欧盟AI法案不是“将来某一天”的监管了。
深圳市司法局援引商务部信息称，当地时间2025年2月2日，欧盟人工智能法案（EU AI Act）的首批合规要求正式生效。更早之前，该法案于2024年3月获欧洲议会批准，并于同年8月1日正式生效。Intertek的合规实务指南也提到，Regulation (EU) 2024/1689已正式成为法律，核心条款自2025年2月起分阶段强制执行。
这意味着，进入欧盟市场的AI产品和带AI能力的软件服务，不能再只把合规理解成隐私政策、Cookie弹窗和数据处理协议。对中国SaaS企业来说，真正麻烦的是：很多原本被包装成“智能功能”的模块，可能会被欧盟AI法案重新放进风险分级框架里审视。
先被盯上的，不是所有AI，而是“不可接受风险”
首批生效要求主要针对法案第五条所列的“不可接受风险”AI应用。深圳市司法局发布的预警信息中列举了几类典型场景：社会评分、潜意识操纵、生物识别数据滥用等。
这对SaaS企业的提醒很直接：如果产品在欧盟市场提供用户画像、行为预测、员工管理、招聘筛选、身份识别、风控评分等能力，不能只看功能是否好用，还要看它是否触碰了欧盟对基本权利和安全的红线。
比如，一个面向企业客户的人力资源SaaS，如果接入AI筛选简历、分析候选人特征，风险点就不只在数据来源是否合法，还包括算法是否可能造成歧视。Protiviti在《欧盟AI法案》合规解读中也提到，AI应用中的公平性问题可能表现为算法偏见，例如招聘系统对特定群体产生不利影响。
再比如，客服、营销自动化、增长工具常用的行为分析与个性化推荐，如果涉及利用用户弱点、诱导用户作出特定行为，就需要格外谨慎。Intertek指南提到，欧盟AI法案禁止的AI实践包括利用潜意识技术或年龄、残疾等弱点扭曲行为。
SaaS出海的合规压力，正在从数据隐私扩展到模型治理
过去几年，中国软件企业进入欧洲市场，最熟悉的合规关键词是GDPR。客户问得最多的是数据存储在哪里、是否跨境传输、是否签署DPA、是否有删除和访问机制。
现在问题变多了。
大成律师事务所关于欧盟AI行为准则的研究文章提到，从2018年GDPR全面实施开始，欧盟在数字经济监管领域持续加码；2022年和2023年，《数字市场法案》（DMA）和《数字服务法案》（DSA）相继生效，对大型科技平台的内容审核责任、算法透明度、用户选择权等提出更多要求。
AI法案接上了这条监管线索。它不是单独看一段代码，而是看AI系统在什么场景使用、可能影响谁、风险如何被识别和控制。Protiviti的解读中也指出，欧盟AI法案的目的在于加强对AI系统风险的识别与管控，引导企业在可持续与合规框架下推进AI创新与落地。
对SaaS公司来说，这会改变产品、销售和法务的分工。
以前，合规问题常常由法务在合同阶段兜底。现在，如果产品经理在需求阶段没有标注AI功能用途，算法团队没有保存测试和评估记录，销售在对外材料里把“自动决策”“智能识别”“精准评分”说得过满，后面再补文件会很被动。
真正该做的，是先把产品里的AI功能盘一遍
很多SaaS企业不是纯AI公司，但产品里已经有不少AI能力：智能客服、自动摘要、内容生成、线索评分、异常检测、权限风控、自动翻译、会议纪要、员工绩效辅助分析。
这些功能不一定都属于高风险，更不等于都会被禁止。问题在于，企业需要能说清楚三件事：它是什么AI系统，用在什么场景，会影响哪些人的权利或利益。
一个比较现实的起点，是做内部AI功能清单。不是写一份泛泛的“AI伦理原则”，而是逐项列出：
- 哪些产品模块使用了AI或机器学习能力；
- 是否面向欧盟用户或被欧盟客户使用；
- 是否涉及个人数据、生物识别数据或敏感场景；
- 是否用于招聘、员工管理、教育、金融风控、身份识别等更容易被审查的领域；
- 是否存在自动决策，用户或客户是否可以人工复核；
- 对外宣传中是否夸大了AI能力或淡化了限制。
这张表不复杂，但它能帮企业发现一个常见盲区：合规风险往往不在“我们做了一个大模型”，而在“我们把AI嵌进了一个客户每天都用的业务流程”。
不要等客户尽调时才补材料
欧盟客户采购SaaS时，通常会把合规要求前置。AI法案进入执行阶段后，尽调问卷很可能从数据保护扩展到AI治理：是否做过风险评估，是否有人类监督机制，是否有日志和追溯能力，是否能解释模型用途，是否有禁止用途清单。
这些问题如果临时回答，往往只能给出原则性表态；如果提前准备，才可能转化成销售优势。
至少有几类材料值得提前整理：AI功能说明、风险分级判断、数据来源说明、用户告知文案、人工复核机制、模型输出限制、异常处理流程，以及面向欧盟客户的合同条款。素材不足时，不要在官网和销售PPT里轻易写“完全自动”“零人工干预”“精准识别所有风险”这类说法，它们会增加解释成本。
AI法案不会让中国SaaS企业停止出海，但会提高进入欧洲市场的基本门槛。过去靠功能和价格就能打动客户的产品，现在还要证明自己知道边界在哪里。
2025年2月2日首批要求生效后，欧盟监管的重点先落在“不可接受风险”AI应用上。对出海企业来说，这不是等待罚单的时间点，而是补齐产品清单、风险评估和客户说明材料的时间点。越早把AI能力讲清楚，越不容易在合同、采购和监管环节被动。
