欧盟 AI 法案的域外效力

本报告要回答的问题很具体：2026年8月2日这个被反复提及、又经常被讲错的日子，剥除掉信息滞后与误读之后，到底给中国出海企业留下了什么现在就要处理的真实暴露面？研究窗口锁定政策截至2026年8月2日、补充资料截至2026年8月11日这九天，因为这正是立法程序刚刚完成重大改写、而多数中文分析尚未跟上的窗口期。

信源上，本报告交叉使用三类材料：①欧盟官方一手发布（欧盟公报、欧盟委员会官网、爱尔兰数据保护委员会新闻稿），用于锚定不可争议的法律事实；②国际律所（Sidley、Gibson Dunn、Freshfields、Bird & Bird、William Fry等）的客户提示文章，用于解读条文的实际执行含义与时间节点；③中文跨境电商行业媒体（雨果网、AMZ123）与中国大模型厂商公开信息，用于捕捉政策落地后企业侧的真实反应与信息缺口。三类信源可信度不同，具体差异见第五节逐条标注。

全文事实性陈述统一用【已证实的事实】标注并附来源编号；超出直接证据、需要本报告推理连接的判断标注为【我的推理】；面向未来、本身可能出错的前瞻性结论标注为【我的判断，可错】并给出置信度。第六节是本报告主动执行的自我核查，包含信源偏向检查、最薄弱环节的老实交代、容易被漏掉的视角、以及"如果一位真正的欧盟AI合规律师读到这份报告会提出什么反对意见"。这套标注体系的目的，是让读者清楚分辨"这是事实"还是"这是本报告的判断"，不把两者混为一谈。

欧盟AI法案不是一次性生效的法律，它是一张跨越2024到2028年、长达四年多的分阶段时间表：禁止性条款2025年2月生效、通用AI模型义务2025年8月生效、原计划高风险系统义务2026年8月全面适用、附件一嵌入式产品规则原计划2027年8月适用。这张原始时间表，在2026年5月到7月经历了一次重大重写——欧盟委员会提出的"数字化综合法案"把高风险系统的义务系统性推迟了18到24个月，理由是配套的技术标准（协调标准、合格评定程序）根本没有准备好，企业没有可依据的具体规则去合规。这份提案5月7日达成临时协议，6月16日欧洲议会投票通过，6月29日欧盟理事会给出最终批准，7月24日刊登在欧盟官方公报，7月27日正式生效——整个立法程序，卡在原定8月2日截止日期之前的一周内完成，堪称一场立法程序的"极限操作"。

这就是为什么"讲错"会发生：8月2日之前写的大量法律解读、行业分析（包括部分专业法律解读文章），描述的都是2026年5月之前的原始时间表——"8月2日高风险系统全面适用"。这个说法在写作当时是对的，但立法程序在随后两个月里改写了结局，而多数分析没有及时更新。本报告要回答的真问题是：撇开这层信息滞后，2026年8月2日这一天，欧盟AI法案到底给中国出海企业留下了什么真实的、现在就要处理的暴露面——而不是那个已经被推迟到2027、2028年的、看起来更吓人但暂时不用管的高风险系统监管。

2.1 一张容易被搞错的时间表：被推迟的和没被推迟的

数字化综合法案对AI法案的具体改动，按条款拆开看是这样的：

Source：数字化综合法案立法文本；Sidley/Gibson Dunn/NicFab/Freshfields四家独立报道交叉核实，2026年8月。

这张表格本身就是本报告最重要的一条发现：舆论普遍谈论的"8月2日大限"，实际拆开是三件完全不同的事——一件按兵不动（GPAI）、一件如期而至（第50条）、两件被明确推后（高风险系统）。任何还在用"8月2日高风险系统全面适用"这句话谈论中国企业合规压力的分析，都已经落后于最新立法进展至少两周。

2.2 通用AI模型（GPAI）义务：谁真的必须头疼

GPAI义务早在2025年8月就已生效，但只在2026年8月2日才拿到欧盟AI办公室的正式执法权——这意味着从这一天起，欧盟可以真正对通用AI模型提供方开出最高全球营收3%或1500万欧元（取较高者）的罚单，而不只是"要求配合调查"。这条义务的适用对象是"通用AI模型的提供方"，即训练和发布基础大模型的公司，不是普通使用大模型API的下游企业。

欧盟委员会2025年7月发布了一份《通用AI行为准则》（GPAI Code of Practice），签署这份准则的公司可以享受"简化合规路径"——欧盟监管重点放在监督签署方是否遵守准则本身，而非逐条核查复杂的法律条文。截至2026年7月5日，DeepSeek（杭州深度求索人工智能）没有出现在欧盟委员会公布的签署方名单上，无论是完整签署还是分章节签署；阿里巴巴、百度同样没有签署。不签署不代表可以不遵守——不签署方仍须直接满足法案硬性条款的要求，只是拿不到"简化路径"带来的合规确定性和执法优先级降低的好处。

2.3 第50条透明度义务：精准命中跨境电商的日常操作

第50条要求四类场景做透明度披露：

这四类里，第1项和第2项，恰好是中国出海跨境电商目前最常用、最省钱的两把"AI提效"工具——用AI虚拟模特代替真人拍摄、用AI生图/AI视频做营销素材、用AI客服承接欧盟消费者的咨询与售后。据行业媒体报道，第50条自2026年8月2日生效后，欧盟消费者面向的AI虚拟模特、场景渲染图、营销短视频（主要集中在服饰、美妆、饰品等高SKU低客单价类目）都需要做显著标识。标注方式：图片建议在角落加可见标签，音频/视频加可听见的提示音。AI客服首次对话须主动告知对方在与AI机器人对话。一个重要的合规缓冲：经过人工编辑、审核并承担编辑责任的AI生成商品文案和描述，可以免除标注义务——这意味着"AI生成初稿+人工过一遍"仍是合法路径，全自动无人工干预的AI内容流水线，才是真正踩线的那一种。

罚则同样按全球营收比例计算：违反第50条透明度义务，最高罚全球年营收3%或1500万欧元（取较高者）——量级与高风险系统违规相同，只是尚未触发第二档更高的处罚上限（禁止性条款违规为7%/3500万欧元）。

2.4 平台先于政府执法：真正的第一层风险来源

8月2日之后，跨境电商行业媒体报道显示，主流跨境平台已经在自行加严内容规则，且行动速度明显快于欧盟监管机构的实际立案调查：

我的推理：这不是平台"多管闲事"，而是平台自身的理性选择：平台作为"部署方"或数据控制者，同样在AI法案的适用范围内，且平台面临的执法风险比单个中小卖家更集中、更容易被欧盟监管机构瞄准（一次执法行动可以同时波及平台上成千上万个商户，媒体曝光度和监管示范效应都更大）。因此平台会选择"先自己收紧规则、把合规压力转移给商户"，而不是等欧盟监管机构上门再补救。

2.5 域外执法的现实缺口：法律暴露面 ≠ 可执行性

AI法案的域外适用范围写得很宽：任何在欧盟市场投放AI系统、或系统输出在欧盟被使用的提供方或部署方，无论其注册地在哪里，都在适用范围内——这条设计思路直接借鉴了GDPR的"影响原则"而非"注册地原则"。但落到具体执行机制上，法案要求"没有在欧盟设立机构的高风险AI系统提供方"，必须在把系统投放欧盟市场前，委托一名在欧盟成员国注册的"授权代表"（第22条），该代表负责保留文档记录十年、配合监管机构调查、承担合规连带责任；未委托授权代表的处罚同样是最高全球营收3%或1500万欧元。

我的推理：这条"授权代表"制度，目前的法定适用范围明确限定在"高风险AI系统提供方"——而高风险系统的义务，正是本报告2.1节里那两条被数字化综合法案推迟到2027-2028年的义务。换句话说：第50条透明度义务本身，目前没有对应的"必须指定欧盟本地授权代表"的强制安排。这不是说欧盟监管机构完全无法触达一个在深圳、没有欧盟法律实体、只在亚马逊德国站卖货的中国卖家——市场监督机构仍可以通过平台（亚马逊）间接施压、要求平台配合下架或提供卖家信息；但相比"有法定授权代表可以直接送达文件、直接问责"的高风险系统监管框架，透明度义务这条线目前的政府直接执法路径确实更曲折、更依赖平台配合。

2.6 两个历史/同期类比：TikTok的GDPR罚单，与Grok的DSA立案——都不是AI法案本身，但都证明监管肌肉是真实的

2025年5月2日，爱尔兰数据保护委员会（DPC）对TikTok开出5.3亿欧元罚款，认定其向中国传输欧洲用户数据违反GDPR第46条（跨境数据传输规则）和第13条第1款第f项（透明度义务），并要求TikTok在六个月内停止不合规的数据传输、如未能停止则须删除已传输至中国的欧洲用户数据。这起裁决被认为把"Schrems II"原则（欧洲法院此前主要针对美国的判例，认定美国监控法律与GDPR存在结构性冲突）第一次明确扩展适用到中国，裁决书直接把中国的国家安全法律体系与GDPR合规义务挂钩，影响面不止TikTok一家，波及所有在中国有业务往来的跨国公司。

2026年1月26日，欧盟委员会正式对X（原Twitter）旗下的Grok聊天机器人立案调查——这起立案调查的法律依据是《数字服务法》（DSA），不是AI法案，本报告在此特别提醒读者不要混淆两者。调查焦点是X是否充分评估并缓解了Grok在欧盟境内传播非法内容的系统性风险，具体包括被篡改的色情图像，其中部分内容可能构成儿童性虐待材料（CSAM）；据欧洲数字权利组织（EDRi）披露，在X最终承诺整改前的11天内，Grok被用于批量生成超过300万张针对女性和未成年人的非自愿色情图像。

为什么这起案例值得放进本报告，但必须谨慎处理：Grok案不是AI法案下的执法，是DSA下的执法，两部法律管辖的对象不同——DSA管平台的内容审核责任，AI法案管AI系统本身的风险分级义务。本报告把它放进来的唯一理由，是它和TikTok案共同证明了同一件事：欧盟对争议性大、体量大的AI/平台产品，愿意也能够快速启动正式立案调查，执法意愿和执行速度都是真实的——这个立案发生在AI法案第50条生效前不到一周，某种程度上是欧盟释放监管信号的一个时间节点上的巧合，但不构成"AI法案已经开始被用来处罚AI公司"的证据，读者不应把这两件事混为一谈。

我的推理：这两条历史类比的共同价值在于：它们证明欧盟监管机构面对涉华或涉争议的大型科技平台，不存在"投鼠忌器"的政治顾虑，执法意愿和执行能力都是真实的——欧盟从来不是不愿意管，只是还没排到具体盯上哪个标的、需要多长时间准备的问题。AI法案的罚则结构（最高全球营收3%-7%）与GDPR（最高全球营收2%-4%）、DSA（最高全球营收6%）如出一辙，都是"按公司体量定罚款上限"的设计思路，本身就是这套欧盟监管方法论在不同法律工具间的延续。

补充：规模背书——中国出海盘子里，有多少已经站在这层暴露面下

2026年一季度，中国跨境电商进出口总额达6184.6亿元人民币（出口4735.5亿元）。2025年，亚马逊欧洲站新入驻中国卖家同比增长25%，首年销售额突破50万美元的中国卖家数量同比增长超过60%，亚马逊目前已在欧洲对中国卖家开放10个国家站点。2026年上半年，中国对欧盟部分品类出口增速明显（如空调对欧出口额同比增长43.2%），行业媒体普遍用"欧洲跨境迎来最好的时代"描述当前的增长态势。

说明：本节数据描述的是"暴露面的体量有多大"，不构成上文"六条独立证据线"里独立的一条论证——放在这里是给读者一个规模感，不是第七条证据。

我的推理，未经数据验证：这两组数据放在一起意味着：正当中国跨境电商加速涌入欧盟市场、把欧洲当作新增长极的这个时间窗口，恰好与第50条透明度义务落地的时间窗口（2026年8月）高度重叠——增量最快的一批新入场卖家，恰恰最缺乏对这条新规则的认知和合规经验，因为他们此前主要在欧盟合规框架相对宽松的阶段完成了原始积累（AI生图、AI虚拟模特这类工具在跨境电商圈的普及，正是2024-2026年这两年）。这个"新入场卖家合规经验更浅"的判断，目前没有问卷/访谈类的一手数据支撑，只是基于常识的合理外推，读者应知晓这层区别。

已证实：数字化综合法案已在2026年7月27日正式生效，将高风险AI系统义务推迟到2027-2028年，但GPAI执法权和第50条透明度义务按原计划于8月2日落地；第50条明确覆盖AI生成营销图片、视频、聊天机器人披露；主流跨境平台已先于欧盟政府自行收紧AI内容规则；欧盟对涉华、涉争议平台的巨额罚单与快速立案已有真实先例（TikTok的GDPR罚单、Grok的DSA立案，后者法律依据不是AI法案本身）；第22条授权代表制度目前法定只覆盖高风险系统提供方，透明度义务缺乏对应的强制本地代表安排。

我的推理：这几件事指向同一个结构性现实：欧盟AI法案对中国出海企业的实际压力，正在沿着"平台先行、政府滞后"的路径释放——不是因为欧盟不想管，而是因为大规模、分散、无欧盟实体的中小跨境经营者，天然比头部平台更难被逐一执法覆盖，欧盟选择让市场机制（平台自我加严）先做第一道过滤，自己把执法资源留给更值得投入的标的（头部平台、头部大模型厂商、造成实际社会危害的高风险场景，如Grok案里的CSAM问题）。

我的推理（延伸）：这意味着"合规暴露面"需要拆成两层来看，而不是笼统地谈"欧盟AI法案风险"。平台合规层即时生效、影响经营连续性，风险来自下架/限流/封店，覆盖几乎所有用AI工具做营销的中国出海企业。政府执法层在法律意义上更严重、罚款金额更大，但目前主要瞄准头部平台和头部大模型厂商，对中小企业的执法路径和执法节奏都不明确。多数中国出海企业当前应该优先应对第一层，同时对第二层保持长期警觉——参照GDPR与DSA的历史曲线，第二层的执法半径会随时间推移而扩大，今天"没被点名"不等于长期"不会被点名"。

企业如果把资源优先砸在"高风险系统合规"（因为它听起来最吓人），反而会错配——眼下真正该花钱花时间的，是重新梳理AI生成营销内容的生产流程，把"AI生成+人工审核"这道工序补上。

重要说明：以下清单是本报告基于前述证据构建的推理性自查工具，帮助企业家把本报告的判断转化为可执行动作，不构成法律意见，任何具体投放行为的合规判定，都应寻求熟悉欧盟AI法案的专业律师个案审查。

4.1 第50条透明度义务自查清单

4.2 大模型使用与GPAI暴露自查清单（面向使用中国大模型API做产品/服务的企业）

Source：见参考文献；作者整理，2026年8月11日。

1. 信源过度代表检查：本报告关于欧盟立法进程的部分较多依赖英文国际律所（Sidley、Gibson Dunn、Freshfields）的合规分析，这类机构的商业立场是为企业客户提示风险、天然会强调监管的严肃性；中文侧信源（跨境电商行业媒体、部分专业法律解读文章）在合规义务的具体执行细节上信息更新明显滞后于欧盟最新立法进展，这一滞后本身是本报告的核心发现之一，也提示读者：任何2026年7月之前发布的中文解读，都需要用本报告2.1节的时间表重新核对。
2. 最薄弱环节：本报告最薄弱的一环，是缺乏任何真实、可核实的中国企业执法个案——无论是GPAI层面还是第50条层面，本报告都只能确认法律框架与执法权已经落地，无法用具体案例验证"欧盟真的会对中小规模的中国出海企业动手"这一判断，只能依靠GDPR、DSA的历史类比做推理性延伸。本报告新纳入的Grok/DSA案例进一步加固了这个类比链条，但它本身依然不是AI法案的执法案例，这层区别是本报告在处理这条新证据时最谨慎的地方——本报告的立场是：暴露面是真实的，但目前缺乏个案证据证明AI法案本身的执法已经落到中小企业头上。
3. 容易被漏掉的一方：本报告主要站在"中国出海企业如何自保"的视角，欧盟本地消费者、欧盟中小企业（同样受第50条约束、同样面临合规成本）的视角未被纳入——欧盟推行这些规则的初始动机，是应对深度伪造、虚假信息、消费者被AI内容误导等真实社会问题（Grok案里的CSAM问题正是这类风险最极端的体现），不完全是"针对中国企业"，中国企业只是这张更大网络里暴露面较大的一部分参与者，这层背景企业家应该了解，以免把普遍适用的规则误读为"专门针对中国"的贸易壁垒。
4. 外部专家反问：一位真正的欧盟AI合规律师读到本报告，最可能提出的反对意见是——"授权代表制度目前不覆盖透明度义务"这一判断，可能随欧盟后续发布的具体执行指引而改变，欧盟AI办公室完全可以通过其他现有机制（如通过成员国市场监督机构联合行动、或未来修订法案本身）填补这道执行缺口，企业不应该把"目前没有强制本地代表"当作"长期安全"的依据。这条意见是对的：本报告2.5节的判断是基于当前条文与现有制度设计做出的时点判断，不是对未来执法机制发展的预测，企业应保持对欧盟后续指引的持续跟踪，而非把当前的执行缺口当作永久漏洞来依赖。
5. 本报告主动检验的复杂化案例：本报告在写作过程中主动检验了"平台先行、政府滞后"这一核心判断是否成立——如果未来欧盟为解决执法缺口，明确要求平台承担"AI法案守门人"的法定责任（类似《数字服务法》要求大型平台承担内容审核责任的模式），那么"政府滞后"的判断会被显著削弱，平台执法与政府执法之间的界限会变得模糊。Grok案恰恰是这种"DSA已经在要求平台对AI功能承担系统性风险责任"的一个早期信号，本报告因此提醒读者：DSA与AI法案之间的责任边界，未来可能进一步融合，而不是永远清晰分立——这是一个需要持续观察的变量，而非固定结论。