《人工智能法案》（AI Act）是欧盟的一项法规，旨在为整个欧盟的人工智能建立共同的监管和法律框架。该法案于2024年8月1日生效，其条款将在随后的6至36个月内逐步实施。法案涵盖多个领域的绝大多数人工智能系统，但豁免仅用于军事、国家安全、研究目的或非专业用途的人工智能。作为一种产品监管形式，它不创设个人权利，而是对人工智能提供者以及在专业环境中使用人工智能的组织施加义务。
该法案根据非豁免人工智能应用造成损害的风险将其分为四个级别，即不可接受风险、高风险、有限风险和最小风险，并为通用人工智能增设了一个额外类别。具有不可接受风险的应用被禁止。高风险应用必须遵守安全、透明度和质量义务，并接受合格评定。有限风险应用仅承担透明度义务。最小风险应用不受监管。对于通用人工智能，法案规定了透明度要求，对开源模型的要求有所降低，并对高能力模型增加了额外评估。该法案还设立了欧洲人工智能委员会，以促进国家合作并确保法规得到遵守。与欧盟的《通用数据保护条例》类似，该法案对欧盟以外的提供者，若其在欧盟境内拥有用户，也可具有域外适用效力。
提案与立法历程
欧盟委员会于2021年4月21日提出了《人工智能法案》。该草案旨在协调单一市场中人工智能系统的规则，遵循与现有产品安全立法类似的基于风险的方法。最初的提案侧重于传统的机器学习和深度学习系统，并根据其可能造成损害的程度进行分类。
在立法过程中，诸如ChatGPT之类的生成式人工智能系统的兴起促使了重大修订。原有框架未能充分解决能够在不同领域执行广泛任务的通用模型问题。2023年，草案经过修订，新增了一个专门针对通用人工智能的类别，涵盖基础模型和大型语言模型。此次修订承认，像ChatGPT及其他大型语言模型等系统需要与更窄范围的应用不同的监管待遇。
议会批准与理事会通过
欧洲议会于2024年3月13日通过了《人工智能法案》，此前经历了广泛的谈判和修订。议会的版本强化了基本权利条款，增加了高风险系统的基本权利影响评估要求，并扩大了生成式人工智能的透明度义务。欧盟理事会于2024年5月21日一致批准了最终文本，从而完成了立法程序。
最终法规于2024年7月发布在《欧盟官方公报》上，并于2024年8月1日生效。分阶段实施的时间表意味着不同义务在各自不同的日期适用，其中对不可接受风险应用的禁令早于高风险系统的要求生效。
风险类别详解
该法案确立了四个主要风险类别，另加一个针对通用人工智能的独立类别。不可接受风险的应用被完全禁止，但有特定豁免。这包括操纵人类行为的人工智能、在公共空间进行实时远程生物识别，以及基于个人特征或行为对个人进行排名的社会评分系统。
高风险应用是指预期对健康、安全或基本权利构成重大威胁的应用。这包括用于健康、教育、招聘、关键基础设施管理、执法和司法领域的人工智能系统。这些系统必须满足质量、透明度、人类监督和安全义务。其中一些系统在部署前需要进行基本权利影响评估，这是一种事前审查，旨在识别并减轻对基本权利可能产生的影响。高风险系统必须在投放市场前以及整个生命周期内接受评估。高风险应用的列表可以随着时间推移而扩展，而无需修改《人工智能法案》本身。公民有权就人工智能系统提出投诉，并有权获得影响其权利的高风险人工智能所作决定的解释。
有限风险系统具有透明度义务，确保用户知道他们在与人工智能交互，并能做出明智的选择。该类别包括生成或操纵图像、声音或视频的应用，例如深度伪造。最小风险系统（包括视频游戏人工智能和垃圾邮件过滤器）不受监管，且由于最大协调规则，成员国不能施加额外法规。
通用人工智能条款
2023年新增的通用人工智能类别涵盖了能够执行广泛任务的基礎模型，包括生成式人工智能系统。如果模型的权重和设计被开源，开发者必须发布训练数据摘要和版权政策。闭源模型必须满足更广泛的透明度要求。被定义为构成系统性风险的高影响力模型（定义为训练需要超过10^25次浮点运算）必须接受额外观测。
2025年7月10日发布的《通用人工智能行为准则》概述了关于透明度、版权以及安全与保障的三个主要章节，以帮助提供者证明合规性。参与该准则属自愿行为。除基本透明度义务外，法案还为通用人工智能模型提供者设定了一份共同义务清单。他们必须发布训练数据摘要、采纳版权合规政策，并向下游提供者和监管机构提供技术文档。被指定为构成系统性风险的模型还必须进行模型评估和对抗性测试，评估并减轻偏见和安全故障等风险，报告严重事件，并确保充分的网络安全。
豁免与适用范围
第2.3条和第2.6条将用于军事或国家安全目的或纯科学研究与开发的人工智能系统豁免于《人工智能法案》的适用范围。该法规不适用于仅用于军事、国防或国家安全目的的人工智能系统，或仅为科学研究而开发和投入使用的人工智能系统。这一豁免承认了在维持成员国对安全事务控制的同时，平衡创新与监管的必要性。
实施与执行
该法案设立了欧洲人工智能委员会，以促进国家合作并确保法规得到遵守。欧洲人工智能委员会协调各成员国的监管机构，类似于《通用数据保护条例》所建立的治理结构。分阶段实施时间表详见执行时间表，不同义务在生效后6、12、24和36个月分别启动。
域外适用范围意味着欧盟以外的提供者如果在欧盟境内拥有用户，就必须遵守该法规。这反映了《通用数据保护条例》的做法，并对全球人工智能开发者（包括美国、中国及其他主要人工智能市场）产生重大影响。该法案的基于风险框架遵循产品安全模式，监管义务被分配给提供者和部署者，随着对健康、安全或基本权利潜在影响的增加，义务也随之加重。
更广泛的背景与影响
《人工智能法案》代表了在区域层面全面监管人工智能的首批尝试之一。其制定与机器学习和深度学习技术的快速发展并行，包括支撑现代大型语言模型的Transformer架构。立法时间表反映了监管快速变化领域的挑战，2023年的修订正是为了应对生成式人工智能工具的爆炸性增长。
该法案的方法影响了其他司法管辖区的讨论，但其全面影响仍有待随着实施进展而显现。欧洲议会研究服务处对委员会的影響評估提供了初步评估，该评估在比较政策选项时参考了利益相关者咨询和现有研究。法律学者指出，该法案将“可信赖的人工智能”界定为能够证明符合安全与风险阈值的系统，从而确立了一种以合规为导向的人工智能治理方法。
分阶段推出为各组织提供了适应时间，但要求的复杂性，尤其是对高风险和通用人工智能的要求，已在技术领域引发了大量合规活动。截至该法案生效之际，其对欧盟及更广泛地区的人工智能开发者、部署者和用户的全面运行后果仍在持续展开。