# AI Act 真正的大限是八月 2026年8月2日，欧盟 AI Act 针对高风险 AI 系统的义务正式生效——这才是真正有牙齿的部分：文档记录、人工监督、风险管理，以及最高 €35M 或全球营业额 7% 的罚款。有两件事让局面变得棘手。截至三月，27 个成员国里只有 8 个连执法对接点都还没设好。而当一个自主智能体擅自行动出了事，到底谁来担责，谁都没有一个干净的答案。如果你的软件触及欧盟用户，这里讲清楚到底有什么在变，以及你需要补上的那道缺口。 - **Author:** Fedor Chishchin - **Published:** 2026-06-13 - **Tags:** business, security - **Source:** https://fedorthinks.com/zh/blog/the-ai-acts-real-deadline-is-august --- 如果你的软件能触及欧盟用户，有一个日期值得记进日历： 2026年8月2日。这一天，欧盟 AI Act 针对 [高风险 AI 系统的义务正式生效](https://www.surecloud.com/resource-hub/eu-ai-act-complete-compliance-guide)—— 而且不像早些时候那些抢头条的禁令，这部分才是真正有操作牙齿的地方。它讲的是文档记录、人工监督、风险管理， 还有罚则：最严重的违规，最高可达 [€35M 或全球年营业额的 7%](https://decodethefuture.org/en/eu-ai-act-explained/)。 有两件事让这个节点真的很棘手，而且它们朝相反的方向拉扯。一方面，执法机器还没准备好——截至 2026 年三月， [27 个成员国里只有 8 个设立了单一对接点](https://epthinktank.eu/2026/03/18/enforcement-of-the-ai-act/)。 另一方面，法律本身有个谁都没干净补上的窟窿：当一个自主智能体擅自行动并造成损害时， [到底谁来背锅——开发者、运营方，还是用户](https://www.legalnodes.com/article/eu-ai-act-2026-updates-compliance-requirements-and-business-risks)—— 这事儿真的还没定论。 我不是律师，这也不是法律意见。但即将到来的这套东西的轮廓，对任何用 AI 搞开发的人都很重要，所以让我把它讲清楚。 ## 「高风险」到底是什么意思 这部法律并不是对所有 AI 一视同仁。它按风险给系统分级，而大部分分量都压在「高风险」这一档上—— 也就是用在招聘、信贷、教育、基础服务，以及其他会实质影响人们生活的决策上的 AI。如果你的系统做出 或大幅影响这类决策，八月就是义务落地的时候：你得记录它如何运作、让人工有意义地保持在回路里、 管理并记录风险，还要能把这一切拿给监管者看。 要真正消化的一点是：这主要关乎*流程*，而不是模型够不够聪明。这部法律问的不是「你的 AI 好不好？」， 而是「你能不能说清它如何决策、谁在监督它、你对风险做了什么？」一个出色却没有文档、没有人工监督的系统， 恰恰就是它要抓的对象。 ## 责任缺口才是要盯紧的部分 更深的问题，是智能体时代制造出来的速度快过了法律能给出答案的速度。这部法律基本是围绕 AI *系统*写的—— 也就是辅助人做决策的工具。但一个自己采取行动的自主智能体，把这条界线模糊掉了。当一个智能体自己去预订、 购买、发送或决定，而结果出了岔子时，模型的开发者、部署它的公司、以及放它出去的用户之间那条责任链， [并没有被干净地理清](https://www.legalnodes.com/article/eu-ai-act-2026-updates-compliance-requirements-and-business-risks)。 对作为开发者的你来说，这种模糊本身就是风险。当法律对谁担责还没定论时，「我以为这是别人的事」可不是个 你想等到上了法庭才发现的立场。这也是又一个理由，说明你真正的暴露在于[围绕模型的那套系统——它的边界、 它的监督、它的审计记录](/blog/the-risk-is-the-system-not-the-model)，而不在模型本身。 ## 到底该做什么 你不需要恐慌，也不需要一夜之间搞出一个合规部门。你需要的是别再把治理当成以后再贴上去的东西： - **诚实地搞清楚自己的风险档位。** 弄明白你做的东西在这部法律下是否落进高风险范围。大多数应用并不会—— 但如果你的产品触及招聘、信贷、健康或基础服务，在你查清楚之前，先当它会。 - **现在就把审计记录留好。** 记录你的 AI 做了什么、为什么这么做，让人工守在不可逆和后果重大的决策上， 并写下系统是如何运作的。反正这些都是义务，而且[内建进去比事后改造要便宜](/blog/evals-or-it-didnt-ship)。 - **把谁负责钉死。** 在你自己的产品内部，明确说清楚对于智能体所做的事，人的问责落在哪里。别让「是 AI 干的」 成为你唯一能给出的答案。 - **别赌执法慢能让你蒙混过关。** 今天 27 个里只有 8 个对接点，不代表明天就放你一马——它意味着执法不均匀、 难以预测，而罚款大到你绝不想成为被拿来开刀的那个例子。 ## 结论 8 月 2 日并不是 AI 在欧洲被禁的那一天——而是「治理以后再说」对高风险系统来说不再是个可行方案的那一天。 这部法律真正的要求并不光鲜，却完全做得到：说清你的系统如何决策、让一个人有意义地掌控、管理风险、 并且能证明这一切。已经在这么干的团队，大半的活儿都已经做完了。 棘手之处是围绕自主智能体的那道责任缺口，而那才是真正要去想的——因为不管技术是不是让事情变得容易， 法律都会去分配责任，「是智能体决定的」不会是一条抗辩理由。趁现在还是设计选择、而不是法院命令的时候， 就把监督和审计记录建进去。大限是真的，罚款是真的，而认真对待治理最便宜的时机，就是在监管者逼你之前。