欧盟 AI Act 是全球第一部全面的 AI 法律，2024 年 8 月生效时给出的分阶段时间表一度非常明确：禁令先行、GPAI（通用 AI 模型）义务跟上、高风险系统义务压轴。但 2025 年 11 月的 Digital Omnibus 一纸提案把「压轴」往后推了一年多——这部法律正走在「立法雄心与产业现实」的拉锯中途。本文梳理截至 2026-10-07 的真实状态与开发者最该关心的合规要点。本文不构成法律意见。
时间线：已生效的、将生效的、被推迟的
| 时间 | 事件 | 状态（截至 2026-10-07） |
|---|---|---|
| 2024-08-01 | AI Act 生效，整体框架启动 | 已生效 |
| 2025-02-02 | 禁止性条款（不可接受风险）与 AI 素养义务适用 | 已生效 |
| 2025-08-02 | GPAI 模型义务适用（透明度、版权、训练数据摘要）；AI Office 等治理架构运转；罚则条款生效 | 已生效 |
| 2025-11-19 | 欧委会发布 Digital Omnibus 提案：高风险义务推迟 | 立法进程 |
| 2026 上半年 | 欧洲议会与理事会就 Omnibus 达成一致，推迟范围有所调整（含水印/透明度义务） | 立法进程（以官方文本为准） |
| 2026-08-02 | GPAI 违规罚则开始实际执行（原计划） | 已生效 |
| 2027-08-02 | 2025-08 前已上市的 GPAI 模型合规大限 | 未到 |
| 原定 2026-08-02 → 推迟至 2027 年末 | 高风险 AI 系统义务 | 已被推迟 |
罚则是三层结构：被禁止做法最高 3500 万欧元或全球营业额 7%；多数其他违规（含 GPAI 义务）最高 1500 万欧元或 3%；提供错误信息最高 750 万欧元或 1%。注意区分「义务适用」（2025 年 8 月起）与「罚则实际开动」——2026 年 8 月起 GPAI 违规才真正进入可处罚状态。
GPAI 义务：谁要管、管什么
AI Act 对「通用 AI 模型提供者」（GPAI provider）的义务集中在三条：
- 技术文档：模型能力、训练与测试过程的详尽文档，供下游集成者与监管方查阅；
- 训练数据摘要：一份足够详细的训练内容概要，用公开模板发布——这是版权方最关注的条款；
- 版权政策：建立尊重欧盟版权法（含 TDM 选择退出权，即权利人声明「不许抓取」就得遵守）的合规政策。
「系统性风险」模型（训练算力超过 10^25 FLOPs 量级，或欧委会认定）另有加码：模型评估、对抗测试、系统性风险报告与网络安全保障。义务的钩子是全球性的——只要模型在欧盟市场投放或输出被欧盟用户使用，无论提供者在哪，这就是中国、美国模型厂商都躲不开它的原因。
合规的软着陆通道是 GPAI 行为准则（Code of Practice）：2025 年 7 月定稿的最终版给出透明度、版权、安全三册的自查清单。遵守准则不构成免责金牌，但被欧委会视为重要的合规推定信号——对中型厂商来说，这是成本最低的合规路径。
开发者与企业的实际影响
- 用 API 的应用开发者：多数应用层义务来自「部署者」条款（如透明度告知——用户得知道在跟 AI 交互）， GPAI 义务归 API 提供商扛。但选供应商时要把「能否提供欧盟市场合规文档」列入采购清单；
- 开源模型：AI Act 对免费开源许可证的模型有部分豁免，但豁免不覆盖系统性风险模型与商业化的开源模型——「开源」不是挡箭牌；
- 高风险类别（原 2026-08 适用、现推迟）：招聘、信贷、教育评分、关键基础设施、执法等场景的 AI 系统。做 ToB 产品选这些赛道，要把「合规可能迟到但大概率会来」写进路线图；
- 水印与内容标识义务：生成内容标识与机器可读标记义务原随高风险批次走，Omnibus 谈判中同样被推迟——与中国《人工智能生成合成内容标识办法》的节奏对照着看，会很有意思。
急转弯：Digital Omnibus 到底改了什么
2025 年 11 月 19 日，欧委会发布 Digital Omnibus 一揽子简化提案，核心动作是把高风险 AI 义务从 2026 年 8 月推迟到 2027 年 12 月，理由是「给产业留出准备时间、简化监管重叠」。背景很直白：Meta、Alphabet 等巨头公开施压称规则「无法执行」，而数字权利组织批评这是向产业投降。2026 年上半年，议会与理事会就该方案达成一致，最终版本里推迟范围与欧委会原始提案有出入——部分透明度义务（含水印）也一并延期，同时补充了新的禁止性条款（如非自愿的露骨 deepfake）。
这个急转弯的信号意义大于条文本身：AI 监管的节奏第一次被产业周期明显拖动。对合规团队而言，结论不是「可以躺平」，而是推迟不等于取消——文档、数据治理这些「什么时候都要做」的地基工程，恰恰是推迟窗口里性价比最高的投入。
给中国从业者的三句话
- 面向欧盟市场的 AI 产品，GPAI 与部署者义务已经生效，别只盯高风险那条推迟的新闻；
- 训练数据摘要与 TDM 退出尊重，直接影响语料采购与爬虫策略——现在就要有台账；
- 中国《生成式人工智能服务管理暂行办法》与欧盟 AI Act 的义务形态不同（备案制 vs 风险分级），双市场产品要做两套合规矩阵，别假设一套通吃。
参考资料
- EU AI Act — European Commission 官方页
- AI Act 即时版时间线 — Artificial Intelligence Act 官方资讯站
- GPAI Code of Practice — Digital Strategy of the European Commission
- EU AI Act 2026 Updates: Compliance Requirements — LegalNodes
- The EU AI Omnibus cuts deadlines — ICT Health（2026-05）
- EU AI Act timeline & deadlines — DataGuard
读者留言
COMMENTS 暂无还没有留言，来说第一句？