2025年11月21日，21财经报道欧盟《人工智能法案》修订进展：医疗、汽车、教育等领域的高风险AI条款，将后延至最晚2028年8月生效。对正在做欧洲市场的AI公司和SaaS公司来说，这确实少了一点时间压力。
但延期不等于可以把合规放进待办清单底部。
欧盟《AI法案》早在2024年5月21日已由欧盟理事会正式批准。东莞市人民政府网站转载的相关解读提到，这部法案被普遍认为是全球首部对人工智能领域进行全面监管的法律，对进入欧盟市场的AI系统制定统一监管规则，关注安全性、透明性、可追溯性和可解释性。
对中国出海SaaS企业来说，最容易误判的地方在这里：自己卖的是软件订阅，不是机器人、汽车或医疗器械，似乎离“高风险AI系统”很远。但只要产品里有算法推荐、自动评分、内容生成、用户画像、招聘筛选、教育评估、风控判断，客户和监管方追问的就不会只是功能好不好用，而是这套AI到底怎么分类、用了什么数据、出了问题谁负责。
先把产品放到正确的风险层级里
欧盟《AI法案》的底层逻辑是风险分级。安全内参对法案的解读提到，该法案篇幅长达400余页，涵盖113项条款及13个附件，并具有域外效力。也就是说，只要你的AI系统进入欧盟市场，或者输出结果影响欧盟用户，就可能被纳入规则范围。
SaaS企业第一步不是写一份漂亮的合规声明，而是拆产品。
一个客户服务SaaS，可能同时包含聊天机器人、工单分流、情绪识别、知识库生成；一个HR SaaS，可能包含简历筛选、候选人排序、绩效分析；一个教育SaaS，可能包含学习路径推荐、考试评分、学生能力预测。它们在销售页面上都叫“智能化功能”，在欧盟监管语境里却可能落入不同风险类别。
尤其要小心把自己简单归为“低风险工具”。法案中的高风险并不只看行业标签，也看AI系统的用途。如果系统用于教育、招聘、关键基础设施、医疗等场景，合规要求会明显抬高。21财经报道中提到的延期，覆盖的正是医疗、汽车、教育等高风险AI条款，但这只是把部分要求的生效时间推后，并没有取消风险分类本身。
比较稳妥的做法，是按功能模块建立一张内部清单：哪些功能使用AI，面向谁，输出结果会不会影响用户权益，是否涉及欧盟客户或欧盟个人数据，是否属于法案附件中的高风险场景。以后客户做供应商审查、律师做合同审查、监管机构提出问询，这张表会比一段泛泛的“我们重视合规”有用得多。
GDPR仍是SaaS绕不开的底线
欧盟《AI法案》不是孤立运行的。安全内参的解读提到，它并未取代欧盟现有法律体系，而是对数据保护、消费者权益、劳动法、产品安全等规则的补充。
这对SaaS公司影响很直接：AI合规不能只看AI Act，还要回到GDPR等既有规则里。
很多出海SaaS的真实链路是这样的：欧洲客户在系统里录入员工、消费者或终端用户数据；中国团队负责产品开发、运维或模型调优；数据可能经过云服务、日志系统、分析工具和客服后台。只要其中包含个人数据，GDPR的问题就已经出现。若再把这些数据用于模型训练、微调或自动化决策，风险会继续叠加。
这里没有捷径。企业至少要说清楚几件事：数据从哪里来，用户是否知道数据会被AI功能使用，是否有删除和撤回机制，训练或分析时是否做了必要的脱敏，跨境传输有没有法律依据。涉及敏感数据时，解释空间更小。
不少SaaS团队会把数据合规当成法务最后补的一页合同条款。但在欧洲市场，客户采购流程往往会提前问到数据处理协议、子处理方、数据保存期限、跨境传输安排。产品还没上线，合规问卷可能已经先到了。
技术文档要从研发资料变成外部可读材料
欧盟AI监管强调透明性、可追溯性和可解释性。对SaaS企业来说，这会改变技术文档的用途。
过去的技术文档主要服务研发团队：接口怎么调、模型怎么部署、日志在哪里看。现在它还要服务客户审查、律师审查，甚至监管沟通。文档不需要把商业秘密全部摊开，但必须能回答基本问题：系统设计目的是什么，适用边界在哪里，数据处理流程怎样，模型输出有什么局限，出现错误后如何追溯和纠正。
高风险AI系统还会面对更严格的技术文件、风险管理和合格评定要求。德和衡文章在机器人出海合规分析中提到，AI法案以风险分级为核心，将“作为安全组件的AI系统”列入高风险类别，并要求第三方合规认证；新版机械法规还可能与AI法案同时适用，企业会遇到两套技术文件、两套认证流程并行的问题。
虽然SaaS公司未必都涉及机械法规，但这个提醒值得借鉴：欧盟监管常常不是一部法单独起作用，而是多套规则叠加。做企业服务软件的公司，尤其是给制造、医疗、金融、教育、汽车等行业客户供货时，不能只看自己是不是“软件公司”，还要看客户把你的系统嵌进了什么业务流程。
通用大模型接入也要留痕
不少出海SaaS并不自研基础模型，而是接入第三方通用大模型，再包装成客服、营销、知识管理、代码助手等功能。修订后的欧盟AI法案对通用大模型监管、用户数据能否用于训练等问题也有调整，21财经报道已点出这一变化方向。
这类企业容易低估自己的责任。即使底层模型不是自己训练的，面向客户交付AI功能的仍然是SaaS厂商。客户通常不会只问“你用了哪家模型”，还会继续问：输入数据会不会被用于训练，是否默认保存对话，能不能关闭模型学习，生成内容如何标识，出错后谁承担责任。
因此，采购第三方模型时要把合规条款前置。模型供应商的数据使用政策、日志保存规则、版权声明、输出过滤机制，都应该进入供应商评估。否则，SaaS企业很可能在销售端承诺了“不用于训练”，却在技术链路上无法证明。
2028年前，该补的是内部能力
高风险条款延后到最晚2028年8月，给企业留下的是建设期，不是观望期。
更现实的安排，是把合规拆成几项可执行工作：先完成AI功能盘点和风险分类；再梳理数据流向、跨境传输和用户授权；随后补齐面向客户和监管的技术文档；最后，把供应商审查、合同条款、日志留存、人工复核机制放进日常流程。
这几件事并不都需要等到法案完全落地才做。相反，越早进入欧洲大客户采购体系，越早会遇到这些问题。很多时候，合规不是被监管罚出来的，而是在招投标、尽调、合同谈判中先变成门槛。
欧盟《AI法案》的修订让部分企业缓了一口气。但对中国出海SaaS来说，真正要补的课不是背法条，而是把产品、数据、模型和文档放到同一套可解释的体系里。到2028年再补，时间上未必来不及，商业机会可能已经错过。