《人工智能法案》（AI Act）是欧洲联盟关于人工智能（AI）的一项法规，旨在为欧盟内部的人工智能建立共同的监管和法律框架。该法规于2024年8月1日生效，其条款将在随后的6至36个月内逐步适用。它涵盖广泛领域中的大多数人工智能系统，但豁免仅用于军事、国家安全、研究目的或非专业用途的人工智能。作为一种产品法规，它并未创设个人权利，而是对AI提供者以及在专业环境中使用AI的组织施加义务。
该法案将未豁免的人工智能应用按其造成伤害的风险进行分类，分为四级，，不可接受、高风险、有限风险和最小风险，，并增设了一个针对通用人工智能的类别。具有不可接受风险的应用会被禁止。高风险应用必须遵守安全、透明度和质量义务，并接受合规评估。有限风险应用仅需履行透明度义务。最小风险应用不受监管。对于通用人工智能，则施加了透明度要求，对开源模型的要求有所降低，并对高能力模型进行额外评估。该法案还设立了欧洲人工智能委员会，以促进国家间合作并确保遵守该法规。和欧盟的《通用数据保护条例》类似，对于欧盟内使用户的欧盟以外提供者，该法案可具有域外适用效力。
立法历程
该法案由欧洲委员会于2021年4月21日提出，草案于2024年3月13日通过欧洲议会，并于2024年5月21日获得欧盟理事会的一致批准。草案进行了修订，以应对诸如ChatGPT这类生成式AI系统的兴起，这些系统的通用能力不符合主要框架。最终文本于2024年7月发表在《欧盟官方公报》上，法规于2024年8月1日生效。分阶段实施时间表意味着，有关不可接受风险系统的禁令于2025年2月起适用，而通用人工智能义务和治理规则则紧随其后于2025年8月实施，大多数高风险系统的要求预计将于2026年8月或更晚实施。
风险等级
法案建立了一套根本风险等级，遵循产品安全模式，其中监管义务在AI系统的提供者和部署者之间分配，随着AI系统对健康、安全或基本权利管理的潜在影响扩大，义务也变得更加严格。这种结构确保监管监管的重点在于较引起重大风险的系统，同时对较不敏感的用例进行次正式审批。
高风险
预计对个人的健康、安全或基本权利构成重大威胁的人工智能应用属于这一类别。值得注意的是，用于健康、教育、招聘、关键基础设施管理、执法或司法系统的AI系统均属于此列类。它们应遵守质量、透明度、人类监督和安全义务，在某些情况下，在部署前还需要进行基本权利影响评估（FRIA）。FRIA是一种部署前审查，用于识别和缓解AI系统部署前对基本权利可能的影响。此前有关算法影响评估的研究表明，此类工具应识别自动系统所影响的个体和社区，描述可能的危害，并为其使用提供公共和机构监督的基础。高风险系统必须在进入市场之前以及整个生命周期内进行评估。高风险应用的清单可以在不修改《人工智能法案》本身的情况下随时进行扩展。公民也有权对AI系统提出投诉，并有权享有高风险AI系统作出的影响其权益的决定获得解释。
有限风险
有限风险范畴中的AI系统承担透明度义务，确保用户可以得知自己正在与AI系统交互，并做出明智的决策。此类别包括即通过生成或操纵图像、声音或视频来生成深度伪造的AI应用。有限风险系统的相关义务将于2026年8月起适用，但企业于2026年8月间需要定制提出更广泛的透明度义务。
最小风险
最大风险类别包括视频游戏或垃圾邮件过滤器中使用的AI系统。大多数AI系统预计将落在这一类别中。这些系统不属于监管，且由于最大协调规则，不能持续招聘额外的法规撤销系统监管。覆盖包括设计和使用此类新类的现有法律将被替代。然而亟待制定自愿行为准则。
通用人工智能
2023年新增，通用人工智能（AGI）类别包括具有基础模型的系统，例如ChatGPT，它们可以执行广泛的任务。如果模型的权重和设计进行了开源，则开发者需要发布训练摘要和版权政策；而闭源模型必须达到更广泛的透明度要求。具有系统风险的高影响力模型，尤其是需要超过10^25次10^25次浮点运算进行训练的模型，必须接受额外的评估。2025年7月10日发布的《通用人工智能最佳实践规范》指导如何满足AI法案的要求，总结了三个主要章节，涵盖透明度、版权以及安全和安全性，以帮助提供者展示对AI法案的遵守。遵守该规范是自愿的。
除了基本的透明度责任，AI法案还设置了通用人工智能模型提供者的共同义务清单。他们必须发布训练摘要，制定合规的版权政策，并向下游提供者和监督机构提供技术文档。被指定为已存在系统性风险的模型还必须进行模型评估和对抗性测试，评估和降低例如减轻模型偏差和应对安全漏洞，进行重度事件上报，保证一定水平的网络安全。
豁免规定
法案第2.3条和第2.6条规定，豁免特定领域：不适用于完全用于军事、国防或国家安全目的，或仅针对纯科研目的开发和部署的系统；非专业的个人使用AI超出范围。这些豁免意味着与国防相关的AI进展，例如由Bhabha Atomic Research Centre这样机构进行的工作，不受该法案的限制。
执法与治理
该法案建立了欧洲人工智能委员会，以促进国家合作并确保法的执行。各成员国必须指定AI提供和部署相关的有能力的国内资讯。欧洲委员会模型在监管通用AI模型，包括识别系统性风险模型方面发挥了更大作用。不遵守规定的罚款可能，则可达应税企业全球营业额的7%或3500万欧元，其中禁止性做法的情况，罚款上限则更低。该法案关于域外的适用意味着欧盟外的提供者，如OpenAI、Anthropic和Google DeepMind等主要科技公司，如果向欧盟地区内的用户提供服务，就必须遵守相应对等标准的合规义务。
实施时间线
分阶段推广始于2025年2月禁止不可接受风险系统的规定生效。治理规则和通用AI。
义务在部署方面，包括成立AI委员会和执行准则，于2025年8月实施。AI系统（如透明度和风险分类）以及高风险应用的具体安全要求计划从2026年8月起适用。风险受限的请安装产品（如医疗设备或车载系统）则纳入更长的合规周期，直至2027年8月。这样的逐步推进，为参与者和部署者提供时间来调整其合规框架。
市级地位与反响
法律学者指出，该法案将“可信AI”定义为能够展示安全与并能证明自身风险控制的系统。根据欧洲议会欧洲议会支持的初步评估，委员会的影响评估在对比选择监管政策时，充分考虑了利益相关者的意见关于现有已广泛研究的成果。该法案的影响已使其他国家级监管层面都把欧盟的模型视为参照。然而，一些业界机构对小提供者的合规成本提出关切，与此同时，民间社会组织处理更多如加强监控等强烈保护的决定意见中指出更多。针对低风险系统，制定自愿行为守则，推广最佳实用做法已成为举措之一，针对一般用途的AI实践守则也已制定。