2025年8月2日，欧盟《AI法案》全面生效。到今天正好一年。这一年里，欧洲监管机构把纸面规则变成了真金白银的罚款。
一个深圳跨境电商团队，去年10月在法国投放了一款智能客服Agent。产品上线三周后，未按第50条披露“用户正在与AI交互”，被法国CNIL发函要求整改。整改期间产品下线，每天损失约12万欧元销售额。这不是孤例。
执法：2.3亿欧元罚款与127次调查
据欧盟AI办公室2026年6月发布的年度执法报告，过去12个月里，成员国监管机构共发起127次合规调查，涉及89家公司。高风险AI系统调查占62%。罚款总额超2.3亿欧元——平均每次约180万欧元。
最重的一张罚单出自荷兰。2026年3月，Autoriteit Persoonsgegevens对一家跨境信用评分的中国金融科技公司开出3200万欧元。理由有二：一是使用从中国服务器跨境传输的欧洲用户数据，违反GDPR第44至49条；二是未对算法进行歧视性影响评估，违反《AI法案》第6条高风险系统要求。这个案例表明监管的“双重穿透”——数据合规和算法合规，一个都跑不掉。
高风险AI系统：定义比你想的宽
很多出海企业第一反应：“我的产品又不是自动驾驶，怎么可能是高风险？”错。《AI法案》附件三列出高风险领域：生物识别、关键基础设施、教育、就业、基本服务（信贷、保险）、执法、移民、司法等。只要你的AI在这些场景运行且可能对个人权利产生重大影响，就归为高风险。
例如HR招聘筛选AI：如果你向欧洲企业提供AI简历筛选工具，你的系统就属于高风险。需满足：建立风险管理系统（第9条）、使用高质量数据集避免歧视（第10条）、生成详细技术文档（第11条）、自动记录日志（第12条）、人类监督干预（第14条）、达到准确性和鲁棒性标准（第15条）。
据Mozilla基金会在2026年5月的评测，他们对47款面向欧洲的AI招聘工具审计，只有9款完全满足高风险系统的文档要求。大部分缺失“算法歧视影响评估报告”或“系统日志完整性方案”。
数据跨境：主权AI下的硬约束
这里必须提GDPR和《AI法案》的叠加效应。一个直接约束：如果你的模型训练数据或实时推理数据涉及欧洲用户，且数据从欧盟传输到中国服务器，你必须满足以下至少一项：
- 基于欧盟的充分性认定（中国目前不在白名单上）
- 使用标准合同条款（SCCs），并完成数据传输影响评估（TIA）
- 实施有约束力的企业规则（BCRs）并获批准
2026年新增变化：欧洲数据保护委员会（EDPB）3月更新了“后续传输”指南——即使你用了SCCs，如果中国供应商再把数据转给第三方（如云计算服务商），你也得管住这一层。
这直接推动了“主权AI”趋势。全球企业对数据隐私合规高度敏感，欧盟不仅在法律层面限制数据流出，还在基础设施层面推动本土算力集群建设。正如我们在《DeepSeek开源路线》中分析的，从API转向本地部署DeepSeek开源模型的企业越来越多——这不是情怀驱动，而是成本、隐私和合规的硬约束。在欧洲本地租用GPU服务器部署开源模型，成为最稳妥的技术路线。
算法透明度：说人话，别玩黑盒
第50条要求任何与用户直接交互的AI系统（包括聊天机器人、生成式AI内容、情感识别系统等），必须清晰告知“你在和AI说话”。2026年1月，德国柏林消费者中心起诉一家中国智能音箱厂商，因其播放AI生成的新闻摘要时未提示“由AI生成”。法院判罚200万欧元，强制所有欧盟市场固件增加语音提示。
更深层的要求是算法如何做出决策的解释权。对于高风险系统，你必须提供“有意义的解释”——用用户理解的语言说明为什么拒绝贷款、为什么打这个分数。不是技术白皮书，而是人话。
合规自查清单：出海前逐条检查
结合过去一年的案例，以下是一份直接可用的检查表。
第一阶段：产品分类
- 我的AI系统是否属于附件三高风险场景？
- 如果是，是否触发第6条“对安全或基本权利的重大影响”门槛？
- 如果不属于高风险，是否属于有限风险（如聊天机器人）并需满足透明度义务？
第二阶段：数据合规
- 训练数据是否包含欧盟居民个人数据？
- 数据采集是否获得明确、知情、具体的同意？（GDPR第7条）
- 数据传输是否涉及跨境？是否具备SCCs或BCRs？
- 是否完成数据传输影响评估（TIA）？
- 数据存储是否满足“数据最小化”原则？
第三阶段：算法与透明度
- 用户交互界面是否有清晰标识“AI生成”或“与AI交互”？
- 是否建立算法歧视影响评估机制？
- 高风险系统是否保留完整且不可篡改的操作日志？
- 是否提供人类监督接口（如人工熔断机制）？
第四阶段：供应链责任
- 使用的第三方模型（如OpenAI API、Meta Llama 4、DeepSeek开源模型）是否符合欧盟合规要求？
- 提供商是否提供了必要的技术文档？
- 你的下游客户（如欧洲SaaS公司）是否要求合规承诺书？
2026年8月2日：倒计时开始
根据时间表，2026年8月2日起，所有高风险类别AI系统——包括2025年8月前已上市的产品——都必须完成合规评估并获CE认证。窗口期还剩不到两个月。
另据内部消息，欧盟委员会正在起草关于生成式AI的补充指南，专门针对“AI幻觉产生的法律风险”责任分配，预计2026年底发布。结合《深圳电商Agent烧掉52万》案例，Agent的自动化交易功能未来可能需要强制增加人工确认步骤。
合规不是成本，是门槛。那些在2025年前就主动布局合规的中国公司——比如选择本地部署DeepSeek的企业——《DeepSeek开源路线》提到的案例，在2026年欧洲市场上反而跑得更快。
如果你们公司的AI产品在欧洲任何一个国家有超过1000个活跃用户，现在就启动合规审计。别等罚款来了再行动。欧洲监管机构正在越来越熟练地使用跨境调查权，而且，它们真的会看你的代码。
