欧盟《人工智能法案》实践守则是一份自愿性框架，由欧盟委员会于2025年7月10日发布。其旨在帮助通用人工智能模型提供商（如大型语言模型）证明其遵守《人工智能法案》（AI Act）中规定的义务，该法案是欧盟关于人工智能的一项法规。该守则并未创设新的法律义务，而是将法案下的现有要求具体化，重点涵盖三个主要章节：透明度、版权以及安全与保障。
《人工智能法案》本身于2024年8月1日生效，相关规定在随后的6至36个月内分阶段实施。实践守则的制定旨在填补通用人工智能的监管空白，这一类别于2023年新增，用于涵盖可执行广泛任务的基座模型，包括诸如ChatGPT等生成式系统。参与守则属自愿性质，但遵守守则意在表明并支持履行法案下的具有约束力的法律义务。
背景与立法背景
《人工智能法案》由欧盟委员会于2021年4月21日提出，作为覆盖所有行业的人工智能综合监管框架，但军事、国家安全、研究及非专业用途除外。该法案于2024年3月13日通过欧洲议会，并于2024年5月21日获得欧盟理事会一致批准。草案在谈判过程中经过修订，以应对生成式人工智能系统的迅速崛起，这些系统的通用能力并不符合原有的基于风险的框架。
该法案建立了一个统一的监管和法律框架，设有四个风险等级，即不可接受、高风险、有限风险和最小风险，另设通用人工智能的独立类别。法案还设立了欧洲人工智能委员会，以促进国家间合作并确保合规。与欧盟《通用数据保护条例》类似，该法案可适用于欧盟境外的提供商，前提是其在欧盟境内拥有用户。
通用人工智能实践守则源于这一立法过程，作为实施工具而诞生。它于2025年7月10日发布，此前咨询了包括人工智能开发者、行业协会、民间社会和学术界在内的利益相关方。守则围绕法案对通用人工智能模型提供商的要求构建，包括发布训练数据摘要、采用版权政策，以及向下游提供商和监管机构提供技术文档。
透明度要求
守则的透明度章节落实了法案要求提供商告知用户人工智能生成内容和交互性质的规定。对于通用人工智能模型，这包括披露内容为人工智能生成的要求，尤其是针对可能被误认为人类创作的文本、音频或视觉输出。这与法案的有限风险类别一致，该类别对生成或操纵图像、声音或视频（如深度伪造）的系统施加透明度义务。
开源模型（其权重和设计公开可用）在守则下面临的透明度要求有所降低。它们必须发布训练数据摘要和版权政策，但可豁免部分更广泛的披露义务。相比之下，闭源模型必须满足更全面的透明度标准，包括详细记录模型的能力、局限性和预期用途。
对于训练计算量超过1025次浮点运算的高能力模型，守则增加了额外的评估义务。这些模型被视为具有系统性风险，必须进行模型评估和对抗性测试，超出基线要求。透明度条款还要求提供商保留可供国家监管机构和下游商业用户访问的记录。
版权与训练数据
守则的版权章节落实了法案要求提供商采取符合欧盟版权法的政策。这包括记录训练数据的来源，确保用于训练模型的数据集不侵犯现有权利，并透明说明使用了哪些数据。提供商必须发布训练数据摘要，这为权利持有人识别潜在侵权行为提供了实用机制。
守则鼓励提供商使用现有的技术工具和最佳实践，从训练数据集中过滤受版权保护的材料。它还强调，下游提供商在使用通用模型于自身产品时，需要有足够的信息来评估合规性。这一点尤为重要，因为法案主要追究提供商的责任，但部署者也可能根据其角色承担相应义务。
守则本身没有强制性的注册或执行机制。相反，遵守守则是自愿的，但遵循守则的提供商可将其作为履行法案义务的善意努力证据。委员会已表示，在未来的任何执法行动中，参与守则可能被视为有利因素，但不参与并不自动意味着不合规。
安全与保障义务
守则的安全与保障章节落实了法案对通用人工智能模型的风险管理职责。对于被指定为具有系统性风险的模型，提供商必须进行模型评估，包括偏见、安全漏洞和其他潜在危害的测试。它们还必须进行对抗性测试以探测模型弱点，评估并缓解歧视或不安全输出等风险，向当局报告严重事件，并确保适当的网络安全水平。
守则提供了如何开展这些评估的实用指南，包括具体指标和评估方法。它还鼓励提供商建立内部治理结构，以在模型整个生命周期内监控风险。这些义务超越了单纯的文档记录，要求主动、持续的风险管理。
对于低于系统性风险阈值的模型，安全要求较为宽松。提供商仍须确保基本可靠性和安全性，但无需进行同等程度的对抗性测试或事件报告。守则区分了高能力模型和其他模型，认识到需要根据潜在影响采取不同方法。
安全框架借鉴了机器学习领域的早期技术工作，包括基于人工智能反馈的强化学习和模型剪枝等方法，但守则并未规定具体技术。它侧重于结果和流程，而非特定算法。
与基于风险的类别的关系
守则在《人工智能法案》更广泛的风险分类体系内运作。虽然法案单独监管通用人工智能，但其条款与四个风险类别相互交织。例如，作为高风险应用（如医疗、教育或招聘）一部分部署的通用模型，将同时受通用义务和高风险要求约束。这包括合格评定，在某些情况下，部署前还需进行基本权利影响评估。
通用人工智能类别被纳入法案，正是为了应对那些无法简单归入传统风险等级的模型。这些模型可适应多种任务，使其风险状况取决于具体情境。守则通过提供统一的提供商义务框架（独立于模型的最终部署方式）帮助弥合这一差距。
最小风险应用（如视频游戏或垃圾邮件过滤器）在法案下基本不受监管，守则也不适用于它们。法案的最大协调规则阻止成员国对这些系统施加额外的国家法规，尽管也建议为它们制定自愿性行为守则。
实施与监测
欧盟委员会负责监督守则的实施，与国家当局和欧洲人工智能委员会协同工作。该委员会由法案设立，促进成员国之间的合作，并确保法规在整个欧盟的一致适用。守则作为这一协调工作的工具，为提供商提供了一套可采纳的共同实践。
守则的监测主要依靠自我监管。承诺遵守守则的提供商通过公开可获取的文档描述报告其合规情况。委员会表示将定期审查守则，并可能随着技术发展或实施经验教训而进行更新。这种适应性方法旨在跟上基于Transformer的架构及其他人工智能进展的步伐。
《人工智能法案》本身的执行仍由国家监管机构以及（在适用情况下）欧盟委员会负责。守则并非正式合规的替代品，而是旨在使合规更加直接和透明。在欧盟市场内提供服务或产品的欧盟境外提供商也被鼓励参与。
反响与影响
实践守则总体上受到人工智能行业的欢迎，尽管一些利益相关者对文档记录和评估的负担表示担忧。包括参与OpenAI、Anthropic和Google DeepMind在内的大型科技公司已参与咨询，预计将使其实践与守则保持一致。较小的提供商和开源项目在满足要求方面可能面临挑战，但守则对开源模型降低透明度义务旨在缓解这一问题。
民间社会团体赞扬守则使人工智能治理更加具体，尤其是在版权和安全方面。然而，一些批评者认为其自愿性质削弱了问责制，因为不参与没有惩罚。欧洲议会对守则作为法案的补充表示支持，同时强调需要加强对基础法规的执行。
守则还影响了国际人工智能治理讨论。通过提供通用人工智能监管的详细模板，它为正在制定类似框架的其他司法管辖区提供了参考点。其基于风险、相称措施的关注点与人工智能政策中新兴的最佳实践相一致，尽管欧盟的监管方法在全面性上仍具独特性。
截至2025年底，守则正处于早期实施阶段。其长期影响将取决于提供商如何有效地将守则条款融入开发周期，以及当局如何有力监督《人工智能法案》的合规情况。守则的自愿性质意味着其成功取决于广泛采用和自我报告合规的可信度。