3500万欧元的罚单，不是吓唬人
2026年8月2日，欧盟《人工智能法案》（EU AI Act）中关于高风险AI系统的条款将正式生效。违规企业面临的最高罚款是3500万欧元，或全球年营业额的7%——哪个数字更大就罚哪个。对绝大多数中小AI团队而言，这足以构成生存威胁。
现在是6月25日，你还有39天。
先搞清楚你是不是“高风险”
很多团队的第一反应是：“我们只是做个SaaS工具，怎么会是高风险？”但法案对“高风险”的定义比你想象的宽。教育评估、招聘筛选、信用评分、生物识别、关键基础设施管理——这些领域的产品，几乎必然被归为高风险。
今天就得做的事：
- 列出你所有在欧洲市场部署的AI系统及其功能
- 对照法案附件III的八个高风险领域逐项比对
- 如果你的系统属于高风险，立刻在欧盟数据库注册
一个常见误解： 把“辅助决策”当成“非决策”。法案明确，即使AI只是辅助人类做最终决策，只要决策属于高风险场景，系统本身仍可能被定性为高风险。比如一个给HR推荐候选人的工具，风险登记就需要非常清晰。
训练数据的来龙去脉，必须能讲清
高风险AI系统的训练数据必须满足质量、代表性和合法性要求。这意味着你得能回答：数据从哪来的？是否获得合法授权？是否包含偏见？如何清洗和标注的？
具体动作清单：
- 建立数据溯源清单，记录每个数据集的来源、采集时间、授权状态
- 对训练数据做偏见检测，特别是性别、种族、年龄等敏感维度
- 确保数据处理流程符合GDPR——这与AI法案直接关联
如果你正在用RAG架构构建知识库，数据审计的复杂度会显著增加。混合架构下的数据管理需要更精细的分层策略，这对合规文档的粒度也有影响。
技术文档：不是写论文，是留证据
法案要求高风险系统的技术文档必须在系统投放市场前准备好，并在系统生命周期内持续更新。文档内容包括：系统设计逻辑、训练方法、性能指标、风险评估结果、人工监督机制。
你需要做的：
- 为每个高风险系统创建技术文档模板，至少覆盖上述五项
- 记录模型选择理由、超参数调整过程、测试结果
- 明确标注人工干预点和兜底机制
技术文档不是给人看的，是给监管机构审查的。它需要足够具体，让第三方审计员能够验证你的说法。如果你用的是开源模型，比如Mistral Large 3这种从训练层面就内置合规设计的模型，文档工作会轻松不少，因为你可以在上游就拿到模型卡和数据声明。
系统运行的每一秒，都要有据可查
高风险AI系统必须自动记录系统运行日志，且日志保存期限不少于6个月（部分领域更长）。日志必须包含：输入数据、系统输出、决策依据、时间戳、系统版本。
检查清单：
- 确认你的日志系统是否覆盖了上述所有字段
- 检查日志存储是否满足最低保留期限要求
- 测试日志的可读性和可检索性——监管机构要求查询时必须能快速响应
一个工程细节：如果你的AI系统运行在端侧设备上，日志的本地存储和同步机制需要特别设计。端侧部署对存储空间和功耗都有严格约束，日志策略需要在合规要求和资源限制之间找到平衡点。
39天行动清单：按周推进
第1周（6月25日-7月1日）：风险定性
- 完成所有AI系统的风险分类
- 高风险系统立即启动注册流程
- 组建合规工作小组（即使只有1-2人也行）
第2周（7月2日-7月8日）：数据审计
- 完成训练数据溯源清单
- 完成偏见检测初步报告
- 确认数据处理流程与GDPR的衔接点
第3周（7月9日-7月15日）：技术文档
- 完成高风险系统的技术文档初稿
- 内部评审，补充缺失环节
- 确认人工监督机制的落地细节
第4周（7月16日-7月22日）：日志与测试
- 完成日志系统改造和测试
- 模拟监管审查，检查文档和日志的响应速度
- 修复发现的问题
第5周（7月23日-7月31日）：收尾与备份
- 最终文档定稿，多处备份
- 全员合规培训（至少让团队知道红线在哪）
- 准备应急预案：如果8月2日被审查，第一句话说什么
给出海团队的额外提醒
如果你的AI产品同时面向东南亚、中东、拉美市场，合规工作会更复杂。欧盟、东南亚、中东的合规要求各有硬性规定，特别是数据本地化和跨境传输方面。建议采用三层合规架构：底层数据隔离、中层规则引擎、上层业务适配。
39天，把合规当入场券
39天确实紧张，但欧盟AI法案的本质不是要扼杀创新，而是建立信任。对中小团队来说，合规做得好，反而是进入欧洲市场的差异化优势。当你的竞争对手还在观望时，你已经拿到了入场券。
现在就开始，别等8月2日再后悔。