政策动态：EU AI Act执法截止日到来，全球AI治理进入新阶段

EU AI Act于8月2日正式进入关键执法阶段，高风险AI系统合规要求生效，违规罚款最高可达3500万欧元或全球年营收的7%。与此同时，欧盟《云与AI发展法案》（CADA）提出云和AI主权框架，定义四个主权保证级别。全球AI监管框架正从原则制定进入强制执行时代。

主要新闻

EU AI Act 8月2日执法阶段全面启动

EU AI Act（法规2024/1689）于2026年8月2日进入最具影响力的执法阶段。高风险AI系统的合规要求全面生效，包括强制性合规评估、技术文档要求、EU数据库注册以及成员国执法基础设施的激活。违规处罚严厉：禁止性做法罚款最高3500万欧元或全球年营收的7%；运营义务违规最高1500万欧元或3%；误导性信息最高750万欧元或1.5%。尽管截止日临近，Vision Compliance 2月报告显示，78%的企业尚未采取有意义的合规步骤：83%缺乏AI系统清单，74%无指定AI合规负责人，61%缺乏技术文档生成流程。仅8个成员国在2025年8月截止日前指定了国家主管机构。

Source: EU AI Act Enforcement Timeline

数字全票法案推迟高风险合规但保留GPAI执法

欧盟《数字全票法案》（法规2026/1744）于7月27日生效，在最后时刻对EU AI Act进行了关键调整。附件III所列的独立高风险AI系统（涵盖生物识别、关键基础设施、教育、就业、信用评分、保险、执法、移民和司法管理）的合规截止日推迟至2027年12月2日。但通用AI（GPAI）模型提供者的执法权和第50条透明度规则仍于2026年8月2日生效。Cloud Security Alliance分析指出，这一调整是”推迟而非取消”——企业不应因延期而放松准备。国家监管沙盒必须在2027年8月2日前建立。

Source: CSA: EU AI Act’s High-Risk Deadline: Deferred, Not Cancelled

欧盟《云与AI发展法案》定义四级云主权框架

欧盟委员会的《云与AI发展法案》（CADA）提出云和AI主权的四个保证级别：Level 1（数据在欧盟境内处理和存储）；Level 2（提供者必须证明独立于第三国并透明披露软件供应链）；Level 3（提供者必须为欧盟拥有和控制，满足人员国籍等额外标准，委员会可认可第三国提供者）；Level 4（提供者对软件供应链拥有完全透明度和控制权，无第三国干扰）。CADA旨在将欧盟数据中心容量在5-7年内至少增加三倍，同时简化许可流程。该法案是欧盟”AI大陆行动计划”的关键组成部分。

Source: Cloud and AI Development Act - European Commission

分析

EU AI Act的执法启动标志着全球AI治理从”软法”向”硬法”的根本性转变。高达全球年营收7%的罚款不是理论威胁——对于年营收数百亿的科技巨头，这意味着数十亿欧元的潜在罚款。78%的企业未做好准备的数据令人震惊，但考虑到仅8个成员国按期指定了主管机构，执法能力本身就存在巨大缺口。这种”执法机构不完善”与”企业准备不足”的双重困境，可能导致2026-2027年的执法呈现碎片化和选择性特征。

CADA的四级主权框架将深刻影响云服务商的市场策略。对于非欧盟云提供商（AWS、Azure、Google Cloud），Level 3和Level 4要求可能构成重大准入壁垒。这解释了为何AWS和Google Cloud近期推进多云互操作性合作——在监管壁垒升高的背景下，互操作性而非排他性成为竞争优势。对于企业而言，需要评估其AI系统和数据处理流程在新主权框架中的位置。

数字全票法案的”推迟但不取消”策略反映了欧盟在激进监管与产业现实之间的平衡尝试。GPAI透明度规则的如期执行表明，欧盟对最基础的AI治理要求不会妥协。企业应将高风险合规截止日的延期视为”额外准备时间”而非”无需立即行动”的信号。

结论

全球AI监管正从原则讨论进入强制执行的新阶段。企业应立即行动：（1）完成AI系统清单和风险分类；（2）评估云和AI主权框架对基础设施策略的影响；（3）建立AI合规组织架构和文档生成流程。等待执法行动再行动的代价可能远超提前准备的成本。