全球第一部全面AI法律在对你说话

2024年3月，欧盟议会正式通过了《人工智能法案》（EU AI Act）。这不是一份建议或白皮书——它是一部法律，正在按照时间表分阶段生效。2025年2月起，不可接受风险等级的规定已经生效；大部分高风险AI系统的义务将在2026年8月前全面执行。

这部法律的适用范围不是看你在哪里注册的公司，而是看你的AI系统的输出结果是否在欧盟市场内被使用。换句话说，一个中国公司开发的AI系统，只要它的功能和结果在欧盟被使用或影响了欧盟境内的个人，就落在法案的管辖范围内。对于有出海欧盟市场业务的中国企业来说，这不是「有空了解一下」的事——是必须了解的事。

四个风险等级的核心逻辑

欧盟AI法案把AI应用分成了四个风险等级。理解每个等级的实际含义，不需要逐条读法条，抓住每个等级的核心区分标准就够了。

第一级叫「不可接受风险」——直接禁止。这个级别的AI应用被认为对社会基本权利构成了不可接受的威胁，禁止在欧盟市场投放和使用。具体包括哪些？在社会信用评分系统中对自然人进行评估或分类、在工作场所和教育环境中使用情绪识别系统、在公共场所进行实时远程生物识别、基于生物识别数据对人进行分类以推断其种族、政治观点、宗教信仰等敏感信息。这些用法，不管你的技术多好、用户多想用，在欧盟就是不能做。

第二级叫「高风险」。这是法案监管最重的一类，也是大部分企业最容易遇到的一类。高风险AI系统需要满足一系列严格的要求才能进入欧盟市场，包括风险管理体系、数据质量管控、技术文档、透明度、人工监督机制等。哪类AI应用会被认定为高风险？法案给了两条判断路径。第一条是按照AI系统在欧盟现有产品安全法规中的角色来认定——如果一个产品本身受欧盟安全法规管辖（比如医疗器械、电梯安全部件、汽车），且该产品使用了AI组件，那么这个AI组件就是高风险的。第二条是法案附录中明确列出的高风险领域——包括关键基础设施管理、教育和职业培训、就业和工人管理、基本公共服务、执法活动、移民管理、司法程序等。如果你的AI系统用在上述任何一个领域，大概率落在高风险级别。

第三级叫「有限风险」——主要是透明度义务。这个级别的要求比高风险轻得多，核心就是一条：用户在和AI系统交互时，必须清楚地被告知他们正在与AI交互。ChatGPT这类对话式AI、AI生成的音视频内容需要标注、情绪识别或生物识别分类系统需要告知用户。如果用户不知道对面是AI，那就是违规。

第四级叫「最小风险」——基本没有额外的合规义务，但法案鼓励提供者自愿遵守行为准则。大部分不涉及人身安全、基本权利和公共利益的AI应用都落在这一级，比如AI电子邮件过滤器、AI驱动的办公助手、推荐算法等。

中国出海企业最常见的一个误判

在接触法案的过程中，我们发现中国企业最常见的一个判断错误是：觉得自己做的东西是「低风险」的，但按照法案的分类标准，其实可能落在高风险。

最典型的例子是HR和招聘领域的AI工具。一个用AI筛选简历、评估候选人、或者分析员工绩效的SaaS产品，在中国市场上可能被看作一个效率工具。但在欧盟AI法案的框架下，因为涉及就业和工人管理领域（法案附录中的指定高风险领域），这类AI系统很可能被认定为高风险。这意味着你需要建立完整的风险管理文档、确保训练数据没有偏见、提供透明的决策解释机制、并配备人工监督——这些要求一个都不能少。

另一个典型场景是AI客服系统。看起来是个简单的客服工具，但如果这个客服系统在金融服务、保险、公共事业等基本公共服务领域使用，而且其决策对用户获取服务的资格或条件有实质性影响，可能也会进入高风险领域。

正确评估自己的AI应用属于哪个风险等级，不是你凭直觉判断「这东西有没有危险」——而是要对着法案的附录和定义逐条检查。建议的做法是找一位了解该法案的专业人士做一次分类评估，而不是让产品经理自己看一遍法条就下结论。

不是吓唬人——罚款数字是真实的

最后有必要说明法案的处罚力度，这个数字可能会让很多企业重新考虑风险优先级。违反不可接受风险条款的最高罚款为三千五百万欧元或全球年营业额的百分之七（取较高者）。违反高风险AI系统义务的最高罚款为一千五百万欧元或全球年营业额的百分之三。向监管机构提供不正确、不完整或误导性信息的最高罚款为七百五十万欧元或全球年营业额的百分之一点五。

这些数字不是写在那里看的——GDPR的历史已经证明，欧盟监管机构在适当时机是会开罚单的。而且AI法案的执法机制比GDPR更进一步：除了成员国的监管机构之外，欧盟层面还设立了AI办公室来协调执法，增加了执法的协调性和效率。

对现阶段的中国出海企业来说，最重要的不是马上完成所有的合规文档——那个时间上也不现实。当前最应该做的是两件事：第一，搞清楚你的哪些AI应用影响了欧盟市场，做一个完整的清单；第二，按照法案的风险分类标准对这些应用做一次分类评估，确定哪些是需要注意的高风险应用。这两步做完了，你的合规优先级就清楚了。