《人工智能法案》（AI Act）是欧盟的一项法规，旨在为欧盟境内的人工智能建立一个共同的监管和法律框架。该法案于2024年8月1日正式生效，其各项条款将在随后的6至36个月内逐步适用。该法案涵盖大多数跨行业的人工智能系统，但仅用于军事、国家安全、研究或非专业目的的系统除外。作为产品法规，它不创设个人权利，而是对人工智能提供者和专业使用者施加义务。
该法规将未豁免的人工智能应用按危害风险分为四个等级，，不可接受、高风险、有限风险和最小风险，，外加一个单独的通用人工智能类别。不可接受风险的应用被禁止；高风险应用必须满足安全、透明度和质量义务，并接受合格评定；有限风险应用仅承担透明度义务；最小风险应用则不受监管。对于通用人工智能，透明度要求适用，开源模型承担的义务有所减少，而高能力系统则需接受额外评估。该法案还设立了欧洲人工智能委员会，以促进各国合作与合规。与欧盟的《通用数据保护条例》类似，该法案可对欧盟境外但向欧盟境内用户提供服务的提供者产生域外效力。
欧盟委员会于2021年4月21日提出了该法案。它于2024年3月13日通过欧洲议会审议，并于2024年5月21日获得欧盟理事会一致批准。草案经过修订，以应对生成式人工智能系统（如ChatGPT）的兴起，这些系统的通用能力并不符合原有框架。
生效与分阶段适用
《人工智能法案》于2024年8月1日生效，即其在欧盟官方公报上公布二十天后。其条款分阶段适用，为利益相关方留出适应时间。第一个关键日期是2025年2月2日，届时对不可接受风险人工智能系统的禁令开始适用。这包括禁止操纵人类行为、在公共场所使用实时远程生物识别（有少数豁免情形）或实施社会评分的人工智能。
到2025年8月2日，通用人工智能模型的义务生效，包括对提供者的透明度要求。2025年7月10日发布的《通用人工智能实践守则》概述了关于透明度、版权以及安全与保障的章节，以帮助提供者证明合规；参与是自愿的。大多数其余条款，包括针对高风险系统的条款，将于2026年8月2日适用。嵌入已受欧盟部门法规约束的受监管产品中的高风险人工智能系统，其截止日期延长至2027年8月2日。这些错开的日期反映了该法案在创新与监管之间寻求平衡的目标，正如委员会影响评估中所指出的。
风险类别与义务
该法案基于风险的方案遵循产品安全模式，将监管义务分配给提供者和部署者，且这些义务随其对健康、安全或基本权利的潜在影响而加强。这种结构将监管重点放在可能产生重大风险的系统上，同时对较不敏感的使用采取较轻的监管方式。
不可接受风险，，此类别的应用被禁止，但特定豁免情形除外。这包括操纵人类行为的人工智能、公共场所的实时远程生物识别以及社会评分。在大多数情况下，这些用途不适用任何豁免。
高风险，，预计对健康、安全或基本权利构成重大威胁的人工智能系统属于此类。示例包括用于健康、教育、招聘、关键基础设施管理、执法或司法领域的系统。它们必须遵守质量、透明度、人工监督和安全义务。其中一些系统在部署前需要进行基本权利影响评估（FRIA），，这是一种事前审查，旨在识别并减轻对基本权利的影响。FRIA建立在早期算法影响评估工作的基础上，这些工作建议此类工具应识别受影响的个人和社区，描述可能的危害，并为公众监督提供基础。高风险系统必须在投放市场前及整个生命周期内接受评估。高风险应用的清单可在不修订法案本身的情况下扩展。公民有权就人工智能系统提交投诉，并有权获得关于影响其权利的高风险人工智能所做决定的解释。
有限风险，，这些系统承担透明度义务，确保用户知道他们正在与人工智能互动，并能做出知情选择。此类别包括生成或操纵图像、声音或视频的人工智能，例如深度伪造。
最小风险，，示例包括视频游戏或垃圾邮件过滤器中使用的人工智能。大多数人工智能应用预计属于此类。这些系统不受监管，且由于最大协调规则，成员国不能施加额外法规。关于此类系统的现有国家法律被覆盖，但建议采用自愿性行为守则。
通用人工智能类别
2023年新增的通用人工智能类别涵盖了基础模型，如大型语言模型，它们能够执行广泛的任务。如果模型的权重和设计是开源的，开发者必须发布训练数据摘要和版权政策。闭源模型必须满足更广泛的透明度要求。构成系统性风险的高影响力模型，，定义为训练所需计算量超过10^25次浮点运算，，必须接受额外评估。
通用人工智能模型的提供者必须发布训练数据摘要、采用版权合规政策，并向下游提供者和监管机构提供技术文档。被指定为构成系统性风险的模型还必须进行模型评估和对抗性测试，评估并减轻偏见和安全故障等风险，报告严重事件，并确保充分的网络安全。
豁免
第2.3条和第2.6条豁免了用于军事或国家安全目的或纯科学研究与开发的人工智能系统。该法规不适用于仅用于军事、国防或国家安全目的的人工智能系统，或仅为这些目的而开发和投入使用的系统。研究与开发活动也不在范围内，非专业用途同样如此。这些豁免范围狭窄；即使源自军事或研究背景，民用环境中的人工智能商业部署仍受覆盖。
执法与治理
该法案设立了欧洲人工智能委员会，以促进各国合作并确保合规。每个成员国指定一个国家监管机构来监督实施。该委员会协调这些机构，并就技术和监管事项向委员会提供建议。执法机制包括对不合规行为的罚款，罚款金额根据违规严重程度和企业的规模而有所不同。该法案的域外效力意味着，如果欧盟境外提供者的人工智能系统被欧盟境内人员使用，则必须遵守该法案，这与GDPR的做法一致。
立法历史与背景
欧盟委员会于2021年4月21日提出了《人工智能法案》，此前进行了广泛的利益相关方磋商，并在影响评估中记录了研究比较。欧洲议会于2024年3月13日通过该法案，欧盟理事会于2024年5月21日一致批准。最终文本纳入了2023年的修订，以应对像ChatGPT这样的生成式人工智能系统，这些系统的通用能力不符合原有的风险框架。这导致了专门的通用人工智能类别的设立。该法案的分阶段适用为提供者和部署者留出了实施合规措施的时间，首批禁令于2025年2月生效，大多数高风险系统的全面适用则要到2026年8月。
影响与解释
法律学者指出，该法案将“可信赖的人工智能”定义为表现出符合安全和风险阈值的系统。基于风险的方法借鉴了产品安全法规，将义务分配给将人工智能投放市场者和专业使用者。欧洲议会研究服务处的初步评估赞扬了委员会影响评估中的利益相关方参与和比较政策分析。随着适用日期的临近，该法案的实际效果将取决于国家机构和委员会如何解释其条款，特别是对高风险和通用人工智能的条款。针对最小风险系统的自愿性行为守则和对高风险类别的强制性义务，旨在为欧盟人工智能市场创造一个协调统一的框架，同时保护基本权利。