《人工智能法案》制定历程、适用范围及主要内容有哪些？

历时三年，经过成员国与欧盟理事会、欧盟议会等欧盟层面机构的多次磋商、讨论， 面临欧盟、美国等国家 / 地区科技巨头企业的担忧与疑虑，欧盟人工智能监管立法终于迎 来重大进展。

一、《人工智能法案》制定历程

欧盟始终期待打造可信任的人工智能生态环境，为实现这一愿景，欧盟陆续发布《欧 盟机器人民事法律规则》《欧盟人工智能》《人工智能白皮书——追求卓越和信任的欧洲 方案》等一系列人工智能政策，以期推动欧盟的人工智能产业发展，并形成健康、可持续 的人工智能监管机制。 基于前述愿景，2021 年 4 月，欧盟首次发布《人工智能法案》提案，以“风险为进路”， 基于人工智能系统的应用场景等因素，将人工智能系统划分为不可接受的风险、高风险、有限 风险和极低风险四类，并对每类风险的人工智能系统提出差异化的监管要求。2022 年 12 月 6 日，欧盟理事会通过了关于《人工智能法案》的共同立场。2023 年 6 月 14 日，欧洲议会对《人 工智能法案》草案进行表决，并以 499 票赞成、28 票反对和 93 票弃权的压倒性结果通过了 其妥协立场。此后，欧盟成员国、欧盟理事会及议会就《人工智能法案》的具体条款组织“三 方会谈”，进行多次谈判，并于 2023 年 12 月 9 日达成有关《人工智能法案》的临时协议。

达成临时协议并不代表欧盟本次人工智能立法程序的结束，而仍有待欧洲议会的最终 表决。随着立法程序的进一步更新，2024 年 2 月 13 日，欧盟议会内部市场和消费者保 护委员会与公民自由、司法和内政事务委员会以 71 票赞成、8 票反对和 7 票弃权的投票 结果通过了与各成员国就《人工智能法案》达成的谈判草案。2024 年 3 月 13 日，欧洲 议会正式批准了《人工智能法案》，扫清了欧盟人工智能监管立法的前置障碍。

未来，《人工智能法案》还将进行条款勘误，并预计在 2024 年 4 月交由欧盟理事会 境外的 AI 发展 / 405 批准以使得《人工智能法案》正式成为欧盟法律。

二、《人工智能法案》适用范围

《人工智能法案》的立法宗旨之一在于维护公平的人工智能竞争环境并有效保护欧盟 个人的自由等基本权利。为了实现前述目标，《人工智能法案》确立了较为广泛的适用范 围且具备域外效力：一方面，尽管某企业并非欧盟实体，只要其将人工智能系统在欧盟境 内投入市场或投入使用，也需适用《人工智能法案》。另一方面，人工智能系统最终在市 场发挥作用，除人工智能系统提供者外，离不开部署者、分销者等利益相关主体的参与。 因此，人工智能系统价值责任链的相关主体均可能成为《人工智能法案》的规制对象。

（一）适用于在欧盟境内将人工智能系统投入市场或投入使用的人工智能系统提供者 《人工智能法案》第 2 条规定，无论是欧盟境内还是欧盟境外的实体，只要其在欧盟 境内将人工智能系统或通用人工智能模型投入市场或投入使用，均将受到《人工智能法案》 的规制。场所位于欧盟境外的人工智能系统提供者，如其系统产生的产出将用于欧盟，相 关主体也需适用《人工智能法案》。 此外，如提供者在欧盟境内尚未设立实体，根据《人工智能法案》的规定，其应指派 一个位于或设立于欧盟的授权代表，代提供者履行相关合规义务。

（二） 适用于人工智能系统价值责任链上的多方主体 鉴于人工智能系统价值链的复杂性，人工智能系统的提供者、部署者、进口者、分销 者或其他第三方均需履行其角色项下的合规义务。具体而言，根据《人工智能法案》的相关规定，除了人工智能系统提供者，如下主要 类型的主体也将受到欧盟人工智能立法的监管：  部署者：部署者指经授权使用人工智能系统的公共机构、法人和自然人（自然人 在非职业活动中使用人工智能系统除外），包含在欧盟内设立场所或位于欧盟的 人工智能系统部署者，以及其人工智能系统产生的产出将用于欧盟的部署者；  进口者：将带有欧盟境外自然人或法人的名称、商标的人工智能系统投放欧盟市场、 且位于或设立于欧盟的法人、自然人； 分销者：除人工智能系统提供者、进口者以外，在欧盟市场上提供人工智能系统的主体； 产品制造者：以自己的名称或商标将人工智能系统与其产品一同投入欧盟市场或 投入使用的产品制造者。

一方面，高风险人工智能系统的进口者、分销者等主体需履行《人工智能法案》第 23 条、 第 24 条等相关规定对其施加的相关合规义务。另一方面，满足特定情形时，部署者、进 口者等还将被视为高风险人工智能系统的提供者，履行提供者的相关义务。例如，相关主 体对已投入市场或投入使用的高风险人工智能系统进行实质性调整，且调整后的人工智能 系统也属于高风险人工智能系统，相关主体则需履行高风险人工智能系统提供者的义务。

三、《人工智能法案》主要内容

（一）以风险为进路，对不同风险等级的人工智能系统实施差异化监管 最新通过的《人工智能法案》延续了自《人工智能法案》提案起即确立的人工智能 系统四级监管机制，即将人工智能系统的风险等级划分为不可接受的风险、高风险、有限的风险和轻微的风险四类，并对每类人工智能系统施以不同的监管要求。 具体而言，《人工智能法案》禁止具有不可接受风险的人工智能系统投入市场或投入 使用；有限风险的人工智能系统的提供者、部署者应履行特定的透明度义务；轻微风险的 人工智能系统的使用不受限制；高风险人工智能系统则是《人工智能法案》的重点关注对象。 就高风险人工智能系统而言，《人工智能法案》构建了涵盖事前、事中和事后的全生 命周期监管体系：

高风险人工智能系统投放市场或投入使用前，其提供者应确保人工智能系统具有相应 的风险管理体系、使用符合《人工智能法案》第 10 条规定的质量标准的训练、验证和测 试数据集、附有证明该人工智能系统符合《人工智能法案》合规要求的技术文档、具有自 动记录日志的能力、设置人为监督措施等。同时，高风险人工智能系统提供者还应建立质 量管理体系，以确保其自身能够遵循《人工智能法案》对其施加的合规要求。 高风险人工智能系统投放市场或投入使用时，其提供者应当开展基本权利影响评估与 符合性评估、制定欧盟符合性声明、加贴 CE 标识，并在欧盟委员会维护的欧盟数据库中 对高风险人工智能系统进行备案。 高风险人工智能系统投放市场或投入使用后，其提供者应持续监测人工智能系统的风险 活动，以便评估其系统在上市后是否持续符合《人工智能法案》的相关要求；采取纠正措施例 如召回、停用，以应对人工智能系统已不符合监管要求而带来的风险；如发生严重事件，提供 者还应向严重事件发生地的成员国市场监管管理机关进行报告。此外，成员国的国家市场监督 管理机关、欧盟设立的人工智能办公室等机构有权依据《人工智能法案》履行相应的职责，因 此，高风险人工智能系统提供者等市场主体还负有配合主管机关执法的义务。

（二）新增对通用人工智能模型及系统的监管要求 随着 ChatGPT 等 AI 应用在世界范围内掀起热议，欧盟理事会于 2022 年 12 月 6 日 就《人工智能法案》达成共同立场时即新增了有关通用型 AI 模型（General Purpose AI Models）的合规要求。最新通过的《人工智能法案》也顺应了对通用人工智能模型及其 系统进行规制的趋势，并延续了“以风险为进路”的思路，将通用人工智能模型进一步区 分为是否存在系统性风险（Systemic Risk），并对具有系统性风险的通用人工智能模型 提供者提出更高水平的监管要求。 简而言之，通用人工智能模型提供者均应履行《人工智能法案》第 53 条规定的透明 性义务，包括编制技术文档、提供相关信息至通用人工智能模型的下游人工智能系统提供 者等。如果相关通用人工智能模型被认定为存在系统性风险，其提供者还应遵循《人工智 能法案》第 55 条等相关要求，按照标准化协议和工具对模型进行评估从而识别和减轻存 在的系统性风险、报告事件等。

（三）确立人工智能监管沙盒制度，激励人工智能创新，保护中小企业发展 一方面，人工智能的技术革新是数字社会发展的必然趋势，基于维护个人的安全、 健康、民主等基本权利之目的而对人工智能进行监管不应过分扼制人工智能产业的发展。 另一方面，新生的人工智能监管要求可能在短时间内拉高了企业的合规成本，尤其是对于 小微企业（Small and Medium Enterprises, SMEs）而言，高昂的合规成本可能影响其 参与人工智能市场的竞争。基于此，欧盟建立人工智能监管沙盒（AI Regulatory Sandboxes）制度，以推动人工智能生态系统的发展，促进和加快人工智能系统、特别是小微 企业的人工智能系统进入市场。 《人工智能法案》第 57 条规定，欧盟各成员国应至少建立一个国家级别的人工智能 监管沙盒，使得潜在的高风险人工智能系统提供者可以在可控的环境内进行研发、培训和 测试，接受相关主管机关提供的指导与便利。企业可申请参与人工智能监管沙盒，且主管 机关设置的申请、选拔流程应当便于小微企业参与；如企业是小微企业，还可免费进入监 管沙盒。 此外，为了保护中小企业的利益，《人工智能法案》第 62 条还规定了针对中小企业 的保护措施。例如，在合适的情形下，当地主管机关还应针对小微企业开展有关《人工智 能法案》的培训，提高相关企业对人工智能监管要求的认识，并促进小微企业参与人工智 能系统相关标准化规则的制定。