欧盟AI法案首批RFI发出，模型提供商面临哪些合规挑战

欧盟AI监管进入实操阶段

经过数年立法酝酿与激烈辩论，欧盟《人工智能法案》（EU AI Act）终于从纸面走向执行。近日，欧盟监管机构向多家通用型AI模型提供商发出了首批信息请求函（Requests for Information，简称RFI），标志着这一全球首个综合性AI监管框架正式进入实质性执法阶段。

这一动作的象征意义不容小觑。此前，业界围绕AI法案的讨论大多停留在合规准备层面，而RFI的发出意味着监管机构开始主动行使调查权，要求头部模型厂商就其模型的训练过程、技术能力、风险管理等关键环节提供详细说明。对整个AI行业而言，这是一个再明确不过的信号：监管不再是遥远的威胁，而是当下必须应对的现实。

什么是RFI，为何从模型提供商入手

RFI的性质与作用

RFI是监管机构在正式立案调查或处罚之前的一种信息收集手段。它本身并不直接构成处罚，但企业通常有法定义务在规定期限内如实、完整地回应。通过RFI，监管方可以摸清模型的技术底细、评估其是否符合法案要求，并为后续可能的执法行动积累证据。

信息请求函作为行政调查工具，在欧盟监管体系中有着成熟的应用历史。欧盟竞争法领域中，欧盟委员会长期使用类似机制对涉嫌垄断或不当竞争的企业进行初步调查。RFI的法律效力介于非正式问询与正式调查之间——企业若拒绝回应或提供虚假信息，可能面临罚款等法律后果。在AI法案框架下，RFI的法律基础来自法案赋予欧盟AI办公室（AI Office）的信息收集权，该办公室于2024年正式成立，是专门负责通用型AI模型监管的核心执行机构。

对于被点名的模型提供商而言，回应RFI意味着需要披露此前可能视为商业机密的信息——例如模型的训练数据来源、参数规模、评测结果以及系统性风险的缓解措施。这对以「闭源」为核心竞争壁垒的厂商构成了不小的挑战。

聚焦通用型AI模型

欧盟此次将矛头对准通用型AI模型（General-Purpose AI，GPAI）提供商，逻辑十分清晰。通用型AI模型是指在大规模数据上预训练、能够胜任广泛任务的基础模型，GPT系列、Claude、Gemini、Llama等均属此类。与专用AI系统（如仅用于医学影像诊断的模型）不同，GPAI的通用性意味着开发者在训练阶段无法完全预见模型将被用于哪些下游场景，这种不确定性本身就构成了独特的治理挑战。

AI法案采用基于风险的分级监管思路，将AI系统按风险等级分为四类：不可接受风险（如社会信用评分系统，直接禁止）、高风险（如用于招聘筛选或信用评估的AI，需满足严格合规要求）、有限风险（如聊天机器人，需履行透明度义务）和最低风险（如垃圾邮件过滤器，基本无额外要求）。这一分级思路借鉴了欧盟在产品安全、化学品管理（如REACH法规）等领域的成熟经验，核心逻辑是将监管资源集中于潜在危害最大的领域，避免对低风险应用施加不必要的负担。

在这一框架下，具备广泛能力、可能带来「系统性风险」的大型基础模型正是监管重点。EU AI Act将GPAI进一步分为两个层级：一般性GPAI需满足基本透明度义务，而被认定具有「系统性风险」的GPAI（判定标准之一是训练算力超过10²⁵ FLOPs）则需承担更严格的义务，包括开展模型评估、进行对抗性测试（red-teaming）和向监管机构报告严重安全事件。这类模型一旦出现问题，其影响会通过下游无数应用被层层放大，因此监管机构选择从源头切入，是符合其风险治理逻辑的必然选择。

对AI厂商意味着什么

从合规角度看，收到RFI的企业面临三重压力：

• 透明度压力：法案要求模型提供商公开技术文档、训练数据摘要，并遵守欧盟版权规则。
• 风险评估压力：具有系统性风险的模型需进行对抗性测试、报告严重事件并保障网络安全。
• 时间压力：RFI通常设有严格的回复期限，企业需要在短时间内组织法务、技术、合规等多部门协同作战。

在Hacker News社区的讨论中，不少从业者指出，这类监管对大型厂商与初创公司的影响并不对称。头部公司拥有专门的法务与合规团队，能够相对从容地应对；而资源有限的中小团队则可能因合规成本高企而被迫收缩欧洲业务，甚至选择不在欧盟市场提供服务。

这种「合规鸿沟」（Compliance Gap）是监管经济学中的经典议题。在GDPR实施初期，已有大量研究表明，合规成本对不同规模企业的影响极不均衡：大型科技公司平均将营收的不到1%用于GDPR合规，而中小企业的合规支出占比可达营收的3%-5%甚至更高。在AI法案语境下，这一问题可能更为突出，因为AI合规涉及的不仅是法律文书工作，还包括技术层面的模型评估、对抗性测试和持续监控，这些都需要专业人才和计算资源。欧盟试图通过设立「AI监管沙盒」（Regulatory Sandbox）来缓解这一问题——在沙盒环境中，中小企业和初创公司可以在监管机构的指导下测试创新产品，降低合规试错成本。尽管如此，合规鸿沟是否会削弱欧洲AI生态的竞争活力，已成为争议焦点之一。

创新与监管的永恒张力

围绕欧盟AI法案的执法，业界始终存在两派声音。

支持者认为，明确的监管框架反而能为行业提供确定性。企业清楚了「红线」在哪里，就能更有针对性地投入合规资源，同时也有助于建立公众对AI技术的信任——而这种信任对技术的长期普及至关重要。

反对者则担忧监管过度会扼杀创新。他们指出，欧盟在移动互联网、云计算等前几轮技术浪潮中已经落后于美国和中国，如果对AI施加过重的合规负担，可能进一步拉大差距。部分评论者甚至担心，严苛的规则会促使AI创新中心进一步向监管更宽松的地区集中。

这种张力并非欧盟独有，而是全球AI治理面临的共同难题。欧盟选择「先立规、严执行」的路径，与美国相对分散、依赖行业自律的模式形成鲜明对比。美国长期采用「轻触式监管」（light-touch regulation），倾向于通过行政命令（如2023年拜登政府发布的AI行政令）、行业自律承诺和现有法律框架（如联邦贸易委员会的反欺诈权力）来应对AI风险，而非制定专门的综合性AI立法。这种模式的优势在于灵活性强、对创新的抑制较小，但批评者认为其缺乏强制力和系统性。中国则走了第三条路，针对特定AI应用场景（如深度合成、生成式AI、算法推荐）分别出台专项管理办法，形成了「逐项推进」的监管模式。三种路径各有利弊，其长期效果仍在观察之中，两种——乃至三种——路径孰优孰劣，仍有待时间给出答案。

全球监管的风向标

欧盟AI法案的一个重要特点是其「域外效力」——只要模型服务于欧盟市场的用户，无论提供商注册地在哪里，都需遵守相关规则。这一设计直接承袭了GDPR的域外管辖模式。哥伦比亚大学法学教授Anu Bradford将这种现象称为「布鲁塞尔效应」（Brussels Effect）：由于欧盟单一市场的巨大体量（约4.5亿消费者），企业出于成本考量往往会选择将欧盟标准作为全球产品的统一标准，而非为不同市场维护多个版本。

这意味着这轮RFI的影响远不止于欧洲本土企业，全球主要AI厂商都需将欧盟合规纳入产品与运营的核心考量。正如当年《通用数据保护条例》（GDPR）重塑了全球数据隐私实践一样——GDPR正是通过布鲁塞尔效应深刻影响了全球隐私保护实践，许多非欧盟国家（如巴西的LGPD、日本的APPI修正案）在立法时明显借鉴了GDPR框架——EU AI Act很可能成为全球AI监管的「事实标准」。其他国家和地区在制定本国AI政策时，大概率会参考欧盟的分级思路与执法经验。此次首批RFI的发出，正是这一全球性进程的关键起点。

结语

首批RFI的发出，宣告了AI监管从「立法时代」正式迈入「执法时代」。对AI厂商而言，合规已不再是可以推迟的选项，而是必须立即着手的现实工作。对整个行业来说，如何在遵守规则的同时保持创新活力，将是未来数年持续博弈的核心命题。

欧盟迈出的这一步，无论最终评价如何，都注定会在全球AI治理史上留下深刻印记。