《人工智能法案》（AI Act）是欧盟的一项法规，旨在为欧盟境内的人工智能建立共同的监管和法律框架。该法案于2024年8月1日生效，其条款将在随后的6至36个月内逐步实施。该法案涵盖广泛领域中的大多数人工智能系统，但豁免仅用于军事、国家安全、研究目的或非专业用途的人工智能。作为一种产品监管形式，它不创设个人权利，而是对人工智能提供者以及在专业环境中使用人工智能的组织施加义务。
该法案根据非豁免人工智能应用造成伤害的风险对其进行分类，分为四个等级，，不可接受、高风险、有限风险和最小风险，，并增设了一个通用人工智能类别。通用人工智能类别于2023年新增，以应对ChatGPT等生成式人工智能系统的兴起，这些系统的广泛能力并不适用于主要框架。该法案由欧盟委员会于2021年4月21日提出，于2024年3月13日通过欧洲议会审议，并于2024年5月21日获得欧盟理事会一致批准。
风险类别
该法案的风险分级方案遵循产品安全模式，监管义务被分配给人工智能系统的提供者和部署者，随着对健康、安全或基本权利的潜在影响增大，义务要求也更为严格。具有不可接受风险的应用被禁止，但存在特定豁免。这包括操纵人类行为的人工智能、公共场所的实时远程生物识别以及社会信用评分。高风险应用必须遵守安全、透明度和质量义务，并接受合格评定。有限风险应用仅承担透明度义务，而最小风险应用则不受监管。
通用人工智能义务
对于通用人工智能模型，该法案规定了透明度要求，对开源模型的要求有所降低，对高能力模型则增加了额外评估。提供者必须发布训练数据摘要，采用遵守版权法的政策，并向下游提供者和监管机构提供技术文档。如果模型的权重和设计被开源，开发者必须发布训练数据摘要和版权政策；闭源模型则必须满足更广泛的透明度要求。
系统性风险模型
构成系统性风险的高影响力模型，，定义为训练所需浮点运算超过10^25次，，必须接受额外评估。这些模型必须进行模型评估和对抗性测试，评估并缓解偏见和安全故障等风险，报告严重事件，并确保足够的网络安全水平。该阈值旨在涵盖最强大的大型语言模型以及其他可能对社会产生广泛影响的基础模型。
实践守则
一份通用人工智能实践守则于2025年7月10日发布，概述了关于透明度、版权以及安全与保障的三个主要章节，以帮助提供者证明其符合《人工智能法案》。参与该守则是自愿的。该守则为提供者，尤其是小型公司和开源开发者，提供了如何履行法规义务的实用指导。
豁免
第2.3条和第2.6条将仅用于军事或国家安全目的或纯科学研究与开发的人工智能系统豁免于《人工智能法案》。该法规不适用于仅用于军事、国防或国家安全目的的人工智能系统，也不适用于仅为这些目的而开发和投入使用的系统。非专业用途和研究目的也被排除在适用范围之外。
执行与治理
该法案设立了欧洲人工智能委员会，以促进国家合作并确保法规得到遵守。与欧盟的《通用数据保护条例》类似，该法案可对欧盟境外的提供者具有域外效力，前提是他们在欧盟境内拥有用户。这意味着OpenAI、Anthropic和Google DeepMind等公司必须遵守该法案对向欧盟用户提供的模型的要求，无论提供者位于何处。
实施时间表
该法规于2024年8月1日生效，条款在6至36个月内分阶段实施。逐步实施使提供者有时间调整其系统和文档。该法案的风险分级方法意味着大多数人工智能应用，如视频游戏或垃圾邮件过滤器，属于最小风险类别并保持不受监管，而高风险应用则面临最严格的要求。
与现有法律的关系
由于最大协调规则，成员国不得对最小风险人工智能系统施加额外监管，有关此类系统设计或使用的现有国家法律将被取代。然而，对于最小风险应用，建议采用自愿行为准则。该法案的结构旨在确保监管重点放在可能产生重大风险的系统上，同时允许对被认为不太敏感的使用采取更宽松的方法。公民有权就人工智能系统提出投诉，并有权获得影响其权利的高风险人工智能所做决定的解释。
更广泛的背景
《人工智能法案》代表了人工智能领域的一项重大监管发展，影响着机器学习模型在欧盟的开发与部署方式。通用人工智能条款特别针对基于transformer架构构建的生成式人工智能系统，自ChatGPT等模型推出以来，这类系统已变得广泛普及。该法案的域外效力意味着其影响超出欧盟边界，可能塑造人工智能治理和模型安全的全球标准。