合规指南
对大多数公司而言，满足欧盟《人工智能法案》（EU AI Act）的合规要求只需数周而非数年，因为大多数公司是非高风险 AI 系统的部署者。对于高风险系统的提供者，从零起步需要 9 至 18 个月；如果流程中还要经过公告机构，耗时会更长。时间跨度之所以如此之大，是因为 Regulation (EU) 2024/1689 并不是对单一类型的公司施加单一义务。它按角色和风险类别分配职责，时间表也遵循同样的逻辑：第一个月决定您处于哪条路径，而路径决定整个日程。
今年夏天，规划所依据的日期也发生了变化。Regulation (EU) 2026/1744 于 2026 年 7 月 8 日通过、2026 年 7 月 24 日公布，将第三章中的高风险义务从 2026 年 8 月 2 日推迟：附件 III 系统推迟至 2027 年 12 月 2 日，附件 I 产品推迟至 2028 年 8 月 2 日。没有变化的是 2026 年 8 月 2 日这一一般适用日期（现已过去），以及现有生成式系统必须对其输出进行标记的截止日期 2026 年 12 月 2 日。
| 阶段 | 典型时长 | 制约因素 |
|---|---|---|
| 盘点所有 AI 系统 | 2 至 6 周 | 找出通过采购而非工程开发引入的 AI。这份清单总是比工程团队以为的更长。 |
| 分类并确定角色 | 2 至 4 周 | 风险类别依据第 6 条和附件 III 确定。您对每个系统是提供者还是部署者，则依据第 3 条和第 25 条确定。 |
| 素养、透明度和部署者义务 | 1 至 3 个月 | 第 4 条、第 50 条和第 26 条。主要是培训、披露文案，以及与 AI 供应商之间的合同工作。 |
| 高风险提供者建设 | 6 至 12 个月 | 第 9 至 17 条：风险管理、数据治理、技术文件、日志记录、人工监督和质量管理体系。这一阶段的长短取决于工程能力。 |
| 合格评定与注册 | 1 至 4 个月 | 第 43 条规定的评定路径和第 49 条规定的注册。内部控制路径可以很快完成，公告机构的排队则不然。 |
EU AI Act 合规需要多长时间？
不是一条时间线，而是三条；您处于哪一条，在第一个月就已决定。
如果您使用 AI，但运行的系统均不属于高风险，那么您的义务是第 4 条规定的 AI 素养，以及在部署聊天机器人或生成式系统时第 50 条规定的透明度义务。这意味着培训、披露文案，以及检查生成内容如何标记。需要数周。
如果您部署由他人提供的高风险系统，例如简历筛选工具或信用评分模型，则适用第 26 条：按照使用说明使用该系统，将人工监督指派给具备相应能力、培训和权限的人员，并保存日志。需要一至三个月，其中大部分时间花在等待提供者必须向您提供的信息上。
如果您提供高风险系统，则适用第 9 至 17 条：风险管理体系、数据治理、符合附件 IV 的技术文件、日志记录、人工监督设计、准确性和稳健性，以及质量管理体系，随后是合格评定和注册。需要 9 至 18 个月，主要时间花在工程上。
快速测试一下您所处的位置：您能否列出业务中的每一个 AI 系统，说明每个系统属于附件 III 的哪一项（如有），并说出每个系统上署的是谁的名称？只要其中任何一项答不上来，您的时间首先就要花在盘点阶段。
什么决定了合规需要数周还是 18 个月？
四个因素，按影响程度从大到小排列。
1. 您对每个系统的角色
提供者还是部署者，是第一个分岔口。第 25 条会移动这条界线：如果您将自己的名称或商标附于高风险系统之上、对其进行实质性修改，或改变某个系统的预期用途使其成为高风险系统，您就成为该系统的提供者，摆在面前的是完整的第三章建设工作。为受监管用途微调所购模型的公司，通常就是这样中招的。我们关于欧盟《人工智能法案》（EU AI Act）下的提供者与部署者的指南详细讲解了这项测试。
2. 是否有任何系统属于高风险
第 6(2) 条结合附件 III，构成独立用例清单：生物识别、关键基础设施、教育、就业、获取基本服务（包括信用评分和保险定价）、执法、移民和司法。第 6(1) 条结合附件 I，针对的是作为已受欧盟协调立法管辖之产品的安全组件的 AI。分类既决定您的日期（2027 年 12 月 2 日或 2028 年 8 月 2 日），也决定您的工作量。逐款测试见我们关于第 6 条与附件 III 高风险清单的指南。
3. 合格评定路径
第 43 条是日程可能被拉长的地方。对于附件 III 第 2 至 8 项中的高风险系统，提供者遵循附件 VI 中基于内部控制的合格评定程序，不涉及公告机构。对于第 1 项（生物识别），已采用协调标准的提供者可以在内部控制和公告机构之间选择；如果协调标准不存在且没有可用的通用规范，则必须采用附件 VII 的公告机构路径。附件 I 产品遵循其自身行业立法规定的合格评定程序，并将 AI Act 的要求纳入其中。已根据该立法获得指定的公告机构可在 2028 年 1 月 28 日之前申请 AI Act 下的指定，因此面向附件 I 产品的评定能力仍在组建之中。
4. 您已有的基础
为 ISO 27001、欧盟《数字运营韧性法案》（DORA）或 ISO 42001 建立的风险管理、记录保存、事件处理和治理，可以迁移到第 9 条、第 12 条和第 17 条。无法迁移的是附件 IV 技术文件、第 49 条规定的欧盟数据库注册，以及第 50 条规定的生成内容标记。我们关于 ISO 42001 与 EU AI Act 对比的指南阐述了二者的重叠部分。
您应以哪个截止期限为规划依据？
有三个日期很重要，其中第一个已经过去。
2026 年 8 月 2 日是第 113 条规定的一般适用日期。凡未明确推迟的内容，均自该日起适用，包括第 50 条的透明度要求。第 4 条的素养义务和第 5 条的禁止性规定自 2025 年 2 月 2 日起已经适用。如果您在 2026 年 9 月读到本文，而这两项都尚未落实，那么这就是本月要做的工作，而不是明年。
2026 年 12 月 2 日是最近的一个有效日期。根据新增的第 111(4) 条，生成合成音频、图像、视频或文本、且在 2026 年 8 月 2 日之前已投放市场的系统，其提供者必须在该日期之前履行第 50(2) 条规定的机器可读标记义务。2026 年新增的两项禁止性规定，即第 5(1) 条第 (ba) 项和第 (bb) 项，连同第 (1a) 款和第 (1b) 款，也自同一天起适用。
2027 年 12 月 2 日和 2028 年 8 月 2 日是高风险日期，分别对应附件 III 和附件 I。它们是固定的日历日期。简化方案的早期草案曾将推迟与协调标准的可用性挂钩；最终通过的文本并没有这样做。完整的日期表（包括第 111 条中的过渡日期）见我们关于 EU AI Act 全部截止期限的指南。
两项过渡规则会改变现有系统的适用日期。根据替换后的第 111(2) 条，在第三章适用之前已投放市场的高风险系统，只有在该日期之后其设计发生重大变更时才受管辖；对于拟供公共机构使用的系统，兜底期限为 2030 年 8 月 2 日。根据第 111(3) 条，在 2025 年 8 月 2 日之前已投放市场的通用 AI 模型，可延至 2027 年 8 月 2 日。
从 2027 年 12 月 2 日倒推，今天起步的提供者还有 15 个月。对照 9 至 18 个月的项目周期，对于已建立安全开发生命周期的公司来说时间足够，而对于尚未建立的公司则不够。
其他搜索结果错在哪里
已发布的指南中反复出现四类错误。
第一类是只给出一个数字。6 至 12 个月描述的是拥有一支称职工程团队、只提供一个高风险系统的提供者。它对隔壁那家部署者毫无参考价值（后者的项目只需数周），而对于产品需要经过公告机构的提供者，这个数字又过于乐观。
第二类是把 2026 年 8 月当作已经推迟。推迟的只有第三章第 1、2、3 节。一般适用日期没有变，第 50 条已经适用，而第 4 条和第 5 条规定的义务已经适用了一年多。
第三类是围绕一个附条件的触发机制做规划。依据提案撰写的指南描述的是一种在标准可用时即告结束的推迟安排。而最终通过的条例规定的是日期，而不是条件。
第四类是把这项工作描述为文档编写。附件 IV 技术文件只是产出物。真正耗费数月的，是让这份文件名副其实的风险管理体系、数据治理和日志记录。
接下来 30 天您可以做什么？
请根据您自己的系统环境填写下表。任何一行无法填写，就是您的首要项目。
| 问题 | 您的答案 | 为何重要 |
|---|---|---|
| 您使用了多少个 AI 系统，包括为其他用途购买的工具中内置的 AI？ | 没有清单，就没有时间表，只有猜测。 | |
| 对于每个系统，您是提供者还是部署者？ | 第 25 条会移动这条界线。在这一点上出错，是代价最高的错误分类。 | |
| 是否有任何系统属于附件 III 或附件 I？ | 这决定了您的日期：2027 年 12 月 2 日或 2028 年 8 月 2 日。 | |
| 您是否部署了聊天机器人或生成内容的系统？ | 第 50 条自 2026 年 8 月 2 日起已经适用。现有生成式系统必须在 2026 年 12 月 2 日之前对输出进行标记。 | |
| 您能否展示已采取的第 4 条素养措施？ | 自 2025 年 2 月 2 日起生效。修订后的文本要求的是支持素养提升的措施，而不是保证达到某一水平。 |
如果您希望在确定计划之前先建立一个基线，可以做一次免费合规检查。它不会估算工程工作量，但会显示这五行中哪几行会让您吃力；一旦开始实施，我们的欧盟《人工智能法案》（EU AI Act）合规软件会将清单、分类和技术文件集中在一处管理。
常见问题
2026 年 8 月 2 日的截止期限是否已取消？
没有。这是第 113 条规定的一般适用日期，而且已经过去。推迟到 2027 年 12 月 2 日和 2028 年 8 月 2 日的，是第三章第 1、2、3 节中的高风险制度。
我们是一家中小企业。这会缩短时间表吗？
不会缩短日期。它减轻的是交付物。第 11(1) 条允许中小企业、初创企业和小型中型市值企业使用公告机构必须接受的简化技术文件表格，第 17(2) 条使质量管理体系与您的规模相称，第 99(6) 条则将罚款上限定为金额与百分比中的较低者，而不是较高者。
公告机构是否总会增加数月时间？
只有在需要公告机构时才会。附件 III 第 2 至 8 项依据附件 VI 进行自我评定。第 1 项只有在协调标准不存在或未被完全采用时才需要公告机构。附件 I 产品遵循其所属行业的路径，而该路径可能本来就涉及公告机构。
我们的高风险系统已经投放市场。需要从头开始吗？
除非在第三章适用后其设计发生重大变更，否则不需要。第 111(2) 条以此为条件对现有系统给予豁免，2026 年修正案的序言部分也确认，宽限期针对的是类型和型号，而不是每一个单件。拟供公共机构使用的系统无论如何都必须在 2030 年 8 月 2 日之前合规。
如果我们错过了日期会怎样？
第 99(4) 条涵盖提供者和部署者义务，违规罚款最高为 1500 万欧元或全球年营业总额的 3%，以较高者为准。三个罚款档次，以及将其反转的中小企业规则，见我们关于欧盟《人工智能法案》（EU AI Act）处罚与罚款的指南。
主要来源
日期和义务取自 Regulation (EU) 2024/1689（第 4、6、9 至 17、25、26、43、49、50、99、111 和 113 条，以及附件 I、III、IV、VI 和 VII），并经 Regulation (EU) 2026/1744 修订；后者替换了第 4 条、第 43(3) 条和第 111(2) 条，新增了第 111(4) 条，并改写了第 113 条第三段。时长是根据实施工作得出的规划估算，并非条例中的数字。在依据某一日期行事之前，请先核实现行的合并文本。
