欧盟AI法案正式执法启动：首次向通用模型供应商发出信息请求函，要求提交安全与训练数据合规证据

8 月 31 日讯，The Automated Daily 与 TokenStead 于同日同步发布报道，确认欧盟委员会已正式依据《人工智能法案》（AI Act）向多家通用目的（General-Purpose）大模型供应商发出首批正式信息请求函（Request for Information，RFI）。这是自 AI 法案核心条款于 2026 年 8 月 1 日全面适用以来，布鲁塞尔首次启动针对头部模型供应商的实际执法程序，标志着欧盟从’讨论 AI 监管’正式迈入’执行 AI 监管’阶段。监管方要求被请求企业在 30 天内提交四类关键合规文件：模型安全评估报告、独立第三方红队测试结果、训练数据摘要文档以及后市场监测机制说明。若企业无法充分回应或所提交材料存在重大缺陷，欧盟 AI 办公室可据此启动纠正程序，并最终处以最高达该企业全球营收 7% 的罚款。与此同时，AI 法案中关于非同意合成色情内容与儿童性虐待材料（CSAM）生成行为的禁止性条款也于 8 月 31 日正式生效，进一步强化了监管闭环。

一、信息请求函的法律依据与具体要求

根据 TokenStead 同日发布的详细合规指南，本次欧盟发出的信息请求函具有明确的法律基础。其核心依据为 AI 法案第 55 条关于通用模型供应商义务的条款，以及第 90 条赋予监管机构的信息收集权。第 55 条规定，凡被认定为’通用目的 AI 模型’的供应商，必须向欧盟 AI 办公室（AI Office）提供模型训练、评估与运行所需的技术文档和相关信息；第 90 条则赋予 AI 办公室要求企业提供必要信息以履行监管职责的权力，企业拒绝或提供虚假信息将构成违法。

在具体要求上，本次 RFI 主要围绕四大类文件展开。第一类是模型安全评估报告，要求供应商系统披露模型在训练与部署过程中的关键安全指标、已知风险以及缓解措施；第二类是独立第三方红队测试结果，要求企业提供由非关联机构完成的对抗性测试报告，覆盖越狱、提示注入、数据外泄等典型攻击向量；第三类是训练数据摘要，对应 AI 法案第 53 条对训练数据透明度的要求，供应商需在保护商业秘密的前提下提供数据来源、规模、处理流程的摘要性说明；第四类是后市场监测机制说明，对应第 55 条对模型上线后持续监控的要求，供应商必须证明其具备系统性追踪模型运行风险的能力。

回复期限为收到 RFI 之日起 30 天，由欧盟 AI 办公室牵头协调，并联合各成员国主管机关进行交叉审查。AI 办公室主任在背景说明中表示，本次 RFI 是’系统性合规审查的第一步’，后续将根据回复质量决定是否升级为正式调查或纠正行动。

二、首批收到 RFI 的供应商范围

虽然欧盟官方出于防止串通的考虑未公开完整的供应商名单，但业内多方信息已经交叉确认了首批被请求企业的范围。据熟悉情况的人士透露，OpenAI、Anthropic、Google DeepMind、Meta、Mistral、DeepSeek 以及 Z.ai 均在首批收到 RFI 的名单之中。这一名单基本覆盖了当前在欧洲市场提供服务的所有主要通用目的模型供应商，无论是美国厂商、欧洲本土厂商还是中国厂商，均被纳入了首轮合规审查的射程。

各家的回应态度并不一致。Google 已公开发表声明，表示’将全力配合欧盟监管机构的要求’，并承诺在期限内提交完整材料；Anthropic 回应称相关准备工作正在进行中，将依法配合；Meta 则态度较为审慎，表示需要法律团队对 RFI 的具体范围与边界进行评估后才能确定回应方案；DeepSeek 与中兴通讯旗下的 Z.ai 截至发稿时尚未公开回应。欧盟官方对名单保密的解释是，防止供应商之间串通回应内容、影响监管公正性。

值得注意的是，本次 RFI 不仅针对闭源模型供应商，也包括开源模型供应商。Mistral 与 Meta 的 Llama 系列均被认定为’通用目的 AI 模型’，因此必须遵守与闭源厂商相同的合规义务。这一处理方式打破了此前行业内关于’开源模型可豁免’的预期，意味着开源模型供应商同样需要建立合规体系并接受监管审查。

三、非同意合成色情内容禁令同步生效

与信息请求函同步，AI 法案第 3 条所列禁止性条款中的两项也于 8 月 31 日正式生效：一是禁止使用 AI 生成涉及真实人物但未获其同意的深度伪造色情内容；二是禁止使用 AI 生成、修改或传播儿童性虐待材料（CSAI）。这两类违规行为的处罚力度为整个 AI 法案体系中最严厉的一档，企业违规最高可被处以全球年营收 7% 或 3500 万欧元的罚款（取较高者），自然人违规则可能面临刑事责任。

这一禁令的生效迅速引发了平台方的清理行动。Reddit 已在条款生效当日下架了 r/stableselfies 等 3 个涉及非同意合成色情内容的社区，累计清理相关帖子超过 12 万条；Discord 同步关闭了约 1200 个被认定为传播 AI 生成 CSAI 内容的服务器，并对相关账号实施永久封禁。其他主流平台如 X、TikTok、Telegram 也已陆续发布公告，宣布将依据 AI 法案新条款更新内容审核规则并加强 AI 生成内容的标记与检测。

欧盟司法专员在声明中强调，这两项禁令的生效不是象征性表态，而是具有实际执法效果的法律义务，欧盟各成员国主管机关已被授权可以主动调查和处理相关案件，无需等待用户投诉。这意味着 8 月 31 日之后，任何在欧洲境内运营的平台或个人，只要生成、传播相关违规内容，都将面临直接的法律后果。

四、与美国监管路线的对比

本次欧盟的执法行动，将欧美在 AI 监管路线上的差异进一步放大。美国方面，截至目前仍以’自愿承诺’为主要监管工具。2025 年白宫曾推动 7 家头部 AI 公司签署自愿安全承诺，但该承诺并不具有强制法律效力，也缺乏明确的执法机制与处罚工具。美国政府问责办公室（GAO）在 2026 年 7 月发布的报告中明确指出，美国目前没有专门针对通用模型供应商的强制信息披露机制，监管机构在多数情况下无权要求企业提交训练数据或安全评估报告。

相比之下，欧盟建立了从纸面追踪到实质处罚的完整执法链条。AI 法案第 90 条赋予监管机构的信息收集权，意味着企业不能以’商业秘密’为由拒绝配合监管审查，而必须以可验证的方式证明其合规性。若企业提交的材料不充分或拒绝配合，欧盟 AI 办公室可直接将案件升级为正式的纠正行动程序，最终可处以高额罚款甚至暂停其在欧洲市场提供服务。

值得注意的是，英国虽然未通过欧盟 AI 法案，但英格兰银行行长 Andrew Bailey 在 8 月 31 日召开的 G20 会议上同样发出了 AI 监管警告。Bailey 表示，前沿 AI 模型对全球金融稳定构成了’实质性的网络风险与市场脆弱性威胁’，特别是在算法交易、信用评估、反洗钱等关键金融环节，AI 系统的不可解释性与对抗性攻击脆弱性可能引发系统性风险。他呼吁 G20 国家建立协调机制，共同应对前沿 AI 在金融领域的潜在冲击。这一表态进一步强化了欧美监管机构对前沿 AI 风险的共识。

五、对企业的实际影响

对企业的实际影响是深远的。首当其冲的是合规成本的大幅上升。据 TokenStead 测算，头部通用模型供应商为应对 AI 法案的合规要求，需新增 30 至 50 人的专门合规团队，涵盖法律、技术、伦理、安全等多专业角色，年度合规成本约为 2000 万欧元。这一规模的人力投入对 OpenAI、Google 等头部企业尚可承受，但对中小规模的模型供应商则构成实质性压力。

部分中小模型供应商可能因合规成本过高而选择退出欧洲市场。多家欧洲本土的中小模型开发商已私下表示，正在评估是否暂停向欧洲用户提供服务，以避免承担 AI 法案带来的合规风险与成本。这种’监管驱动的市场退出’可能反而削弱欧洲 AI 产业的竞争力，与欧盟推动 AI 主权的初衷形成微妙矛盾。

开源模型生态同样面临重塑。如前所述，开源模型若被认定为通用模型也需遵守合规义务，这意味着 Mistral、Llama 等开源模型供应商必须在保留开源精神与满足监管要求之间寻找平衡。业内预计未来 12 个月内可能出现两种趋势：一是开源模型供应商发布简化版本以规避’通用模型’认定；二是开源社区建立联合合规机构，分担单个企业的合规成本。

最后，业内普遍预计 12 个月内将出现首批 AI 法案处罚案例。欧盟 AI 办公室在内部沟通中已暗示，将选择’典型案例’进行公开处罚以树立执法威慑力。无论首张罚单落在哪家企业头上，都将成为全球 AI 监管的标志性事件，进一步影响各国监管机构的执法节奏与企业合规策略。

市场反响与行业影响

市场反响方面，AI 法案执法启动的消息对欧洲 AI 概念股形成短期压制。8 月 31 日欧洲交易时段，Mistral 母公司股价下跌 2.3%，部分欧洲 AI 服务商跌幅在 1% 至 3% 之间；美国方面 OpenAI、Anthropic 因未上市未直接体现股价反应，但谷歌、Meta 等上市公司股价在尾盘出现小幅波动。合规咨询服务与 AI 安全测试服务商则逆势上涨，多家欧洲 AI 安全评估公司股价单日涨幅超过 5%。

行业影响上，本次执法启动标志着全球 AI 监管正式进入实操阶段。对欧洲企业而言，合规不再是’未来议题’而是’当下义务’，相关预算与组织调整必须在 12 个月内完成；对全球企业而言，欧盟的执法模式可能成为其他司法管辖区的参考模板，中国、日本、韩国、加拿大等正在制定 AI 监管框架的国家均密切关注欧盟的执法效果。可以预见，未来 12 至 24 个月，全球 AI 产业将进入监管与产业并重的新阶段，合规能力将成为模型供应商的核心竞争力之一。