核心法规解读（上）：欧盟AI法案深度解析

风险分级体系：四个层级，一个都不能少

欧盟AI法案，说白了就是给AI应用画了四条线。我刚开始研究这个法案时，第一反应是——这分级体系设计得真够细的。它把AI系统分成了四个风险等级：不可接受风险、高风险、有限风险、极低风险。

你想想看，为什么这么分？因为不同场景下的AI，带来的风险天差地别。一个用来筛选简历的AI，和一个用来推荐电影的AI，能一样吗？

不可接受风险（Prohibited AI Practices）

这是红线中的红线。一旦触碰，直接禁止。我在项目中遇到过不少客户，他们以为只要AI不杀人就不算高风险。嗯，这里要注意，法案列出的禁止清单比你想的宽得多。

我曾经帮一家做招聘系统的公司做合规评估。他们想用AI分析面试者的微表情来判断诚信度。我一听就摇头——这属于不可接受风险。为什么？因为这种技术本质上是在操纵人的行为，而且缺乏科学依据。客户当时还不理解，觉得「不就是分析个表情吗」。我给他们看了法案原文，他们才意识到问题的严重性。

高风险（High-Risk AI Systems）

高风险系统是法案监管的重头戏。我建议你重点关注这部分，因为大多数企业级AI应用都会落在这个区间。

什么样的AI算高风险？法案列出了两个大类：

类别	具体场景
产品安全组件	用于医疗设备、汽车、航空器等产品的AI组件
特定领域应用	生物识别、关键基础设施、教育、就业、公共服务、执法、移民、司法

举个例子，你开发了一个AI面试系统，用来筛选候选人。这属于「就业」领域，妥妥的高风险。我记得有个客户问我：「我们只是用AI做初筛，后面还有人工审核，算不算高风险？」我的回答是：算。只要AI的输出对最终决策有实质性影响，就算。

有限风险（Limited Risk）

有限风险，说白了就是「有风险但不大」。这类AI系统主要是那些与人直接交互的应用，比如聊天机器人、情感识别系统、深度伪造生成器。

法案对这类系统的要求相对简单——主要是透明度义务。你必须明确告知用户：「你在和AI对话」或「这个内容是AI生成的」。

我个人习惯把有限风险系统比作「需要贴标签的产品」。就像食品包装上要写成分表一样，AI系统也要告诉用户它的身份。我在做合规培训时经常说：别小看这个透明度要求。很多公司栽就栽在「忘了告诉用户这是AI」。

极低风险（Minimal Risk）

极低风险系统基本不受监管。比如AI驱动的电子游戏、垃圾邮件过滤器、AI推荐的播放列表。法案对这些系统没有任何强制要求，只鼓励企业自愿遵守行为准则。

你可能会问：那是不是所有娱乐类AI都算极低风险？不一定。我举个例子，一个AI游戏如果收集了大量儿童数据，或者有上瘾机制设计，那它可能就不是极低风险了。所以，风险分级不是看应用领域，而是看实际影响。

关键义务：谁该做什么？

法案把义务分给了不同的角色。我建议你记住这四个角色：提供者、部署者、进口商、分销商。其中，提供者的义务最重。

提供者（Provider）的核心义务

提供者就是开发或授权使用AI系统的一方。如果你是AI公司，那你就是提供者。你需要做到：

1. 建立风险管理体系——持续识别、评估、控制风险
2. 数据治理——训练数据必须满足质量、代表性、无偏见等要求
3. 技术文档——详细记录系统设计、开发过程、测试结果
4. 记录保存——自动记录系统运行日志，至少保存6个月
5. 透明度——向用户提供清晰的操作说明和风险信息
6. 人工监督——设计必须允许人类干预和覆盖AI决策
7. 准确性、鲁棒性、网络安全——系统必须达到相应的性能标准

我在项目中遇到过最头疼的问题是什么？技术文档。很多AI公司开发时根本不写文档，或者写得很随意。但法案要求的技术文档非常详细，包括训练数据的来源、预处理方式、模型架构、评估指标等等。我曾经帮一家创业公司补文档，整整花了两周时间。所以我的建议是：从一开始就把文档当作产品的一部分来写。

部署者（Deployer）的义务

部署者就是使用AI系统的一方。比如一家银行用了你的AI风控系统，那银行就是部署者。部署者的义务相对轻一些，但也很关键：

• 按照提供者的说明使用系统
• 确保系统由具备资质的人员操作
• 监控系统运行，发现异常及时报告
• 保留自动生成的日志
• 进行数据保护影响评估（如果涉及个人数据）

这里有个坑，我曾经踩过。有一次，一家医院部署了AI辅助诊断系统，但医生完全依赖AI的建议，没有进行独立判断。这违反了「人工监督」的要求。所以部署者一定要明白：AI是辅助工具，不是决策者。

罚则：不遵守的代价

聊完了义务，咱们看看不遵守的后果。法案的罚则相当严厉，我称之为「用钱砸醒你」。

违规类型	罚款上限	计算基准
不可接受风险	3500万欧元或全球年营收的7%	取较高者
高风险义务违规	1500万欧元或全球年营收的3%	取较高者
提供错误信息	750万欧元或全球年营收的1%	取较高者

你想想看，7%的全球年营收是什么概念？如果一家公司年营收100亿欧元，那罚款就是7亿欧元。这可不是闹着玩的。

另外，法案还规定了中小企业和初创企业的特殊待遇。如果你符合条件，监管机构会提供指导、简化流程，甚至减免部分费用。所以别怕，合规不是大公司的专利。

避坑指南

最后，分享几个我在实战中总结的避坑经验：

• 不要低估风险分级的重要性——我曾经见过一家公司，把自己的AI系统归类为「极低风险」，结果被监管机构认定为「高风险」。原因很简单：他们没考虑到系统在特定场景下的实际影响。
• 文档不是事后补的——从项目第一天就开始写文档。我见过最惨的案例，是一家公司被要求提供技术文档，结果发现开发团队已经离职了，没人能说清楚系统是怎么训练的。
• 人工监督不是摆设——设计系统时就要考虑人类如何介入。不要等到部署了才发现，根本没有让人干预的接口。
• 跨境业务要特别注意——如果你的AI系统会影响到欧盟用户，那不管你的公司在哪里，都要遵守法案。我有个客户在美国，以为法案管不到他，结果被欧盟用户投诉了。

好了，这一章的内容就到这里。下一章我们会继续解读法案的其他关键条款，包括高风险系统的合规流程、监管沙盒、以及法案对全球AI治理的影响。记住，合规不是负担，而是竞争力。