欧盟人工智能法在 2026 年已经生效的部分，以及高风险还要等到何时

欧盟人工智能法（条例 (EU) 2024/1689）管的是投放到欧盟市场或在欧盟专业场景里使用的人工智能系统，公司注册在哪里不是挡箭牌。到 2026 年 11 月，禁止类做法、通用模型规则，以及聊天机器人必须表明自己是人工智能，都已经适用。附件三所列的高风险系统，义务按 2026 年人工智能综合修订（AI Omnibus）推到 2027 年 12 月 2 日。下面按截至 2026 年 9 月公开文本和欧盟委员会公告整理，不是法律意见。个人数据仍然同时受 GDPR 约束，见个人数据从哪些口进模型。

先分清你是提供者还是部署者

提供者是开发系统或模型、并以自己的名义投放到欧盟市场或投入使用的人。部署者是在欧盟以专业身份使用系统的人，例如银行用对话助手，雇主用筛选工具。进口商和分销商另有义务。系统的输出在欧盟被使用时，人在欧盟以外也进得来。多数公司是部署者。把高风险系统挂上自己的名字，或做了实质性修改，可能在无意中变成提供者。义务因此不一样，清单上要写角色，不要只写产品名。

四档风险，聊天机器人多半还不是高风险

不可接受的包括社会评分、有害操纵、在工作或学校做情绪识别、无目标地抓取人脸图像，这些是禁止。高风险包括对个人的信用评估、招聘和晋升决定、基本服务的准入，以及医疗器械和机械里的人工智能，上线前后都有严格要求。透明度这一档包括聊天机器人，以及生成或篡改的图像、音频和视频：要告诉对方，并给内容打上可被机器读出的标记。垃圾过滤、内部文档推荐和多数提高书写效率的工具，公开分类里通常没有新的义务。通用大模型另有一套针对训练和发布者的规则。

客服对话通常不是高风险，但从 2026 年 8 月 2 日起，只要对方不是一眼就能看出在和机器说话，就要说明这是人工智能。它一旦被用来决定信贷，或决定能否获得基本服务，就走到高风险那一档。用于告知公众、涉及公共利益的人工智能生成文本，应披露是生成的，除非有人审过并承担编辑责任。深度伪造，也就是看起来像真人、真地点或真事件的生成或篡改内容，要标注。

高风险系统在期限前要备好的东西

提供者一侧，公开要求包括贯穿生命周期的风险管理、训练验证和测试数据的治理、技术文档和自动日志、给部署者的使用说明和限制、设计里的人工监督、适当的准确性稳健性和网络安全、质量管理、合格评定、在欧盟数据库登记，以及上市后的监测和严重事故报告。部署者要按说明使用、指派受过训练的人监督、自行监测、保存产生的日志，并告知受影响的员工。公共机构、提供公共服务的私营主体，以及把人工智能用于信用评分或人寿与健康保险定价的部署者，还要做基本权利影响评估。银行最常碰到的高风险场景是个人信用评估。期限推到 2027 年 12 月，不是这段时间可以不留日志。日志、人工监督和测试要在期限前做进系统，而不是在截止日期当周补文档。

罚款的上限

条例写的是固定金额或全球年营业额的一定比例，取较高者。使用被禁止的做法，最高 3500 万欧元或全球年营业额的百分之七。违反包括高风险和透明度在内的多数其他义务，最高 1500 万欧元或百分之三。向当局提供不正确或误导性信息，最高 750 万欧元或百分之一。中小企业取两者中较低的一个。通用模型提供者另有最高 1500 万欧元或百分之三的罚款。综合修订还简化了部分素养义务和豁免系统的登记，并把一些原给中小企业的安排扩到小型中型市值公司。这些是上限，不是报价。你这套系统落在哪一档，以你写下的用途和角色为准。

着手的顺序可以很短。列出你构建、购买或嵌在供应商软件里的每一套人工智能，包括对话功能。每一套写明为何把它分成禁止、高风险、只需透明或义务很少，并写上你是提供者还是部署者。现在就补上对话必须自报身份、生成影像必须标注。向供应商要日志、文档，以及他们保留哪些数据。操作和监督的人要知道这套系统不能做什么。高风险那几套，用到 2027 年 12 月的时间把日志和人工监督做进流程，而不是只写在政策封面上。

把你正在用的客服对话和信贷相关系统各写一行用途，交给效率龙虾 用效率龙虾改这一稿。