、机械等产品中的安全组件）义务适用（原为2027年8月2日） |
（一）主体范围（长臂管辖）
无论企业总部位于何处，只要存在以下情形之一，即受法案约束：
在欧盟市场投放AI系统或GPAI模型
在欧盟境内投入使用AI系统
AI系统的输出影响欧盟境内人群
（二）角色划分
法案区分了不同角色的义务：
提供者（Provider）：开发AI系统或GPAI模型并将其投放市场或投入使用的实体——承担最全面的合规义务
部署者（Deployer）：在其权限下使用AI系统的实体——承担使用层面的合规义务
进口商、分销商、产品制造商等——承担不同程度的配合义务
（三）豁免情形
以下情形不受法案规制：
专门用于军事、国防或国家安全的AI系统
仅用于科研、开发或原型设计活动的AI系统（但投放市场后除外）
按免费开源许可发布的AI系统（高风险、不可接受风险及特定AI系统除外）
（一）第一步：判断自身定位
1. 判定是否在法案范围内：是否向欧盟市场提供AI系统或GPAI模型
2. 明确自身角色：是提供者、部署者，还是其他角色
3. 判定AI系统的风险等级：是否属于禁止类、高风险类、有限风险类或最低风险类
特别提醒：产品包含AI功能并不必然导致其自动落入高风险AI范畴。关键判断标准在于：AI功能的失效、误判或异常输出，是否可能直接导致健康或安全风险。如果AI仅用于辅助决策或性能优化，且其失效不会影响健康与安全，则通常不应被认定为高风险AI，但企业仍需通过功能分析和风险评估来证明这一判断。
（二）不同风险等级的典型义务
禁止类AI：不得在欧盟市场投放或使用。
高风险AI系统（最严格）：
建立风险管理体系：贯穿整个生命周期的风险识别、评估与控制
数据治理：确保训练数据、验证数据和测试数据的相关性、代表性和无偏差
技术文件：在投放市场前编制完整技术文档（Annex IV）
透明度与可解释性：向用户提供充分的使用说明和信息
人类监督：设计有效的人类干预机制
网络安全：确保系统具备适当的网络安全防护水平
上市后监控：建立系统性的监控和事件报告机制
在欧盟数据库注册：高风险AI系统须在欧盟公共数据库中进行注册
有限风险AI系统（透明度义务）：
告知用户：聊天机器人等交互式AI系统须明确告知用户“正在与AI而非人类互动”
内容标识：AI生成或修改的图像、视频、音频及文本内容须带有清晰标识和机器可读数字标记
深度伪造明示：深度伪造内容须明示其人工生成属性
通用人工智能模型（GPAI）提供者（2025年8月2日起生效）：
下游信息披露：向使用其模型的下游企业提供必要信息
版权合规：遵守欧盟版权法相关规定
系统性风险防控：对具有系统性风险的GPAI模型采取额外措施
可签署自愿性行为准则：欧盟AI办公室已发布《通用人工智能行为准则》，签署后可作为合规的“安全港”证明
（三）合规准备建议
1. 尽早开展影响评估：涉及生成式AI、图像/视频/音频生成的企业应优先评估
2. 在设计开发阶段持续积累证据：技术文件、风险管理、数据治理等要求需要持续积累，而非等到法规生效后再集中补充
3. 关注调和标准与指南：欧盟仍在完善相关标准和合规工具，企业应持续关注
4. 机械产品企业需关注AI Act与Machinery Regulation的衔接
法案设有分级行政罚款机制，处罚金额取固定金额与企业全球年营业额占比的较高值：
| 违规类型 | 最高罚款 |
|---|---|
| 违反禁止类规定（第5条） | 3,500万欧元 或 全球年营业额7% |
| 违反高风险AI系统相关义务 | 1,500万欧元 或 全球年营业额3% |
| 违反GPAI模型相关义务 | 1,500万欧元 或 全球年营业额3% |
| 向监管机构提供不正确、不完整或误导性信息 | 750万欧元 或 全球年营业额1% |
对中小企业及初创企业，监管机构可酌情降低处罚。罚款自2025年8月2日起已可执行。
欧盟建立了三级监管执法体系：
| 层级 | 机构 | 职责 |
|---|---|---|
| 第一级 | 欧盟人工智能办公室（AI Office） | 监管通用人工智能模型、同源企业开发的配套AI系统，拥有信息调取、模型评估和处罚权限 |
| 第二级 | 各成员国国家主管机构 | 管辖欧盟市场内其余所有类型的AI系统 |
| 第三级 | 欧洲数据保护监督员（EDPS） | 专属负责欧盟机构公务场景使用的AI系统合规监管 |
此外，欧盟已同步开通三类官方举报渠道：AI法案投诉工具、加密举报人工具、下游企业专属投诉通道。
AI Omnibus简化法案已于2026年6月正式通过，对高风险AI义务时间线进行了上述调整
机械产品的“Sector Exit”安排：未来机械产品相关AI健康与安全要求将更多通过《机械法规》管理
透明度指南：欧盟委员会已于2026年5月7日发布透明度义务指南草案
GPAI行为准则：欧盟AI办公室于2025年7月10日正式发布《通用人工智能行为准则》，OpenAI、Google、Microsoft等主流厂商均已签署