欧盟 AI 法案分阶段落地：从生效到 GPAI 义务的完整时间线

全球首部全面 AI 监管法规——欧盟 AI 法案（AI Act）于 2024 年 8 月 1 日正式生效，并按阶段落地：2025 年 2 月 2 日起禁止性条款与 AI 素养要求适用；2025 年 8 月 2 日起通用 AI（GPAI）模型提供商的义务正式生效。本文于 2025 年 8 月首发，2026 年 9 月 21 日更新，主要修订了原稿中“高风险义务于 2026-2027 年陆续适用”的过期时间线。

法案按风险等级对 AI 应用分类管理，对生物识别、关键基础设施等高风险场景设定透明度、数据治理和人工监督等强制义务，违规企业最高可被处以全球营收 7% 的罚款。对 OpenAI、Google 等大模型厂商而言，GPAI 义务的生效意味着训练数据透明度和系统性风险评估成为硬性要求。

时间线在 2026 年被改写：欧盟于 2026 年 7 月底就《AI/数字综合法案》（AI/Digital Omnibus）达成一致，原定 2026-2027 年陆续适用的高风险系统全面义务被推迟至 2028 年，而透明度义务已于 2026 年 8 月全面适用（参见 JD Supra 对交易达成的梳理）。分析人士指出，欧盟的立法仍是全球 AI 监管框架的重要参考模板，但“生效时间表可被重新谈判”本身就是变量之一。

分阶段落地的真实压力点#

对厂商而言，时间线里真正的分水岭是 2025 年 8 月的 GPAI 义务：训练数据摘要强制公开、版权合规政策、对“具系统性风险”模型的额外评估与事故报告——这些要求直接碰触大模型厂商最敏感的商业机密：数据来源。配套的 GPAI 行为准则采自愿签署机制，OpenAI、Google、Anthropic 等选择签署，而 Meta 公开拒签——签与不签本身就成了各家对监管姿态的表态。

罚则梯度同样值得细读：违反禁止性条款最高可罚全球营收 7%，高于 GDPR 的 4%——欧盟把 AI 违规定为比隐私违规更严重的事项。

布鲁塞尔效应能否重演#

GDPR 曾凭市场准入力量把欧盟规则变成事实上的全球标准，但 AI Act 能否复制这一“布鲁塞尔效应”存疑：美国已明确转向创新优先（参见本站美国 AI 行动计划报道），中国自成内容标识与备案体系（参见本站中国 AI 内容标识报道），三大法域各自成型。而欧洲内部，产业界对合规成本拖累本土 AI 公司（如 Mistral）的担忧持续发酵，简化法案的游说从未停止——巴黎 AI 行动峰会上欧盟已明显软化调门（参见本站峰会报道），并最终促成 2026 年 7 月底的《AI/数字综合法案》为高风险义务按下推迟键。

本站解读#

AI Act 的价值不在条文细节，而在它把“风险分级 + 分阶段生效”变成了全球监管的通用词汇表；但它的风险也同样明确——若合规成本只有巨头承担得起，法案反而会固化大厂优势。对出海厂商的实操启示是：高风险全面义务推迟到 2028 年，换来的是更长的准备窗口，而不是豁免——透明度义务已于 2026 年 8 月全面适用，训练数据清单与风险评估流程仍应提前入表，而非等执法案例出现后补课——GDPR 时代“首张天价罚单才当真”的侥幸，在 7% 罚则下代价太高。