距离2026年8月2日欧盟《人工智能法案》（EU AI Act）高风险系统规则生效仅剩36天。违规罚款最高为全球年营业额的7%或2000万欧元（取高值）。一家年营收10亿欧元的SaaS公司，这意味着7000万欧元罚单。比罚款更现实的是，欧洲大客户已将法案合规纳入供应商准入清单——没有合规证明，连投标资格都没有。
法案已于2026年3月10日正式生效，监管机构已开始初步审查。很多中国出海SaaS企业仍在观望，以为2027年8月才是最终期限。但高风险系统的义务先行落地。如果你的产品预置了AI招聘筛选、信用评分或内容审核模块，且主要客户在欧洲，现在没有多少时间了。
决定合规工作量的第一个问题：你的SaaS中的AI功能，是默认开启且不可关闭的吗？如果是，你在法案中被视为“高风险系统提供者”，必须在8月2日前完成CE标志自声明、建立风险管理系统、准备技术文档。如果AI只是可选增值模块，客户可以自主开关，那么你可以通过合同将合规责任转嫁给客户，自己只承担有限义务。安永在《出海中企AI赋能的合规实践（欧洲篇）》中详细分析了角色区别，2026年6月发布的实施指南也明确了边界。至于什么算高风险系统，附件III列出了就业、信贷、教育等八类领域，多数SaaS的AI能力都可能落入其中。
数据是第二道门槛。GDPR已经要求个人数据传回中国需要标准合同条款（SCCs）和传输影响评估（TIA），AI法案进一步要求高风险系统记录训练数据和推理日志，且训练与部署被视为不同的数据处理行为，各自需要独立法律基础。欧洲数据保护委员会（EDPB）2026年指南明确了这一点。一个务实策略：把推理实例部署在欧洲（如AWS法兰克福或Azure荷兰），训练数据尽量匿名化或使用合成数据。有金融科技公司通过数据脱敏沙盒，将跨境数据量减少80%，法务审查成本也随之压低。
剩下一个月，不可能重构系统，但以下5件事必须在7月15日前启动：
确定角色。检查AI模块是否可关闭。如果是，更新用户协议，明确客户为部署者。
准备技术文档。记录模型设计、训练数据来源、性能指标、偏差测试结果。开源工具AI Fairness 360可以自动生成偏差报告，缩短起草时间。
建立风险管理系统。这是CE标志审计的核心材料，包含持续的风险识别、缓解和监控流程。
实现人类监督机制。高风险系统必须允许人类随时介入。例如AI招聘筛选的最终决策不能自动发出，界面必须为管理者提供覆盖决策的入口。
办理CE标志注册。提前在欧盟数据库注册，流程通常4-6周，现在必须启动。
成本是现实问题。大型律所的“技术文档+风管+CE认证”套餐通常在50-100万欧元。但《合规倒计时30天》报道了几条省钱路径：用开源审计工具替代部分律师工作，可降低60%法务费；用数字孪生测试（合成数据）替代真人数据采集；多家企业联合备案分摊认证成本。深圳一家HR SaaS公司就是通过这三招，把总合规开支从70万欧元压到了22万欧元。
欧盟AI法案的域外效力很强，只要你的AI服务影响欧盟用户，就可能被管辖。8月2日是高风险规则的生效日，2027年8月全面生效是第二波。但对预置AI模块的SaaS来说，第一波就足够致命。36天后，没有合规证明的SaaS可能连欧洲客户的采购会议都进不去。
（部分信息参考自安永《出海中企AI赋能的合规实践（欧洲篇）》、搜狐《全球AI监管变天》报道。合规成本案例详见《合规倒计时30天：出海企业怎么把AI审查费砍掉七成》。）
