“””
你即将向欧盟市场推出一款人工智能产品，问题不在于布鲁塞尔的规则手册是否适用于你，而在于哪些部分会首先影响你的产品。如果你不在欧盟境内，你就无法处理…… 欧盟人工智能法案 就像一份遥远的法律备忘录。它会改变产品设计、文档、风险评估，以及你的团队在产品发布前必须任命的人员。.
我最常看到的错误很简单。非欧盟团队认为，只有在欧洲设立办事处后，该法案才适用。这是错误的。(EU) 2024/1689 号条例是…… 水平区域 和 共 13 章，113 篇文章 该法规规范了人工智能系统在欧盟市场的投放和使用方式，无论供应商位于何处。合规期限已开始计算，并将于2025年开始分阶段实施。. 通用人工智能义务自2025年8月2日起适用, 于是，《人工智能法案》成为 一般而言，自2026年8月2日起适用。. 某些高风险人工智能要求将在后续阶段适用，包括 2027年12月2日 和 2028年8月2日 在相关情况下 欧盟人工智能法案框架.
实际后果显而易见。如果你的产品路线图、证据链和治理模式现在没有建立起来，以后就只能在压力下进行补救。这总是比在首次欧盟销售之前就做好合规设计更昂贵、更耗时、更混乱。.
对于非欧盟供应商而言，问题不在于“我们是否符合欧盟人工智能法案？”，而在于“我们的哪个版本的产品无需重新设计就能通过欧盟的审查？”这种思维方式决定了您是能够顺利进入市场，还是在后期才发现您的默认模型、用户引导流程或日志记录方式不符合欧洲的规定。.
为什么欧盟人工智能法案对欧盟以外地区也至关重要
一家总部位于新加坡的供应商即使拥有强大的商业模式，一旦其目标客户是欧盟客户，仍然会触发欧盟的义务。关键在于地域覆盖范围。该法案适用于投放欧盟市场、在欧盟境内投入使用的AI系统，并且也适用于非欧盟供应商和部署者，只要AI系统的输出结果在欧盟境内使用，因此，贵公司的所在地并不会使其脱离适用范围。如果销售部门正在针对柏林市场制定销售方案，那么法务部门就应该已经开始查阅该法案了。.
提供者才是真正的分析单元。
该法案的重点是 提供商 管辖范围取决于系统本身，而非公司注册文件上的办公地址。如果贵公司开发了一套人工智能系统并将其投放欧盟市场，即使所有工程师都身处加利福尼亚或特拉维夫，贵公司也属于管辖范围。这就是为什么地域管辖对非欧盟公司至关重要：管辖范围取决于控制该产品的组织，而非恰好位于欧盟境内的组织。.
实用规则： 如果您控制了设计、预期用途、更新或向欧盟市场的发布，则应假定该法案可以适用于您。.
该制度并非象征性的，而是涵盖范围广泛的。它构成了一个完整的监管框架，用于治理、监督和执法，并改变了产品上市前必须准备的事项。非欧盟供应商如果起步较晚，通常最终不得不重写产品声明、重新收集证据，并在时间压力下指定欧盟联络人。.
对于同时承担数据保护和人工智能义务的非欧盟供应商而言， GDPR 合规服务 概述有助于明确两种制度的分歧所在。. 欧盟GDPR代表 在数据保护义务同样适用的情况下，上述内容可能与人工智能法案的准备工作密切相关，但请勿将其与人工智能法案的准备工作混淆。人工智能法案有其自身的逻辑，您的产品团队需要将其视为一项独立的市场准入要求。.
为什么早期工作更便宜
早期分类可以节省成本，因为它避免了重新设计。如果产品、法律、安全和机器学习团队能够及早对系统进行分类，他们就可以在产品发布前决定功能集是否需要更改。一旦产品进入欧盟审批流程，每次后期修改都会演变成代码、文档、销售语言和对外宣传等方面的协调难题。.
了解四个风险等级
先从金字塔顶端开始，因为红线就在那里。欧盟人工智能法案将某些做法视为 不可接受 并彻底禁止它们。根据已核实的时间表，这些被禁止的行为和人工智能素养规则开始生效。 2025年2月2日, 它们是2026年全面强制执行日期之前开始收紧的监管机制的一部分。 欧盟人工智能法案框架. 对于一家非欧盟公司而言，这意味着一款产品在一个市场完全合法，但如果它触犯了其中任何一条界限，那么它在欧盟仍然会被禁止销售。.
禁止行为优先。
禁入层级大约是 社会评分, 操纵性技术、无针对性的面部抓取以及其他欧盟视为不可接受风险的做法。这些并非法律理论研讨会上可以讨论的边缘案例，而是足以彻底阻止产品发布的底线问题。如果产品依赖于此类做法，正确的做法并非“加强文档记录”，而是重新设计或移除该功能。.
这一层级的要点很简单。有些用途危害极大，法律不会过问你的内部控制是否完善，而是直接禁止。.
高风险系统需要的是合规文件，而不是政策备忘录。
下一级是 高风险人工智能. 这包括嵌入受监管产品（例如机械或医疗器械）中的系统，以及用于敏感领域（例如就业、关键基础设施和生物识别）的独立系统。由于该法案将这些系统视为可审计的产品，而不仅仅是软件功能，因此其负担远比大多数非欧盟国家的创始人预期的要重得多。.
核心考验不在于你的模型是否令人印象深刻，而在于该用例是否属于高风险类别，因而需要完整的合规方案。如果属于高风险类别，则服务提供商承担更重的义务。.
有限风险和极低风险并非免责条款。
其下是默认透明层，通常被称为有限风险层。这些系统无需经过同样的上市前审核机制，但仍然会触发面向用户的义务。最底层是最小风险层，也是该法案适用范围最窄的层级。但这并不意味着“可以忽略它”。而是意味着您的产品可能无需满足最严格的要求，但您仍然需要验证该用例是否确实属于此类。.
分类测试： 问自己三个问题：这套系统是否被禁止？风险是否很高？或者它属于透明度较低的范畴？如果你无法清晰地回答这些问题，说明你的治理体系尚未完善。.
通用人工智能增加了一个水平层。
该法案还增加了一个单独的层级 通用人工智能模型. 这一点至关重要，因为基础模型治理与产品特定的合规性并不相同。模型供应商甚至在下游产品团队完成其自身的部署评估之前，就可能面临技术测试、文档编写和事件报告方面的义务。 欧盟人工智能法案模式监管.
对产品组合进行清晰分类的方法是，将每个产品映射到一个层级，然后检查是否有任何功能使其层级提升。不要用营销术语进行分类，而应根据实际功能、预期用途和可预见的使用情况进行分类。.
选择您的合格评定路径
如果您的系统属于高风险系统，那么问题很快就会变成程序性问题。您需要知道是否可以在内部完成符合性评估，或者是否需要外包。 公告机构 必须在进入市场前进行。这一选择取决于你所交付的高风险系统的类型，并且会改变上市计划。.
大多数独立的高风险系统都采用内部控制。
对于许多独立的、高风险的人工智能系统而言，这条路径是 自我评估. 但这并不意味着可以轻描淡写地遵守规定。这意味着供应商必须自行构建证据包，完成必要的检查，并准备符合性声明。这项工作仍然十分重要，因为供应商必须证明其系统符合相关规定才能将其投放市场。.
评估流程应遵循一定的规范。首先评估风险管理流程，然后验证数据和培训管理，接着整理技术文档，最后核实日志记录和人工监督控制措施。之后，产品即可根据需要进入欧盟数据库注册流程。.
产品安全人工智能需要第三方审查
当人工智能系统作为受监管产品（例如机械或医疗器械）的安全组件时，流程就会发生变化。在这种情况下，第三方参与可能是强制性的。这意味着您的进度不再仅仅取决于内部审核周期，还取决于外部合规流程的推进速度。.
许多非欧盟团队正是在这个环节浪费时间。他们以为可以同时完成人工智能合规和产品认证，结果却发现这两个流程是相互关联的，而且所有文档必须完全一致。.
| 提供者类型 | 人工智能系统或模型 | 需授权代表 | 来源 |
|---|---|---|---|
| 非欧盟供应商 | 某些高风险人工智能系统 | 是的，第22条 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
| 非欧盟供应商 | 通用人工智能（GPAI）模型 | 一般来说是的，第54条 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
| 非欧盟供应商 | 符合条件的免费开源GPAI模型 | 可能适用第54(6)条豁免 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
| 非欧盟供应商 | 其他非高风险人工智能系统 | 并非仅仅基于此 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
遵循统一标准是一种产品决策。如果分类错误，文件的其余部分就会变成昂贵的无用信息。.
尽早做出决定
在最终架构定型之前，您的内部团队应该决定该产品是独立高风险产品还是受监管高风险产品。等到产品发布准备阶段再做决定就太晚了。到那时，法律工作将受到工程现实的限制，合规路径也将更难逆转。.
对于非欧盟公司而言，拥有一位强有力的欧盟合规负责人至关重要。如果评估结果显示产品属于高风险产品，切勿将合规性审核视为一项繁琐的文书工作。这关乎产品能否合法进入市场。.
构建文档和质量体系
该法案的文档要求并非抽象概念，而是一份动态的工程记录，监管机构可以随时查阅。如果您的文件不完整、前后矛盾或已过时，那么您就没有建立合规体系，反而会面临一系列责任风险。.
将技术文件视为受控档案。
技术文档必须在系统上市前准备就绪，并保持更新。该文件应描述系统、其设计、预期用途以及用于确保其符合规范的控制措施。此外，还应包含培训、验证和测试的证据，以及保护模型及其基础设施的网络安全措施。 高风险技术文档，第 11 条和附件四.
如果你的团队无法迅速准备这份文件，说明你们还没有做好准备。监管机构不想要幻灯片，他们需要的是与实际销售的系统版本相关的证据。.
质量管理是一个控制循环，而不是一句口号。
质量管理体系应该像一套可操作的流程，而不是一份政策声明。它需要版本控制、变更管理、事件处理、上市后监测，以及从现场数据到工程决策的反馈路径。这样才能确保系统在发布后仍然符合规范，而不是偏离已批准的配置。.
一条有用的内部规则很简单。.
如果版本更新改变了行为、训练数据、输出或日志记录，则在部署之前应触发有记录的审查。.
这条规则确保产品团队和合规团队步调一致。它还有助于避免常见的错误：工程部门发布了模型更新，而法务部门却对此毫不知情。.
证据必须注明日期且可追溯。
带有版本号和时间戳的证据是监管机构询问系统设计和控制方式时保护您的关键。如果您的记录散落在收件箱、共享驱动器和零散的审批文件中，您将很难提供连贯一致的合规证明。该法案鼓励可追溯性，因为它使执法成为可能。.
保持资料井然有序。记录模型沿袭过程，保存评估运行记录，并确保每次资料更新都有负责人和审批路径。这决定了监管机构要求提供证据时，你的文件是能够应对自如，还是只能手忙脚乱。.
透明度、用户信息和数据治理
透明度和数据治理应该位于同一运行层。如果用户无法感知到他们正在与人工智能交互，或者数据集管理不善，即使模型本身技术强大，系统也可能违反相关法律法规。这不仅是法律问题，更是产品问题。.
用户披露信息必须清晰可见且立即生效。
用户至少需要知道自己何时在与人工智能系统交互。这意味着你的产品设计、引导流程和面向客户的语言都需要清晰明了地说明这一点。同样的道理也适用于…… 深度伪造 以及人工智能生成的内容，这些内容需要清晰的标记，以免用户被误导而看不到自己看到的内容。.
对于通用模型而言，透明度也体现在训练环节。服务提供商需要以用户易于理解的方式总结训练数据，并且需要尊重其所使用数据集中的欧盟版权保留条款。如果内容团队和数据团队缺乏协调，最终会导致信息披露不一致，从而可能影响整个产品的发布。.
数据治理是透明度的技术层面。
没有数据治理，就不可能实现良好的信息披露。如果数据集混乱、存在偏见或文档记录不完善，透明度声明就沦为掩盖真相的幌子，而非真正的保证。正因如此，《信息自由法》才将数据质量、记录保存和人工监督紧密联系起来。.
最简单的处理方法是让产品团队拥有一个通用的证据层。.
- 向用户明确告知： 说明系统何时基于人工智能，以及这在工作流程中的哪些环节至关重要。.
- 控制数据集质量： 文档沿袭、过滤和已知局限性。.
- 保留记录： 保留支持你向用户和监管机构所作声明的技术证据。.
- 允许人工干预： 确保当输出结果不安全或错误时，有人能够进行干预。.
如果面向用户的解释与工程记录不符，那就说明审计将会发现问题。.
对于那些同时负有欧盟数据访问和共享义务的公司而言， 欧盟数据法案代表 在职责重叠的情况下，它可以与人工智能合规工作并行开展。这并不能取代《人工智能法案》的管控措施，但当多个欧盟义务涉及同一运营团队时，它可以减少工作碎片化。.
设计选择应使合规性显而易见。
优秀的团队不会把合规性隐藏在法律声明页脚，而是将其融入产品之中。标签、模型卡、界面提示和内部发布流程都旨在证明透明度是系统的一部分，而非事后补救。.
即使技术上再精妙的模型，如果最终用户无法理解其工作原理，仍然可能无法通过相关法案的审查。这就是您的产品必须达到的标准。.
何时需要授权代表
非欧盟供应商可能需要通过两种不同的途径获得欧盟人工智能法案授权代表：第 22 条适用于某些高风险人工智能系统，第 54 条适用于通用人工智能 (GPAI) 模型。.
非欧盟供应商必须尽早解决授权代表问题。如果您下单购买某些产品，则可能需要支付一定的费用。 高风险人工智能系统 如果您在欧盟市场销售产品，但您未在欧盟设立机构，则根据第 22 条规定，您可能需要一位位于欧盟的授权代表。此外，如果您在欧盟市场销售产品，但您未在欧盟设立机构，则根据第 22 条规定，您可能需要一位位于欧盟的授权代表。 通用人工智能（GPAI）模型 根据第54条规定，从欧盟以外地区进入欧盟市场的产品，通常需要指定一名欧盟境内的授权代表，但自由开源软件除外。这项义务包含在市场准入框架内，因此应将其视为产品上市计划的一部分，而非后期法律细节的完善。.
授权范围狭窄且形式化。
代表根据书面授权行事。其必须指明服务提供商，界定所涵盖的人工智能系统或模型的范围，保持联系方式的更新，并要求与国家主管机构和人工智能办公室合作。代表是联络人和文件保管人，并非合规部门的替代机构。.
这种划分至关重要。服务提供商仍然承担义务。而代理人则使这些义务在欧盟境内更容易被联系、追踪和执行。.
不要将此与顾问混淆。
合规顾问可以为您提供建议。授权代表不能等同于外包法律支持。授权代表的职责范围更窄，且其可能面临与授权范围相关的执法后果。如果授权范围模糊不清、过时或管理不善，就会造成另一个薄弱环节。.
对于非欧盟公司而言，清洁规则很简单。如果系统属于高风险，则可能适用第22条。如果系统不属于高风险，则第22条可能不适用，但如果提供商将通用人工智能模型投放欧盟市场，则仍可能根据第54条产生单独的授权代表要求。.
| 提供者类型 | 人工智能系统或模型 | 需授权代表 | 来源 |
|---|---|---|---|
| 非欧盟供应商 | 某些高风险人工智能系统 | 是的，第22条 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
| 非欧盟供应商 | 通用人工智能（GPAI）模型 | 一般来说是的，第54条 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
| 非欧盟供应商 | 符合条件的免费开源GPAI模型 | 可能适用第54(6)条豁免 | EUR-Lex 官方发布的 (EU) 2024/1689 号条例文本 |
| 非欧盟供应商 | 其他非高风险人工智能系统 | 并非仅仅基于此 | EUR-Lex 官方发布的 (EU) 2024/1689/oj/eng 条例文本 |
授权书的制定应当以检查为目的，而非为了方便。如果它经不起监管机构的审查，那就说明它不够有力。.
如果贵公司已经在使用 欧盟数据保护代表, 虽然人工智能法案的任命看起来似曾相识，但这两个角色并非可以互换。触发条件、适用范围和举证责任都不同，因此人工智能法案的授权必须遵循人工智能法案的结构，而不是GDPR的模板。.
大多数公司在合规方面存在的不足之处
最大的差距在于执行力。安永2025年的调查发现： 80% 一些组织意识到了这一点。 欧盟人工智能法案, 然而，仅 28% 完全合规 安永人工智能治理、风险和合规性调查 2025. 人们的意识普遍存在。薄弱环节在于如何将这种意识转化为实际的合规流程。.
为什么这种差距对非欧盟企业来说更重要
非欧盟公司通常缺乏针对欧盟的特定运营习惯。例如，销售团队可能瞄准欧洲市场，但却没有人掌握欧盟相关文件，没有最新的授权文件，也没有统一的与欧盟当局对接的联络点。这种现状很容易导致申请提交后立即产生摩擦。.
委员会也已表明其运作方式。在采取制裁措施之前，将首先进行技术合规对话、模型获取、信息请求和风险缓解要求。第一个失败点往往是延误、混乱或未能及时回应，因为没有人能够足够迅速地提供正确的证据。 AI办公室的执法权力.
当局首先会注意到什么？
监管机构通常首先会发现三个薄弱环节：公司缺乏清晰的文档记录；欧盟联络点不明确；内部授权与投放市场的产品不符。这些并非小问题，而是表明该组织尚未落实合规措施。.
我的观点： 如果您的记录不符合审计要求，无论您的政策如何规定，您都还不合规。.
用严谨的纪律解决问题。指定一位面向欧盟的负责人。锁定产品分类。保持证据的更新。如果公司已经在使用 欧盟数据保护代表, 但不要将其视为《人工智能法案》文件的替代品。触发条件、适用范围和举证责任均有所不同，《人工智能法案》的授权必须独立存在。.
非欧盟供应商现在应该做什么
欧盟人工智能法案的大部分条款现已适用 2026年8月2日, 非欧盟供应商应立即确认其产品分类、文件、合格评定途径和授权代表要求，同时为后续适用的条款做好准备。所有销往欧盟的产品均应根据四个风险等级进行分类，确认合格评定途径，并立即确定技术文件的范围，而不是在产品上市后再进行。如果涉及任何高风险系统或GPAI模型，则应评估是否需要欧盟授权代表，并确保其授权有效且具体。.
能够顺利执行相关法律法规的机构，现在就应该在运营模式中构建版本化的证据、与欧盟的联络机制以及主动报告机制。应将《人工智能法案》视为一项持续的规范，而非政策更新。如果您需要一种结构化的方式来建立代表机制并保持欧盟各项义务的联络链畅通，请访问[此处插入链接]。 DilicheckRep 并审查其市场指定模型如何与您的团队已经构建的合规体系相契合。.
常见问题解答：非欧盟供应商如何遵守欧盟人工智能法案
问：欧盟人工智能法案是否适用于欧盟以外的公司？
一个： 是的。欧盟人工智能法案适用于欧盟以外的供应商，只要他们将人工智能系统投放欧盟市场、在欧盟境内投入使用或在欧盟境内使用该系统。您的公司无需在欧洲设有办事处即可受该法案约束。.
问：根据欧盟人工智能法案，什么是高风险人工智能系统？
一个： 高风险人工智能系统是指符合该法案所列类别的系统，例如用于就业、关键基础设施、生物识别、教育或作为受监管产品安全组件的某些系统。高风险系统面临更严格的义务，包括文档记录、风险管理、日志记录、人工监督和符合性评估。.
问：非欧盟供应商是否需要欧盟人工智能法案授权代表？
一个： 是的。根据第 22 条，非欧盟供应商在欧盟市场上提供某些高风险人工智能系统时，或根据第 54 条在欧盟市场上投放通用人工智能 (GPAI) 模型时，可能需要指定一名欧盟授权代表。某些符合条件的免费开源 GPAI 模型可能获得豁免。.
问：欧盟人工智能法案何时适用？
一个： 欧盟人工智能法案分阶段实施。部分条款，包括关于禁止行为的规定，已于2025年开始生效。大多数义务的主要执行日期为2026年8月2日，部分高风险产品规则的生效日期则稍晚一些。.
问：遵守欧盟人工智能法案需要哪些文件？
一个： 对于高风险人工智能系统，供应商通常需要技术文档、风险管理流程、数据治理记录、日志控制、人工监督措施、上市后监控流程以及必要的符合性声明。.
问：欧盟人工智能法案下的合格评定是什么？
一个： 合格评定是指在将高风险人工智能系统投放欧盟市场之前，证明其符合相关法律法规要求的过程。一些独立的高风险系统可以遵循内部控制流程，而作为受监管产品一部分的人工智能则可能需要第三方评估。.
问：通用人工智能模型是否会触发欧盟人工智能法案的义务？
一个： 是的。通用人工智能模型可能会触发该法案规定的另一层义务，包括文件记录、透明度，以及在某些情况下与系统性风险相关的额外义务。.
问：遵守欧盟人工智能法案的第一步是什么？
一个： 第一步是分类。服务提供商应确定系统是被禁止的、高风险的、需履行透明度义务的，还是风险极低的。该分类将决定合规路径、文档负担和上线时间表。.
DilicheckRep 提供欧盟和英国的正式监管代理服务，包括 GDPR 第 27 条、欧盟人工智能法案、数字服务法案、数据法案和 NIS2 联系点服务，并提供授权文件和规范化的监管机构及数据主体沟通流程。在您下次进军欧盟市场之前，请与 DilicheckRep 共同审查您的代理范围和运营模式。.
免责声明： 本指南仅供一般参考，不构成法律建议。欧盟数据保护及其他监管要求的具体适用取决于各组织的具体情况。在依赖本指南信息或做出合规决策之前，您应根据需要寻求适当的法律建议。.
披露： 本文由人工智能辅助撰写，并经人工审核。.