8.0
热点
AI SCORE
行业动态2026-08-10 05:42
EU AI Act 第50条已生效：AI 生成内容强制披露要点解读
dev.to · AI#EU AI Act#合规#AI监管
Editor brief · 编辑速览
2026年8月2日起，欧盟要求所有 AI 生成内容必须向用户披露，包括 UI 提示、文件格式规范等工程实现细节，影响所有在欧盟提供 AI 产品的开发者。
对大多数开发者而言，大多数 AI 监管法规都是别人的事。风险分类、合格评估、公告机构——这类东西你点点头，假设法务会处理，然后回去写你的流式处理器。
第 50 条不同，它已于 2026 年 8 月 2 日生效。它是欧盟 AI 法案中不关心你的系统是否"高风险"的部分。它只关心一件事：对面的人能看出这是 AI 吗？如果答案是不能，你欠他们一个披露——而这个披露是产品决策、UI 决策，在一种情况下还是文件格式决策。三者都落在工程侧。
欧盟委员会于 2026 年 7 月 20 日通过了第 50 条指南，AI 办公室于 2026 年 6 月 10 日发布了《AI 生成内容透明度实践守则》。结合这两份文件和条款原文，你现在要做什么已经相当清晰了。以下是这些要求的工程化拆解。
首先：这适用于你吗？
两个问题，如果两个问题都答"是"，你大概率在监管范围内。
你是提供商还是部署方？法案将责任分开。提供商开发 AI 系统（或委托开发）并以其自身名义投放市场——如果聊天机器人或图像生成器是你做的，你就是提供商。部署方在自身授权下使用 AI 系统——如果你把别人的模型放进你的支持组件里，你就是部署方。第 50 条给提供商分配了两项义务，给部署方分配了两项义务，很多团队两者兼是。
欧盟的管辖能触及你吗？法案的地域连接（第 2 条）不是"你是不是欧盟公司"。更接近于"系统是否投放欧盟市场，或其输出是否在欧盟使用"。一家有欧盟用户的美国初创公司就在范围内。这是 GDPR 的模式，当年很多人措手不及。
不在范围内：不与人交互或不为其生成内容的东西。欧盟委员会指南明确将垃圾邮件过滤器和自动化翻译工具排除在第 50 条第(1)款之外，而语音助手和聊天机器人则在范围内。
提供商应确保旨在与自然人直接交互的 AI 系统的设计和开发方式，使相关自然人知晓他们正在与 AI 系统交互——除非从合理知情、观察仔细且审慎行事的自然人的角度来看，这一点显而易见。——第 50 条第(1)款
这是覆盖产品最多的一条，也是最容易被表面合规但实际做错的一条。
"显而易见"的豁免比你想象的窄。测试标准不是"我们的用户是技术型的"。它是一个在具体使用环境和情境下合理知情、观察仔细且审慎行事的自然人。在一个开发者工具中标记为"AI 助手"的小组件可能还算显而易见。同样的引擎以温暖、人声般的声音接听来电就不是——而语音恰恰是目前差距最大的地方，因为实时语音 Agent 已经足够好，以至于"显而易见"这个辩护理由悄悄站不住脚了。
披露必须放在哪里。第 50 条第(5)款终结了你即将在规划会议上与某人发生的争论：信息必须在首次交互或接触时提供，且必须清晰可辨别。以下方式均不合规：
第 50 条第(5)款还要求符合适用的无障碍要求——这意味着你的披露必须能通过屏幕阅读器验证，而不仅仅是设计评审。
在聊天界面中实现大概长这样，平淡正是重点：
<!-- Rendered before the first assistant message, not after it. -->
<div class="ai-disclosure" role="note">
<strong>You're chatting with an AI assistant.</strong>
Answers are generated automatically.
<a href="/support/human">Talk to a person</a>
</div>
对于语音，等价物是第一轮中的一个语音播报——在你收集任何信息之前，且使用通话所用语言。对于向其他开发者售卖的 API，诚实的做法是将义务明确向下游传递：写入文档，给集成商一个可渲染的披露字符串，因为当他们以自己的品牌将你的模型交付给最终用户时，部署方义务是他们的，而设计义务仍是你的。
在此顺便构建一个功能也值得：转接真人的路径。第 50 条不强制要求它。但当披露之后紧接着一个退出出口时，给人的感觉就非常不同，而那些上线 AI 助手却没有转人工功能的团队往往以惨烈的方式发现原因。
AI 系统提供商 [...] 生成合成音频、图像、视频或文本内容的，应确保输出 [...] 以机器可读格式标记，并可检测为人工生成或篡改。——第 50 条第(2)款
这是真正硬的工程项，也是有不同的截止日期的一项（见下文）。
要求两个属性，而且它们不是一回事：
机器可读标记——下游系统可以解析的元数据。
可检测性——输出可以被识别为人工生成或篡改。
法案要求"有效、互操作、稳健且可靠"的解决方案，"在技术可行的范围内"——这是一个明确向技术现状妥协的标准。它还豁免了辅助编辑功能和不会实质性改变输入数据的系统。你的自动裁剪和降噪滤镜不在范围内。你的"根据提示词生成产品照片"端点则在。
实践守则指明了什么。AI 办公室于 2026 年 6 月 10 日发布的守则描述了一种分层方法而非单一机制：签名加时间戳的来源元数据——其中 C2PA 是被认定为满足这些标准的标准——再加上嵌入内容本身的人眼不可见水印，足够稳健以承受压缩、裁剪、缩放和格式转换等常规变换。守则是自愿性的，撰写本文时正由欧盟委员会和 AI 委员会进行充分性评估。遵循守则是展示合规的路径；不遵循意味着你得自行证明采用了同等充分的手段。
实际上，对于图像和视频，这意味着在生成时附加 C2PA Content Credentials。Content Authenticity Initiative 为此提供了开源工具——c2pa-rs 附带 Python、JS、C++、Swift 和 Android 绑定，以及 c2patool CLI——所以这是一个库集成，而不是研究项目。
携带"这是 AI 生成的"这一声明的断言是 IPTC digitalSourceType，引用在 c2pa.actions 断言内部：
{
"assertions": [
{
"label": "c2pa.actions",
"data": {
"actions": [
{
"action": "c2pa.created",
"digitalSourceType":
"http://cv.iptc.org/newscodes/digitalsourcetype/trainedAlgorithmicMedia"
}
]
}
}
]
}
trainedAlgorithmicMedia 是 IPTC 中用于表示由生成模型创建内容的代码。还有用于合成内容和算法编辑媒体的相邻代码——选择如实描述你的流水线做了什么的那个，因为在一个只做了修图的系统上标"created"是另一种错误。在交付前对照 C2PA 规范验证当前的断言格式；标准仍在演进中。
三件合规手册里没人告诉你的事：
元数据会被剥离。很多平台在上传时会重新编码并丢弃来源元数据。在生成时签名是必要的；假设它能完好无损地穿过互联网则不然。这正是守则将元数据与水印配对的原因——而不是信任其中任何一个。
文本是最弱的环节。文本的机器可读标记没有等价于 C2PA 的方案能适用于复制粘贴之后。Token 分布的统计水印存在，但在转述后会退化，且无法在用户重新输入段落后存活。法案中"在技术可行的范围内"的表述在这里发挥了实际作用——但"困难"不等于"豁免"，记录你的推理是交付物的一部分。
在服务端签名。任何在浏览器端应用的标记都是可以由一个执意的用户跳过的。签名应位于生成路径上，在字节到达客户端之前。
如果你今天在产品中生成图像或视频，这项义务现在是媒体流水线中的一个任务项，而不是一个策略问题。
部署情绪识别系统或生物特征分类系统的部署方，应告知被该系统影响到的自然人该系统的运行，并应根据[GDPR 及相关文书]处理个人数据。——第 50 条第(3)款
这一条更短，主要在于知道它适用于你。如果你的产品从声音、面部或文本中推断情绪状态，或用生物特征数据将人分类，你要告知被影响的人——而且你同时稳稳站在 GDPR 范围内，通常还是特殊类别数据。
在界定披露范围之前：先查第 5 条。有些情绪识别——在工作场所和教育环境中——是直接禁止的，而不仅仅是透明度义务，而且自 2025 年 2 月起就已如此。如果你的用例是这样，第 50 条是你读错了的章节。
部署生成或篡改构成深度伪造的图像、音频或视频内容的 AI 系统的部署方，应披露该内容是人工生成或篡改的。——第 50 条第(4)款
注意与义务 2 的区分：标记文件是提供商的义务；向受众披露是部署方的义务。如果你用第三方模型为活动制作一个合成代言人，供应商的 C2PA 清单不能免除你的义务。你仍然要告诉受众。
两个重要的豁免：
艺术和讽刺作品。当内容是明显的艺术性、创造性、讽刺性或虚构作品的一部分时，披露缩小为以不妨碍作品展示或欣赏的方式揭示生成内容的存在。电影不需要在画面上永久显示横幅。
公共利益事项文本。发布以告知公众公共利益事项的 AI 生成或篡改的文本必须披露——除非已经过人工审查或编辑控制，且某个自然人或法人承担编辑责任。这一条每个内容密集型网站都应该读两遍。未经审查的 AI 撰写新闻摘要需要标签。同样的文章有具名编辑检查并负责则不需要。如果你的发布流程目前无法证明是这两种情况中的哪一种，那是真正的差距所在——而且首先是工作流问题，然后才是法律问题，这就是为什么基于 AI 的内容运营现在需要审计跟踪，正如需要样式指南一样。
2026 年 7 月 24 日发布于《官方公报》的 AI 数字综合法案（Digital Omnibus）调整了几个 AI 法案的日期。第 50 条基本保持原样：
最后一对是当前房间里大多数困惑的来源：高风险制度获得了大幅推迟，很多团队听到"AI 法案被推迟了"就停止阅读了。第 50 条没有被推迟。唯一的宽限期是已上市生成系统的标记义务，截止日期为 2026 年 12 月 2 日。
执法权归属国家市场监督机构、AI 办公室，以及——针对欧盟机构的——欧洲数据保护监督员。违反第 50 条将面临最高 1500 万欧元或全球年营业额 3% 的罚款，以较高者为准。
第 50 条不同寻常之处在于，它很少涉及文书工作。这里没有合格评估，没有技术文档卷宗，没有公告机构。只有一个横幅必须在第一条消息之前渲染，一个签名必须在生成路径上发生，一个标签必须触达受众，以及一份谁审查了什么的工作记录。大约四个工程 ticket，而且都不难。
它们只是容易被推迟——而推迟才是代价高昂的地方。第 50 条现在可执行，指南已发布，实践守则存在，困难部分的工具是开源的。这里的合规主要是一个问题：有没有人把它排进了 sprint。
在这件事上最不吃力的团队不是法务部门最大的那些。而是那些已经愿意坦诚地告诉用户机器在做什么的那些。事实证明这从来都是好的产品决策——只是现在变成了必须的决策。
Written by the team behind Cursuri-AI.ro, an AI education platform with hands-on English-language courses on AI, data privacy and EU AI Act compliance, production LLM integration, and shipping AI products.
Sources & further reading:
EU AI Act — Article 50: Transparency Obligations for Providers and Deployers of Certain AI Systems (full text, exemptions, codes of practice)
European Commission — Guidelines on transparency obligations for providers and deployers of certain AI systems (adopted 20 July 2026)
European Commission — Code of Practice on Transparency of AI-generated Content (published 10 June 2026)
Content Authenticity Initiative — open-source C2PA SDKs and c2patool
IPTC — Digital Source Type NewsCodes vocabulary (trainedAlgorithmicMedia and related values)
This article is educational content written by engineers, not legal advice. Article 50 interacts with the GDPR, the DSA, national implementing rules and sector regulation, and the Digital Omnibus changed several dates in 2026 — verify against current official sources and your own counsel before shipping.