设想欧盟在2024年夏天发出了一个重磅公告：要在欧洲大陆建一座“AI新城”，所有在欧盟市场做生意或投用AI系统的企业，都要搬进这座被严格管理的城区。新城的总体规划——也就是《欧盟人工智能法案》（EU AI Act）——在2024年7月12日公之于众，20天后正式生效。不过，拿到总规不等于马上拎包入住。整座新城按四波交付：先立“治安条例”（2025年2月禁止危险AI实践），再通“轨道交通”（2025年8月通用AI模型规则），接着交付“精装房”（2026年8月高风险AI系统），最后开放“配套商铺”（2027年8月嵌入传统产品的AI系统）。中间还给中小企业发了一把“晚搬钥匙”，并贴出一张让所有住户紧张的“违约罚单”。看懂这张时间表，就等于拿到新城的入住攻略：知道自己住在哪栋楼、什么时候交什么材料、拖到什么时候开始心疼罚款。
掌握EU AI Act的分阶段合规时间表，是AI法务、合规经理与产品负责人把“监管焦虑”转化为季度行动清单的第一步，也是进入AI治理岗位的必考地图。
目录
可视化演示
动态演示EU AI Act合规义务时的核心机制，通过入门/进阶/实战/优化四种模式展示关键概念与交互流程。
本节配有交互动效（进入视口后自动加载，约 3KB）。
EU AI Act合规义务时：合规义务 合规义务时间表的整体框架与阶段 禁止类条款的即时适用与执行 核心机制可视化 EU AI Act合规义务时整体架构与关键组件
生效启动：2024年8月1日，总规落地
欧盟宣布“AI新城”蓝图的那一刻，所有打算在欧盟做生意的人都在追问同一个问题：我什么时候要开始守规矩？答案是分波而来。就像城市总规公布后，业主们还有时间看图纸、改装修，法案的第一次“软启动”只是把倒计时的钟表拨到零点。
所谓“生效”，指的是法律文本从“纸面草案”变成“有约束力的规则”。2024年7月12日，EU AI Act全文刊登在《欧盟官方公报》上；按照欧盟立法惯例，法规在公布后第20天才正式生效，也就是2024年8月1日。从这一天起，欧盟委员会、成员国和所有企业都可以把法案当作法律依据来引用，合规的“沙漏”正式翻转。
很多人误以为“生效”就是“全部开始管”，其实生效只意味着城市总规挂上了墙，各栋楼的入住验收通知还在后头。聪明的法务团队会在这一天建立两条工作流：一条把法案条款映射到自家产品线，另一条为接下来四波截止日设置倒计时提醒。过渡期不是空窗期，而是给企业“装修”的黄金时间。
- 公布日（\text{公布日}）法律全文在《欧盟官方公报》上刊登的日期，这是时间表的原点。
- 20天缓冲（+20\ \text{天}）欧盟法规默认的知悉期，让成员国和公众有时间阅读新法文本。
- 生效日（\text{生效日}）从该日起法律具有正式效力，所有后续义务都以它作为起算基准。
禁止实践：2025年2月2日，治安条例生效
AI新城的“治安条例”是第一批硬性约束。城市管理者认为，有些AI行为就像在社区里放火、装窃听器，属于不可接受的风险，必须从源头禁止，不给任何“整改期”。2025年2月2日，这批禁令正式生效，也是整个法案中第一个让企业真正感到“疼”的节点。
这些被禁止的实践包括四类：利用潜意识或欺骗性技术操纵人类行为并造成伤害的AI；利用年龄、残疾或经济状况等弱势群体特征的AI；政府机构用于“社会评分”的AI；以及在公共场所实时远程识别个人的生物识别系统（执法用途仅有极窄例外）。此外，从网络或监控中无目标抓取人脸图像、在工作场所和教育场景推断情绪的AI也在禁止之列。无论你的公司注册在哪里，只要系统在欧盟市场投放或投入使用，就受这些禁令管辖。
治安条例挂上墙，社区巡逻队从此有了开罚单的依据。对做AI产品的人来说，这是第一个需要对照自查的节点：你的系统会不会被归入“不可接受风险”？如果是，哪怕算法再赚钱，也得立刻下架或改造——因为这一波没有任何过渡期折扣。
- 生效日（\text{生效日}）起算基准，2024年8月1日。
- 加6个月（+6\ \text{个月}）按日历月推进半年，这是立法者为“最危险行为”预留的最短准备期。
- 适用日（\text{禁止实践适用日}）落到2025年2月2日，从这天起，违反禁令的行为可以按最高档罚款追责。
通用AI规则：2025年8月2日，大模型上规矩
新城交付的第二波是“轨道交通”：所有大型通用AI模型（GPAI）就像社区里的公交车，必须贴出运营线路图、公示票价、定期接受安全检查。2025年8月2日起，针对ChatGPT这类基础模型的规则正式生效。
通用AI模型指能够胜任广泛任务、而非单一用途的AI系统，典型如大语言模型。从这天起，模型提供者必须准备技术文档、公开训练数据摘要、遵守版权政策；训练算力超过10²⁵ FLOPs的“系统性风险模型”还要承担模型评估、对抗性测试和严重事故报告等额外义务。同时，聊天机器人要告知用户“你在跟AI说话”，深度伪造内容要加显式标识。这一波还伴随着治理架构就位：欧盟AI办公室、AI委员会和独立专家小组开始运转，监管有了常设“物业公司”。
交通规则通了车，社区就不再是“自治蛮荒”。对做大模型的公司来说，这一波的核心动作是“建立台账”：训练数据从哪来、版权授权清没清、安全评估做了没。聪明的团队会把模型卡（Model Card）的生成自动化，让合规材料成为研发流水线的副产品，而不是临时突击的文档作业。
- 生效日（\text{生效日}）同一起算点，2024年8月1日。
- 加12个月（+12\ \text{个月}）即满一年，给通用AI行业一个完整的开发与披露周期。
- 适用日（\text{GPAI义务适用日}）2025年8月2日，透明度和治理相关义务全面启动。
高风险系统：2026年8月2日，精装房验收
新城的第三波交付是“精装房”：像买精装房要验收水电、烟感和逃生通道一样，高风险AI系统必须装上完整的“安全七件套”才能入住。2026年8月2日，这是整个法案覆盖范围最广、工作量最大的一波。
高风险系统覆盖附件III列出的场景：生物识别与分类、关键基础设施、教育职业培训、就业与员工管理、基本公共服务（信贷、保险、福利）、执法、移民庇护、司法与民主进程。举个例子，一个用于筛选简历的AI招聘工具，就属于“就业管理”类高风险系统。从2026年8月2日起，这类系统的提供者必须建立风险管理体系、数据治理规范、技术文档与日志记录，提供透明度信息，设计人工监督机制，并确保准确性、鲁棒性和网络安全。部署者也要承担使用层面的义务，比如开展基本权利影响评估。
精装房验收通知一到，临时抱佛脚就来不及了。对AI企业来说，2025年下半年就应完成差距分析：我的系统是否在附件III清单里？现有算法有没有风险登记簿？训练数据有没有做偏差审计？人工监督的按钮和流程是否已经上线？这一波拼的不是法务的笔杆子，而是产品、研发与合规的协同度。
- 生效日（\text{生效日}）统一起算点，2024年8月1日。
- 加24个月（+24\ \text{个月}）两年过渡期，考虑到高风险义务的系统性，立法者给出最长的通用准备期。
- 适用日（\text{高风险义务适用日}）2026年8月2日，附件III高风险系统的全部义务开始执行。
产品嵌入：2027年8月2日，带AI的零售品进场
新城最后交付的是“配套商铺”：那些早已存在于日常生活中的传统产品——医疗器械、汽车、玩具、电梯——如今嵌入了AI功能，它们入驻商铺时要在原有行业标准之上，再叠加一份AI专属检查单。2027年8月2日，针对附件I产品的AI义务生效。
附件I列出了欧盟协调立法体系下的产品类别，例如医疗器械、机械、通用产品安全、民用航空等。如果一个AI系统作为这些产品的安全部件（或本身就是产品）投入使用，就必须走“更严的验收通道”：由第三方公告机构进行合格评定，签署欧盟符合性声明，贴上CE标识，并建立上市后监控体系。为什么晚一年？因为这些产品原本就有成熟的安全监管框架，需要时间让AI新规与旧规则“对齐口径”。
商铺开张虽然最晚，但准备期反而要最早启动。如果你是医疗器械或汽车零部件供应商，现在就该盘算：你的AI组件将由谁来评估？公告机构的排队周期往往以年计。把2027年当成“开始执行日”而不是“开始准备日”，才不会在验收时被堵在门外。
- 生效日（\text{生效日}）时间表原点，2024年8月1日。
- 加36个月（+36\ \text{个月}）三年缓冲，用于与既有产品安全法规进行衔接与过渡。
- 适用日（\text{产品嵌入义务适用日}）2027年8月2日，附件I产品类高风险系统开始适用。
中小企业宽限：小户型多一年搬家期
新城的住户并不都是财大气粗的开发商。那些只有几十人、营收不高的“小户型家庭”，搬运精装家具明显更慢。法案因此给中小微企业发了“晚搬钥匙”：部分高风险义务可以延后12个月再履行。
中小企业按欧盟标准认定：中型企业员工少于250人且年营业额不超过5000万欧元；小型企业少于50人且不超过1000万欧元；微型企业少于10人且不超过200万欧元。对于这些企业，部分高风险系统的义务适用日可从标准日期顺延12个月。此外，法案还提供了配套减负：质量控制文档可以简化，监管沙盒优先免费进入，符合性评估费用予以考量，行政罚款上限也显著低于大企业。
小户型有包容，但别把包容当豁免。门禁卡（基础合规义务）依然要办，只是家具可以慢慢搬。创业公司的务实策略是：优先摘掉“不可接受风险”的帽子，再按自家系统是否属于高风险来做差距分析，最后用简化文档模板控制合规成本。
- 标准适用日（T_{\text{标准}}）高风险条款通用的适用日期，如附件III系统为2026年8月2日。
- 加12个月（+12\ \text{个月}）法案为微小型企业保留的额外准备窗口。
- 最终适用日（T_{\text{微小企业}}）延后到2027年8月2日，但仅覆盖部分义务项，并非全盘豁免。
违规处罚：从义务生效日开始算的“整改金”
新城物业贴出了一张让所有住户紧张的价目表：违约罚单按情节分三档，金额与全球营业额挂钩，而且每一档都“从对应义务生效之日起”才能开罚。看懂这张表，才算真正看懂时间表的威慑力。
三档罚金分别是：违反禁止实践条款，最高罚3500万欧元或全球年营业额的7%（取较高者）；违反高风险系统、GPAI等一般义务，最高罚1500万欧元或3%；向监管机构提供不实信息，最高罚750万欧元或1.5%。所谓“全球年营业额”指上一财年企业集团合并口径的全球总营收。中小微企业适用更低的封顶金额（通常为上限的一半），执法时还要考虑其经济可行性。需要特别强调的是，罚款不是从2024年8月1日统一启动，而是“义务绑定制”：每项义务生效之日，才是该项违规可被处罚的启动日。
罚单不是拍脑袋开出来的，它和每一波义务的生效日严丝合缝。对这个时间表最到位的总结是：2024年8月看得到法律，2025年2月碰不得红线，2025年8月瞒不过大模型，2026年8月躲不开高风险，2027年8月藏不了嵌入件——每一刻都有每一刻的功课。
- 固定金额（C）按违规类型设定三档基数：3500万、1500万、750万欧元。
- 比例项（p\times R）p为违规对应比例（7%、3%、1.5%），R为上一财年全球营业额。
- 取较大值（\max）立法者让罚单“就高不就低”，避免大企业用固定金额逃重罚，也避免小企业被固定金额压垮。
AI 应用场景
法务团队的“合规倒计时仪表盘”
阶段：合规规划与治理
解决的问题：传统做法是法务用Excel和邮件手工管理欧盟合规节点，日期多、责任人散、董事会一问三不知。基于时间表构建一个自动化合规日历，把五个关键截止日映射到公司各产品线，按风险等级自动生成倒计时任务，能将“一脸懵”变成“一屏清”。
具体案例：一家人工智能客服创业公司，把“2026年8月2日高风险义务”录入合规仪表盘，系统在剩余540天、180天、30天时自动向产品经理推送差距分析、技术文档、人工监督评审三项任务。管理者每周一打开看板，就知道哪条红线最近。
招聘AI供应商的高风险整改排期
阶段：差距分析与合规整改
解决的问题：过去企业把法案全文丢给工程师自学，结果研发看不懂法条、法务看不懂算法。把时间表拆解为季度Sprint（冲刺），让研发、法务、数据团队在同一个日历上协作，每一步都有明确交付物。
具体案例：某HR科技公司的AI简历筛选工具被判定为附件III高风险系统。团队在2025年Q4完成数据偏差审计，2026年Q1上线人工复核接口，Q2完成技术文档和基本权利影响评估，赶在2026年8月2日前拿到“精装房验收单”。
大模型提供商的透明度披露
阶段：上线发布与信息披露
解决的问题：2025年8月2日起，通用AI模型需公开训练数据摘要与版权政策。没有系统化台账的模型团队，临时补材料要翻遍几个PB的数据仓库，成本极高；而自动化生成模型卡则让披露成为日常。
具体案例：某开源大模型团队在2025年上半年搭建了模型卡自动生成管线，把训练数据来源、授权情况、能源消耗、安全评估结果自动导出为符合法案要求的公开文档，赶在8月2日前上线公示页。
Python 演示
from datetime import date # EU AI Act 关键时间节点 (欧盟官方标准时间表)COMPLIANCE_PHASES = [ ("法案生效", date(2024, 8, 1)), ("禁止实践条款", date(2025, 2, 2)), ("通用AI模型义务", date(2025, 8, 2)), ("高风险系统义务", date(2026, 8, 2)), ("产品嵌入高风险系统", date(2027, 8, 2))] def is_small_enterprise(employees, turnover_million): """中小企业认定: 员工不足250人且年营业额不超过5000万欧元""" return employees < 250 and turnover_million <= 50 def calc_days_left(deadline, today): return (deadline - today).days def print_timeline(today=None): today = today or date.today() print("EU AI Act 合规倒计时: %s" % today) print("-" * 40) for name, deadline in COMPLIANCE_PHASES: days = calc_days_left(deadline, today) if days < 0: status = "已生效" else: status = "剩余 %d 天" % days print("%-16s %s -> %s" % (name, deadline, status)) def suggest_priority(employees, turnover_million, today=None): today = today or date.today() small = is_small_enterprise(employees, turnover_million) print("\n合规优先级建议 (%d 人 / %d 百万欧)" % (employees, turnover_million)) if small: print(" - 企业规模: 中小企业 可享受简化文档与罚款上限优惠") for name, deadline in COMPLIANCE_PHASES: days = calc_days_left(deadline, today) if 0 <= days <= 180: print(" - 紧急: %s 只剩 %d 天 请立即启动差距分析" % (name, days)) elif 180 < days <= 540: print(" - 规划: %s 还有 %d 天 建议完成合规方案设计" % (name, days)) elif days > 540: print(" - 观望: %s 还有 %d 天 可列入年度预算" % (name, days)) if __name__ == "__main__": print_timeline() suggest_priority(employees=120, turnover_million=20)
COMPLIANCE_PHASES = [...]用“阶段清单”把五个法定日期存成元组，后续所有计算都以它为唯一事实来源，避免硬编码散落各处。def is_small_enterprise(employees, turnover_million)按欧盟口径判断企业规模，这是享受宽限与减负政策的判定入口。calc_days_left(deadline, today)返回剩余天数，负数表示该义务已经生效、进入“已生效”状态。suggest_priority(employees, turnover_million, today=None)根据剩余时间把每个节点分成“紧急/规划/观望”三档，把抽象法案变成可执行的任务优先级。if __name__ == "__main__":让脚本既能被其他模块 import 复用，也能直接命令行运行，输出整张合规时间表。
常见误区
误区既然2024年8月1日EU AI Act就生效了，我公司现在做的所有AI系统都得立刻符合全部要求，否则明天就会被罚款。
正解生效只代表法律文本开始具有约束力，不代表所有义务同时启动。法案采用“分批适用”设计：禁止实践条款2025年2月2日生效，通用AI模型与透明度义务2025年8月2日生效，高风险系统2026年8月2日生效，产品嵌入类到2027年8月2日。把“生效日”当成“全面合规日”，是新手最常见的时间表误读，会让你在最不需要焦虑的阶段做最错误的资源分配。
为何常见：新闻标题惯用“EU AI Act正式生效”的表述，读者自然把生效等同于全面执行，忽略了复杂的过渡期设计。
误区我们公司才几十个人，AI法案肯定是管OpenAI、Google那种巨头的，小公司规模不够，应该被豁免了吧？
正解法案管辖的是“在欧盟市场投放或使用的AI系统”，与企业规模无关。中小企业只是享有部分义务延后、技术文档简化和罚金上限更低的优待，远非豁免。如果你的系统用于招聘筛选、信用评估等附件III场景，哪怕只有20人，2026年8月2日一样要建风险管理体系、配人工监督。
为何常见：媒体大量报道巨头被罚的想象画面，加上“监管抓大放小”的直觉，让小公司产生了“法不责众”的错觉。
误区我只记住了2025年8月2日这个节点，以为从那天起所有AI系统都必须完成合规认证。
正解2025年8月2日只是“通用AI模型义务、透明度要求与治理机构”的启动日，覆盖对象是大型基础模型和聊天机器人等。附件III高风险系统（招聘、信贷、教育等）要到2026年8月2日，嵌入传统产品的高风险系统要到2027年8月2日。不同的系统有不同的“大日子”，先确认自己属于哪一类，再对号入座。
为何常见：时间表节点多、日期相近，初学者容易把最先到来的节点当成对所有人生效的唯一截止日。
误区2024年8月1日法案生效，那从那天起，只要违规就能按3500万欧元的顶格罚款来处罚我。
正解处罚与义务是“绑定关系”：违反禁止实践条款，从2025年2月2日起才能开罚；违反GPAI透明度义务，从2025年8月2日起开罚；违反高风险系统义务，从2026年8月2日起开罚。义务尚未生效的行为，不构成该法案下的可罚违规。“义务生效日”才是每张罚单的“启动日”。
为何常见：罚款金额太有冲击力，读者记住了7%和3500万欧元，却忽略了这些数字背后隐藏的生效时间前提。
误区只要我在2026年8月2日前把AI系统快速上线，生米煮成熟饭，是不是就不用遵守高风险义务了？
正解适用日考察的是系统“投放市场或投入使用”的时点与系统性质，且法案对已投入使用的高风险系统同样设有合规要求。试图赶在截止前上线并不能豁免义务，反而可能因为缺乏风险管理体系，在后续监管检查中暴露更大漏洞。合规不是“上线时间问题”，而是“系统分类问题”。
为何常见：人们习惯用“上市前审批 vs 上市后监管”的旧框架理解新法，忽略了AI法案强调的全生命周期持续合规。
面试题
Q1. EU AI Act于哪一天正式生效？
- A.2024年7月12日
- B.2024年8月1日← 正确答案
- C.2025年2月2日
- D.2026年8月2日
答案：B。法案于2024年7月12日在《欧盟官方公报》公布，按欧盟规则公布后第20天生效，即2024年8月1日。7月12日是公布日而非生效日，2月2日和8月2日分别是后续义务的适用日，均晚于生效日。
Q2. 违反禁止实践条款（如社会信用评分AI）的最高行政罚款是多少？
- A.750万欧或全球营业额1.5%
- B.1500万欧或全球营业额3%
- C.3500万欧或全球营业额7%← 正确答案
- D.5000万欧或全球营业额10%
答案：C。EU AI Act对最严重的违规——违反禁止实践条款——设定最高3500万欧元或全球年营业额7%的罚款（取较高者）。750万和1500万对应的是提供不实信息与一般违规两档较轻处罚。
Q3. 禁止实践条款（如操纵、社会评分）从什么时候开始适用？
- A.2024年8月1日
- B.2025年2月2日← 正确答案
- C.2025年8月2日
- D.2026年8月2日
答案：B。禁止实践是法案的第一批硬约束，在生效后6个月即2025年2月2日开始适用。这体现了立法者对“不可接受风险”的零容忍态度——不给漫长的过渡期，半年就要落地。
Q4. 通用AI模型（GPAI）的透明度义务从哪一天起适用？
- A.2024年8月1日
- B.2025年2月2日
- C.2025年8月2日← 正确答案
- D.2026年8月2日
答案：C。通用AI模型的义务在法案生效后12个月即2025年8月2日适用，同期启动的还有透明度、治理架构和处罚条款。这是“第二波交付”，离生效日有一年准备期。
Q5. 用于招聘简历筛选的高风险AI系统，全面合规义务从哪一天起适用？
- A.2025年2月2日
- B.2025年8月2日
- C.2026年8月2日← 正确答案
- D.2027年8月2日
答案：C。招聘筛选属于附件III高风险场景，适用生效后24个月的标准期限，即2026年8月2日。2027年8月2日仅针对嵌入附件I产品的高风险系统，不要混淆两波交付。
Q6. 欧盟AI法案对中小微企业的行政罚款有何安排？
- A.完全豁免罚款
- B.罚款上限显著降低← 正确答案
- C.罚款金额翻倍
- D.罚款延迟两年执行
答案：B。法案对中小微企业给予差异化对待：罚款封顶金额显著低于大企业（通常减半），且执法时需考虑其经济可行性。但“降低上限”不等于“豁免”，违反禁令的企业依然要承担责任。
Q7. 嵌入附件I传统产品（如医疗器械、汽车）的高风险AI系统，义务适用日是生效后多久？
- A.生效后6个月
- B.生效后24个月
- C.生效后36个月← 正确答案
- D.生效后48个月
答案：C。这类系统走的是“第三波交付”，即生效后36个月、2027年8月2日起适用。多出来的12个月是为了与既有产品安全法规（如医疗器械法规、机械指令）衔接，给第三方评估和CE标识留出时间。
Q8. 以下哪些属于2025年8月2日起适用的范畴？
- A.通用AI模型义务← 正确答案
- B.禁止社会评分行为
- C.欧盟AI治理机构← 正确答案
- D.高风险系统全面义务
答案：AC。2025年8月2日启动的是通用AI模型义务、透明度规则与治理架构（AI办公室、委员会等）。禁止社会评分属于2025年2月2日生效的禁止实践条款；高风险系统全面义务要等到2026年8月2日。
Q9. 关于EU AI Act的时间表，下列说法正确的有哪些？
- A.法案生效不等于全部义务适用← 正确答案
- B.高风险义务与GPAI义务同一天生效
- C.过渡期内没有任何强制义务
- D.禁止实践条款是最早适用的实质义务← 正确答案
答案：AD。法案采用分期生效设计，A正确。高风险义务（2026年8月）与GPAI义务（2025年8月）相差一年，B错误。过渡期内禁止实践条款已生效，C错误。禁止实践条款于2025年2月2日最早落地，D正确。
Q10. 按EU AI Act计算行政罚款时，“全球年营业额”应如何理解？
- A.相关业务单元营业额
- B.上一财年全球总营业额← 正确答案
- C.仅欧盟境内营业收入
- D.集团企业合并口径← 正确答案
答案：BD。法案以“上一财年全球总营业额”为基数，且涉及存在集团关系时按合并口径计算，目的是防止企业通过关联公司拆分收入来规避高比例罚款。仅算业务单元或欧盟境内收入都会低估企业体量，不符合立法意图。