什么是欧盟《人工智能法案》（EU AI Act）？领导者摘要指南

什么是 EU AI Act？

EU AI Act 是一套全面的监管框架，规范 AI 系统在欧洲市场的部署和使用。其目标是在保护个人权利、确保 AI 技术的安全与透明的同时，推动欧盟范围内的创新。通过设定严格标准与合规要求，该法案旨在将欧盟打造为全球 AI 治理的领导者。

该法案将 AI 系统分为四个风险等级：不可接受、高、有限和最低。它禁止带来不可接受风险的应用，如政府实施的社会评分，并对高风险系统提出严格要求。法案还对通用人工智能（GPAI）设有保障措施，限制生物识别身份识别，并禁止利用用户脆弱性的 AI。

该法案于 2024 年 8 月 1 日在欧洲议会与欧盟理事会批准后发布，按 AI 系统类型分阶段实施：对“不可接受风险”的禁令在 6 个月后开始实施，对通用人工智能的监管在 12 个月后生效。不合规可能被处以最高 €35,000,000 或全球年度营收 7% 的罚款（以较高者为准）。

AI 监管的必要性

我们在DataFramed 播客：与 Bruce Schneier 探讨 AI 的信任与监管中讨论了 AI 监管的概念。近年来，AI 的发展态势发生了巨大变化，变化的速度还在不断加快。

作为社会，我们必须紧跟这些创新，确保终端用户免受其风险影响。我们还需审视AI 伦理，并建立保障其负责任使用的框架。重点应当放在创建和实施这些强大 AI 工具的组织，要求其以合乎伦理、符合公众利益的方式行动，而非仅为利润。

正如密码学家、计算机安全专家与隐私研究者 Bruce Schneier 所解释的：

EU AI Act 的关键条款

EU AI Act 的关键组成部分包括：

1. 基于风险的分类

根据 EU AI Act，AI 系统一般被划分为四大风险类别：

• 不可接受风险
• 高风险
• 有限风险
• 最低/无风险

根据欧盟委员会关于 AI 法案的报告，上述类别主要依据两大因素界定：

• 所涉数据的敏感性
• 具体的 AI 使用场景或应用

每个风险类别的要求各不相同，其中法案的大部分内容针对高风险 AI 系统。

2. 高风险 AI 系统的要求

对于高风险类别，EU AI Act 规定，组织必须满足一系列要求，方可在欧盟市场部署此类系统。

这些要求包括：

• 在系统全生命周期内建立风险管理体系。
• 建立数据治理项目，确保训练、验证与测试数据集具有相关性并具备足够代表性。相关工作应尽最大可能做到无错误且完整，并符合预期目的。
• 记录技术文档，以便在合规评估时向主管机构证明合规性。
• 将系统设计为可自动记录与国家层面风险识别及重大修改相关的事件，用于档案留存。此举须贯穿系统生命周期。
• 向下游部署方提供使用说明，以便其遵从合规要求。
• 在设计中允许部署方实施人工监督。
• 在设计中实现适当水准的准确性、稳健性与网络安全性。
• 建立质量管理体系以确保合规。

上述要求载于“符合性要求”（第8—17条）。

高风险 AI 系统的要求——使用 Napkin.ai 制作

此外，法案要求组织确保其员工及其他参与 AI 系统开发或使用的人员具备足够的 AI 素养。这包括理解相关技术、应用及潜在风险。

企业有责任提供适当培训，确保在具体使用场景中以负责任、合乎伦理的方式操作 AI 系统。本文稍后将探讨DataCamp for Business如何帮助您的组织提升 AI 素养。

3. 被禁止的 AI 实践

EU AI Act 明确禁止某些被视为不可接受且对个人或社会构成极端风险的做法，包括：

• 利用特定群体（如儿童、残障人士）脆弱性的 AI 系统
• 基于行为分析的社会评分
• 使用潜意识技术操纵行为

上述做法载于“被禁止的实践”（第5条）。

EU AI Act 下的风险类别

EU AI Act 将 AI 系统分为四个风险等级——不可接受风险、高风险、有限风险以及最低或无风险。各类别有不同的要求与监管措施。总体而言，风险越高，监管义务越重。

来源：DataCamp《EU AI Act 导论》课程

1. 不可接受风险

被认定对公众安全或权利构成不可接受风险的 AI 系统被禁止使用。例如，操纵人类行为、利用脆弱性或使政府实施社会评分的 AI 应用。

依据第 5 条：被禁止的 AI 实践，此类系统不得在欧盟市场投放或使用。

以下为被禁止 AI 实践的要点：

• 部署可通过潜意识技术操纵人类行为、决策或观点的 AI 系统
• 利用 AI 系统剥削特定群体（如儿童、老年人或残障人士）的脆弱性
• 部署基于 AI 行为分析的社会评分
• 涉及对自然人或群体进行分类的 AI 模型
• 预测自然人实施刑事犯罪的风险
• 使用 AI 对来自互联网或监控视频的非定向人脸图像进行抓取以实施人脸识别
• 在职场与教育机构中使用 AI 推断自然人的情绪
• 基于生物特征数据对自然人进行个体化分类
• 除执法目的外，使用“实时”远程生物特征识别系统

2. 高风险

根据第 6 条：高风险 AI 系统分类规则，高风险 AI 系统是指拟用作产品安全组成部分并需通过第三方合格评定的系统。

此外，凡属于附件三所列用例的 AI 系统，也被视为高风险系统：

• 生物特征识别
• 关键基础设施
• 教育
• 就业
• 基本服务
• 执法
• 移民
• 司法

3. 有限风险

被归类为“有限风险”的 AI 系统对个人或社会存在一定潜在风险，但不属于高风险或不可接受风险。此类系统无需接受针对高风险 AI 的严格监管，但仍需遵守特定的透明度义务。

对于有限风险 AI 系统，法案通常要求提供方确保用户知悉其正在与 AI 系统交互。例如，聊天机器人或其他 AI 驱动界面必须清晰披露用户正在与 AI 而非人类互动。此类透明度措施旨在避免混淆，确保用户了解所交互技术的性质。

尽管有限风险 AI 系统需履行上述透明义务，但不受高风险系统适用的更严格合规要求（如详尽文档、风险管理流程或强制评估）。该类别旨在在保障用户知情与鼓励创新之间取得平衡，避免以过度监管加重开发者与提供方负担。

采用通用人工智能（GPAI）的 AI 系统（如 GPT-4、Midjourney 和 Meta 的 LLaMA 模型）也纳入本类别监管。

来源：DataCamp《EU AI Act 导论》课程

GPAI 模型是指以大规模自监督方式、使用海量数据训练而成，具备显著通用性、可通过多种与下游系统或应用的集成来执行广泛不同任务的 AI 模型。

无论 GPAI 模型的具体用例为何，均适用 EU AI Act 的监管。

其要求包括：

• 必须记录技术文档。
• 需向下游提供方提供信息与文档。
• 须制定遵守版权指令的政策。
• 必须撰写用于训练 GPAI 模型的内容详细摘要。

更多信息见第 53 条：通用人工智能模型提供方的义务。

如果 GPAI 被认定为具系统性风险的通用人工智能模型，则需依据第 55 条：具系统性风险的通用人工智能模型提供方的义务履行另一套义务。

4. 最低风险

最低风险类别为不受监管的类别。

此类 AI 系统的示例包括：

• AI 赋能的视频游戏
• 垃圾邮件过滤器

EU AI Act 目前对该类别内的 AI 系统无相应监管。

对 AI 市场的总体影响

EU AI Act 预计将对个人与组织产生深远影响。该法案本身也可能受到其后续欧盟立法与监管机构发布的指南的进一步影响。

以下是 EU AI Act 实施后可能带来的部分影响：

对 ChatGPT/生成式 AI

对于当前对互联网内容与用户行为有广泛影响的大型语言模型，如OpenAI 的 ChatGPT、Google 的 Gemini、Meta 的 Llama 3.1以及Claude AI，可能需要更严格的合规措施以确保其伦理使用。这可能带来更多监督与使用限制，从而影响其受欢迎程度与盈利能力。

此外，OpenAI 或需修改其 ChatGPT 模型，以确保不触犯 EU AI Act 第5条所列的被禁止用例。

对企业

新法案也会给大型语言模型之外的企业带来变化。

开发或使用高风险 AI 系统的公司必须遵守严格要求并接受测试，这可能导致合规成本增加。企业需要在法律与技术专长上投入更多以确保合规。因此，初创公司可能因商业化合规成本而对采用高风险应用相关的 AI 模型持谨慎态度。

这高昂的 AI 模型规模化成本可能导致“巨头科技”公司市场集中，并垄断行业。

另一项影响是公司商业机密的保护，尤其是以 AI 模型为主要产品的企业。新法案要求就训练 AI 模型所用数据保持透明，而这些数据对企业运营至关重要。

此外，严格法律也可能阻碍创新和新技术进入欧洲市场。例如，Meta 将其最新多模态 AI 模型暂不在欧盟推出，显示出对创新可能产生的抵触。

尽管存在挑战，法案也为创新提供机遇。清晰的新标准为企业开发符合伦理与安全基准的 AI 技术提供了公平竞争环境。

重视合规与伦理 AI 实践的组织可以获得竞争优势，建立消费者信任，并将自身定位为伦理 AI 领域的领导者。这种差异化有助于吸引具有社会责任意识的消费者与投资者，提升品牌声誉与市场份额。

然而，伴随这些变化，AI 素养的需求更为迫切，我们将在下文进一步讨论。

对消费者

对消费者而言，法案在以下方面带来最大益处：

• 提升 AI 系统的透明度与可解释性
• 对经批准的 AI 产品拥有更高信任度
• 更可靠地防范歧视性 AI 实践
• 拥有反馈与申诉渠道

未来，消费者或可要求开发或使用高风险 AI 系统的公司遵守 EU AI Act，从而保护其数据隐私，并确保个人信息不被不道德地使用。

对欧盟成员国

欧盟成员国将需将其现有国家监管框架与 EU AI Act 对接。欧盟委员会也可能发布更具体的成员国执行指南与指令。

然而，正如近期路透社报道所述，

“去年 AI 采用的加速，帮助欧洲朝着其数字十年目标迈进。”——AWS 董事总经理 Tanuja Randery

对全球各国

EU AI Act 很可能作为全球标准影响 AI 监管。作为最早的一套全面 AI 监管框架之一，它为其他地区树立了先例。跨国运营的公司必须紧跟这些进展以保持竞争力。

EU AI Act 何时生效？实施时间表

以下为 EU AI Act 的暂定实施时间表：

• 2024 年 8 月 1 日：AI 法案生效日期
• 2025 年 2 月 2 日：对特定 AI 系统的禁令开始适用（第 1 章与第 2 章）。AI 素养要求自此开始适用。
• 2025 年 8 月 2 日：以下规则开始适用：公告机构（第 III 章第 4 节）、GPAI 模型（第 V 章）、治理（第 VII 章）、保密（第 78 条）、处罚（第 99 条与第 100 条）
• 2026 年 8 月 2 日：除第 6 条第（1）款外，其余条款开始适用。
• 2027 年 8 月 2 日：第 6 条第（1）款及法规中相应义务开始适用。

总而言之，法案将在 2027 年前后全面实施，给予企业与成员国时间来适应并遵守新规。

完整时间表请参阅EU AI Act 实施时间线。

EU AI Act：AI 素养要求

除规范 AI 模型的开发外，EU AI Act 也强调对员工进行 AI 素养培训。

根据第 I 章：一般规定，第 4 条：AI 素养：

“AI 系统的提供方与部署方应尽最大努力，确保其工作人员及代表其操作与使用 AI 系统的其他人员具备足够的 AI 素养，考虑其技术知识、经验、教育与培训，以及 AI 系统的使用情境，并兼顾 AI 系统所作用的个人或群体。”

简言之，即公司必须确保其员工及任何参与 AI 系统开发或使用的个人获得充分培训，以理解技术本身、其应用及潜在风险。

这一观点与我们在 DataCamp《2024 年数据与 AI 素养现状报告》中观察到的趋势相呼应。我们调查的受访领导者中有 62% 认为 AI 素养对团队的日常工作很重要。同样，70% 的领导者认为对 AI 概念的基础理解对团队最为重要，强调团队掌握 AI 技术核心原理的必要性。

尽管如此，组织内部的数据与 AI 培训仍处于早期阶段。26% 的领导者表示其组织未提供任何形式的 AI 培训。另有 26% 的领导者称 AI 培训仅面向技术岗位，只有 18% 将此类培训扩展至非技术员工。

更令人担忧的是，仅有 25% 的领导者所在组织建立了覆盖全公司的、全面的 AI 素养项目。

借助DataCamp For Business，您可以开始构建 AI 素养项目，覆盖必要的数据与 AI 技能，确保符合 EU AI Act 的要求，无论是培训 2 人团队还是 10,000+ 的团队。 除涵盖如何使用与构建 AI 工具外，您还可创建一套完整培训计划，包含 AI 伦理、风险管理与 AI 模型部署，从我们的EU AI Act 基础技能路径开始。

结论

EU AI Act 标志着人工智能监管的一个重要里程碑。它在促进创新与确保 AI 技术的伦理与安全使用之间寻求平衡。

尽管这对企业可能带来挑战，但也提供了增长与差异化的机会。对消费者而言，它提供了一个信任框架，并使企业对其 AI 使用承担责任。对于全球社会，它为未来其他地区采纳的 AI 监管树立了先例。

正在寻找让团队更多了解 EU AI Act 的方案？通过我们的详尽《理解 EU AI Act》课程深入了解新法案，并通过我们的EU AI Act 基础技能路径，全面掌握如何在负责任的 AI 实践中合规并建立信任。