OOOMETA/OS
← 返回洞察

2026 年 9 月 · 5 分钟阅读

欧盟AI法案合规清单：已生效义务逐条核对

欧盟AI法案合规清单：已生效义务逐条核对

关键定义

已生效义务（In-force obligations） 截至 2026 年 9 月已可强制执行的《AI 法案》条款：2025 年 2 月 2 日的不可接受 AI 实践禁令、2025 年 8 月 2 日的通用 AI 模型（GPAI）义务、以及 2026 年 8 月 2 日起的 Article 50 透明度义务和完整市场监督与执法框架。

信息请求（RFI, Request for Information） 欧盟 AI Office 依据执法权发出的正式信息索取函，要求企业在限期内提交技术文档、训练数据来源说明、风险评估与缓解措施。2026 年 9 月首批测试阶段执法中已向 30 多家 AI 企业发出。

高风险义务推迟时间表 《数字综合法案》(EU) 2026/1744 修订后的高风险系统义务生效日：Annex III 独立高风险系统推迟到 2027 年 12 月 2 日，Annex I 嵌入受监管产品的 AI 系统推迟到 2028 年 8 月 2 日；透明度义务不在推迟范围内。

执法已经开始：30+ 家 AI 企业收到欧盟 AI Office 信息请求。按生效顺序整理的企业合规清单——8 月 2 日起强制执行的透明度义务、推迟到 2027/2028 的高风险条款时间表，以及监管现在要求的文档证据链。

执法现状：首批信息请求已经发出

9 月，欧盟委员会证实 AI Office 已向全球 30 多家 AI 企业发出信息请求（RFI），要求提供模型测试、事件报告与风险缓解的文档证据。这批 RFI 被官方定位为“测试阶段”执法——目的不是立即罚款，而是校准后续执法强度。但它同时确立了一个先例：监管不再等待企业自觉，而是主动索取证据。对收件企业而言，RFI 有法定回应期限，沉默本身即构成违规。

这意味着《AI 法案》已经进入“纸面义务 → 执法档案”的阶段。企业提交的所有回应都会进入监管档案，并与公开披露口径比对——夸大合规进度的公开声明，本身就是风险。

义务时间线：什么已生效，什么被推迟

《数字综合法案》生效后，义务按三个层级生效，企业应按“已生效”而非“高风险”来安排优先级：

已生效 · 2025 年 2 月起：不可接受 AI 禁令

社会评分、操纵性或欺骗性 AI、工作场所情绪识别、无针对性面部抓取等实践已全面禁止。罚则最高 3500 万欧元或全球年营收 7%。

已生效 · 2025 年 8 月起：GPAI 通用模型义务

通用 AI 模型提供商须维护技术文档、公开训练数据摘要、执行版权政策并发布模型卡。系统性风险模型（累计算力超阈值）还须做对抗测试与严重事件报告。

已生效 · 2026 年 8 月 2 日起：透明度 + 执法

Article 50 对所有风险等级生效：聊天机器人披露 AI 身份、深度伪造加标签、AI 生成内容带机器可读标记。国家监督机构与 AI Office 的调查权、文档索取权、责令改正权同日激活。

已推迟 · Annex III → 2027-12-02 / Annex I → 2028-08-02

就业、教育、执法、关键基础设施等高风险系统的核心义务（质量管理体系、合格评定、人工监督）被综合法案推迟；但透明度、禁令、GPAI 义务不在推迟范围。

清单 A：今天就必须合规的六件事

这些义务现在可被执法核查，没有宽限期：

① AI 身份披露：所有面向用户的交互式 AI（客服 bot、语音助手、Copilot 类产品）必须在交互中明确告知用户正在与 AI 交互。② 生成内容标记：AI 生成或修改的文本、图像、音视频输出需带机器可读标记；深度伪造内容必须显著加标签。③ 禁令审查：盘点在用 AI 功能，确认无社会评分、操纵性交互、工作场所情绪识别等禁止类实践。④ GPAI 文档：模型提供商须备齐技术文档、数据摘要、版权政策；使用第三方模型的企业应向供应商索取并留存这些文档。⑤ RFI 响应流程：指定监管函件的接收与回应责任人，预演 30 天内完成证据组卷的流程。⑥ 供应商合同条款：采购 AI 功能的合同应写入合规分工、文档交付义务与事件通报义务——监管链条会向上下游传递。

清单 B：推迟窗口内必须做完的六件事

高风险义务推迟到 2027/2028 不是豁免——是把准备工作变成可执行窗口：

① AI 系统盘点：建立全公司 AI 系统清单（自建 + 采购 + 嵌入 SaaS 的隐藏 AI 功能），多数企业在盘点中发现比预期多 30-50% 的系统。② 风险分级：按 Annex III 分类逐一判定每个系统是否落入高风险域（就业、教育、信贷、执法、关键基础设施）。③ 差距分析：对照高风险义务清单（质量管理体系、风险管理、数据治理、技术文档、日志、人工监督、准确性稳健性网络安全）逐项标记缺口。④ 日志与证据链：高风险系统须自动记录运行日志；现在建立统一日志结构，未来直接复用为合格评定证据。⑤ 事件报告流程：严重事件报告义务已有明确时限（严重事件 15 天、致死 10 天、关键基础设施中断 2 天），预案必须包含监管通报路径。⑥ 治理角色：明确 AI 合规负责人与部署方/提供方角色划分——同一企业在不同系统上可能同时是 provider 和 deployer，义务不同。

监管会查什么：证据链比声明更重要

首批 RFI 的内容释放了一个明确信号：监管要的是文档，不是承诺。AI Office 索取的四类材料——模型测试记录、训练数据来源说明、风险评估报告、已部署缓解措施清单——本质都是“证明你做过了”的证据链。企业合规的差距往往不在“没做”，而在“做了但没留痕”：评估会议没有纪要、模型测试没有存档、供应商尽调没有书面结论。这类缺陷在 RFI 回应期才暴露，为时已晚。

实务上的判断标准很简单：把每一项合规动作当成“要交给律师和监管看的证据”来设计。AI 系统清单要有版本时间戳；风险评估要有签字记录；供应商文档要有索取和留存的邮件轨迹；透明度披露要有上线截图存档。证据链完整的组织，RFI 是 30 天的组卷工作；证据链缺失的组织，RFI 是一次合规造假的诱导测试。

OOMeta AI

OOMeta 的 AI 治理平台帮助企业快速建立 AI 系统清单、风险评估流程和合规文档体系，确保在快速变化的监管环境中保持合规与竞争力。

预约诊断会

参考来源

常见问题

现在哪些《AI 法案》义务已经生效？+

三层义务已经可强制执行：2025 年 2 月起的不可接受 AI 实践禁令（社会评分、操纵性 AI 等）；2025 年 8 月起的 GPAI 通用模型义务（技术文档、版权政策、模型卡）；2026 年 8 月 2 日起的 Article 50 透明度义务与全部市场监督执法权——聊天机器人必须披露 AI 身份、深度伪造必须加标签、AI 生成内容必须带机器可读标记。

收到 AI Office 的信息请求（RFI）怎么办？+

RFI 有法定回应期限，沉默本身构成违规。收到后应立刻指定单一责任人统筹回应，按函件要求逐项提交：模型/系统技术文档、训练数据来源与权利清理说明、风险评估报告、已部署的缓解措施清单。所有提交内容会进入执法档案，回应口径要与公开披露一致——9 月首批 RFI 属于测试阶段执法，目的是校准后续执法强度。

高风险义务推迟到 2027/2028，现在还需要准备吗？+

需要。推迟的只是 Annex III/Annex I 高风险系统的核心义务（质量管理体系、合格评定等）；透明度义务、禁令、GPAI 义务全部按期生效。更重要的是，高风险合规的证据链（AI 系统盘点、风险分级记录、文档模板、日志体系）需要 6-12 个月建设周期——现在开始差距分析的企业才能在 2027 年 12 月前从容达标。

非欧盟企业要遵守《AI 法案》吗？+

只要 AI 系统的输出在欧盟境内被使用就适用——不需要在欧盟设有实体。向中国或美国企业提供 AI 功能、且输出会触达欧盟用户的产品同样在管辖范围内。9 月首批 RFI 的收件方就包括非欧盟模型提供商。

不合规的罚则上限是多少？+

违反不可接受 AI 禁令：最高 3500 万欧元或全球年营业额 7%（取高者）；违反大多数其他义务（含透明度）：最高 1500 万欧元或 3%；向监管机构提供虚假信息：最高 750 万欧元或 1%。中小企业按较低档执行，但义务本身不豁免。

相关文章

欧盟 AI 法案数字综合法案：高风险推迟，透明度先行

7月27日生效的 Regulation (EU) 2026/1744 把高风险义务推迟到 2027/2028，但 Article 50 透明度与执法框架 8 月 2 日照常激活——推迟不等于取消。

EU AI Act 首批执法：30+ 家 AI 企业收到信息请求

9月 AI Office 发出首批 RFI，索取模型测试、事件报告与风险缓解文档——执法进入证据索取阶段，沉默即违规。

欧盟 AI 法案 8 月 2 日执法启动：企业合规清单

8月2日《AI法案》一般适用日：透明度义务可强制执行、市场监督与 AI Office 执法权激活、罚款梯度最高 3500 万欧或 7%。

EU AI Omnibus 正式成为法律——企业必须更新合规日历

2026年7月24日，Digital Omnibus on AI 正式在欧盟官方公报公布成为 Regulation (EU) 2026/1744，7月27日生效。高风险AI义务推迟至2027年12月，但Article 50透明度义务8月2日不变。提案时代已结束，现在是法律。