LINK-V · 文章

欧盟《人工智能法案》2026年8月：哪些已经生效、哪些被推迟、谁会被管到

August 5, 2026

《人工智能法案》的"大限"本来定在2026年8月2日。这个日子三天前刚过。可原本该在那天生效的东西大多没落地——一份临时修正案把它往后挪了。下面说说哪些变了、哪些没变，以及为什么你公司注册在哪儿跟这一切根本没半点关系。

先看结论

来源：欧盟条例(EU) 2026/1744，《人工智能数字综合法案》，自2026年7月27日起生效。

欧盟于2026年7月24日在其官方公报上发布了条例(EU) 2026/1744，三天后正式生效——比《人工智能法案》原定的高风险大限早了五天。它修改的是《人工智能法案》（条例(EU) 2024/1689），并不是取代它。

官方给出的推迟理由：高风险系统的协调技术标准（第40条）尚未完成，各国的合格评定基础设施也还没运转起来。

调整后的时间线：

日期	适用内容
2025年2月2日	被禁止的AI行为（第5条）彻底禁止。AI素养义务（第4条）开始适用。
2025年8月2日	GPAI模型提供者义务开始生效（文档、版权政策、训练数据摘要）。各国主管机构和合格评定机构必须开始运作。
2026年8月2日	第50条透明度义务开始适用：AI交互披露、深度伪造标注——针对此日期后投放市场的系统。
2026年12月2日	机器可读的AI内容标记（第50(2)条）开始适用于2026年8月2日前已经上市的系统。禁止AI生成未经同意亲密影像／CSAM（"扒衣"工具）的新规生效。
2027年12月2日	独立的高风险AI系统（附件三）必须合规——从原定的2026年8月 2日挪到这里。
2028年8月2日	嵌入受监管产品（附件一）的高风险AI必须合规——从原定的2027年8月 2日挪到这里。

还有一处变动：已被欧盟《机械条例》覆盖的产品所嵌入的AI，如今被排除在《人工智能法案》的直接高风险规则之外，改为通过《机械条例》下的授权法案来处理。

这一条今天就有牙齿了，而不是等到2027年。

适用对象：

不适用于：

处罚： 最高1500万欧元或全球年营业额的3%，以较高者为准。（这是与第5条被禁止行为所对应的3500万欧元／7%不同的、较低一档。）

机器可读标记 ——即技术水印层，第50(2)条—— 有单独的期限：2026年12月2日，且仅适用于2026年8月 2日前已经上市的系统。

第2条界定了地域适用范围。三个触发点；非欧盟企业只要碰上一个就够了。

条款	管到谁
2(1)(a)	任何在欧盟市场投放AI系统或GPAI模型的人——不论其注册地在哪里。
2(1)(b)	在欧盟设立或所在的部署者。
2(1)(c)	第三国的提供者和部署者，只要该AI系统的输出在欧盟被使用。

来源：第2条，AI Act Service Desk，欧盟委员会。

三个触发点都没提到注册地、总部或国籍，提到的是市场和输出。

套用到第50条：一个聊天机器人的披露义务，或一段深度伪造的标注义务，是由交互发生在哪里、或内容在哪里被消费来触发的——而不是由发布内容的公司坐落在哪。

实际情况长这样：

场景	是否在范围内？
代理公司为仅限美国的客户做一个聊天机器人，没有欧盟用户，做了地理封锁	否——输出没有在欧盟被使用
代理公司做的聊天机器人同时服务欧盟和全球用户	是——适用第50(1) 条
创作者发布的AI生成视频在开放网络上触及欧盟观众，未做地理封锁	是，只要触及欧盟是可预见的而非偶发的
公司纯内部使用AI，什么都不发布，也没有欧盟客户	否
非欧盟金融科技公司的信用评分API被一家欧盟银行调用，用于给欧盟申请人评分	是——第2(1)(c)条，输出在欧盟被使用

关键词是"可预见"：在开放网络上面向全球受众发布，算在内。欧盟用户通过VPN偶然看到该内容，一般不算。

四个风险等级：

等级	示例	状态
被禁止	社会评分、潜意识操纵、无目标的人脸识别抓取、执法机关的实时生物特征识别（有极窄例外）、AI生成的亲密影像／CSAM	自2025年2月2日起禁止（影像禁令自2026年12月2日起）
高风险	招聘工具、信用评分、教育／考试评分、关键基础设施、移民／边境系统	附件三：2027年12月2日。附件一（嵌入受监管产品）：2028年8月2日
有限／透明度风险	聊天机器人、深度伪造、AI生成的公共利益内容、情绪识别	自2026年8月2日起生效（第50条）
最低风险	垃圾邮件过滤、库存预测、大多数面向消费者的AI功能	无具体义务

处罚：

违规行为	最高罚款
被禁止的行为（第5条）	3500万欧元或全球营业额的7%
第50条透明度失责	1500万欧元或全球营业额的3%

两个数字都是"以较高者为准"。