欧盟AI法案已经不是一份只供法务部门研究的文件。
据甫瀚咨询对《欧盟AI法案》的合规解读，欧盟委员会早在2021年4月提出草案，法案于2024年7月12日刊登在官方公报，并在公布20天后，也就是2024年8月1日正式生效。对准备进入欧洲市场的AI公司来说，这个时间点意味着一个变化：产品能不能卖，不只看功能、价格和客户需求，还要看它被放进哪个风险等级。
这种压力对大公司和中小企业不是同一种感受。大型科技公司通常有专门的法务、公共政策和合规团队，可以把监管要求拆成内部流程。中小企业更常见的情况是：产品经理、算法负责人、商务负责人一起补材料，临近客户验收时才发现，原来的技术文档、数据记录和人工干预机制都不够用。
难的不是读懂法案，而是把产品放进格子里
欧盟AI法案的基本思路是风险分级。《人民论坛》曾把它概括为全球首部综合性人工智能立法，并指出其重点在于用风险分级方法处理人工智能应用，同时体现欧盟在全球AI规范中的主导诉求。
这个框架看起来清楚：风险极小或无风险的系统基本不受限制；不可接受风险的行为被禁止；高风险系统则要承担更重的合规义务。Two Birds的中文指南也提到，法案列明了禁止行为，例如使用潜意识技巧或操纵、欺骗性技术，导致重大危害；利用特定群体弱点造成重大危害；社会评分系统；以及仅根据个人特征或资料评估某人实施犯罪风险等。
问题在于，中小企业卖的往往不是一个孤立软件，而是嵌进客户业务流程的系统。同一个AI工具，用在普通内容生成场景和用在招聘、教育、医疗、执法相关场景，监管含义可能完全不同。企业不能只说“我做的是通用模型”或“我只是提供接口”，还要回答客户把它接到哪里、是否影响自然人的权利和安全、是否需要人工复核。
这也是合规成本最容易失控的地方。不是所有成本都来自罚款，更多成本出现在前面：重新整理技术文件，说明训练数据和系统边界；补充风险识别和管控流程；为客户准备欧盟市场所需的说明材料；必要时引入外部法律或认证服务。对现金流有限的公司来说，这些工作会挤占研发和交付资源。
法案生效了，执行安排还在变
安全内参在2026年3月25日的文章中提到，欧洲议会于3月19日通过名为《人工智能立法的数字综合法案》（Digital Omnibus on AI Regulation）的立法提案，对欧盟《人工智能法案》提出修订意见。该提案报告已于3月18日在欧盟委员会会议上通过，投票结果为赞成101票、反对9票、弃权8票。
这条信息对企业很关键。它说明欧盟AI监管不是“一次落地、长期不变”的静态规则，而是边执行边修正。对合规资源充足的公司来说，法规更新只是多一次内部评审；对中小企业来说，任何一次条款解释或执行节奏变化，都可能影响产品路线、合同交付和客户沟通。
很多出海团队最怕的不是要求严格，而是要求变动后无法及时判断。某个功能在立项时看起来只是辅助工具，到了客户落地时却可能进入更敏感的业务场景；某份技术说明在签约阶段够用，到了审计或客户尽调阶段又需要补充数据治理、人工监督、日志留存等内容。
因此，欧盟AI法案带来的合规压力，不能简单理解成“多请一个律师”。它会进入产品架构、数据管理、销售合同和客户成功流程。
中小企业最先碰到的是三笔账
第一笔账，是分类判断的成本。
企业需要先弄清楚自己的系统属于哪类风险。如果判断过低，后续被客户、监管机构或合作方要求重做材料，代价会更高；如果判断过高，又可能让产品背上不必要的合规负担。风险分级看似是法律问题，实际需要产品、算法、行业场景一起判断。
第二笔账，是文档和流程的成本。
甫瀚咨询的解读强调，法案目的在于加强对AI系统风险的识别与管控，引导企业在合规框架下推进AI应用。落实到企业内部，往往意味着要把过去散落在研发文档、测试记录、客户方案里的材料重新组织起来。训练数据的来源和特征、模型能力边界、已知局限、人工监督方式、异常处理机制，都要能被解释。
第三笔账，是市场适配的成本。
欧盟强调综合性、风险分级的AI监管；美国联邦层面长期没有形成同样结构的统一AI法案；新加坡等市场则更偏向轻量化、框架式治理。企业如果同时服务多个市场，就很难靠一套材料解决所有问题。欧洲客户要看的技术文件，美国客户关心的审查重点，东南亚客户接受的披露方式，可能并不一致。
这会反过来拖慢产品迭代。过去一个模型版本上线，主要看测试结果和客户反馈；现在还要考虑该版本是否改变了风险等级，是否触发新的说明义务，是否影响既有合规材料的一致性。
“先进欧洲再补材料”的路变窄了
2022年11月OpenAI推出基于GPT-3.5系列大模型的ChatGPT后，AIGC快速成为全球创业、创新和投资热点。汉坤律师事务所的立法观察也提到，各主要经济体开始针对AI产业出台监管政策，中国国家互联网信息办公室曾在2023年4月公布《生成式人工智能服务管理办法（征求意见稿）》并公开征求意见。
这意味着，AI公司面对的不是单一欧盟规则，而是全球主要市场对AI应用的重新定价。欧洲只是把这件事推得更早、更系统。
对中小企业来说，比较现实的做法不是等客户催材料时再补，而是在产品设计阶段先做几件事：
- 明确产品不会进入哪些高敏感场景，并写进销售和交付边界；
- 为核心功能保留可解释的技术文档，而不是只留下代码和演示稿；
- 对涉及自然人权益的场景设计人工复核和日志留存；
- 在进入欧盟市场前，先完成风险分类和差距评估；
- 把合规要求纳入版本管理，避免每次迭代都推倒重来。
这些工作听起来不像增长故事，也不会直接带来新客户。但在欧盟AI法案已经生效、后续执行安排仍可能调整的情况下，它们会决定企业能不能持续服务欧洲客户。
真正的门槛，是持续合规
欧盟AI法案给中小企业带来的压力，不只是“合规贵”。更准确地说，它把AI产品的进入门槛从技术能力扩展到组织能力。
企业要能说明产品怎么工作，风险在哪里，客户怎样使用，出现问题如何追踪。过去这些内容常被放在售前材料或内部经验里；现在，它们需要变成可审查、可更新、可交付的制度和文档。
对准备出海的AI中小企业来说，欧洲市场仍然有价值，但不能再按低成本试错的方式进入。先判断风险等级，再决定产品边界和交付方式，比先拿客户、后补合规更稳妥。
法案仍在调整，监管细节还会变化。已经确定的是，合规不会再只是法务部门的附属工作。它正在成为AI产品的一部分，也会成为中小企业能否留在欧洲市场的硬门槛。
