欧盟AI监管进入“实质执法”阶段：AI办公室扩权，透明度义务全面适用

从本月起，欧盟人工智能办公室（AI Office）正式获得了针对违规企业的直接“罚款权”，甚至有权要求提供者将相关模型下架。

随着欧盟《人工智能法案》迎来生效两周年，此前暂缓适用的第101条处罚条款正式生效，AI办公室对通用AI模型（GPAI）提供商的行政处罚权宣告真正落地。与此同时，AI办公室的执法覆盖范围，目前已涵盖禁止性AI实践与通用AI模型提供商两大领域。

此外，法案第50条确立的“透明度义务”也已正式生效。自此，任何向欧盟市场提供或在欧盟运营的公司，若未能按规定在其AI生成或修改的内容中植入清晰标记与机器可读的隐形水印，欧盟执法部门最高可对其开出1500万欧元（约合人民币1.2亿元）或全球营业额的3%的巨额罚单（以数额较高者为准）。

面对全面落地的强监管体系与高额罚规，AI产业链上的各个环节应如何明确自身定位与监管责任？世界经济论坛人工智能卓越中心（CAIE）人工智能应用与影响力负责人巴索（Maria Basso）对第一财经记者表示，在AI监管层面，很难建立起绝对单一或清晰的责任流程，这一责任需要由多方共同分担。在他看来，提供最终落地应用的组织在将治理机制嵌入业务时需要承担责任，提供底层核心技术的公司同样责无旁贷，因为他们在其中有着切身的利益。而政府则需要在确保事务受到有效监督的层面上履行职责。

规则影响与透明度义务

根据新生效的透明度规则，聊天机器人及其他互动系统必须明确告知用户其正在与AI进行交互；深度伪造内容（Deepfakes）必须进行显著标记；AI生成或修改的内容必须带有机器可读的标识，以便更轻松地被识别与检测。

随之而来的告知义务到底归属于谁？根据欧盟委员会，这一责任划分取决于机构在AI生态中扮演的是“提供商”还是“部署者”的角色。

对于AI系统的开发者或“提供商”而言，合规要求侧重于产品出厂阶段的预设机制。一方面，在开发旨在与人类直接对话或交互的系统时，提供商必须在产品设计中嵌入主动提示功能，明确告知使用者其正在与AI交互；另一方面，对于具备合成文本、图像、音频或视频功能的系统，提供商须在输出内容中埋入机器可读的隐形标识，确保相关内容在后续传播中能被系统识别为AI生成或修改。

对于直接采用第三方AI技术来开展业务的“部署者”（例如企业或机构），合规监管的重心在于向受影响的公众履行直接告知义务。以零售行业为例，若商场或门店利用AI摄像头实时分析顾客的面部表情与情绪反应，并据此推送针对性广告，运营方必须在相关区域设立显眼告示，明确提示顾客其面部情绪正在被AI系统分析。在内容传播领域，凡涉及“深度伪造”技术、或利用AI自动生成并旨在向公众传播公共利益事项的报道与文本，部署者均须以人类直观可辨的方式做出清晰披露。

值得注意的是，非欧盟地区的提供商同样被纳入监管范围，只要其向欧洲市场提供AI系统，或其输出结果被欧盟境内机构使用。

规则生效的同时，产业端也在同步响应。欧盟委员会已公布签署《AI生成内容透明度行为守则》的第一批名单，涉及180多家机构，OpenAI是其中之一。该公司在博客中介绍了其在溯源方面采用的两套互补系统，即内容凭证（C2PA）与SynthID水印，目前已延伸至音频输出。OpenAI称，随着标准成熟，未来将拓展至文本等更多模态，其治理基础还包括出厂前测试、系统卡（System Cards）、红队测试网络与公开的“模型规范”（Model Spec）。

AI办公室的权力范围

在执法权限与监督机制方面，欧盟AI办公室的权责范围随着法案的推进得到了显著扩充。

根据《人工智能法案》第113条规定，AI办公室的设立以及通用AI模型（GPAI）提供商自身的合规义务，早在2025年8月2日便已生效，但当时欧盟委员会对GPAI提供商尚不具备监督执法权，法案为此设置了整整一年的适应期。随着这一适应期于近期届满，欧盟委员会对GPAI提供商的监督执法权已于2026年8月2日正式生效，一整套此前分散在不同条款中的调查与处罚工具被正式合并激活。这使得AI办公室获得了包括调阅技术文档和信息（第91条）、评估模型并于必要时调取访问权限（第92条）、责令企业采取整改措施（第93条），以及直接开具天价罚单（第101条）在内的全方位监管职权。

这次执法的全面扩权，恰逢全球对AI安全危机展开新一轮审视。在上个月，OpenAI证实其两个模型在测试环境之外自主侵入了AI平台HuggingFace。事后，欧洲议会AI法案的报告人贝尼菲（Brando Benifei）公开批评说，欧盟是从“一篇企业博客文章”里得知此事的，并借此呼吁AI办公室应更主动地行使手中权力。

为了确保上述监管权力的有效运转，欧盟委员会同步配套上线了三大常态化监督渠道。

首先是面向公众的投诉工具，根据法案第85条，任何自然人或法人均可就属于AI办公室专属管辖范围内的涉嫌违法行为发起举报。其次是面向产业下游的专门申诉渠道，若下游提供商认为通用AI模型提供商在技术文档、版权政策和网络安全等方面未达合规标准，可依据第53条至第55条提出申诉。最后则是独立设立的吹哨人工具，旨在为与AI提供商合作的人员提供安全且保密的渠道，以举报潜在的内部违规行为。

值得注意的是，在欧盟各成员国层面，配套监管体系的落地进展也相对滞后。根据欧洲议会智库的简报，截至今年3月，仅有8个成员国向欧盟委员会通报了市场监管“单一联络点”的设立情况，远落后于原定的2025年8月2日期限。这意味着，虽然AI办公室在欧盟层面已掌握对GPAI提供商的直接执法权，但针对高风险系统提供商和部署者的具体执法，很大程度上仍将受限于各成员国本土监管机构的落地实施能力。

合规时间表与监管严谨

对于合规时间表与应对策略，摩根路易斯律师事务所（Morgan Lewis）分析称，法案对提供商与部署者设定了不同的缓冲期。

对提供商而言，法案提供的为期四个月的过渡期政策仅适用于技术侧的“机器可读标记与检测”义务。若合成内容系统是在2026年8月2日之前已投放欧洲经济区市场的，提供商可享受截至同年12月2日的整改缓冲期；8月2日之后首次投放市场的系统，则不享受任何过渡期，须自上线之日起完全合规。

但这一过渡期并不适用于部署者。关于情感识别、生物特征分类、深度伪造以及公共利益文本披露等面向公众的告知要求，已自8月2日起对所有部署者全面适用，没有缓冲空间。

据此，摩根路易斯建议，提供商应尽快核查产品内部的告知机制，确保直接交互提示与机读标记检测措施均已落实；若计划对8月2日前上线的系统适用12月2日前的过渡期，应明确法律依据并完成书面归档。部署者则应优先完善对受情感识别或生物分类技术影响人员的告知流程，梳理涉及深度伪造及公共利益文本发布的业务环节，明确披露的触发条件、责任主体与展示形式；在采用第三方AI系统时，还应主动向提供商调取其标记方案的具体安排，确认对方是否依赖12月2日前的过渡期，以降低自身合规链条的风险。

法案后续的时间节点也有调整。欧盟委员会称，《人工智能综合修正法案》（AI Omnibus）对部分高风险领域的适用时间进行了重新排期。独立高风险AI系统的监管规则推迟至2027年12月2日起适用，嵌入受监管产品中的高风险AI系统合规要求则推迟至2028年8月2日。修正法案同时新增禁止性条款，明确打击“生成未经当事人同意的显性性内容”及“儿童性虐待材料”的AI系统，相关禁令将于2026年12月2日起正式生效。