2024年3月13日，欧盟《人工智能法案》在欧洲议会以 523 票赞成、46 票反对和 49 票弃权的结果通过，并于2024年5月21日获欧盟理事会接受。欧盟一贯重视对公民权利的保护，特别是在数据隐私和个人信息保护方面，通过《通用数据保护条例》（GDPR）已经树立了全球标准。此次《人工智能法案》的通过，正是延续这一保护公民权利的立法传统，这不仅标志着欧盟在人工智能监管领域迈出了重要一步，也为全球AI监管树立了新的标杆。

欧盟《人工智能法案》是目前首个全面规范AI技术的法律框架，旨在确保AI技术的发展与应用在安全、透明和尊重人权的基础上进行。法案的具体内容涵盖了从数据治理、风险分类到合规要求等多个方面，标志着欧盟在应对AI技术挑战方面的前瞻性和系统性。本文将通过探讨该法案的立法背景、具体内容及意义，浅析欧盟的这一举措对我国在人工智能领域立法和制度建设的启示与借鉴意义。

欧盟《人工智能法》的立法背景源于人工智能技术在欧盟成员国范围内的快速发展和广泛应用，在人工智能技术发展的初期，人们就开始关注其对社会、经济和伦理方面的影响，随着GhatGPT-4o的问世，人工智能领域潜在的风险更是成为各个国家的重要议题。因此，欧盟决定通过立法手段来规范人工智能技术的发展和应用，以确保其在欧盟内部合法、公正和负责地使用。

欧盟《人工智能法》的立法目的主要包括保护公民权利、促进创新和竞争、提升社会责任感、促进跨国合作等几个方面。在立法模式上采取了综合性的、渐进式的方法，涵盖了人工智能技术的多个方面，包括但不限于数据使用、透明度、责任追究等内容。同时，该法规还设立了一系列的监管机构和执行机构，负责监督和管理人工智能技术的应用。此外，欧盟还鼓励成员国在本国内部制定更加具体和细化的相关法规和政策，以适应不同国家和地区的具体情况。

《人工智能法案》适用于在欧盟市场销售或使用的所有人工智能系统，无论其开发者或提供者是否在欧盟境内设立（Article 2）。这意味着非欧盟国家的公司，如果其AI技术在欧盟使用或销售，也需遵守该法案的规定。

《人工智能法案》采用了基于风险的分级体系，将AI系统分为五类：

（1）不可接受风险 (Unacceptable Risk)：该条款规定了一些具体的人工智能应用情境，这些情境被认为是不可接受并被明确禁止的。这些应用程序包括：

（2）高风险 (High-Risk)：此类人工智能是指那些被预计会对人们的健康、安全或基本权利构成重大威胁的人工智能应用。这些应用包括但不限于用于健康、教育、人才招聘、关键基础设施管理、执法或司法领域的人工智能系统。例如，在医疗领域，高风险应用可能包括用于诊断、治疗决策或患者监测的人工智能系统；在司法领域，可能包括用于案件处理、证据分析或刑罚决定的人工智能系统。这些系统受到品质、透明度、人工监督和安全义务的约束，并且在某些情况下需要在部署之前进行“基本权利影响评估”。这意味着对系统可能对个人的基本权利产生的影响进行全面评估，包括但不限于隐私权、数据保护权、自由权等。评估的结果将有助于制定相应的措施和策略，以减轻系统可能带来的负面影响，并保护个人的权利和利益。

（3）通用人工智能 (General-Purpose AI)：关于此类人工智能应用条款于2023年增加到法案中，尤其包括ChatGPT等特定基础模型。这些系统不仅能够执行特定任务，还具备一定程度的自主学习和适应能力，能够在不同领域和场景中灵活应用。此类AI应用必须遵守法案中关于透明度的要求，这意味着这些系统的设计和运行必须具有一定的透明度，使其用户和受影响的个人能够理解系统的工作原理、数据使用情况和决策依据。透明度的要求旨在提高系统的可解释性和可信度，从而减少误解和不确定性，并增强用户对系统的信任和接受程度。

特别需要关注的是，那些可能造成系统性风险的高影响力通用人工智能系统。这些系统具有特别强大的计算能力和学习能力，可能对社会、经济和伦理方面产生重大影响。根据该法案，特别是那些使用超过10^25 FLOPS（Floating Point Operations Per Second）的运算能力进行训练的系统必须经过彻底的评估过程。这种评估过程可能包括对系统的安全性、稳定性、公平性、道德性等方面进行全面审查和测试，以确保系统的应用不会对个人权利、社会秩序和公共利益造成严重威胁。

（4）有限风险 (Limited Risk)：是指那些被认为具有较低风险的人工智能系统，尽管这些系统可能会产生一定程度的影响，但其潜在风险相对较小，不会对用户、社会或公共利益造成严重威胁。例如，在影像、声音或视频处理方面使用的人工智能应用程序，如深伪技术（深伪技术Deepfake Technology是一种利用人工智能技术生成或操作影像、声音或视频的技术，其可以用于制作虚假的视听内容，包括伪造的视频、音频或图像）可能被归类为有限风险系统（Article 52）。这意味着这些系统必须确保用户在与其交互时知晓其为人工智能系统，并且能够理解其运作原理和功能。

值得一提的是免费开源模型的例外情形，根据该法案，开源的免费模型在一定程度上不受监管。这意味着一些免费提供的开源人工智能模型可能不需要满足透明度义务，因为它们的使用可能受到不同的监管规定或者自由软件许可证的约束。然而也存在一些例外情况，即使是免费的开源模型，如果它们的使用涉及到特定的风险或对个人权利产生负面影响，可能仍然需要遵守透明度要求，以确保用户的权益得到保护。

（5）最小风险 (Minimal Risk)：指那些被认为具有最低风险的人工智能系统，这些系统通常用于一些相对简单和常见的任务，如垃圾电子邮件筛检，大多数人工智能应用预计都属于这一类。这些系统的潜在风险相对较小，不会对用户、社会或公共利益造成严重威胁。根据《人工智能法》的规定，最小风险人工智能系统通常不受监管。这意味着这些系统不需要遵守透明度义务，也不受到额外的监管限制。

尽管最小风险人工智能系统不受强制性监管，但建议制定自愿行为准则。这些准则可以帮助指导开发者和用户在设计、开发和使用人工智能系统时遵循一些最佳实践和道德原则，从而提高系统的质量、安全性和可信度。

根据该法案第31条，禁止公共或私人行为者对自然人进行社会评分的人工智能系统，但允许根据联邦和国家法律为特定目的进行合法的评估实践。这一豁免允许特定部门的社会评分系统存在，例如法国家庭支付机构家庭分配银行所使用的怀疑评分（类似蚂蚁金服所使用的芝麻信用评分）。

这些豁免和例外条款旨在平衡对潜在有害人工智能应用的监管必要性与对特定社会需求和安全关切的认可。尽管该法案旨在确保人工智能技术的道德和负责任发展和应用，但这些规定也承认了在国家安全、科学研究、执法和社会评估实践方面的复杂性和特殊性。

在欧盟《人工智能法案》通过的背景下，我国在人工智能监管方面可以从中汲取许多启示和经验。首先，我国可以借鉴欧盟采取的分类管理的方法，对不同风险级别的人工智能应用实行不同的监管措施。这有助于建立更为细化和差异化的人工智能监管体系，同时注重监管体系的灵活性和适应性，以应对人工智能技术的快速发展和变化。其次，在数据治理方面，监管部门可以加强对数据的管理和监管，推动建立更为规范和健全的数据治理体系，保障数据的安全、隐私和合法使用，为人工智能技术的发展提供可靠的数据支撑。另外，还可以加强对人工智能算法的透明度要求，推动人工智能系统的开放和可解释化，让公众能够了解人工智能系统的运作原理和决策过程，提高对人工智能技术的接受度。最后，应持续加强与国际社会在人工智能监管方面的合作，积极参与全球人工智能治理体系的建设和完善，不断完善自身的人工智能监管体系，促进人工智能技术的健康发展，共同推动全球人工智能技术的健康发展和应用。

钟婧文 Jona Zhong

■ 广东敦和律师事务所 

■ 执业律师