2026年8月2日，欧盟AI法案对高风险AI系统的完整合规要求将强制执行。但执法从未等待截止日——据欧盟AI办公室数据，仅2025年上半年，AI合规工程师岗位需求就激增370%，平均年薪达18万欧元（来源：今日头条报道）。这背后是大量企业面对新规的措手不及。
从2025年下半年开始，欧盟AI办公室已启动“事前评估+事后审计”试点。三家SaaS企业——德国的RecruitAI、法国的MediDiag、荷兰的CreditScore Pro——因不同问题被立案处罚。它们的整改过程，是出海企业最真实的合规教材。
RecruitAI：高风险分类的“踩线”代价
这家柏林HR-Tech公司部署了无监督学习简历筛选引擎。2025年11月，德国联邦劳动局收到投诉：引擎对东欧申请者的拒绝率高出本地人34%。欧盟AI办公室依据附件III（就业领域），将其标记为高风险系统——理由是“可能显著影响职业前景”。
整改三步走：
- 立即停止使用歧视性模型，转为人工初审+AI辅助评分。“这不是技术问题，是分类问题。”CEO在内部邮件中承认。
- 成立内部伦理委员会，强制包含一名法学背景成员（由波茨坦大学数据伦理教授出任）。委员会每月评审算法偏见指标，并将决策记录存入不可篡改的区块链日志。
- 引入第三方审计。公司委托Deutsche Akkreditierungsstelle授权的认证机构进行年度审计，涵盖训练数据来源、标签多样性、偏差检测频次等。认证成本约12万欧元/年，但换来了市场准入。
RecruitAI的教训：风险分类不是技术自评，而是法律认定。 如果你的SaaS涉及就业、信贷、医疗或关键基础设施，主动去对照AI法案附件III，而不是等欧盟来找你。
MediDiag：人类监督不是可选项
这家巴黎医疗AI SaaS提供肺结节影像分析，2026年2月被认定为高风险系统，原因是“属于医疗器械但未走CE认证”。更致命的是，系统诊断完全自动化，没有医生确认环节——违反了法案第14条“人类监督”要求。
整改核心：
- 嵌入HITL（人机回环）：重新设计工作流，AI输出置信度低于阈值时必须由放射科医生签名。参考《医疗AI防幻觉实战：顶级医院的三道安全网》中Mayo Clinic的做法，MediDiag将阈值设为0.92。“这个数字来自三个月历史数据的回测——假阳性降至1例/千次。”CTO在采访中说。
- 建立可解释性模块：每个诊断必须附上关键影像区域热力图和推理路径，以便医生复核。
- 定期第三方审计：由法国国家医学科学院认可的CE机构每半年审计一次，重点检查HITL记录和模型漂移。
MediDiag的教训：高风险AI系统必须有“人”在回路里，而且这个设计必须在产品上线前就完成。 事后补案的成本是前期的5倍——MediDiag团队花了9个月才满足第14条。
CreditScore Pro：透明度的终极拷问
这家荷兰金融SaaS利用行为数据和社交网络特征做信贷评分。2025年12月，荷兰数据保护局接到消费者投诉：系统拒绝了一位年收入8万欧元、信用记录良好的申请人，且未给出解释。依据法案第13条（透明度义务），该系统被强制要求提供“有意义的解释”。
整改动作：
- 剥离争议特征：移除社交网络连接、设备使用习惯等非直接金融特征，只保留收入、负债比、历史还款记录。模型AUC从0.87降到了0.83，但每笔拒绝都自动生成解释报告。
- 设立DPO（数据保护官）：按照GDPR+AI法案双重标准，DPO兼任伦理委员会负责人，每月向董事会提交合规清单。
- 引入独立审计：普华永道欧盟团队对其算法进行了首期审计，输出一份72页的日志审查报告，涵盖特征权重、拒绝阈值、抽样公平性。整改后，投诉量下降82%。
CreditScore Pro的教训：算法透明度不是道德问题，是合规刚需。 出海企业必须在产品逻辑里内置可解释接口，否则将被直接切断市场。
“高风险”认定的模糊地带与合规路线图
三个案例暴露了一个共性：企业对“高风险”的自我评估与监管判定往往存在错位。RecruitAI最初认为自己的系统仅用于“效率提升”，却被重新归类；MediDiag的产品从未被当作医疗器械申请CE标志；CreditScore Pro的争议特征在荷兰数据保护局眼中是“黑箱”。
欧盟AI法案的风险分类不是填空题，而是动态审查。企业需要：
- 立即进行产品风险自评：对照附件III，特别注意边缘功能——比如用于招聘筛选、医疗辅助、信贷评估、关键基础设施运维的AI。
- 重建组织架构：成立伦理委员会（至少一名法律背景成员）并指定DPO。合规人才稀缺，参考“中欧联合培养计划”输送专员。
- 第三方审计常态化：高风险系统须公告CE标志，需指定机构审计。提前对接荷兰RVA、德国DAkkS等认可机构，周期通常6-12个月。
- 文档与透明度：保留训练数据、模型版本、偏见检测、人工监督记录至少十年。可参考《AI报销Agent被骗120万，财务自动化该如何加固？》中的日志审计经验，用区块链存证提升可信度。
距离2026年8月2日还有35天。你的产品，准备好面对欧盟检察官和你的用户了吗？
