欧盟人工智能法案成员国当局是由各欧盟成员国指定的国家监管机构，负责执行《人工智能法案》（AI Act），该法规于2024年8月1日正式生效。这些当局负责监控该法案基于风险的各项要求的合规情况，开展调查，并在各自管辖范围内对违规行为实施处罚。该法规建立了一个框架，要求每个成员国至少指定一个国家主管当局，通常包括市场监督机构和通知机构，以监督在该国投放市场或使用的人工智能系统。
《人工智能法案》由欧盟委员会于2021年4月21日提出，于2024年3月13日通过欧洲议会审议，并于2024年5月21日获得欧盟理事会一致批准。该法案涵盖广泛领域中的大多数人工智能系统，但豁免仅用于军事、国家安全、研究目的或非专业用途的人工智能。作为一种产品法规，它并未创设个人权利；相反，它对人工智能提供者以及在专业背景下使用人工智能的组织施加了义务。该法案可对欧盟以外的提供者产生域外效力，前提是他们在欧盟境内拥有用户，这与欧盟《通用数据保护条例》类似。
指定与结构
每个成员国均需指定国家主管当局以实施和执行《人工智能法案》。指定过程涉及设立市场监督机构（负责合规检查和执法行动）以及通知机构（负责管理合格评定机构的评估和通知）。在许多成员国中，这些职能被分配给现有的监管机构，如数据保护机构或消费者保护机构，而其他成员国则设立了专门的人工智能监督办公室。这些当局在执法职责上独立运作，但通过欧洲人工智能委员会进行协调，该委员会促进国家间的合作，并确保该法规在整个欧盟范围内的一致应用。
国家当局有权要求人工智能提供者和部署者提供文件和信息，进行突击检查，并访问用于训练和测试人工智能系统的数据集。他们还可以发出警告、采取纠正措施，并下令将不合规的人工智能产品从市场撤回或召回。该法案要求这些当局具备充足的资源和专业知识来履行其职能，包括对Artificial intelligence系统及其相关风险的技术知识。
执法权力
成员国当局的执法权力因人工智能系统的风险类别而异。对于高风险应用，当局可以要求进行合格评定、强制采取纠正措施，并对构成重大健康、安全或基本权利威胁的系统暂停或禁止其使用。对于法案禁止的不可接受风险应用，当局有权下令立即移除，并可施加巨额罚款。该法案设定了成员国必须实施的处罚框架，对不合规行为的罚款最高可达违规公司全球年营业额的百分比或固定金额，以较高者为准。
当局还处理公民对人工智能系统的投诉，并必须对影响个人权利的高风险人工智能所作出的决定提供解释。他们需要建立可访问的违规报告程序，并保护举报不合规行为的举报人。执法方式遵循产品安全模式，监管义务被分配给提供者和部署者，随着对健康、安全或基本权利的潜在影响增加，这些义务也变得更加严格。
与欧洲人工智能委员会的协调
欧洲人工智能委员会是成员国当局的中央协调机制。它促进信息交流，就不一致解释法案制定指导方针，并帮助解决国家当局之间的争议。该委员会还就技术标准和实施问题向欧盟委员会提供建议。成员国当局必须积极参与委员会活动，并分享有关执法行动、市场监督发现以及人工智能系统相关新兴风险的信息。
该委员会在涉及通用人工智能模型（如Large language model系统）的案件中扮演着特别重要的角色，这些系统可能部署在多个成员国。当识别出系统性风险时，委员会协调联合调查，并确保执法行动在各司法管辖区之间保持一致。这种协调至关重要，因为该法案的域外适用意味着来自欧盟以外的提供者，包括OpenAI和Google DeepMind等公司，可能同时受到多个国家当局的监督。
基于风险的监督职责
成员国当局的监督职责根据法案的四个风险级别以及通用人工智能类别进行结构化安排。对于不可接受风险的应用（除特定豁免外均被禁止），当局必须积极监控和执行对操纵人类行为、在公共场所使用实时远程生物识别或进行社会评分的人工智能系统的禁令。对于健康、教育、招聘、关键基础设施管理、执法或司法等领域的高风险应用，当局需验证其是否符合质量、透明度、人类监督和安全义务，并可能要求在部署前进行基本权利影响评估。
有限风险系统（包括生成或操纵图像、声音或视频的系统，如深度伪造）需遵守透明度义务，当局确保用户在与人工智能系统交互时得到通知。最小风险应用（如视频游戏或垃圾邮件过滤器中使用的人工智能）不受监管，且由于最大协调规则，成员国不能施加额外规定。对于通用人工智能，当局监督透明度要求，包括训练数据摘要和版权政策，并对具有系统性风险的高能力模型进行额外评估。
处罚与纠正措施
该法案要求成员国建立有效、相称且具有威慑力的违规处罚机制。具体处罚金额由国家法律确定，但法案设定了成员国必须实施的最高处罚水平。对于涉及不可接受风险人工智能应用的违规行为，罚款最高可达违规公司全球年营业额的7%或3500万欧元，以较高者为准。对于其他义务的违规行为（如与高风险系统或通用人工智能相关的义务），罚款最高可达全球年营业额的3%或1500万欧元。向当局提供不正确或误导性信息可能导致最高达全球年营业额1%或750万欧元的罚款。
当局还有权施加超出经济处罚的纠正措施，包括要求提供者使人工智能系统符合要求、限制或禁止不合规系统投放市场，以及下令召回已在使用中的产品。在人工智能系统构成严重风险的紧急情况下，当局可以在完成全面评估之前立即采取行动，但需接受后续审查。
实施时间表与过渡
《人工智能法案》的各项条款将在2024年8月1日生效后的6至36个月内逐步实施。成员国当局需要在实施的最初几个月内完成指定并投入运作。对不可接受风险应用的禁令在六个月后适用，而通用人工智能和高风险系统的义务则在更长的期限内逐步实施。法案草案经过修订，以应对生成式人工智能系统（如ChatGPT）日益普及的情况，这些系统的通用能力并不符合主要框架，此次修订在2023年增加了通用人工智能类别。
在过渡期间，成员国当局正在制定其操作程序、招聘技术员工，并与其他监管机构建立合作议定书。他们还在为其管辖范围内的企业准备指导文件，并参与制定支持合规评估的统一标准。逐步实施旨在为当局和受监管实体提供适应新要求的时间，同时确保最严重的风险得到及时处理。
与其他监管机构的关系
《人工智能法案》下的成员国当局与具有相关职责的其他监管机构并行运作。他们与数据保护机构协调，特别是对于处理个人数据的人工智能系统，并与医疗保健、金融服务和交通运输等领域的特定部门监管机构进行协调。该法案还与现有的产品安全立法相互作用，当局必须确保其执法行动与其他欧盟法规保持一致。在人工智能系统与其他技术结合使用的情况下，例如通过Amazon Web Services或Microsoft Azure等提供商的云服务部署的Machine learning模型，当局可能需要在多个监管框架之间进行协调。
该法案的域外适用意味着当局也可能与非欧盟国家的监管机构合作，特别是对于总部位于美国、中国或其他主要人工智能发展中心的人工智能提供者。这一国际维度增加了执法的复杂性，因为当局必须在满足法案要求与尊重其他司法管辖区法律框架之间取得平衡，同时确保欧盟公民免受有害人工智能应用的侵害。