欧洲联盟理事会于2024年5月21日对《人工智能法案》（AI Act）给予最终批准，结束了始于2021年4月21日欧盟委员会提案的立法进程。成员国部长的全体一致投票标志着该法规生效前的最后一道主要障碍，为全球首部全面监管人工智能的法律框架铺平了道路。该法案此前已于2024年3月13日通过欧洲议会表决，其最终文本纳入了针对生成式人工智能系统（如OpenAI的ChatGPT）迅速崛起而作出的重大修订，这些系统的通用能力并不符合原有的基于风险的框架。
该法规于2024年8月1日正式生效，各项条款计划在随后的6至36个月内逐步适用。这种分阶段实施旨在为企业、国家当局和人工智能系统提供商提供充足时间以适应新义务。《人工智能法案》在欧盟所有成员国中建立了统一的人工智能监管和法律框架，覆盖广泛领域中的大多数人工智能系统，但豁免仅用于军事、国家安全、研究目的或非专业用途的人工智能。作为一种产品监管形式，它不创设个人权利，而是对人工智能提供商以及在专业环境中使用人工智能的组织施加义务。
基于风险的分类
该法案将非豁免的人工智能应用分为四个风险等级，，不可接受、高风险、有限风险和最小风险，，外加一个通用人工智能类别。这种基于风险的方案遵循产品安全模式，其中监管义务分配给提供商和部署者，随着对健康、安全或基本权利的潜在影响增加，义务要求也更为严格。该结构确保监管重点放在可能产生重大风险的系统上，同时对不太敏感的使用采取较轻的监管方式。
具有不可接受风险的应用被完全禁止，但特定豁免除外。这包括操纵人类行为的人工智能系统、在公共场所使用实时远程生物识别（如面部识别）的系统，以及根据个人特征、社会经济地位或行为对个人进行排名的社会评分系统。高风险应用必须遵守安全、透明度和质量义务，并在部署前进行合格评估。这些包括用于健康、教育、招聘、关键基础设施管理、执法或司法领域的人工智能系统，在某些情况下还必须进行基本权利影响评估（FRIA），，这是一种事前审查，旨在识别和减轻对基本权利的潜在影响。
有限风险应用仅承担透明度义务，确保用户知晓他们正在与人工智能系统交互，并允许他们做出知情选择。此类别包括深度伪造生成工具以及其他操纵图像、声音或视频的系统。最小风险应用，如视频游戏或垃圾邮件过滤器中使用的人工智能，不受监管，且由于最大协调规则，成员国不得施加额外法规。大多数人工智能应用预计属于此类别，并建议采用自愿行为准则以推广最佳实践。
通用人工智能条款
2023年新增的通用人工智能类别针对能够执行广泛任务的基座模型，包括大型语言模型和其他机器学习系统。如果模型的权重和设计以开源方式发布，开发者必须发布训练数据摘要和版权政策；闭源模型必须满足更广泛的透明度要求。构成系统性风险的高影响力模型，，定义为训练所需浮点运算超过10^25次，，必须接受额外评估，包括模型评估、对抗性测试、偏见和安全故障风险评估、严重事件报告以及充分的网络安全措施。
除基本透明度义务外，通用人工智能模型提供商必须发布训练数据摘要、采用符合版权法的政策，并向下游提供商和监管机构提供技术文档。2025年7月10日发布的《通用人工智能行为准则》概述了关于透明度、版权以及安全与保障的三个主要章节，以帮助提供商证明合规性。参与该准则属自愿行为。
豁免与域外效力
该法案第2.3条和第2.6条豁免仅用于军事、国防或国家安全目的的人工智能系统，以及纯科学研究和开发。该法规也不适用于仅为这些目的而开发和投入使用的系统。与欧盟《通用数据保护条例》类似，《人工智能法案》可对欧盟以外的提供商产生域外效力，只要他们在欧盟内有用户，这意味着诸如Google DeepMind、Anthropic或Amazon Web Services等向欧盟客户提供人工智能服务的公司，无论其总部位于何处，都必须遵守规定。
治理与执行
该法案设立了一个欧洲人工智能委员会，以促进国家合作并确保法规合规。该委员会协调各成员国的监管机构，促进规则的一致适用。公民有权就人工智能系统提交投诉，并有权获得影响其权利的高风险人工智能所做决定的解释。高风险应用列表可在不修改《人工智能法案》本身的情况下随时间扩展，使框架能够适应新兴风险。
立法历程与修订
根据欧洲议会研究服务处的初步评估，欧盟委员会2021年4月21日的原始提案借鉴了利益相关者咨询和广泛现有研究。草案在谈判过程中进行了修订，以应对生成式人工智能系统日益普及的问题，这些系统的通用能力不符合主要框架。最终文本在创新关切与基本权利保护之间取得平衡，纳入了包括科技公司、民间社会组织和学术机构在内的各利益相关方的意见。
2024年5月21日欧盟理事会的一致批准代表了一项重大政治成就，展示了在人工智能监管方面跨党派和跨国共识。分阶段实施时间表意味着不同条款在不同时间生效，最紧迫的禁令和透明度要求首先生效，随后数月内对高风险系统和通用人工智能模型的义务相继实施。
对行业的影响
《人工智能法案》的域外范围和全面覆盖意味着全球主要科技公司必须调整其开发与部署实践。大型语言模型系统、基于神经网络的应用以及其他人工智能工具的提供商必须记录其训练数据、实施版权政策并进行风险评估。开源与闭源模型之间的区别造成不同的合规负担，可能影响公司选择如何发布其人工智能系统。该法案的基于风险的方法也影响医疗保健、教育和执法等行业，其中高风险人工智能应用面临最严格的要求。
更广泛的背景
《人工智能法案》代表了技术监管中的一个里程碑，延续了欧盟通过全面立法建立全球标准的模式。其基于风险的框架已被其他考虑类似方法的司法管辖区的监管机构研究。该法案强调透明度、人类监督和基本权利保护，反映了社会对人工智能影响民主、隐私和个人自主权的更广泛关切。随着条款逐步实施，实际执行情况将受到全球行业、民间社会和政策制定者的密切关注。
该法规的成功将取决于国家当局和欧洲人工智能委员会的有效执行，以及人工智能提供商的合作。针对最小风险应用的自愿行为准则和《通用人工智能行为准则》为合规提供了指导，而该法案的灵活性允许随着人工智能技术的发展进行未来更新。因此，2024年5月21日理事会的批准标志的不是终点，而是一个开端，，欧盟内运行的人工智能系统必须证明符合旨在保护健康、安全和基本权利的明确、可执行规则的时代的开始。