合规指南
📋 本文涵盖：欧盟《人工智能法案》（EU AI Act）的域外适用范围如何运作，哪些非 EU 公司会被纳入以及原因，如何解释“在 EU 使用的输出”，授权代表要求的含义，针对 US、UK、加拿大及其他非 EU 公司的逐场景分析，以及 2026 年 Digital Omnibus 推迟高风险规则后的修订截止期限。非 EU 服务提供商承担相同义务，包括第 4 条 AI 素养义务。
⏱️ 更新，2026 年 7 月：关于 AI 的 Digital Omnibus（“Omnibus VII”简化方案的一部分）已于 2026 年 6 月 16 日获欧洲议会批准，并于 2026 年 6 月 29 日由欧盟理事会最终通过。其将在《官方公报》发布时生效，预计很快发布，因此目前尚未正式生效，也尚未分配修订条例编号。它推迟了高风险截止期限：独立高风险系统（附件 III 使用场景）从 2026 年 8 月 2 日延至2027 年 12 月 2 日，嵌入受监管产品的高风险 AI（附件 I）从 2027 年 8 月 2 日延至2028 年 8 月 2 日。第 50 条透明度义务仍自 2026 年 8 月 2 日起适用，且已经生效的禁止性规定、AI 素养、通用 AI、治理和处罚规则保持不变。
一家位于旧金山的软件公司，向欧洲企业销售 AI 驱动的招聘工具。一家新加坡金融科技公司，为 EU 客户运行信贷决策。一家 UK 健康科技公司，其 AI 分诊工具在爱尔兰医院使用。一家加拿大法律科技公司，拥有 EU 律所订阅用户。这些公司都不设在 EU。但它们都属于 EU AI Act 的适用范围。
EU 监管的域外效力已成为数字监管格局的标志性特征之一。欧盟《通用数据保护条例》（GDPR）确立了模板：只要您处理 EU 居民的数据，无论您位于何处，都受 EU 法律约束。EU AI Act，Regulation (EU) 2024/1689，遵循同样逻辑，并以更进一步的方式扩展其适用范围，使一些真诚认为自己不在其管辖范围内的公司也被纳入。
本文将准确、实用地回答 EU AI Act 是否适用于您的公司，不是泛泛原则，而是按场景分析那些真正引发困惑的情况。如果您是一家非 EU 公司，并且与 EU 市场、客户或用户存在任何接触，您需要在合规截止期限到来前明确自己的位置。首先，先快速了解关键事实。
| 适用法律 | Regulation (EU) 2024/1689（欧盟《人工智能法案》（EU AI Act）） |
| 生效日期 | 2024 年 8 月 1 日 |
| 域外适用触发条件 | 适用于任何将 AI 系统投放到 EU 市场的服务提供商，无论其设立地点在哪里（Art. 2(1)(a)）；也适用于位于 EU 以外、且其 AI 系统输出在欧盟境内被使用的服务提供商和部署方（Art. 2(1)(c)）。 |
| 已生效 | 被禁止的实践与 AI 素养（2025 年 2 月 2 日）；通用 AI、治理和处罚（2025 年 8 月 2 日）。 |
| 第 50 条透明度 | 2026 年 8 月 2 日 - 不受 Digital Omnibus 影响。 |
| 独立高风险系统（附件 III） | 2027 年 12 月 2 日 - 由 Digital Omnibus 从 2026 年 8 月 2 日推迟。 |
| 受监管产品中的高风险系统（附件 I） | 2028 年 8 月 2 日 - 从 2027 年 8 月 2 日推迟。 |
| 非 EU 高风险服务提供商 | 在使系统可供使用之前，必须任命一名设立于 EU 的授权代表（Art. 22）。 |
| 最高处罚 | 对于被禁止的实践，最高可处 3500 万欧元或全球年度总营业额 7% 的罚款，以较高者为准（Art. 99）。 |
📌 跳转到章节
⚡ 要点速览
是的，欧盟《人工智能法案》（EU AI Act）明确适用于非 EU 公司，只要它们将 AI 系统投放到 EU 市场、在 EU 投入使用，或其 AI 系统的输出被 EU 境内的主体使用。设立地点并不相关。该法案采用与欧盟《通用数据保护条例》（GDPR）相同的域外适用模式。高风险 AI 系统的非 EU 服务提供商必须在 EU 任命授权代表。UK、US、Canada 以及所有其他非 EU 国家，在适用范围判断上均被同等对待。
域外适用范围的实际运作方式
欧盟《人工智能法案》（EU AI Act）第 2 条规定了其适用范围。其中两项条款承担域外适用功能：Article 2(1)(a)，即明确的市场规则，以及 Article 2(1)(c)，即输出挂钩规则。（Article 2(1)(b) 涵盖设立于 EU 的部署方，2(1)(d) 涵盖进口商和分销商。）
首先，根据第 2(1)(a) 条，该法案适用于“在欧盟市场投放或投入使用 AI 系统，或在欧盟市场投放通用 AI 模型的服务提供商，无论这些服务提供商是在欧盟境内设立或位于欧盟境内，还是在第三国设立或位于第三国。”这是清晰的规则：如果您向 EU 客户或组织销售或提供 AI 系统，您就是该法案下的服务提供商，并承担服务提供商义务。
其次，许多非 EU 公司会对此感到意外，第 2(1)(c) 条将该法案适用于“在第三国设立或位于第三国的 AI 系统服务提供商和部署者，前提是该 AI 系统产生的输出在欧盟内被使用。”这涵盖了 AI 系统并未面向 EU 客户营销，但其输出仍然触达 EU 人员的情形：一家非 EU 公司的 AI 对 EU 员工作出决策、在 EU 市场使用的非 EU 算法定价系统、其输出影响 EU 公民的外国 AI 系统。
该法案并不会根据公司的设立地点划分不同层级的义务。一家向 EU 医院销售高风险 AI 系统的 US 公司，与一家做同样事情的 EU 公司，承担完全相同的服务提供商义务。设在 EU 之外并不存在更宽松的制度。唯一的结构性差异是额外要求：非 EU 高风险 AI 服务提供商必须任命一名设立于 EU 境内的授权代表。
第 2(1)(a) 条起草清晰，您可以在一个下午内将其适用于自己的业务。第 2(1)(c) 条则存在真正的不确定性，因为“在欧盟内使用的输出”是该法案留给您结合自身事实解释的表述。如果您认为其不适用于您这一结论依赖于细微的文本解读，那么应假定其适用于您，并将相关工作成本纳入预算。
⚠️ GDPR 对比，以及差异所在
大多数在 EU 开展业务的非 EU 公司都熟悉欧盟《通用数据保护条例》（GDPR）的域外适用模式：如果您在向 EU 居民提供商品或服务的语境中处理其个人数据，则适用 EU 数据保护法。欧盟《人工智能法案》（EU AI Act）的适用范围类似，但并不完全相同。EU AI Act 的“在 EU 使用的输出”触发条件，即使不涉及任何个人数据，甚至即使 AI 系统并未面向 EU 客户营销，也可能适用。在某些方面，其范围比 GDPR 更广，因为它不限于个人数据处理。
关键触发条件：“在 EU 使用的输出”
“在 EU 使用的输出”触发条件，是域外适用范围中最宽泛、也最少被理解的部分。它需要谨慎拆解，因为它会涵盖那些从未有意瞄准 EU 市场的公司。
该法案并未穷尽定义“在 EU 使用的输出”，但序言明确表明，其设计目的在于防止通过迁移地点来规避监管。如果一家公司专门将其 AI 运营设在非 EU 司法管辖区，以规避 EU AI Act 义务，同时仍服务 EU 用户或影响 EU 人员，则无论如何该法案均适用。
在实践中，以下任一情形适用时，该触发条件即会被激活。
1
AI 系统产生的输出，如决策、建议、内容、预测，会直接影响 EU 人士
一家非 EU 公司的 AI 模型用于判断 EU 申请人的贷款资格，其产生的输出会在 EU 使用。一个非 EU HR AI 系统对 EU 求职者的简历进行评分，其产生的输出也会在 EU 使用。受影响的人位于 EU，因此该输出即是在 EU 使用。
2
在 EU 设立的组织部署或使用该非 EU 公司的 AI 系统
一家 US AI 供应商的工具由 EU 金融机构部署，即构成在 EU 将系统投入使用。EU 客户对该工具的使用，正是在 EU 的使用，从而触发非 EU 供应商的服务提供商义务。
3
AI 系统处理 EU 人士相关数据，且结果进入影响这些人的决策流程
一家非 EU 公司运行 AI 模型，分析 EU 消费者行为以进行定向广告、定价或内容审核，其产生的输出是在 EU 使用的，即使该公司从未将其 AI 作为独立产品向 EU 客户营销。
哪些情况下触发条件不会生效：一家非 EU 公司仅将 AI 用于内部运营，没有 EU 市场活动，没有 EU 客户，没有受 AI 决策影响的 EU 员工，也没有任何 AI 输出到达 EU 境内任何个人。该公司确实不在适用范围内，但真正不在适用范围内的门槛，高于多数公司在首次评估自身定位时的假设。
EU 是否应当能够将监管触角延伸到如此范围，这是一个可以讨论的合理问题。但在采购沟通中，您很可能无法赢得这个争论。无论您对适用范围作出何种结论，您的 EU 客户都会要求提供欧盟《人工智能法案》（EU AI Act）文档，而且合同压力会远早于任何监管机构到来。
逐场景分析
通过具体场景，抽象的适用范围规则会更清晰。以下内容涵盖非 EU 公司在评估自身定位时最容易产生真实不确定性的情况。
| 场景 | 是否纳入范围？ | 角色与义务 |
|---|---|---|
| 向 EU 雇主销售 AI 驱动招聘软件的 US SaaS 公司 | ✅ 是 | 高风险 AI 系统服务提供商（附件 III，就业）。必须在 2027 年 12 月 2 日前满足所有高风险服务提供商义务。必须指定 EU 授权代表。 |
| 为 EU 客户运行 AI 信贷决策且没有 EU 法律实体的加拿大金融科技公司 | ✅ 是 | 将高风险 AI（附件 III，基本金融服务）投放 EU 市场的服务提供商。输出在 EU 使用。必须指定 EU 授权代表。 |
| 根据托管服务合同向 EU 客户提供 AI 驱动文档处理的印度 IT 服务公司 | ✅ 是 | 通过托管服务安排在 EU 投入使用 AI 的服务提供商。义务取决于 EU 客户是否将该 AI 用于高风险目的。 |
| 在 GitHub 发布开源 LLM、全球可访问的 US 公司 | ✅ 是（部分） | 投放 EU 市场的通用 AI 模型服务提供商。GPAI 义务自 2025 年 8 月 2 日起适用。开源模型可免除部分义务，但如果模型存在系统性风险（训练计算量大于 10^25 FLOP），则不能免除。 |
| 使用 AI 为 EU 投保人承保保单的澳大利亚保险公司 | ✅ 是 | 其 AI 输出在 EU 使用的服务提供商。很可能适用高风险分类（基本服务）。需要授权代表。 |
| 仅将 AI 用于 US 内部运营的 US 公司，无 EU 客户、无 EU 员工、无 EU 市场活动 | ❌ 否 | 没有 EU 关联。AI 输出不会触达 EU 人员。确实不在适用范围内，但如果开始 EU 运营，必须立即重新评估适用范围。 |
| 仅出于科学研究目的使用 AI 且未投放市场的非 EU 机构 | ❌ 否 | Article 2(6) 将仅出于科学研究与开发目的而开发并投入使用的 AI 排除在外。一旦该系统被商业化或在研究场景之外部署，即适用该范围。 |
| 构建 AI 并在进入 EU 市场前集成到另一家公司产品中的非 EU 公司 | ⚠️ 视情况而定 | 如果集成公司对 AI 进行了实质性修改，则集成方成为服务提供商。如果按原样集成，且原 AI 保留其特性，原开发者可能仍为服务提供商。需要根据集成情况及任何修改逐案分析。 |
| 使用 AI 向 EU 用户进行内容推荐的非 EU 社交媒体公司 | ✅ 是 | AI 输出在 EU 使用。风险分类取决于具体应用，一般推荐系统通常属于最低风险，但会实质性扭曲行为或利用脆弱性的 AI 可能进入禁止范围。Digital Services Act 下的透明度义务可能会相互影响。 |
按国家：US、UK、加拿大及其他国家
就适用范围而言，欧盟《人工智能法案》（EU AI Act）对所有非 EU 国家一视同仁。不存在等同的条约安排、充分性认定，也不存在对任何特定非 EU 法域的优惠待遇。不过，由于既有监管框架不同，以及相互承认讨论的成熟度不同，各国在实践中的影响会有所差异。
🇺🇸 United States
US 没有与 EU AI Act 在全面性上处于同一水平的联邦 AI 监管。进入 EU 市场运营的 US 公司完全受 EU AI Act 约束，且没有可用于对齐的本国等同制度。对于拥有 EU 客户的 US AI 公司而言，这形成了双轨合规负担：一边是 US 特定的州级 AI 监管，另一边是 EU AI Act，二者的要求重叠有限。US 公司不应假设采用 NIST AI RMF 或遵守州级 AI 偏见法律，就可以抵扣任何 EU AI Act 义务，这些框架在结构和要求上存在实质差异。
🇬🇧 United Kingdom
UK 已明确选择不同的监管路径：采用基于原则、由行业主导的 AI 框架，而不是全面的横向监管。这意味着 UK 没有 EU AI Act 的等同制度，短期内也看不到相互承认的可能。拥有 EU 客户或 EU 市场存在的 UK 公司，与 US 公司处于完全相同的位置：只要符合适用范围标准，就完全受 EU AI Act 义务约束，且没有可映射到 EU 要求的本国框架。已经遵守 ICO 关于 AI 与数据保护指南，或遵守 FCA 围绕算法模型预期的 UK 公司，应将其视为有用的前期基础，而不是 EU AI Act 合规。
这种不对称值得明确指出：面向 EU 销售的 UK 或 US 公司需要承担该监管的全部重量，而其纯本土竞争对手则完全不需要承担。这令人不适，但这也正是单一市场规则手册的运作方式。处理得最好的公司，会把自己的 AI Act 文档作为销售资产，因为 EU 买方的采购团队会要求提供，无论买方是否真正理解该法案。
🇨🇦 Canada
加拿大正在通过《人工智能和数据法案》（Artificial Intelligence and Data Act，AIDA）制定自己的 AI 监管，不过 AIDA 生效的时间表仍不确定。具有 EU 风险敞口的加拿大公司，需要独立面对 EU AI Act 的完整适用范围要求，不受 AIDA 最终要求内容的影响。这些框架在概念上有一定重叠，包括高风险分类、透明度、人工监督，但其具体要求差异足够大，即使 AIDA 已全面生效，符合 AIDA 也不构成符合 EU AI Act。
🇨🇭 Switzerland
瑞士不是 EU 成员国，但通过双边协议与 EU 市场高度融合。将 AI 投放 EU 市场，或在 EU 成员国投入使用的瑞士公司，依据 EU AI Act 的标准域外适用条款受其约束。瑞士的 AI 监管路径仍在发展中，目前并未为 EU AI Act 合规提供等同于通行证的机制。
所有其他非 EU 国家
分析结论相同。在日本、韩国、巴西、印度、新加坡、澳大利亚或任何其他非 EU 国家设立实体，并不会带来任何适用范围上的优惠待遇。只要满足适用范围条件，即 EU 市场准入或面向 EU 的 AI 输出，EU AI Act 即适用，无论公司的本国法域为何。公司本国是否有自己的 AI 监管，与 EU AI Act 的适用范围无关。
授权代表要求
第 22 条第 1 款说得很明确：“在将其高风险 AI 系统提供至 Union 市场之前，设立于第三国的提供者应通过书面授权，指定一名设立于 Union 境内的授权代表。”第 3 条第 5 款将授权代表定义为位于或设立于 Union 境内，并已接收和接受提供者书面授权、代表其履行本条例项下义务和程序的人。
授权代表并不只是一个通信地址。根据第 22 条，授权代表需要核实 EU 符合性声明和技术文档已经编制，保存该等文档以供主管机构查阅，作为主管机构的联系点，并在其认为提供者的行为违反其义务时终止授权。这是一个实质性角色。
授权代表必须做什么
| 义务 | 详情 |
|---|---|
| 核验文件 | 确保已编制欧盟符合性声明和技术文件，并可在主管机关要求时提供 |
| 配合主管机关 | 作为国家主管机关的联系点；按要求提供信息和文件；必要时协助其联系服务提供商 |
| 在欧盟 AI 数据库中注册 | 对于需要注册的高风险 AI 系统，确保该 AI 系统及服务提供商的详细信息已正确登记在欧盟范围的 AI 数据库中 |
| 留存文件 | 在该条例要求的期间内，保留技术文件和符合性声明副本，以供主管机关查阅 |
| 在必要时终止授权 | 如果认为服务提供商的行为违反其在该条例项下的义务，应终止授权并通知市场监督机关 |
谁符合授权代表资格？
任何在 EU 成员国设立的法人或自然人都可以担任授权代表，包括律师事务所、合规咨询机构、非 EU 公司的 EU 子公司，或专门的监管代表服务机构。如果非 EU 公司有 EU 子公司或关联公司，该实体可以承担这一角色，这通常是最简单的组织结构解决方案。第三方代表服务正在出现，类似于 GDPR 市场中形成的服务，但 AI Act 的要求更具实质性。
预计授权本身会产生摩擦。授权代表需要核验您的技术文件，并且在其认为您存在违规时可以终止授权，因此其会在签署前审阅这些文件，并要求您的法务团队可能未作预算的赔偿安排和信息权。如果您有 EU 实体，就使用该实体。如果没有，请在需要任命前数月就开始沟通，因为谈判进度会比文件表面显示的更慢。
⚠️ 授权代表是一项真实的合规义务
选择并维持授权代表是一项实质性要求。授权代表必须真正理解其所代表的 AI 系统，并有权采取行动，因为他们承担第 22 条中的文件和配合义务，并且在非 EU 服务提供商无法联系时成为执法接触点。请在系统投放 EU 市场前尽早任命授权代表。
范围内的非 EU 公司实际需要做什么
如果您已经确定欧盟《人工智能法案》（EU AI Act）适用于您的公司，后续义务取决于您在 AI 价值链中的角色以及您 AI 系统的风险分类。下文列出了最常见非 EU 公司类型的核心行动领域。
如果您是高风险 AI 系统的非 EU 服务提供商（2027 年 12 月 2 日，或如嵌入受监管产品则为 2028 年 8 月 2 日）
在 Digital Omnibus 之后，独立高风险系统（附录 III）必须在 2027 年 12 月 2 日前合规，嵌入受监管产品的高风险 AI（附录 I）必须在 2028 年 8 月 2 日前合规。义务本身没有变化，只有日期发生了调整。
在下列事项中，注册、符合性声明和合同更新属于行政性工作，只要实质内容已经具备，通常需要数周即可完成。实质内容是风险管理体系、技术文档和人工监督设计，而这些都是必须在产品内部完成的工程工作。应从这些工作开始，再推进文书工作。
- 任命 EU 授权代表，并且应在您的合规截止期限之前尽早完成，因为该代表需要时间准备其将负责的文档。
- 为每个高风险 AI 系统建立风险管理体系，这是第 9 条的要求，是覆盖系统完整生命周期的持续、迭代过程。
- 根据第 11 条和附件 IV 准备技术文档，即对系统设计、开发、测试和性能特征进行详细且持续维护的记录。
- 根据第 14 条实施人工监督措施，系统的设计必须使 EU 部署方能够理解、监控并在必要时推翻其输出。
- 开展符合性评估，评估方式应与您的系统类型相适配，根据您的系统是否属于受监管产品领域，可能是自评估，也可能是第三方评估。
- 在系统投放 EU 市场或投入使用之前，将其注册到 EU AI 数据库。
- 出具符合性声明，并在要求适用时加贴 CE 标志。
- 更新 EU 客户合同，纳入部署方所需的信息，包括使用说明、预期用途限制，以及部署方履行其自身义务所需的信息。
如果您是通用 AI 模型的非 EU 服务提供商（已自 2025 年 8 月 2 日起生效）
- 准备并维护技术文档，覆盖训练方法、训练数据、评估结果和已知限制。
- 向下游服务提供商提供信息，即基于您的模型进行构建的服务提供商，包括模型卡或同等资料，使其能够针对自身具体使用场景评估模型能力和风险。
- 建立版权合规策略，以证明您的训练数据来源和处理符合 EU 版权法，包括文本和数据挖掘例外项下的退出选择。
- 如果您的模型属于系统性风险（训练算力大于 10^25 FLOP）：除上述要求外，还适用对抗性测试、向 EU AI Office 报告事件，以及增强型网络安全义务。
如果您是开展 EU 业务的高风险 AI 非 EU 部署方
- 核实您正在部署的 AI 系统符合要求，向服务提供商索取文档，并确认所要求的符合性评估已经完成。
- 仅按预期用途使用 AI 系统，即按照服务提供商记录的用途使用，超出预期范围使用系统可能会将服务提供商义务转移给您。
- 实施人工监督，监督方式应适合具体使用场景，并确保负责 AI 辅助决策的员工接受过系统操作和限制方面的培训。
- 持续监控性能，并向服务提供商报告故障或风险，在有要求时还应向国家主管机关报告。
- 在要求适用时告知并保护受影响人员，包括在使用 AI 对员工作出相关决策时告知员工，并提供某些 AI 应用所要求的透明度通知。
何时真正不在适用范围内
鉴于域外适用范围非常广，有必要准确界定非 EU 公司真正不在适用范围内的条件。以下所有条件必须同时成立。
很少有成长型公司能够长期满足每一项条件。只要有一名 EU 员工的绩效由模型评分、一次开源发布，或一个拥有荷兰客户的经销商，分析就需要重新开始。如果您处在边界附近，更低成本的决策是现在记录您的立场，并在每个规划周期重新审视。
✅ 真正不在适用范围内的条件
✓您的 AI 系统未以任何形式向 EU 客户、合作伙伴或最终用户提供，包括通过 SaaS、API 或开源发布提供
✓您的 AI 系统输出不影响任何位于 EU 的人员，包括没有 EU 员工、没有 EU 求职者、没有 EU 消费者、没有 EU 居民
✓您没有任何在专业活动中使用 AI 系统的 EU 设立法律实体
✓您不导出经 AI 处理的数据或 AI 生成的决策，且这些数据或决策随后不会被 EU 实体用于其自身运营
✓您的 AI 使用完全属于科学研究与开发豁免（Article 2(6)）或个人非专业使用豁免（Article 2(10)），且不存在商业或专业部署
如果上述任一条件未满足，或随着您的业务增长未来可能无法满足，您就应将自己视为处于适用范围内，并相应采取合规步骤。错误地自行评估为不在适用范围内、随后又被认定违规，其成本远高于主动建设合规基础设施的成本。
💡 范围重评估是一项持续义务，而不是一次性判断。如果您的公司目前不在适用范围内，但之后进入 EU 市场、向 EU 客户发布产品，或收购了有 EU 运营的公司，就必须立即重新评估适用范围。一旦存在 EU 连接点，合规时钟就开始计时。
常见问题
Digital Omnibus 是否改变了非 EU 高风险 AI 提供商的截止期限？
是的。关于 AI 的 Digital Omnibus 在议会于 2026 年 6 月 16 日投票后，由理事会于 2026 年 6 月 29 日通过，将独立高风险 AI 系统的截止期限从 2026 年 8 月 2 日推迟至 2027 年 12 月 2 日，并将嵌入受监管产品的高风险 AI 的截止期限从 2027 年 8 月 2 日推迟至 2028 年 8 月 2 日。该变化同样适用于非 EU 和 EU 提供商。它不影响第 50 条透明度义务，该义务仍自 2026 年 8 月 2 日起适用；也不影响已生效的禁止性规定、AI 素养、通用 AI、治理和处罚规则。
如果我们只有一个 EU 客户，欧盟《人工智能法案》（EU AI Act）是否适用于我们？
欧盟《人工智能法案》（EU AI Act）下的适用范围并不取决于 EU 客户数量。如果您将 AI 系统投放 EU 市场，包括仅向一个 EU 客户提供，您就是该系统的提供商并处于适用范围内。会发生变化的是 AI 系统的风险分类以及您的义务性质，而不是该法案是否适用。
我们是一家 US 公司，但有 EU 子公司，哪个实体承担义务？
如果 EU 子公司以自己的名义或作为责任实体将 AI 系统投放 EU 市场，则 EU 子公司是提供商，并承担完整的提供商义务。如果 US 母公司开发并将该系统投放市场，而 EU 子公司仅分销或部署该系统，则 US 母公司是提供商，EU 子公司可能是部署方或分销商。控制 AI 系统并决定其如何以及在何处投放市场的实体，就是提供商。在实践中，许多集团发现，通过 EU 子公司承接义务是最清晰的架构，因为这可以免除另行指定授权代表的需要。
域外适用实际上能否对非 EU 公司执行？
欧盟《通用数据保护条例》（GDPR）的域外执法提供了相关先例。对于没有 EU 资产或实体存在的非 EU 公司，直接罚款难度更高，但 EU 主管机构拥有包括市场准入限制在内的工具，即禁止不合规的 AI 系统进入 EU 市场。对于任何重视 EU 收入的公司而言，这类措施都非常有效。授权代表要求也形成了一个位于 EU 境内的执法抓手。经常无视 EU 监管要求的公司，实际上会发现自己被排除在 EU 市场准入之外，而这在商业上的后果往往比罚款本身更重大。
Brexit 是否意味着 UK 公司会受到不同待遇？
不会。Brexit 之后，UK 在 EU 法下被视为第三国。将 AI 投放 EU 市场，或其 AI 输出在 EU 被使用的 UK 公司，适用欧盟《人工智能法案》（EU AI Act）的依据与 US、加拿大或澳大利亚公司完全相同。EU 与 UK 之间没有关于 AI 监管的相互承认安排，近期也不会有。UK 公司需要单独满足 EU AI Act 合规要求，不能以其本国 UK AI 义务替代。
使用 Venvera 映射您的 EU AI Act 适用范围
适用范围和风险分类是首先必须做对的事项，因为义务和成本都由此产生。Venvera EU AI Act 模块将第 2 条适用范围测试、服务提供商和部署者角色以及风险分类转化为结构化差距评估，让您可以针对每个 AI 系统查看其是否在适用范围内、您承担什么角色，以及适用哪些义务。当 AI Act 与您已经运行的控制措施重叠时，框架映射引擎可帮助您复用来自 ISO 27001、NIST CSF 和现有安全计划的证据，而不是从零开始，并将 EU 数据驻留作为标准配置。
如果您希望快速了解自身现状，请运行一次免费合规检查，并以上述适用范围问题作为起点。
主要来源
本指南依据法规及 EU 官方材料编写：Regulation (EU) 2024/1689（AI Act 全文，包括第 2 条适用范围、第 3 条定义、第 22 条授权代表、第 99 条罚则以及第 113 条适用日期）；European Commission 的 AI Act 政策页面；以及 Council of the EU 关于 Digital Omnibus 截止期限变更的新闻稿 Council gives final green light to simplify and streamline AI rules（2026 年 6 月 29 日）。在依赖具体日期或数字之前，请始终确认当前文本。
由 Venvera 合规团队撰写。本文反映的是经 2026 年 6 月 29 日通过的 Digital Omnibus 修订后的 EU AI Act，该修订将在《官方公报》发布时生效。本文不构成法律建议。最后更新：2026 年 7 月。
