AI Omnibus（人工智能数字综合简化条例）

禁止投放、投入使用或使用会生成或操纵可识别自然人私密部位影像、或该人从事性行为影像而未获其自由作出、具体、知情、明确且明示同意的 AI 系统，以及生成《指令 2011/93/EU》第 2(c)、(e) 条意义上材料或表演的 AI 系统（后者以国内法上不存在"无权限"抗辩为限）。第 5(1a) 条限定了适用条件：就投放与投入使用而言，仅当该生成或操纵是系统的预期用途，或系统的设计、训练、架构、能力或面向用户的功能使该生成或操纵成为无需重大技术改造即可合理预见且可复现的结果，且系统未设置合理充分的技术安全措施与其他保障以可靠防止该生成或操纵（须考虑合理可预见的误用）并纠正已发现或被举报的滥用时，方构成禁止；就使用而言，仅当部署者以生成该等材料为目的使用系统时构成禁止。因此，实操要点是"可靠防止 + 可纠正"的安全措施能否举证。

触发条件

提供图像、视频、音频生成或换脸/编辑能力的中国企业，以及在欧盟部署此类工具的企业。即使产品定位为通用创作工具，若滥用结果"无需重大技术改造即可合理预见且可复现"，仍可能落入禁止范围。

时限：自 2026-12-02 起适用。

开始适用：2026-12-02

做完之后应留存的证据

• · 安全防护设计文档（输入拦截、输出过滤、人物识别与同意校验逻辑）
• · 针对合理可预见误用的红队测试报告与绕过率统计
• · 滥用举报接收与处置 SOP 及处置台账
• · 模型与安全策略的版本更新记录（证明"可纠正"能力持续有效）

首次达标投入估算：10–30 人日（估算，非承诺）

新增人工智能法案第 111(4) 条：在 2026-08-02 之前已投放欧盟市场、生成合成音频、图像、视频或文本内容的 AI 系统（含通用人工智能系统）提供者，须在 2026-12-02 前采取必要步骤以符合第 50(2) 条的机器可读标记与可检测性要求。这意味着存量产品不能以"上线早于法案适用日"为由免于标记。

触发条件

在 2026-08-02 前即已向欧盟用户开放的中国生成式产品（图像生成、语音合成、AI 写作、数字人等），无论是自有 App、API 还是通过欧盟渠道分发。

时限：2026-12-02 前完成。

开始适用：2026-07-27

做完之后应留存的证据

• · 存量系统清单与首次投放欧盟市场日期证据
• · 标记能力补齐的技术改造方案与上线记录
• · 整改前后输出样本的可检测性验证报告

首次达标投入估算：10–30 人日（估算，非承诺）

修订后的人工智能法案第 11(1) 条允许中小企业（含初创）与小型中型市值企业（SMC，定义引自欧盟建议 (EU) 2025/1099 附件第 (2) 点）以简化方式提交附件 IV 要素，须使用委员会为此建立的简化技术文档表格，公告机构须接受该表格。企业需先完成自身规模分类的判定与举证，并据此规划文档工作量。

触发条件

拟在欧盟投放高风险 AI 系统、且符合欧盟中小企业或小型中型市值企业定义的中国企业。注意欧盟规模判定须合并关联企业与伙伴企业口径，中国集团下属主体常因此不符合条件。

开始适用：2026-07-27

做完之后应留存的证据

• · 企业规模分类判定文件（员工数、营业额/资产负债表总额、关联与伙伴企业合并计算）
• · 使用简化技术文档表格的填报记录
• · 公告机构对简化表格的受理确认

首次达标投入估算：3–10 人日（估算，非承诺）

新增人工智能法案第 4a 条：为确保高风险系统按第 10(2)(f)、(g) 条进行偏见检测与纠正所严格必要的范围内，提供者可例外处理特殊类别个人数据，但须在 GDPR 等法律之外累计满足六项条件——（a）无法通过处理其他数据（含合成或匿名数据）有效实现；（b）对该数据的再利用施加技术限制并采用最新水平的安全与隐私保护措施（含假名化）；（c）采取安全保护措施，包括严格的访问控制与访问记录，仅授权人员在保密义务下可访问；（d）该数据不得被传输、转移或以其他方式被其他方访问；（e）偏见纠正完成或保留期届满（以先到者为准）后删除；（f）GDPR 处理活动记录中须写明为何该处理对检测与纠正偏见严格必要、以及为何无法通过处理其他数据实现。第 4a(2) 条将该路径有条件扩展至其他 AI 系统与模型的提供者/部署者及高风险系统的部署者，但不创设开展偏见检测的义务。

触发条件

需要评估模型在种族、族裔、宗教、健康、性取向等维度是否存在偏差的中国 AI 企业。此条是欧盟为数不多的、允许为公平性评测而处理敏感数据的明确法律通道，但六项条件必须逐条留痕，缺一即回落到 GDPR 第 9 条的一般禁止。

开始适用：2026-07-27

做完之后应留存的证据

• · 严格必要性论证文件（含为何合成或匿名数据不可行）
• · 假名化与技术限制措施的实现说明与配置证据
• · 访问控制清单、访问日志与保密承诺书
• · 删除执行记录（含删除触发条件与执行时间戳）
• · GDPR 第 30 条处理活动记录中的对应条目

首次达标投入估算：8–20 人日（估算，非承诺）

新增人工智能法案第 6(1a)-(1c) 条：仅用于非安全相关的用户辅助、性能优化、服务效率、自动化、便利性或质量控制的 AI 系统不构成安全组件；但其失效或故障会危及健康与安全的仍构成安全组件；仅因健康安全以外的风险（尤其是无线电频谱分配或不影响健康安全的电磁干扰）而须第三方合格评定的产品，不满足第 6(1)(b) 条条件。同时附件 I A 节第 1 点被删除，《机械条例》(EU) 2023/1230 被移入 B 节第 21 点。企业须据此重新出具书面归类结论。

触发条件

具身智能、工业机器人、智能硬件与车载系统企业。典型影响：用于生产节拍优化或质检的视觉模型，如果其失效不会危及人身安全，可能不再被认定为安全组件，从而脱离附件 I 高风险路径；但涉及急停、避障、力控等的模型仍然是安全组件。

开始适用：2026-07-27

做完之后应留存的证据

• · 按第 6(1a)-(1c) 条重做的安全组件判定记录（逐功能列明失效后果）
• · 与产品安全工程/FMEA 分析的交叉引用
• · 归类结论变更的审批记录与对合格评定计划的影响说明

首次达标投入估算：5–15 人日（估算，非承诺）