歐盟 AI 法案 2026 年全面執行：企業合規要求與全球 AI 監管趨勢

歐盟 AI 法案概覽與立法背景

歐盟《人工智能法案》（EU AI Act，正式名稱 Regulation (EU) 2024/1689）是全球首部針對人工智能的全面性法規。歐洲議會於 2024 年 3 月 13 日正式通過該法案，歐盟理事會於同年 5 月 21 日批准，法案於 2024 年 8 月 1 日正式生效（entered into force）。該法案採用分階段執行機制，最關鍵的高風險 AI 系統合規要求將於 2026 年 8 月 2 日全面適用（fully applicable）。

歐盟 AI 法案的立法目標包含三個核心面向：保障基本權利與安全、建立統一的 AI 監管框架、促進可信賴 AI 的創新發展。法案採用風險為本（risk-based approach）的監管架構，將 AI 系統按風險等級劃分為四個類別，並對不同類別設定相應的義務與限制。

歐盟 AI 法案適用於所有在歐盟市場提供或部署 AI 系統的實體，無論該實體的註冊地是否在歐盟境內。香港企業若向歐盟客戶提供 AI 服務或產品，同樣受該法案約束。此域外適用效力（extraterritorial effect）與《通用數據保護規範》（GDPR）的運作模式一致。

歐盟 AI 法案分階段執行時間表

歐盟 AI 法案並非一次性生效，而是按照預設的時間表分階段施行。每個階段對應不同範疇的義務，企業須按時間節點逐步達成合規。以下為完整的執行時間表：

AI 系統風險分類框架

歐盟 AI 法案的核心監管機制建立於四層風險分類框架之上。每一層級對應不同程度的監管強度，企業須首先判定其 AI 系統所屬的風險類別，再按類別履行相應義務。

不可接受風險（Unacceptable Risk）：完全禁止

此類 AI 實踐自 2025 年 2 月 2 日起被完全禁止，包括：

• 社會評分系統（Social Scoring）：政府或私人機構基於社會行為對自然人進行通用評分，導致不利待遇
• 操控性 AI（Manipulative AI）：利用潛意識技術或刻意操控手段，實質性地扭曲個人行為，導致重大損害
• 利用脆弱群體的 AI：針對年齡、殘疾或社會經濟狀況等脆弱因素進行剝削
• 即時遠端生物辨識（Real-time Remote Biometric Identification）：在公共場所進行的即時生物辨識執法（有嚴格例外條件）
• 情緒推斷 AI：在工作場所和教育機構中基於生物辨識數據推斷情緒
• 未經授權的面部圖像採集：從互聯網或監控錄像中無差別抓取面部圖像以建立人臉辨識資料庫

高風險（High Risk）：嚴格合規要求

高風險 AI 系統涵蓋對個人權利和安全產生重大影響的應用領域。此類系統須在 2026 年 8 月 2 日前完成全部合規要求。受規管的高風險領域包括：

• 就業與人力資源：招聘篩選、績效評估、晉升決策、解僱決定
• 信貸與金融：信用評分、貸款審批、保險定價
• 教育：考試評分、入學審核、學習能力評估
• 執法：犯罪風險評估、證據分析、測謊偵測
• 入境與庇護管理：簽證申請評估、邊境監控
• 司法與民主程序：法律研究輔助、選舉影響分析
• 關鍵基礎設施：能源、交通、供水系統的 AI 管理

有限風險（Limited Risk）：透明度義務

有限風險 AI 系統須滿足特定的透明度要求，但無需通過完整的合規評估。此類別主要包括聊天機器人、情緒辨識系統、生成式 AI 內容輸出等應用。

最低風險（Minimal Risk）：無額外義務

大部分 AI 應用屬於最低風險類別，例如 AI 驅動的垃圾郵件過濾器、遊戲中的 AI 角色等。此類系統不受法案直接規管，但歐盟鼓勵開發者自願遵守行為守則。

高風險 AI 系統：八項核心合規要求

高風險 AI 系統的提供者（providers）和部署者（deployers）須在 2026 年 8 月 2 日前滿足以下八項核心要求。這些要求構成歐盟 AI 法案中最具操作性和技術深度的合規框架。

1. 風險管理系統（Risk Management System）

提供者須建立並維護一套持續性的風險管理系統，覆蓋 AI 系統的整個生命週期。該系統須識別已知和可預見的風險，評估風險在預期用途和可合理預見的誤用情境下的影響，並採取適當的風險緩解措施。風險管理不是一次性評估，而是需要持續迭代與更新的動態流程。

2. 數據治理（Data Governance）

訓練、驗證和測試數據集須符合嚴格的品質標準。提供者須確保數據的相關性、代表性、準確性和完整性。數據治理措施須涵蓋數據收集、標註、清洗、聚合等全流程，並須特別關注偏見檢測與緩解，防止 AI 系統在性別、種族、年齡等維度產生歧視性輸出。

3. 技術文件（Technical Documentation）

提供者須在 AI 系統投放市場前編製全面的技術文件。文件內容包括系統的設計規格、開發流程、演算法描述、訓練數據說明、測試程序與結果、風險管理措施等。技術文件的目的是讓監管機構和第三方評估機構能夠充分理解並審計 AI 系統的運作方式。

4. 記錄保存（Record-Keeping）

高風險 AI 系統須具備自動記錄功能（logging），記錄系統運行期間的關鍵事件和決策過程。記錄須具備可追溯性，以便在發生事故或投訴時進行事後審查。記錄保存期限須與 AI 系統的預期用途和潛在影響相稱。

5. 透明度與資訊提供（Transparency）

AI 系統的設計和開發須確保對部署者具有足夠的透明度。提供者須向部署者提供清晰、易懂的使用說明，包括系統的功能、限制、預期用途、已知風險及建議的人類監督措施。部署者在使用高風險 AI 系統作出影響個人的決策時，須告知受影響的自然人。

6. 人類監督（Human Oversight）

高風險 AI 系統須設計為允許自然人對其進行有效監督。人類監督者須能理解系統的功能和限制、正確解讀系統輸出，以及在必要時決定不依賴或推翻系統的輸出結果。系統須提供適當的工具和介面，使監督者能夠隨時中斷或停止系統運行。

7. 準確性（Accuracy）

提供者須確保 AI 系統在其預期用途範圍內達到適當的準確性水平。系統的準確性指標須在技術文件和使用說明中明確標示，供部署者和監管機構參考。準確性要求涵蓋系統的輸出品質、一致性和可靠性。

8. 穩健性與網絡安全（Robustness & Cybersecurity）

高風險 AI 系統須具備適當程度的穩健性，能夠應對錯誤、故障或不一致的輸入。系統須具備對抗對抗性攻擊（adversarial attacks）的韌性，並實施適當的網絡安全措施，防止未經授權的第三方利用系統漏洞操控系統行為或竄改輸出。

第 50 條透明度義務：AI 互動披露與合成內容標記

歐盟 AI 法案第 50 條（Article 50）設定了一系列透明度義務，適用範圍超越高風險 AI 系統，涵蓋所有與自然人互動的 AI 系統及生成合成內容的 AI 系統。

AI 互動披露義務

任何設計為直接與自然人互動的 AI 系統（例如聊天機器人），其提供者須確保系統以清晰、可感知的方式告知用戶正在與 AI 系統互動，而非真人。此義務的唯一例外是，當 AI 的使用在特定情境下對合理的用戶而言已顯而易見。

合成內容標記義務

生成合成音訊、影像、影片或文字的 AI 系統，其提供者須確保輸出內容以機器可讀的格式標記為人工生成或操控的內容。此技術性標記要求旨在建立一套可追溯的內容溯源機制，使下游平台和用戶能夠識別 AI 生成內容。

深偽內容（Deepfake）識別義務

部署者使用 AI 系統生成或操控構成深偽內容的圖像、音訊或影片時，須披露該內容由 AI 人工生成或操控。此義務直接回應深偽技術對資訊真實性和個人名譽造成的威脅。違反透明度義務的實體可面臨最高 1,500 萬歐元或全球年營業額 3% 的罰款。

通用 AI 模型（GPAI）義務

通用 AI 模型（General-Purpose AI Models）的義務自 2025 年 8 月 2 日起生效。GPAI 是指具有顯著通用性、能夠勝任廣泛不同任務的 AI 模型，無論該模型以何種方式投放市場。ChatGPT 底層的 GPT 系列、Anthropic 的 Claude 模型、Google 的 Gemini 等均屬於 GPAI 範疇。

所有 GPAI 模型的基本義務

• 編製並維持最新的技術文件，記錄模型的訓練和測試流程
• 向下游的 AI 系統提供者提供充分的資訊和文件
• 制定著作權合規政策，遵守歐盟著作權法
• 公開發佈關於訓練內容的充分詳細摘要

具系統性風險的 GPAI 模型的額外義務

當 GPAI 模型的訓練所用累計運算量超過 10^25 FLOPS，或經歐盟委員會基於其他標準認定具有系統性風險（systemic risk）時，該模型須額外遵守以下義務：

• 對模型進行對抗性測試（adversarial testing），包括紅隊演練（red teaming）
• 評估和緩解系統性風險
• 追蹤、記錄並向歐盟 AI 辦公室和相關國家主管機關報告嚴重事件
• 確保充分的網絡安全保護水平

AI 監管沙盒制度

歐盟 AI 法案第 57 條要求每個成員國須在 2026 年 8 月 2 日前建立至少一個 AI 監管沙盒（AI Regulatory Sandbox）。AI 監管沙盒是一個受控的測試環境，允許 AI 創新者在監管機構的監督下開發、訓練和測試 AI 系統，且在一定時間內可暫時豁免部分法規義務。

沙盒制度的核心功能

• 創新促進：為中小企業和新創公司提供低成本的合規測試環境
• 監管對話：建立監管機構與 AI 開發者之間的直接溝通渠道
• 實證立法：讓監管機構在實踐中驗證法規要求的可行性和適當性
• 跨境合作：促進歐盟成員國之間的監管經驗交流

芬蘭：首個全面運作的 AI 法案執行體系

芬蘭於 2026 年 1 月 1 日成為歐盟首個建立全面運作的 AI 法案執行體系的成員國。芬蘭的做法為其他成員國提供了參考模型，其特點包括：指定 Transport and Communications Agency（Traficom）為主要監管機構、建立跨部門協調機制，以及設立專門的 AI 監管沙盒。芬蘭的先行經驗表明，各成員國的執行模式將存在差異，企業須留意各國的具體實施安排。

違規罰則與執法機制

歐盟 AI 法案設定了三個等級的行政罰款，罰款金額按違規嚴重程度遞增。罰款的計算以固定金額或全球年營業額百分比中的較高者為準。

對於中小企業（SMEs）和新創企業，罰款金額以上述金額與百分比中的較低者為準。此差異化處理旨在避免對小型企業造成不成比例的經濟負擔。

各成員國須指定國家主管機關（National Competent Authority）負責法案的執行與監督。歐盟層面設立 AI 辦公室（AI Office），負責協調各國執法行動並直接監管 GPAI 模型的合規。歐盟 AI 委員會（AI Board）由各成員國代表組成，負責向歐盟委員會和成員國提供建議並促進法案的一致適用。

全球 AI 監管格局：多國立法趨勢

歐盟 AI 法案並非孤立事件，而是全球 AI 監管浪潮的重要組成部分。各國和地區正在以不同速度和模式推進 AI 立法。以下為全球 AI 監管的關鍵數據和趨勢。

全球 AI 立法加速

• 2023 年：全球各國制定超過 30 項 AI 相關法律
• 2024 年：全球新增超過 40 項 AI 法律，立法數量按年增長超過 30%
• 美國州級立法：2024 年美國各州提出 82 項 AI 相關法案，涵蓋就業歧視、深偽管制、AI 透明度等議題

主要經濟體的 AI 監管模式比較

「布魯塞爾效應」與全球監管趨同

歐盟 AI 法案的域外適用效力正在產生顯著的「布魯塞爾效應」（Brussels Effect）——即歐盟法規透過市場力量推動全球企業採用歐盟標準。跨國 AI 企業為降低合規成本，傾向於在全球範圍內統一採用歐盟的高標準，而非為不同市場維護多套合規體系。此效應與 GDPR 生效後全球數據保護法規的趨同現象一致。

香港企業的應對策略

香港作為國際金融中心和商業樞紐，眾多企業與歐盟市場有直接或間接的業務往來。歐盟 AI 法案的域外適用效力意味著，任何向歐盟市場提供 AI 系統或其輸出結果的香港企業，均須遵守法案要求。

香港企業須立即評估的事項

1. AI 系統盤點：全面盤點企業內部使用的 AI 系統，識別哪些系統可能屬於高風險類別
2. 歐盟市場接觸面評估：判定企業的 AI 產品或服務是否直接或間接觸及歐盟市場
3. 合規差距分析：對照八項核心要求，評估現有 AI 治理體系的差距
4. 供應鏈審查：評估供應鏈中的第三方 AI 系統是否符合歐盟 AI 法案要求
5. AI 素養培訓：確保所有與 AI 系統互動的員工具備基本的 AI 素養（此義務已自 2025 年 2 月 2 日起生效）

香港本地 AI 治理環境

香港目前尚未制定專門的 AI 法規。個人資料私隱專員公署（PCPD）於 2021 年發佈的《開發及使用人工智能道德框架》屬於自願性指引，並無法律約束力。香港金融管理局（HKMA）針對金融業的 AI 應用發佈了監管指引，但僅適用於受監管的金融機構。

隨着全球 AI 監管的加速推進，香港企業不應僅關注本地法規，而應以國際標準為基準建立 AI 治理體系。主動對標歐盟 AI 法案的企業，不僅能確保歐盟市場准入，更能在未來香港或其他地區引入 AI 法規時佔據先機。