欧盟《人工智能法案》（法规（EU）2024/1689）是欧盟于2024年通过的一部综合性人工智能法律框架。它建立了基于风险的人工智能系统分类体系，根据系统对健康、安全和基本权利构成的风险水平施加不同义务。该法案并非作为一个整体一次性生效，而是采用分阶段时间表适用，不同要求将在2025年2月至2027年8月之间的不同日期成为强制性规定。这种分阶段方法旨在为提供者、部署者和国家主管部门留出适应新规则的时间，同时优先处理最紧迫的禁令和治理结构。
该法案适用于提供者（开发人工智能系统者）和部署者（以专业身份使用这些系统者），无论其是否设在欧盟境内，只要人工智能系统投放欧盟市场或其输出在欧盟境内使用即可。它涵盖广泛的人工智能技术，包括机器学习模型、大型语言模型和生成式人工智能系统，但排除国家安全和军事目的等某些领域。
生效与初始条款
《人工智能法案》于2024年7月12日在《欧盟官方公报》上发布，并于二十天后即2024年8月1日生效。然而，第一批具有约束力的义务直到2025年2月2日才开始适用。这一初始阶段聚焦于被认为最紧迫的条款：对不可接受风险人工智能实践的禁令和人工智能素养规则。
自2025年2月2日起，以下条款开始适用：
- 被禁止的做法（第5条），禁止部署潜意识技术以扭曲行为、利用特定群体（如儿童或残疾人）的脆弱性、基于社会行为对个人进行评估或分类（社会评分）、在公共场所为执法目的使用实时远程生物识别（有狭窄例外），以及仅基于画像预测刑事或行政违法行为。
- 人工智能素养义务（第4条），要求提供者和部署者确保其员工及参与人工智能系统运营的其他人员具备足够水平的人工智能素养，并考虑其技术知识、经验、教育和培训。
- 在欧盟委员会内设立欧洲人工智能办公室，作为中央执法和协调机构。
通用人工智能模型（2025年8月）
第二个重要里程碑是2025年8月2日，通用人工智能（GPAI）模型提供者的义务开始生效。GPAI模型被定义为一种人工智能模型，包括通过大规模自监督训练而成的模型，能够胜任执行多种不同任务。这一类别涵盖大多数基础模型和大型语言模型，例如由OpenAI、Anthropic和Google DeepMind开发的模型。
根据这些规则，GPAI模型提供者必须：
- 维护最新的技术文档，包括训练数据描述、模型架构和评估结果。
- 向下游提供者提供信息和文档，以便其将模型集成到自身的人工智能系统中。
- 制定尊重欧盟版权法的版权政策，特别是在文本和数据挖掘方面。
- 发布足够详细的训练内容摘要。
对于具有系统性风险的GPAI模型（定义为累计计算量超过10^25次浮点运算（FLOPs）的模型），还需承担额外义务。这些义务包括进行模型评估、对抗性测试，以及向欧洲人工智能办公室报告严重事件。即使模型低于计算阈值，委员会仍可根据其能力或影响将其指定为系统性风险模型。
高风险系统与治理（2026年8月）
最广泛的一组义务于2026年8月2日开始适用。这一日期涵盖法案第6条及附件一和附件三下高风险人工智能系统的要求。高风险系统包括用于关键基础设施、教育和职业培训、就业和员工管理、基本私人和公共服务、执法、移民和庇护管理以及司法行政的人工智能。
自该日期起，高风险人工智能系统提供者必须遵守一套全面的要求：
- 建立贯穿系统整个生命周期的风险管理体系。
- 使用相关、具有代表性且无错误和偏差的训练、验证和测试数据。
- 创建证明合规性的技术文档。
- 启用自动日志记录以确保可追溯性。
- 向部署者提供透明度，包括使用说明。
- 实施人工监督措施。
- 确保稳健性、准确性和网络安全。
此外，自2026年8月2日起，治理框架全面运作。这包括要求成员国指定国家主管机构，并设立负责合格评定的公告机构。由成员国代表组成的欧洲人工智能委员会也全面投入运作。
有限风险系统的透明度义务（2026年8月）
同样在2026年8月2日，有限风险人工智能系统的透明度义务开始生效。这些义务适用于与人类交互的人工智能系统（如聊天机器人）以及生成或操纵内容（深度伪造）的系统。提供者必须确保用户被告知正在与人工智能系统交互，除非从情境中显而易见。人工智能生成或操纵的内容必须以机器可读格式标记，以表明其人工来源。这包括深度伪造以及人工智能生成的文本、音频或视频。
附件一中的高风险系统（2027年8月）
最后一个主要适用日期是2027年8月2日。这涵盖作为产品安全组件的高风险人工智能系统，这些产品已受现有欧盟产品安全立法约束，如机械、玩具、医疗器械和车辆。这些系统必须遵守与附件三中相同的严格要求，但适用时间被推迟，以便制造商与相关部门立法保持一致。法案还要求委员会更新这些产品的技术文档和合格评定程序。
上市后监测与执法
自2026年8月2日起，高风险人工智能系统提供者还必须建立上市后监测系统，在其系统整个生命周期内主动收集和分析性能数据。该系统必须记录在案并向相关主管部门报告。法案还引入了处理可能导致健康、安全或基本权利风险的严重事件和故障的程序。
执法由国家市场监督机构执行，由欧洲人工智能办公室协调。违规处罚力度较大：违反被禁止做法最高可处以3500万欧元或公司全球年营业额的7%；违反大多数其他义务最高可处以1500万欧元或营业额的3%；向主管部门提供不正确信息最高可处以750万欧元或营业额的1.5%。对于中小型企业（SMEs）和初创企业，罚款上限为两者中较低者。
实践准则与标准
为支持实施，欧洲人工智能办公室推动了实践准则的制定，该准则于2025年定稿，面向通用人工智能提供者。该准则将法律义务转化为实际承诺，涵盖透明度、版权和系统性风险管理等领域。遵守该准则的提供者被推定为符合法案要求。
法案还高度依赖欧洲标准化组织（CEN、CENELEC和ETSI）制定的协调技术标准。这些标准正在2025年和2026年期间起草，将为合格评定、风险管理和数据质量提供技术规范。在这些标准发布之前，提供者可以使用替代方法，但必须通过其他方式证明合规性。
对人工智能行业的影响
分阶段适用日期对开发和部署人工智能系统的公司具有重大影响。GPAI模型提供者，包括OpenAI、Anthropic和Google DeepMind等主要实验室，必须为2025年8月的截止日期做好准备，这需要大量的文档和透明度工作。许多公司已建立内部合规团队，并开发工具来跟踪训练数据和模型行为。
对于高风险人工智能应用，2026年8月和2027年8月的截止日期为开发者提供了更多时间，但也需要提前规划。医疗保健（如Intuitive Surgical）、自动驾驶（如Waymo、Tesla）和金融服务等行业的公司必须进行合格评定，通常涉及第三方公告机构。法案还影响Amazon Web Services、Microsoft Azure和Google Cloud等云服务提供商，它们提供人工智能平台，根据其角色可能被视为部署者或提供者。
该法案还影响了全球人工智能治理，其他司法管辖区已将欧盟视为监管范本。然而，分阶段时间表的复杂性一直受到批评，一些行业团体认为分阶段方法造成了不确定性和合规负担。欧盟委员会通过发布指导文件并建立利益相关者磋商程序来回应，以澄清模糊条款。
未来发展
截至2025年，欧盟委员会正在制定额外的实施法案和指南，特别是关于系统性风险的定义、与现有部门立法的互动以及透明度要求的实际应用。委员会还计划在2027年前审查法案的被禁止做法和高风险领域清单，并有可能将范围扩展到新的人工智能应用。《人工智能法案》的全面影响只有在各个适用日期过去且执法行动开始后才会变得清晰。