EU AI Act（欧盟人工智能法案） · 全球AI伦理框架手册

立法历程：从提案到生效——一场马不停蹄的长跑

EU AI Act的立法进程跨越了整整三年。2021年4月，欧盟委员会提出了最初的AI法案提案，当时正值ChatGPT尚未问世的时代——整个法案的核心框架是基于"特定用途AI"而非"通用AI"构建的。2022年底ChatGPT横空出世彻底改变了立法议程——法案被迫紧急加入"通用AI模型（GPAI）"的专章（Chapter V）。在经历了欧洲议会、欧盟理事会和欧盟委员会三方会谈（trilogue）的激烈协商后，最终文本于2024年3月通过，2024年7月12日在欧盟官方公报上发布，2024年8月1日正式生效。

EU AI Act的独特之处：它是世界上第一部全面的人工智能法规——不是建议书、不是行为准则、不是技术标准，而是具有直接法律约束力的Regulation。违规罚款最高可达全球年营业额的7%——这是执行力的底线。

AI系统定义（Article 3(1)）

"AI system" means a machine-based system that is designed to operate with varying levels of autonomy, that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments.

该定义与OECD的AI系统定义高度一致——体现了欧洲立法者刻意追求全球互操作性的立法智慧。

基于风险的四级监管框架（核心架构）

这是EU AI Act最具创新性的设计——不按技术类型监管，而按风险等级监管。

风险等级	法律后果	合规要求	典型应用示例
不可接受风险	完全禁止	不得投放市场	社会评分系统、潜意识的扭曲行为操纵、公共场所实时远程生物识别、预测性警务、工作场所/教育中的情绪识别、无差别抓取面部图像
高风险	严格合规+事前评估	风险管理（Art.9）+ 数据治理（Art.10）+ 技术文档（Art.11）+ 日志记录（Art.12）+ 透明度（Art.13）+ 人工监督（Art.14）+ 准确性与网络安全（Art.15）	信贷评估AI、医疗设备AI、招聘筛选AI、关键基础设施AI、执法AI、司法辅助AI等（Annex III所列8大领域）
有限风险	透明度义务	告知用户正在与AI交互；AI生成内容需标注；情绪识别系统需告知受影响者	聊天机器人、深度伪造内容生成、AI虚拟助手
最低风险	无强制义务	可自愿遵守行为守则	AI推荐系统、垃圾邮件过滤、AI游戏

Article 5 — 禁止的AI实践（八类禁令完整列表）

潜意识技术操纵 — 使用超越个人意识的潜意识技术，实质性地扭曲人的行为，可能导致或造成身心伤害。

利用脆弱性 — 利用特定群体因年龄、残疾或特定社会/经济状况而产生的脆弱性，实质性地扭曲其行为。

社会评分系统 — 公共机构基于社会行为或个人特征进行的社会评分，导致对某些人或群体的不利对待或不成比例的待遇。

实时远程生物识别 — 在公共场所为执法目的使用实时远程生物识别系统。严格例外：寻找失踪人员、防止恐怖袭击、识别重罪嫌疑人——但须经司法机关事先授权。

预测性警务 — 仅基于对自然人的画像分析或个性特征评估来预测犯罪风险。完全禁止，无例外条款。

无差别抓取面部图像 — 从互联网或CCTV录像中无差别抓取面部图像以创建或扩展面部识别数据库。

工作场所/教育中的情绪识别 — 在工作场所或教育机构中使用情绪识别系统。例外：医疗和安全目的。

生物特征分类推断敏感信息 — 基于生物特征数据推断或推导自然人的种族、政治观点、工会成员身份、宗教信仰、性生活或性取向。

高风险AI系统 — Annex III的八大领域

#	高风险领域	金融行业的直接关联
1	生物特征识别和分类	银行远程开户的面部识别系统
2	关键基础设施	金融交易系统和支付基础设施的AI安全管理
3	教育和职业培训	金融机构内部AI培训平台的合规
4	就业和工人管理	金融从业者AI辅助招聘和绩效评估
5	基本公共服务和福利	信贷评估AI — 核心高风险项；保险AI定价和核保
6	执法	反洗钱（AML）AI系统、金融犯罪侦查AI
7	移民和边境管理	跨境资金流动监控AI
8	司法和民主程序	金融争议解决的AI辅助裁决

Chapter V — 通用AI模型（GPAI）的监管框架

这是ChatGPT时代催生的"紧急新增章节"。欧盟立法者意识到：不能只监管下游的AI应用，而遗漏上游的AI模型提供者。

义务层级	适用对象	具体要求
基础义务	所有GPAI模型提供者	编制并更新技术文档 → 向下游AI系统提供者提供透明度信息 → 制定尊重版权的政策（尤其是文本和数据挖掘的opt-out机制）
附加义务	具有系统性风险的GPAI模型（训练计算量 > 10^25 FLOPs）	模型评估（包括对抗性测试）→ 系统性风险评估和缓解 → 严重事件报告 → 确保充分的网络安全保护

处罚力度 — 以营业额为基数的罚款

违规类型	罚款上限（取较高者）	说明
违反禁止AI应用（Art.5）	全球年营业额7% 或 3500万欧元	这是整个欧盟法律体系中最高的行政罚款之一，与GDPR的最高罚款持平
违反高风险AI义务	全球年营业额3% 或 1500万欧元	适用于高风险系统的合规义务违规
向监管机构提供错误/不完整信息	全球年营业额1.5% 或 750万欧元	适用于妨碍监管调查的行为

实施时间线（分阶段生效）

生效日期	里程碑	影响评估
2024年8月1日	法案正式生效（进入欧盟法律体系）	法律上已生效，但主要义务尚未强制执行
2025年2月2日	禁止AI实践条款生效 + AI素养义务生效	企业必须立即停止部署被禁止的AI应用
2025年8月2日	GPAI规则 + 监管沙盒 + 治理结构生效	GPT-4级别模型的提供者须按规定履行义务
2026年8月2日	大部分规则全面适用（含高风险AI系统）	信贷评估AI等行业将受到最直接影响
2027年8月2日	Annex I所列产品安全组件相关高风险义务适用	嵌入式AI系统的最后期限

⚠️ 距2026年8月2日仅剩不到13个月：对于金融行业而言，信贷评估AI被明确列入Annex III高风险领域，2026年8月2日起须全面合规。任何有欧盟业务或客户的金融机构现在就必须开始准备：建立风险管理体系、编制技术文档、部署人工监督机制、进行合规评定。这不是"以后再说"的事——是13个月内必须完成的事。