欧盟 AI Act 已经落地，不再是法务部门可以“先观察”的远期规则。
据东莞市人民政府门户网站转载信息，欧盟理事会在 2024 年 5 月 21 日正式批准《人工智能法案》（Artificial Intelligence Act）。甫瀚咨询的解读提到，该法案于 2024 年 7 月 12 日刊登在欧盟官方公报，并在公布后 20 天，也就是 2024 年 8 月 1 日正式生效。
这件事对中国出海企业的影响很直接：只要把带有 AI 功能的软件、硬件、SaaS 服务或模型能力卖到欧盟，就不能只按国内上线节奏准备材料。欧盟监管关心的不是“模型准不准”这一件事，还会看数据来源、风险控制、用户告知、人工监督，以及欧盟境内出了问题由谁回应。
第一件事：别先写声明，先给产品分风险
AI Act 的监管思路是按风险分层。企业最容易跳过的一步，恰恰是最基础的一步：自己的 AI 产品到底落在哪个风险格子里。
如果产品涉及生物特征识别、关键基础设施、教育评估、招聘筛选、员工管理、信用评估、保险定价、公共服务或边境管理，就要更谨慎。这些场景更容易触及高风险 AI 系统的要求。
高风险不等于不能进入欧盟市场，但企业要准备的东西会明显变多，包括风险管理流程、训练和测试数据说明、技术文档、透明度信息、人工监督机制，以及准确性、鲁棒性和网络安全方面的证明。
这里有个常见误区：产品介绍里写“仅作辅助”，就以为风险低了。监管看的是实际用途。一个招聘工具如果已经参与候选人筛选，一个评分系统如果会影响授信或保险定价，就不能只靠宣传册里的轻描淡写来降低合规责任。
数据台账要能追到来源
AI Act 与 GDPR 所在的监管环境是连在一起看的。大成上海律师事务所文章提到，自 2018 年 GDPR 全面实施以来，欧盟在数字经济监管上持续加码；随后《数字市场法案》（DMA）和《数字服务法案》（DSA）也相继生效，对大型科技平台提出更多要求。
放到 AI 产品里，数据问题通常会被追问三层：数据从哪里来，是否有合法使用依据；训练集和测试集有没有明显偏差；个人信息做了什么处理，是否可能被重新识别。
出海团队可以先补一张数据台账，不必一上来写成厚厚一本文档，但几个问题要写清楚：
- 训练数据来自公开数据、自采数据，还是第三方授权；
- 是否包含个人信息、生物特征信息或敏感信息；
- 数据如何清洗、标注、删除；
- 不同版本模型分别用了哪一批数据；
- 谁能访问原始数据，访问记录如何留存。
如果产品涉及人脸、声纹、步态等生物特征数据，只写“已脱敏”通常不够。更稳的做法是说明具体处理方式、密钥管理、原始数据访问权限，以及是否评估过重识别风险。
这些材料平时看起来像内控细节，一旦遇到欧洲客户尽调或监管问询，就会变成最先被要走的文件。
技术文档别写成研发笔记
很多团队已经有技术文档，但内容更像研发说明书：模型结构、接口、参数、部署环境写得很细。问题是，监管未必先看这些。
面向 AI Act 的技术文档，至少要能回答几个更朴素的问题：这个系统用在什么场景，谁会受到影响，错误结果会造成什么后果，人类如何介入。
一份可用的技术文档，建议覆盖这些内容：
- 系统名称、版本、部署方式和预期用途；
- 风险类别判断及其依据；
- 训练、验证、测试数据的来源和处理方式；
- 模型架构、训练流程和主要评估指标；
- 偏见检测、鲁棒性测试和安全测试结果；
- 人工监督机制，包括何时人工确认、何时暂停或降级；
- 日志记录、版本更新和用户投诉处理流程；
- 使用第三方模型、开源组件或云服务 API 的情况。
最后一项尤其容易被低估。很多中国出海企业的 AI 能力并非完全自研，底层可能接入开源模型、第三方 API 或云厂商能力。但合规责任不会因为“这是供应商提供的”就自动消失。企业至少要证明，关键组件的来源、用途和风险已经进了自己的审查流程。
用户告知要出现在界面里
东莞市人民政府门户网站转载的解读提到，AI Act 旨在确保欧盟范围内使用的 AI 系统具备安全性、透明性、可追溯性、可解释性和非歧视性。
对产品经理来说，这句话最后会落到界面上。
用户是否知道自己正在和 AI 客服对话？候选人是否知道简历或面试表现会被 AI 工具辅助评估？企业客户是否知道某个评分、排序或推荐结果来自算法系统？
只把说明塞进用户协议的后半段，风险很高。更合适的位置，是交互开始前、关键决策前，或者结果展示页。提示内容也不用写成法律论文，讲清三件事就够：AI 参与了哪个环节，用户能否要求人工复核，异议或投诉从哪里提交。
比如 AI 客服开场直接说明“你正在与 AI 助手对话”；招聘工具在候选人提交材料前说明“系统可能用于辅助筛选，最终决定由人工作出”。这类提示比一段复杂的免责条款更有实际价值。
做通用模型，别只盯产品外壳
大成上海律师事务所文章关注到欧盟 AI 行为准则，并将其称为面向基础模型监管的重要框架。对开发、微调或向欧盟用户提供通用 AI 模型的企业来说，这部分不能只交给法务部门翻译条文。
通用模型相关材料通常会涉及训练数据说明、版权风险、模型安全测试、滥用防范、系统卡或模型卡披露等。企业如果把大模型能力包装成 API、企业助手、客服系统、代码生成工具或内容生成平台，对外材料里就要讲清模型边界：适合做什么，不适合做什么，可能出现哪些错误，用户应如何验证输出。
这还会影响销售流程。欧洲客户，尤其是金融、医疗、教育、公共部门客户，采购 AI 产品时往往会要求供应商提供模型说明、数据处理协议、安全测试材料和合规联系人。材料拿不出来，项目可能还没进入技术评测，就先卡在采购和风控环节。
出海前，先按这张清单自查
如果公司已经在欧盟销售 AI 产品，或者准备向欧盟客户交付带 AI 功能的服务，可以先从下面这些问题查起：
- 产品是否进入欧盟市场，是否已有欧盟用户或客户；
- AI 功能是否影响身份识别、招聘、教育、信用、保险、公共服务等敏感场景；
- 是否完成风险分类，并留下书面判断依据；
- 训练数据、测试数据和第三方数据是否有来源记录；
- 是否能说明数据脱敏、删除、留存和访问控制机制；
- 是否形成面向监管和客户尽调的技术文档；
- 用户界面是否明确提示 AI 参与；
- 是否设计人工复核、人工接管和投诉处理流程；
- 是否梳理开源模型、第三方 API、云服务等供应链依赖；
- 非欧盟提供商是否已考虑欧盟境内授权代表安排。
AI Act 带来的变化，不只是多几份合规文件。它会把产品、数据、研发、销售和客服都拉进同一条证据链里。现在先补风险分类、数据台账、技术文档和用户提示，远比等客户尽调或监管问询时临时拼材料要稳。
