欧盟AI监管到了一个微妙阶段：法律已经生效，细则还在变化，企业不能再只把它当成法务部门的文件。
甫瀚咨询在《欧盟AI法案》合规解读中提到，EU AI Act 于2024年7月12日刊登在欧盟官方公报，公布后20天，也就是2024年8月1日正式生效。它的基本思路是按风险分级管理AI系统，风险越高，企业要承担的文档、测试、监督和治理义务越重。
但到2026年，变量还没有结束。安全内参援引赛博研究院文章称，2026年3月18日，欧盟委员会会议通过《人工智能立法的数字综合法案》（Digital Omnibus on AI Regulation）提案报告；3月19日，欧洲议会通过该立法提案，投票结果为赞成101票、反对9票、弃权8票。该提案对EU AI Act提出重大修订意见。
这对中国出海企业的直接含义很简单：不要等“最终版本”出来再动手。监管文本还会调整，但合规工作的底层任务已经清楚了。
先把AI身份说清楚
透明度是最容易被忽视的一项。
北京德和衡律师事务所整理的“全球立法和监管2026年5月”动态中提到，欧盟委员会就《人工智能透明度义务指南（草案）》公开征求意见。这说明欧盟正在把“用户是否知道自己在和AI互动、是否知道内容由AI生成”这类问题进一步细化。
对出海产品来说，透明度不能只理解成页面角落放一句“由AI生成”。如果产品涉及聊天机器人、AI客服、数字人、语音合成、图像生成、推荐排序，企业至少要回答几个问题：
- 用户在第一次接触时，能不能明确知道对面是AI系统；
- AI生成内容是否有清晰标识；
- 标识是否会在转发、下载、二次编辑后消失；
- 面向消费者的说明，是不是只有法务能看懂。
这里的重点不是把模型能力讲得多复杂，而是让普通用户在使用场景里能识别AI。跨境电商客服、营销素材生成、虚拟主播、智能导购，都属于容易踩线的场景。
数据流向要能画出来
欧盟AI法案不能单独看。对在欧洲提供服务的企业，GDPR仍然是基础约束。大成上海律师事务所的文章也提到，从2018年GDPR全面实施，到2022年、2023年《数字市场法案》（DMA）和《数字服务法案》（DSA）相继生效，欧盟对数字经济监管持续收紧，并涉及内容审核、算法透明度、用户选择权等要求。
很多中国企业的问题不在于完全没有合规意识，而在于产品和工程架构沿用国内做法：数据先集中收上来，再统一训练、分析、分发。到了欧盟市场，这种做法必须被重新拆开检查。
企业至少要能画出一张数据流向图：
- 欧洲用户数据在哪里采集；
- 哪些字段会进入模型训练或调优；
- 是否涉及个人数据、敏感数据或生物特征相关数据；
- 数据是否跨境传输；
- 谁能访问这些数据；
- 删除、撤回、异议处理怎么落地。
这张图不只是给监管看的，也给产品、算法、运维和销售团队看。否则业务人员承诺“我们不保存数据”，工程侧却留下日志；产品页面写“仅用于本次服务”，后台却进入模型优化链路，都会变成后续风险。
高风险系统别只靠免责声明
EU AI Act采用风险分级管理。甫瀚咨询的解读中提到，法案目标在于加强对AI系统风险的识别与管控，并列举了公平性等典型风险，例如算法偏见可能导致招聘系统对特定群体产生不利影响。
这对中企出海尤其重要。并非所有AI功能都会落入高风险，但一旦进入教育、就业、医疗、关键基础设施等场景，企业就不能靠一段免责声明解决问题。
比如招聘筛选系统。企业需要证明模型不会因为性别、年龄等因素形成系统性歧视，也要保留评估、测试和人工复核机制。再比如医疗辅助诊断，准确性、适用范围、责任边界都要写清楚，不能把模型输出包装成确定性结论。
德国企业合规指南类文章也提到，进入2026年第一季度，围绕EU AI Act的讨论已经从抽象准备转向具体行动，工业、汽车、医疗保健等领域企业受到更直接影响。这一点对中国供应商同样适用：只要你的AI系统嵌入欧洲客户的业务链条，就可能被要求提供合规材料。
基础模型企业要多看一层
如果企业提供的是通用模型、基础模型能力，压力会更早传导过来。
大成上海律师事务所关于欧盟AI行为准则的文章指出，欧盟AI行为准则正式发布，并将其称为全球首个基础模型监管框架。文章同时提醒，中国科技企业在欧盟市场面临的合规压力正在上升。
这类企业要准备的材料，通常不止产品说明书。训练数据来源、版权风险、模型能力边界、安全测试、下游使用限制，都可能成为客户尽调或监管关注点。尤其是把模型能力通过API、SDK、私有化部署交给欧洲客户时，合同里写“客户自行合规”并不一定够。
更现实的情况是，欧洲客户会反过来要求中国供应商提供材料：模型卡、数据说明、风险评估、更新记录、事件响应流程。没有这些文件，销售推进会变慢，甚至进不了采购流程。
现在该补的三本账
对大多数出海企业来说，不必一上来就做一套庞大的合规体系。更务实的做法，是先补三本账。
第一本是“产品账”。列出所有使用AI的功能，标明它们面向谁、解决什么问题、是否影响用户权益。客服机器人、智能推荐、内容生成、风控评分、简历筛选，不要混在一个“AI能力”标签下面。
第二本是“数据账”。把数据采集、处理、存储、传输、删除的链路写清楚。尤其要单独标注欧洲用户数据，以及是否进入训练或模型优化环节。
第三本是“责任账”。每个AI功能出现错误、偏见、误导或用户投诉时，谁负责处理，是否有人为复核，是否有申诉入口，是否保留记录。
这三本账做完，企业才知道自己该补透明度标识、数据处理记录、偏见测试，还是高风险系统的人工监督机制。
欧盟AI法案还会继续细化，执行节奏也可能调整。但对出海企业来说，最危险的状态不是规则变化，而是内部说不清：产品说不清AI在哪里，算法说不清数据怎么来，法务说不清风险谁兜底。
先把这些基础问题理顺，比等下一版指南更有用。
