欧盟 AI 法案通用模型监管条款正式生效，罚单最高可达全球营收 3%

条款写了一年，牙齿现在才真正长出来。

这次生效的到底是什么

具体来看，根据官方执法框架说明，欧盟委员会现在有权要求模型厂商提交文档和信息、开展评估、要求采取合规整改或市场限制措施（包括产品下架、召回），以及直接开出罚单。据 beam.ai 的梳理，根据《人工智能法案》第 101 条，通用模型提供者如果违规，最高可能被罚 1500 万欧元或全球营收的 3%，两者取高。而如果涉及更广泛的法案违规（比如被禁止的 AI 应用场景），罚款上限根据第 99 条能冲到 3500 万欧元或全球营收的 7%。

监管的核心内容，是要求通用模型厂商对下游 AI 系统开发者保持透明（比如模型的训练数据来源、能力边界要能说清楚）、尊重版权，同时对能力最强的一批模型执行更严格的安全审查，防范化学、生物、核能相关的滥用风险，以及"失控"和网络攻击等系统性风险。

值得注意的是，这套监管义务本身不是新东西——从 2025 年 8 月就已经写入法律，新发布的模型早就要遵守。真正改变的是"有没有人真的来查"。据 artificialintelligenceact.eu 的分析，执法渠道也不只是委员会主动出手：各国市场监管机构可以要求委员会介入，下游开发者如果觉得自己用的底层模型不合规，也可以直接投诉。

深度解析：合规窗口期真正关闭意味着什么

这次生效最容易被误读的一点，是很多人会觉得"新规则来了"。但真正准确的说法是：规则从来没变，变的是执行力。过去一整年，通用模型厂商其实已经在按照第五章的义务运转——该披露的训练数据说明、该建立的版权尊重机制，理论上都已经在做。只是在这一年里，即便某家厂商做得不到位，监管机构也没有实质性的调查权和罚款权可以真正落地。这种"名义生效、实际空转"的状态，给了所有玩家一个隐性的心理缓冲：反正现在查不到我。

而从 8 月 2 日起，这个心理缓冲彻底消失了。更关键的是，执法权力的落地不是孤立事件，而是叠加了一整套多渠道监督体系——成员国监管机构、下游开发者投诉通道、科学专家预警机制，三条线同时开始运转。这意味着一家通用模型厂商即便在总部所在国应付得当，也可能因为某个欧洲下游客户的投诉，或者某个成员国监管机构的主动调查，被卷入执法程序。过去"合规是加分项"的心态，从这一天起正式切换成了"合规是生存底线"。

对于所有把业务做到欧盟市场的出海企业而言，这条新闻真正需要被重新理解的地方，是它和大众印象中"AI 合规"之间的错位。大多数企业对欧盟 AI 合规的认知，还停留在"高风险 AI 系统"这个大众层面——招聘、教育、执法、移民管理相关的高风险系统规则要到 2027 年 12 月才正式适用，不少企业因此产生了"还有时间"的错觉。但这次生效的通用模型监管条款是完全独立的一条线，而且已经生效，覆盖的是所有向欧盟市场提供或集成通用 AI 模型能力的主体——不管最终应用场景是不是"高风险"。换句话说，一家企业即便自己的产品形态还没触及高风险红线，只要它的技术栈里用到了受监管的通用模型，且这个模型的合规文档、内容标注、风险评估存在缺口，理论上就已经处在被追责的风险敞口里。

更现实的问题是，这套监管体系对"透明度"的要求，本质上是要求厂商能够拿出可审计的文档化证据——不是嘴上说合规，而是要能拿出训练数据溯源记录、风险评估报告、内容标注机制的实际留痕。这对很多习惯于"先做业务、后补合规"的出海团队来说，是一个思维方式上的转变：AI 相关的合规基础设施，不再是可以在业务跑起来之后再回头补的"选修课"，而是从产品设计阶段就要嵌入的必修课。

我们在服务外贸出海企业客户的过程中，经常听到一种声音："先把产品和获客跑起来，合规的事等做大了再说。" 欧盟这次执法权生效，恰恰说明这种思路在欧洲市场正在变得越来越危险。对于我们服务的港澎、印尼、马来、新加坡等地的外贸客户来说，如果业务链条里涉及向欧盟客户提供或集成通用 AI 能力——不管是用在获客工具、客服系统还是产品本身——合规文档和风险评估这些"看不见的基础设施"，其实和获客渠道本身一样，值得被认真对待。我们一直坚持的原则是：AI 能力的落地，不能是先把功能堆起来再想办法补合规，而应该从方案设计的第一步就把边界想清楚。这次欧盟的动作，某种程度上是把这个原则从"最佳实践"变成了"法律要求"。

来源：MediaLaws / beam.ai / artificialintelligenceact.eu / European Commission