欧盟《人工智能法案》于2024年7月12日在官方公报公布，2024年8月1日正式生效。此后，各类义务分阶段落地。环球律师事务所援引欧盟委员会文件指出，通用人工智能模型提供者的相关规定于2025年8月2日生效；在此之前，欧盟委员会于2025年7月10日发布《通用人工智能模型实践准则》，7月18日又发布了义务范围指南。
对准备进入欧洲市场的中国团队来说，模型选型表里需要增加一列：现有材料能否支持合规审查。开源标签本身不能替代这项判断。团队使用Llama 4或Mistral时，首先要看自己只是部署模型，还是进行了微调、重新发布或对外提供API。角色不同，可能承担的义务也不同，不能把上游模型仓库里的说明直接当作自己的合规文件。
先查材料，再比较模型
过去评估开源模型，重点通常是效果、推理成本和部署难度。进入欧盟市场后，还要检查技术文档、版权政策和训练数据摘要。
欧盟委员会发布的通用人工智能模型相关文件，要求提供者准备较为详细的技术文档，并处理版权政策与训练数据摘要问题。甫瀚咨询对《欧盟AI法案》的解读也把透明度和风险管控列为重点。
因此，评估Llama 4和Mistral时，可以对着同一张清单核验：
- 模型版本、用途边界和已知限制是否写清楚；
- 许可证能否覆盖计划中的商用、微调和再分发方式；
- 上游是否提供训练数据摘要及版权处理说明；
- 微调后发生了哪些变化，团队能否留下版本记录；
- 测试结果、风险处置和发布审批能否追溯；
- 监管机构或下游客户需要材料时，哪些文件可以直接提交，哪些仍需补充。
这里很难仅凭品牌得出结论。Llama 4和Mistral都要结合具体版本、许可证、上游披露材料以及团队自己的使用方式逐项判断。某个模型即使性能更合适，如果关键资料长期缺失，也会把后续成本推给微调和上线团队。
训练数据摘要，不能只写“来自互联网”
训练数据摘要是最容易暴露材料缺口的地方。对于使用大规模互联网语料训练的模型，团队往往拿不到逐条数据记录，也无法替上游重建完整训练集。选型阶段应尽早确认：模型提供方公开了哪些信息，缺少的部分是否会影响自己的业务安排。
如果团队还要进行Llama 4微调或基于Mistral训练业务版本，自有数据至少应留下这些记录：
- 数据来自公开网页、授权内容、业务数据还是用户提交内容；
- 数据经过了哪些版权检查、清洗和过滤；
- 是否包含个人信息，发现后如何脱敏或剔除；
- 每次训练使用的是哪个数据版本；
- 数据集、清洗规则和模型版本之间能否对应。
哈希值、数据版本号和处理日志可以放进训练流水线，避免上线前再靠人工补材料。摘要需要写到什么粒度，应结合欧盟委员会模板、实际角色和专业法律意见确定，不能自行假设列出一份笼统分类就已满足要求。
微调流水线要能留下证据
合规改造不必另建一套与研发脱节的系统。更稳妥的做法，是把必要检查放进现有训练和发布流程。
数据进入微调环境时，先记录来源、授权状态和适用地区；预处理阶段运行个人身份信息检测，并保留人工复核结果；训练完成后，把数据版本、基础模型版本、参数配置和评测结果关联起来；准备发布时，再检查模型卡、许可证说明、风险记录和对外披露材料是否同步更新。
团队可以在模型仓库中增加COMPLIANCE.md，集中说明数据来源类别、版权处理方式、适用场景、限制条件和负责人。它不能取代正式法律文件，但能让研发、产品和法务使用同一份事实底稿。
数据出境问题也要单独核验。金杜律师事务所指出，AI系统可能同时受到消费者保护、产品安全等其他欧盟法规约束，《人工智能法案》不会排除这些要求。微调数据或模型服务如果涉及欧盟个人数据，还需结合GDPR及实际数据流向检查，不能只完成AI Act材料便视为全部合规。
护栏要跟着业务场景走
Bird & Bird对《欧盟人工智能法案》的介绍显示，法案按风险划分AI系统，并禁止部分不可接受的行为，包括使用潜意识技巧、故意操纵或欺骗性技术，以及利用特定群体弱点并造成重大危害。
基础模型最终接入什么业务，会直接改变风险判断。用于内部知识检索，与用于招聘、信用评估或面向消费者的营销服务，审查重点并不相同。单纯在系统提示词里加一句“请安全回答”，难以覆盖完整风险。
更实用的改造包括：在发布前标记使用场景，给高敏感操作增加人工复核；对输入、输出和工具调用设置规则；记录触发拒答、拦截和人工接管的原因；出现争议结果时，能够按模型版本、数据版本和调用记录回放。
这些能力无论使用Llama 4还是Mistral都需要自行建设。模型仓库提供的默认安全设置，可以作为起点，不能代替业务系统的风险控制。
小团队先做一个可交付版本
资源有限时，可以先把工作收敛到几个直接影响发布的环节：
- 确认团队在每项业务中属于模型提供者、部署者还是其他角色；
- 建立模型、数据、许可证和技术文档的对应表；
- 把个人信息检测、数据版本记录和发布检查接入现有流水线；
- 列出上游材料缺口，并明确哪些问题会阻止产品进入欧盟市场；
- 在改变用途、重新微调或对外开放API时，重新检查风险和文档。
选择Llama 4还是Mistral，最终不能只看跑分和部署成本。更关键的问题是：许可证是否匹配业务，训练与微调数据能否说明，技术文档是否可维护，系统行为是否可记录。任何一项长期说不清，都会在客户审查、监管问询或事故排查时变成额外成本。
公开报道提及，违反相关要求可能面临最高1500万欧元或全球营业额3%的罚款。具体责任仍要按适用条款和企业角色判断。对研发团队而言，最值得提前做的工作很朴素：让每次数据处理、模型改动和发布决定都留下可以复核的记录。