欧盟 AI 法案下，跨境 SaaS 先补哪几项

2024 年 8 月 1 日，欧盟《人工智能法案》（EU AI Act）正式生效。Protiviti 甫瀚咨询的解读提到，这部法案的主线，是按风险识别和管控 AI 系统，引导企业在合规框架下推进 AI 落地。

到 2026 年 3 月，监管节奏又出现变化。安全内参援引赛博研究院消息称，3 月 19 日，欧洲议会通过《人工智能立法的数字综合法案》（Digital Omnibus on AI Regulation）立法提案，对 EU AI Act 提出修订意见；该提案报告已于 3 月 18 日在欧盟委员会会议上通过，投票结果为赞成 101 票、反对 9 票、弃权 8 票。

这类变化容易让企业误判：既然部分执行安排还在调整，是不是可以先等等？对已经服务欧盟客户的跨境 SaaS 企业来说，等待并不安全。法案的风险分级、透明度、技术档案、欧盟授权代表等要求，已经足够具体，足以影响产品设计、合同文本和后端日志。

尤其是做 HR 筛选、信用评估、企业风控、自动化决策辅助的 SaaS。合规问题不只在法务部门，最后会落到产品界面、模型说明、数据流向和审计记录上。

先判断：你的 AI 模块是不是高风险

EU AI Act 的核心不是把所有 AI 一刀切，而是按风险分类管理。Protiviti 的解读中也提到，法案关注公平性等典型风险，例如算法偏见可能让招聘系统对特定群体产生不利影响。

这对 SaaS 企业很直接。

如果产品只是做内部文本润色、客服话术建议，风险判断相对不同；但如果 AI 参与了招聘筛选、候选人排序、信用评分、贷款辅助判断、关键基础设施管理等场景，就不能再按普通功能模块处理。

跨境 SaaS 团队可以先做一张内部风险表，至少列清楚三件事：

• 哪些功能使用了 AI 或自动化模型；
• 这些功能是否会影响个人就业、信贷、教育、公共服务等重要权益；
• 决策链条里，AI 是建议工具，还是实际决定结果的关键环节。

这张表不需要一开始就做得很复杂，但必须能更新、能追溯。很多企业的问题不是没有合规意识，而是产品迭代太快，法务手里的版本和线上系统不是同一个版本。

技术文档不能只给工程师看

对高风险 AI 系统来说，技术文档会变成合规证据的一部分。

过去 SaaS 团队常见的做法，是把模型训练、数据处理、测试结果分散在代码仓库、飞书文档、Jira 工单和个人电脑里。平时能跑起来，审计时却很难说明：模型用过哪些数据、经过哪些清洗、做过哪些风险测试、上线后改了什么。

至少要补齐几类材料：

• 模型说明：模型用途、输入输出、适用边界、已知局限；
• 数据说明：训练或调优数据的来源、处理方式、质量检查记录；
• 风险测试：偏差、误判、异常输入等测试结果；
• 版本记录：模型、数据集、提示词、规则引擎和代码版本之间的对应关系。

这里的难点不在写一份漂亮 PDF，而在让文档和真实系统同步。模型换了、阈值改了、提示词调整了，都要能在记录里找到对应版本。否则文档越厚，越像合规摆设。

人工监督要落在产品流程里

“Human-in-the-loop”不能只写在制度里。

以招聘筛选 SaaS 为例，如果系统给候选人打分，产品界面至少要让客户清楚看到：AI 评分只是辅助，最终判断仍可由人工复核。更重要的是，人工复核不能只是一个形式按钮。谁复核、何时复核、是否修改了系统建议、修改理由是什么，都应当留下记录。

这类记录将来可能同时服务三件事：内部复盘、客户问责、监管沟通。

很多团队会低估这部分工程量。因为它不只是加一个前端按钮，还涉及权限、日志、后台字段、数据保留和导出格式。若等到客户采购或监管问询时再补，往往要反改核心流程。

欧盟境外提供者，要确认授权代表

跨境 SaaS 企业还要注意一个容易被忽略的要求：欧盟授权代表。

Bird & Bird 的《欧盟人工智能法案：指南》提到，如果提供者设立于欧盟以外，需要在欧盟内指定一名授权代表，即第 54(1) 条所规定的要求。

这不是普通的商务联系人。对没有欧盟实体的企业来说，授权代表涉及监管沟通、文件送达和合规责任安排。产品已经面向欧盟客户销售，却没有确认这一安排，后续会给合同、客户尽调和监管沟通带来麻烦。

企业至少应当检查：

• 是否已经指定欧盟境内授权代表；
• 授权范围是否覆盖相关 AI 产品或模型；
• 合同、隐私政策、客户材料中的联系人信息是否一致；
• 内部是否有人负责和授权代表同步技术文档、风险评估和版本变化。

对中小团队来说，这一步容易被放到最后。但从客户采购角度看，它往往是最先被问到的问题之一。

数据主权和日志，不要等上线后再补

AI 合规不是单独一套规则。跨境 SaaS 还要面对 GDPR、客户所在国的数据要求，以及企业客户自己的安全审查。

如果服务器部署在新加坡或美国，客户在德国或法国，产品又处理了候选人、消费者或企业员工数据，日志怎么留、留在哪里、谁能访问、是否用于后续训练，都需要说清楚。

这里不要只写“已脱敏”。脱敏只是一个动作，不等于完整的数据治理。更实际的问题包括：

• 推理日志是否包含个人数据；
• 日志是否会进入模型优化流程；
• 客户能否要求删除或导出相关记录；
• 跨境传输路径是否能被说明；
• 审计时能否证明敏感数据没有被超范围复用。

这些内容一旦进入后端架构，就很难靠补协议解决。比较稳妥的做法，是在产品设计阶段就把日志字段、访问权限、留存策略和客户配置项定下来。

中小 SaaS 可以先做这份清单

不必一上来就把合规体系做成大型企业规格。对资源有限的跨境 SaaS 团队，先把最容易被问、也最难临时补的项目做起来。

1. 更新 AI 功能清单
列出产品里所有 AI 模块，包括模型、规则引擎、自动化评分、推荐排序和生成式 AI 功能。标明使用场景、影响对象和是否涉及重要权益。

2. 给高风险功能建技术档案
把模型说明、数据来源、测试记录、版本变化放到统一位置，最好能和代码版本对应。不要只保留最终稿，修改过程同样重要。

3. 检查人工复核链路
高风险场景下，确认前端是否有人工复核入口，后台是否记录复核人、时间、原因和结果变化。

4. 核对用户告知文本
隐私政策、用户协议、产品提示里，是否说明相关功能使用了 AI；对最终用户是否提供了基本解释，而不是只写一段笼统授权。

5. 确认欧盟授权代表
如果企业设立在欧盟以外，应检查是否已指定欧盟境内授权代表，并让相关信息出现在对外合规材料中。

6. 重新看日志和数据流
把推理日志、训练数据、客户数据、系统监控数据分开管理。尤其要确认哪些数据会跨境，哪些数据会进入模型优化流程。

合规成本会进入产品成本

AI 模型调用价格下降，并不代表 AI SaaS 的总成本一定下降。对服务欧盟客户的企业来说，合规成本会越来越多地进入研发流程：文档要维护，日志要可审计，界面要支持人工复核，客户尽调材料要能回答得上来。

这也是 EU AI Act 对跨境 SaaS 最现实的影响。它不会只停留在法律条文里，而会改变产品经理写需求、工程师设计日志、销售回答客户问题的方式。

2026 年的修订提案说明，欧盟 AI 监管仍在调整。但方向已经很清楚：高风险 AI 系统需要更强的可解释性、可追溯性和人工监督。对跨境 SaaS 企业来说，现在最该做的不是猜下一轮细则，而是把证据链先补齐。