欧盟AI法案8月2日全面生效：高风险义务延期16个月，出海企业的合规账本怎么算

2026年8月2日，欧盟《人工智能法案》（EU AI Act）的大部分条款正式进入普遍适用阶段。这部全球首部综合性AI监管法律，从2024年8月生效算起，经过24个月过渡期，监管的”牙齿”终于露出来了。

对企业来说，这个时间点前后发生的事，比法案本身更值得关注。一延期、一提前，两条时间线交织，让不少出海团队的合规计划全部推倒重来。

78%的企业还没动手

先看一组扎眼的数据。欧盟委员会的调研显示，约78%的企业尚未采取实质性的合规行动，尽管法案两年前就已生效。

原因不难理解。法案的义务是分批落地的：禁止性条款（社会评分、无差别人脸抓取等）2025年2月就生效了；通用大模型（GPAI）的透明度义务2025年8月跟上；真正让企业头疼的高风险AI系统义务，原本定在2026年8月2日和2027年8月2日分两批适用。

前两批涉及面窄，多数企业感受不到压力。第三批来了——招聘筛选、绩效评估、信贷审批、关键基础设施、执法辅助，这些场景几乎覆盖所有做B端业务的AI公司。

变化出在”数字 omnibus”（Digital Omnibus）简化监管一揽子计划上。欧洲议会2026年3月26日通过一读立场，对高风险义务的时间表做出关键调整：

欧盟理事会也支持为高风险系统设定固定的新适用日期。表面看，监管松了，企业多了十几个月的缓冲。

但这里有个容易踩的坑：延期的只是合规义务的执行时间，风险分类本身一天都没变。你的AI系统如果落在招聘、信贷、教育这些场景，现在就已经在法律意义上被划为”高风险”，只是接受审计、留存日志、人类监督这些硬性要求的时间点后移了。

等到2027年底再动手，留给风险评估、技术文档、数据治理改造的时间远远不够。合规咨询机构普遍建议，高风险系统的改造周期至少需要12到18个月。

不合规的代价写得很清楚：违反禁止性条款，最高罚3500万欧元或全球年营收的7%，两者取高；违反高风险系统义务，上限是1500万欧元或营收的3%。

对营收10亿美元的公司来说，7%就是7000万美元，比大多数AI团队的全年研发预算都高。

而且欧盟AI法案有域外效力。只要你输出的AI系统在欧盟境内被使用，哪怕公司注册在新加坡、服务器在美国，同样受管辖。这一点对中国出海企业尤其关键——跨境电商的推荐系统、面向欧洲的HR SaaS、服务欧洲银行的风控模型，全在射程之内。

第一，做风险分类自查。对照法案附录三，判断自己的系统是否落入高风险场景。很多团队直到被客户问起才发现，自己早就”被高风险”了。

第二，盯紧内容标记义务。2026年11月2日生效的AI生成内容标记，是延期清单里最新的一个硬性节点。做AIGC工具的团队，水印和元数据标识的技术方案要提前准备。

第三，补技术文档和日志能力。高风险系统要求自动日志留存、可追溯的数据来源、人类监督机制。这些能力没法临时抱佛脚，得嵌进产品架构里。

第四，别把宝全押在延期上。Digital Omnibus目前还是一读立场，最终文本仍在欧盟理事会和议会之间拉锯。延期方向基本确定，具体日期和豁免细节可能变化。合规计划按”2027年12月落地”倒排，同时留出政策变动的余量。

有意思的是，延期讨论的同时，欧盟内部的产业界声音很分裂。Airbus、Mistral AI等公司反复游说”监管减负”，担心高风险义务拖慢欧洲AI公司；消费者组织和部分议员则坚持红线不能松。

这场拉锯的最终赢家，其实是准备充分的企业。别人在观望，你提前把合规能力做成了产品的一部分——面对欧洲客户的安全问卷，你交卷，同行还在翻法条。

全球AI监管的窗口期正在缩短。欧盟打了样，美国各州、日韩、巴西都在跟进类似框架。2027年12月不是终点，是一轮新竞赛的发令枪。