欧盟AI法案“大倒退” 出海AI公司可以松口气了？

（原标题：欧盟AI法案“大倒退” 出海AI公司可以松口气了？）

21世纪经济报道记者肖潇 

当地时间11月19日，欧盟委员会提交了一份65页的正式提案，计划将AI法案的落地至少推迟一年。

这部被称为里程碑式的全球首部AI法案，早从2024年8月起开始分批实施。本次修订带来最核心的变化是：医疗、汽车、教育等领域的高风险AI条款，将后延至最晚2028年8月生效。同时，谁来监管ChatGPT等通用大模型、能不能拿用户数据训练AI，也有明显改变。 

对全球治理格局来说，多年来，欧盟始终扮演着最前沿的监管角色，现在这一风向标出现了摇摆。而对有出海布局的国内AI公司而言，这场修订也将直接影响它们的合规节奏。

还值得关注的是，AI法案只是欧盟“减法”目标之一。为了减少法律摩擦，同时稳住欧盟在美中夹击下的竞争力，欧盟委员会近期发布了名为“Digital Omnibus”的一揽子数字法案简化方案，通用数据保护条例、数字市场法、数字服务法等诸多重要法规都面临精简。

本次提案要落地，接下来还要面临一场漫长谈判，等待欧洲议会和欧盟理事会最终拍板。当下的支持声和反抗声都很激烈：大型科技公司和多国政府在施压，而127 个民间组织公开反对，认为这场修订削弱了“来之不易的数字基本权利”，甚至是“欧盟史上数字权利的最大倒退”。

本次AI法案的修订中，大多提案可以视为微调，要么减掉实际义务、要么减掉监管程序，目的都是为中小企业和边缘AI场景降低合规负担。真正重要的变化集中在两点：推迟实施，集中监管。

首要变化是大幅推迟高风险AI条款的时间表。原本的分水岭是2026年8月，高风险条款应从此开始执行。修订后，不再有固定日期，而是必须等到相关技术标准与配套工具成熟后再启动，启动后还会给予6至12个月缓冲期。

这一调整关系到两类行业：

第一类是附件三，被认为有高社会风险的AI系统，主要面向政府执法部门、法院、教育、招聘等公共场景。针对它们的条款最晚在2027年12月2日落地。

第二类是附件一，也就是传统的重监管行业，包括AI辅助诊断的医疗、自动驾驶的汽车、工业机器人的制造业。它们本身已处于欧盟既有产品安全监管下，因此实施AI法案的最晚期限可以一直推迟到2028年8月2日。

至于这些高风险AI具体要履行哪些义务，现在还无法回答。按照AI法案，高风险AI需要确保可信赖性，包括风险管理、网络安全和数据质量等。但AI法案没有写出具体要求，需要依靠后续的协调标准来细化，而标准制定的工作明显滞后。 

技术标准迟迟不见面貌，原因也很复杂。“标准虽然由机构牵头，但实际内容要靠企业成员贡献，不是所有企业都在积极配合。同时机构内部、机构与委员会之间也存在想法分歧。所以现状就是，有的标准严重延期，有的标准基本写完但卡在投票程序。”同济大学法学院助理教授、上海市人工智能社会治理协同创新中心研究员朱悦在社交平台撰文解释道。

这种情况下，公司和监管双方都缺乏依据，来判断高风险义务到底怎么履行。这是推迟需要解决的核心问题。

相比高风险条款，AI法案的另一部分已经先行落地。例如今年2月起，“不可接受风险”的AI系统（社会评分、犯罪预测）已被欧盟禁止；今年8月起，通用大模型（GPAI）如ChatGPT需遵循独立规则，提供训练数据摘要。

通用大模型是AI产业的主心骨，既有规定仍将照常执行。不过，本次修订对监管制度做了一项关键调整，可能会明显提升监管水位。

欧盟委员会提出，大部分基于通用大模型的AI系统，以及嵌入谷歌、Meta、TikTok等大型平台的AI系统，将交由欧盟设立的人工智能办公室集中监管。这样做的背景是，各成员国在AI治理资源、人才储备上差异巨大，欧盟的集中监管意味着更专业和细致，也会减少执法尺度不一致的问题。 

还有一处可能影响全行业的调整，是对AI训练数据的“松绑”。但不确定性不来自AI法案本身。

欧盟委员会为AI法案新增了一项条款：在防止大模型歧视和偏见时，可以允许高风险AI的提供者合法使用种族、性别、健康等敏感个人数据，前提是用后立即删除并采取安全措施。这是开发者和合规从业者最关心的一条，“既要防歧视，又不让大模型触碰敏感数据显然是不合理的，目前至少开通了一条合法通道。”

有争议的是《通用数据保护条例》（GDPR) 的修订。在新闻发布会上，欧盟委员会表示：“我们建议在 GDPR 中明确规定，基于合法利益，公司可以处理与AI相关的个人数据，当然前提是他们完全遵守所有现有的数据保障措施。”

这意味着AI公司用用户数据训练大模型，或是在互联网上公开抓取数据，都可能依据“合法利益”实现。这显然是比AI法案更宽、更有冲击力的放行。

由此引出一个接下来值得关注的问题：欧盟将如何整合这套庞杂的法律体系。从2024年以来，AI法案、数字市场法、数字服务法等数十部数字法规在欧洲陆续落地，适用边界叠加，企业面临的重复义务与合规成本长期受到批评。而本次“一揽子简化方案”的核心目的，就是在不改变立法目标的情况下，降低摩擦、减少重叠，并重新校准这些法规的衔接方式。

尽管 Digital Omnibus 被称为“一揽子简化方案”，但正式文本发布后，欧盟实际上拆成了“两揽子”推进。

可以看到，欧盟委员会官网提案分为AI和综合法案，前一份针对《AI法案》，后一份主要触及《通用数据保护条例》。朱悦指出，简化《通用数据保护条例》面临的争议更大，推进可能更慢。而AI法案的修改共识更坚实，推进可能更加迅速，尽量争取在2026年8月高风险条款的原定生效日期之前完成修改。修改的很多细节则是要取决于欧委会、欧盟其他部门、各成员国和大型科技公司各方博弈。

在各方积极游说下，今年夏天对延缓AI 法案的呼声迅速扩大，目前欧洲产业界、监管机构与民间组织的态度分歧明显。

大型科技公司是目前最积极的“暂停派”。比如Meta 今年就宣布，自己不会签署欧盟通用大模型行为准则【（AI法案框架下的一项自愿性协议）】。该【协议】给开发者带来了“法律上的不确定性”，并且采取的措施“远远超出了AI法案的范围”。

在11月的一场欧盟主权峰会上，欧盟人工智能冠军计划联盟（AI Champions Initiative；AICI）还发布了一项全新的“产业 × AI”战略合作项目，强调欧洲必须通过大规模产业合作，把 AI 生产力锁定在欧洲本土，形成自己的全球级 AI 龙头企业。

这项计划涉及了18个产业，联盟成员为110多家欧洲核心企业——空客、汉莎航空、梅赛德斯-奔驰、Mistral AI、西门子等。美国公司Adobe和Meta也是生态成员。其中许多公司都曾签署公开信，支持推迟AI法案。

成员国政府同样有拖延理由。目前德国和法国已经公开表态，支持AI法案延迟一年实施，而瑞典、波兰、捷克和丹麦此前曾呼吁过暂停或给予宽限期。波兰曾警告称，担忧当前的“紧迫时间表”，可能使欧洲初创企业迁往监管更宽松的地区。

除了欧盟内部，美国也是一个关键变量。合规从业者李汶龙撰文提到，欧盟数字立法简化与地缘政治压力有直接关系。特朗普政府重新掌权后，明确将欧盟AI法对美国科技企业的约束理解为“具有歧视性影响的监管”，并释放了强硬信号，暗示美国将考虑采取贸易报复与关税反制。美国大型科技企业也顺势施压，要求欧盟提供更多的缓冲空间。

与“放宽派”相对的是民间组织的强烈反对。目前已有 127 家非营利组织公开反对简化，尤其针对《通用数据保护条例》的修改，认为触及数字基本权利。奥地利知名的隐私保护组织NOYB就批评称，该提案“大幅降低了对欧洲人的保护”，并且“对美国大型科技公司来说是一份大礼，因为它为法律部门打开了许多可利用的漏洞”。甚至将其称为“多年来对欧洲数字权利的最大攻击”。

接下来，这两份提案将进入欧盟理事会和欧洲议会的讨论程序。在形成共同立场前，估计还有一场漫长的谈判。