欧盟AI法案生效：违规最高罚款年全球营业额7%

欧盟 AI 法案： unprepared 企业面临 3500 万欧元罚款

欧盟 AI 法案的禁止性做法、通用 AI（GPAI）以及透明度条款于 2026 年 8 月 2 日正式生效，但附录 III 所列的高风险 AI 系统——即面临数据治理和审计要求的类别——被推迟至 2027 年 12 月 2 日；禁止性做法最高可处罚 3500 万欧元或全球营业额的 7%。

中国的《网络安全法》修正案（2026 年 1 月 1 日生效）以及印度的《个人数据保护法》（DPDP Act，分阶段至 2027 年 5 月全面落地）迫使企业围绕境内数据驻留重新设计 AI 训练流程，而要在全球范围内建立统一模型并无捷径可走。

美国的《云法》（CLOUD Act）允许美国政府向美国总部云服务提供商索取数据，无论数据存储在何处，这意味着欧盟或印度的数据驻留并不能保证数据免受美国法律程序的管辖。2018 年颁布的《云法》要求美国总部云服务提供商在收到美国政府有效法律程序请求时交出数据，无论该数据实际物理存放在何处，这与当前在欧盟、中国和印度陆续生效的数据主权制度形成了直接冲突。

欧盟 AI 法案：2026 年 8 月 2 日的变化

欧盟 AI 法案将 AI 从一项创新计划转变为在整个欧洲得到治理的企业级能力。禁止性做法、通用 AI 提供商以及透明度义务于 2026 年 8 月 2 日正式生效；附录 III 所列的高风险 AI 系统——涵盖关键基础设施、就业、信用评分和执法领域——面临最严格的要求，但根据欧盟数字综合法案（Digital Omnibus）被推迟至 2027 年 12 月 2 日。

这些高风险要求一旦在 2027 年 12 月生效，将包括成文的数据治理协议、人类监督机制以及足以在整个部署生命周期内追踪系统操作的审计日志。第 50 条透明度规则现已生效，要求在与 AI 系统交互时进行披露，包括在 Microsoft Power BI 等平台中借助 AI 辅助分析时也需披露。该法案的域外效力意味着，即使在欧盟以外运营的 AI 系统，若服务于欧盟公民，仍可落入其管辖范围。

财务风险不容小觑。违反透明度和 GPAI 义务的最高罚款为 1500 万欧元或全球营业额的 3%；禁止性做法的罚款上限则提升至 3500 万欧元或全球营业额的 7%。采购团队正在根据合规准备情况重新评估供应商选型，而较早投入治理的企业将更有优势赢得受监管行业的业务。与 GDPR 2018 年时刻相比，8 月 2 日的截止日期引起的公众关注较少，但对于对当前已生效内容——禁止性做法、GPAI 规则和透明度义务——准备不足的企业而言，后果不相上下；高风险合规规划仍有时间窗口，在 2027 年 12 月前仍可推进。

亚洲主要经济体的平行本地化制度

主要亚洲经济体正在运行平行的本地化制度，为 AI 开发者带来独立的合规负担。2026 年 1 月 1 日生效的中国《网络安全法》修正案收紧了跨境数据传输规则，并与《数据安全法》及《个人信息保护法》（PIPL）共同构成了业内人士所描述的中国数据分层法律屏障。同样于 2026 年 1 月 1 日生效的《个人信息出境标准合同办法》（Certification Measures for Cross-Border Transfer of Personal Information）为数据出境方引入了第三条合法路径，与国家互联网信息办公室的安全评估及标准合同条款并列。

对于 AI 公司而言，在中国大陆境内收集或生成的数据通常必须留在境内，这打破了大多数大型模型开发者所依赖的全球分布式训练流程。该框架的数据最小化、目的限制和严格同意要求，对那些依赖客户数据的平台——尤其是 CDP/CRM 系统、AI 应用程序及联网车辆基础设施——冲击最大。全球供应商面临一个现实选择：要么建立中国本地基础设施，要么限制利用中国数据所构建的产品。

印度的《2023 年个人数据保护法》（DPDP Act）通过 2027 年 5 月分阶段落地的实施规则，采取了不同的结构性方法。GDPR 允许以"合法利益"作为处理依据，而 DPDP Act 基本上是一个以同意为基础的制度——AI 开发者在处理个人数据之前，必须获得自由、特定、知情、无条件和明确的同意。这一要求直接冲击了通过抓取或广泛收集来聚合数据的训练流程。该法案默认允许跨境传输，但包含政府将目的国列入黑名单的权力，这一规定在基础设施规划阶段重新引入了监管不确定性。

该法案还引入了"同意管理器"作为数据受托人与数据主体之间的中介。虽然该机制在理论上可以简化同意收集流程，但为在印度运营的 AI 提供商增加了一层合规考量，特别是在涉及公开数据的情况下——该法案提供了这一豁免，但并非无条件适用。

《云法》悖论

管辖权问题远不止于地理层面。2018 年颁布的美国《云法》要求美国云服务提供商在收到有效美国法律程序请求时披露数据，无论该数据实际物理存放在何处。一家企业在欧盟土壤上存储欧盟公民数据，或在印度境内存储印度个人数据，如果使用 AWS、Microsoft Azure 或 Google Cloud 来托管数据，并不能使该数据免受美国政府请求。

数据驻留和数据主权并非同一概念，而《云法》正是说明这一点的最典型例证。大型云服务商提供特定区域的基础设施，正是为了满足欧盟 AI 法案和 GDPR 等框架下的本地化要求，但其美国法律实体的身份意味着这些区域部署仍然面临《云法》风险。在这些平台上处理敏感个人数据的企业，必须同时协调其对欧盟、中国和印度法律的义务，这通常需要额外的合同保障和架构层面的决策——涉及数据存储、处理环境和供应商管辖权——这些决策无法推迟到部署阶段。

欧盟 AI 法案已生效的透明度和 GPAI 义务、亚洲的本地化制度以及《云法》的域外触达，共同施压于企业法务和基础设施团队，迫使他们进入过去是按序进行、如今必须同步展开的同一场对话。

原文发布于 https://autonainews.com/eu-ai-act-35m-fines-hit-unprepared-enterprise-ai/