欧盟人工智能法案指南是由欧盟委员会发布的官方指导文件，旨在协助提供者、部署者及国家主管部门应用《人工智能法案》（AI Act），即欧盟针对人工智能的综合性法规。《人工智能法案》本身于2024年8月1日生效，相关义务在6至36个月内分阶段实施。指南不具有法律约束力，但解释了法规条款，阐明了风险分类，并为在欧盟境内运营或服务欧盟用户的企业和公共机构说明了合规路径。
《人工智能法案》在欧盟所有成员国中建立了统一的人工智能监管框架，采用产品安全模式，将义务分配给人工智能提供者和专业用户。它涵盖医疗、教育、就业和执法等领域的大多数人工智能系统，同时豁免仅用于军事、国家安全、研究或非专业目的的系统。作为一种产品监管形式，它不创设个人权利，而是对组织施加义务。该法规可对欧盟境外的提供者产生域外效力，前提是其在欧盟境内拥有用户，这与《通用数据保护条例》的适用范围相呼应。
背景与立法历程
欧盟委员会于2021年4月21日首次提出《人工智能法案》。在生成式人工智能系统（如ChatGPT）迅速崛起后，该草案经历了重大修订，因为此类系统的通用能力不符合原有的风险框架。欧洲议会于2024年3月13日通过了修订文本，欧盟理事会于2024年5月21日一致批准。该法规于2024年8月1日生效，相关条款在随后的6至36个月内逐步适用。指南自2025年起分阶段发布，首先从风险类别和高风险系统义务的实务解释开始。
委员会的指导建立在影响评估的基础上，该评估参考了利益相关者咨询和现有研究。欧洲议会研究服务处对政策选项进行了初步评估，指出在创新与基本权利保护之间取得平衡的挑战。指南旨在通过提供具体示例和合格评定分步说明，减少企业（尤其是中小企业）的不确定性。
风险分类框架
指南详细阐述了该法案确立的四个风险级别，外加一个针对通用人工智能的单独类别。构成不可接受风险的应用被直接禁止，仅有狭窄的例外。这些包括操纵人类行为的人工智能系统、在公共场所使用实时远程生物识别技术，或基于个人特征或社会经济状况进行社会评分。
高风险应用必须遵守安全、透明度和质量义务，并在投放市场前进行合格评定。指南明确规定，高风险类别包括用于医疗、教育、招聘、关键基础设施管理、执法和司法领域的人工智能。提供者必须实施人工监督，维护技术文档，并在某些情况下在部署前进行基本权利影响评估（FRIA）。FRIA是一种事前审查，旨在识别和减轻对基本权利的潜在影响，其基础是早期算法影响评估工作，该工作建议识别受影响社区、描述可能造成的伤害并促进公众监督。高风险应用清单可在不修订法案本身的情况下随时间扩展。
有限风险系统仅承担透明度义务。用户必须被告知正在与人工智能系统交互，特别是对于生成或操纵图像、声音或视频的应用（如深度伪造）。最小风险系统（包括视频游戏和垃圾邮件过滤器）不受监管，且由于最大协调规则，成员国不得施加额外要求。指南指出，大多数人工智能应用预计属于此类，并鼓励采用自愿性行为准则。
通用人工智能义务
指南对通用人工智能给予了大量关注，该类别于2023年新增，用于涵盖能够执行广泛任务的大型语言模型等基础模型。此类模型的提供者必须发布训练数据摘要，采用版权政策，并向下游提供者和监管机构提供技术文档。开源模型的要求有所降低，而闭源模型必须满足更广泛的透明度标准。
构成系统性风险的高影响模型（定义为训练所需浮点运算超过10^25次的模型）必须接受额外评估。这些包括模型评估、对抗性测试、偏见和安全故障风险评估、严重事件报告以及充分的网络安全措施。通用人工智能行为准则于2025年7月10日发布，概述了关于透明度、版权以及安全与保障的三个主要章节。参与该准则属于自愿行为，但指南明确说明，遵循该准则有助于证明合规性。
合格评定与执行
指南解释了高风险人工智能提供者必须遵循的合格评定程序。这些评定旨在验证系统是否符合该法案在数据治理、技术文档、可追溯性、人工监督、准确性和稳健性方面的要求。提供者必须在市场投放前和整个生命周期内评估系统，并在必要时因更新而触发重新评定。
该法案设立了欧洲人工智能委员会，以促进国家合作并确保成员国之间的一致执行。国家监管机构负责市场监督、处理投诉以及对不合规行为施加处罚。公民有权就人工智能系统提交投诉，并有权获得影响其权利的高风险人工智能所做决定的解释。指南建议各机构通过该委员会进行协调，以避免碎片化并确保统一适用。
实务实施指导
对于部署人工智能的组织，指南提供了确定其系统是否属于该法案范围以及适用何种风险类别的实务步骤。建议进行初步筛查以检查豁免情况，然后根据风险标准映射系统功能。对于高风险系统，提供者必须建立质量管理体系，维护日志，并确保人工监督机制到位。
指南还涉及《人工智能法案》与其他欧盟立法（特别是《通用数据保护条例》）之间的相互作用。指南明确，《人工智能法案》不会取代数据保护规则，而是对其进行补充，处理个人数据的系统承担重叠义务。部署者必须确保其人工智能使用符合这两个框架，指南提供了如何在实务中协调要求的示例。
特定行业考量
指南包含附有特定行业示例的附件，涵盖医疗、教育、招聘和执法等领域。在医疗领域，用于诊断或治疗建议的人工智能系统通常属于高风险，需要严格的测试和临床验证。在教育领域，评估学生表现或决定教育机会获取的系统属于高风险义务范畴。筛选或排名候选人的招聘工具也属于高风险，需满足透明度和非歧视要求。
执法应用因其使用性质敏感而受到特别关注。指南重申禁止在公共场所使用实时远程生物识别技术，但针对特定严重犯罪且经事先司法授权的有限例外除外。指南还明确，用于犯罪预测或风险评估的人工智能系统必须满足高风险义务，包括人工监督和基本权利影响评估。
未来发展及修订
指南旨在随着技术发展和该法案的分阶段实施而演变。委员会已表示，随着新条款逐步适用，将发布额外指导，特别是针对通用人工智能和高风险系统。最小风险系统的自愿行为准则可能会根据利益相关者反馈进行更新。指南还指出，高风险应用清单可通过授权法案扩展，委员会将监测机器学习和深度学习等技术进展，以确定是否需要调整监管。
截至2025年，指南仍是一份动态文件，委员会鼓励行业、民间社会和国家主管部门提供反馈。目标是支持创新，同时确保在欧盟部署的人工智能系统尊重基本权利和安全标准。欧盟境外的提供者（包括大型科技公司）如果向欧盟用户提供服务，必须熟悉这些指南，因为该法案的域外效力适用于他们。