歐盟 AI 法案高風險義務延後 16 個月：哪些延了、哪些 8 月 2 日照樣生效

歐盟 AI 法案最重的一批義務，原本訂在 2026 年 8 月 2 日生效。結果在期限前六天，一部修正法規先生效了，把這個日子往後推了 16 個月。

八月的時候我寫了一則短訊，標題說有三項透明度規則「一天都沒讓步」。這次重查，那句話要修正：其中一項其實拿到了四個月的寬限。另外那部修正法規做的事也不只是延期，它還順手加了兩條新的禁令，這點當時完全沒寫到。

如果你的產品有歐洲使用者，下面這張時程表比新聞標題有用。

這部修正法規到底是什麼？

它的正式名稱很長。我直接去歐盟的法規資料庫 EUR-Lex 查了原始紀錄：

圖：Regulation (EU) 2026/1744 在 EUR-Lex 上的紀錄（來源：eur-lex.europa.eu）

編號是 Regulation (EU) 2026/1744，括號裡的簡稱是 Digital Omnibus on AI。標題寫的目的是「簡化」AI 規則的實施。它修的不只是 AI 法案（2024/1689），還有另外兩部法規。公報日期是 7 月 24 日，狀態是 In force。

從提案到生效花了八個月，而且過程不順：

圖：Digital Omnibus 從提案到生效的時間線（本文整理，依 DLA Piper 的更新紀錄與 EUR-Lex 的公報日期）

4 月底的三方會談是談崩的。5 月 27 日才有臨時協議，7 月 27 日生效，離原本的 8 月 2 日只剩六天。

這個時間差對企業的影響很實際。DLA Piper 那篇文章的本文直到 4 月底都還在建議客戶「繼續為 8 月 2 日做準備」，因為沒有人能保證延期會過。也就是說，認真的公司多半已經把大部分合規工作做完了，才等到延期的消息。

哪些延了、延到什麼時候？

我把幾家法律事務所的整理併成一張表：

圖：Digital Omnibus 改動的主要日期（本文整理，依 Orrick 與 Jones Walker 對 Regulation (EU) 2026/1744 的說明）

最主要的一項是 Annex III 的高風險系統，從 2026 年 8 月 2 日延到 2027 年 12 月 2 日。Annex III 列的是用途，不是技術。只要 AI 被拿來做這些事就算：招募與篩選求職者、績效評估、分派工作、監控員工、決定升遷或解雇，還有信用評分、某些保險、教育、基本服務的取得。

延掉的是一整套合規要求：風險管理、資料治理、技術文件、人工監督。這些是要花錢花人才做得出來的東西。

Orrick 的整理還提到一個細節：已經上市的系統，只有在那個日期之後做了「重大修改」才會被納入。

另外兩個日期比較少被提到。內建在受規管產品裡的高風險 AI（Annex I）是 2028 年 8 月 2 日。公部門使用的 AI 是 2030 年 8 月 2 日。

8 月 2 日那天，什麼照樣生效了？

第 50 條的透明義務。八月那篇寫「三項」，實際上細分是五種，對象也不同：

圖：AI 法案第 50 條的五種透明義務（本文整理，依 Jones Walker 2026-07-16 的說明）

這張表有一個區分值得你記住：義務分給了兩種角色。「提供者」是做出系統的人，「部署者」是拿來用的人。你用別人的模型做了一個客服機器人，在這套定義下你可能兩種都是。

幾條的白話版：

• 你的系統如果直接跟人互動，要讓對方知道這是 AI。例外是情境已經明顯到一般人都看得出來。
• 你的系統如果會生成或修改影音圖文，輸出要帶機器可讀的標記，技術上可行的話要能被偵測出來。
• 你如果對人做情緒辨識或生物特徵分類，要告知對方。
• 你如果發布深偽內容，要揭露。明顯是藝術、創作、諷刺或虛構的作品另有處理方式。
• 你如果發布 AI 生成、涉及公共利益的文字，原則上要揭露。有經過人工審閱、有人負編輯責任的內容可以豁免。

最後那條跟內容網站特別有關。它的豁免條件是「有人負編輯責任」，這等於用法律把「AI 寫的但有人把關」跟「AI 寫完直接發」分成了兩類。

我要更正的那一項

第二條，合成內容的機器可讀標記，拿到了寬限。Orrick 跟 Jones Walker 寫的一致：在 2026 年 8 月 2 日之前就已經上市的系統，可以到 2026 年 12 月 2 日才完成技術標記。

寬限的範圍很窄。它只適用這一項義務，只適用舊系統。8 月 2 日之後才上市的新系統沒有寬限，其他四項義務也沒有。Jones Walker 特別提醒不要把這個寬限期往別的地方套。

所以比較準確的說法是：五項透明義務都在 8 月 2 日生效，其中一項對舊系統多給了四個月。寫這段的時候是 10 月中，那個期限還剩不到兩個月。

違反第 50 條會罰多少？

Jones Walker 寫的上限是 1,500 萬歐元，或前一年度全球營業額的 3%，取高者。符合資格的中小企業跟新創則是取低者。

這是法定上限，法案本身也要求罰則要符合比例。實際會怎麼罰，目前沒有案例可以看。

配套的東西也在同一段時間到位。Jones Walker 提到，執委會在 7 月 8 日認定一份關於 AI 生成內容的實務守則（Code of Practice）足以涵蓋第 50 條的幾項義務，AI 委員會隔天採納。照著守則做有助於證明合規，但不是保證，守則也沒有涵蓋第 50 條的所有問題。

除了延期，它還改了什麼？

這是八月那篇完全漏掉的。Orrick 列了八項改動，我挑跟一般讀者比較有關的講。

兩條新禁令。 第 5 條（禁止的 AI 行為）新增了兩種：設計用來產生、或可合理預見會產生「非合意私密影像」的系統，以及兒少性剝削內容。適用日是 2026 年 12 月 2 日。歐洲議會的新聞稿把前者叫做「nudifier app ban」，也就是脫衣 App 禁令。

一部以「簡化」為名的法規裡，加進了新的禁止事項。這大概是議會同意延期時換來的東西。

中型企業也有減免。 原本只有中小企業有簡化措施，現在擴大到「小型中型股」：員工少於 750 人，而且營業額不超過 1.5 億歐元或資產總額不超過 1.29 億歐元。他們可以用簡化的文件範本、比較輕的品質管理要求、優先進入監理沙盒、比較低的罰款上限。

「安全元件」的定義變窄。 一個元件要算安全元件，它的預定用途必須是預防或減輕健康與安全風險。只用來做最佳化或增加便利性的系統被排除。但如果它故障會危及健康安全，還是算。

AI 辦公室的權力變大。 對於建立在通用模型上、而且由同一家公司或集團提供的 AI 系統，以及整合進超大型線上平台或搜尋引擎的 AI 系統，歐盟 AI 辦公室拿到專屬監督權。白話講，大型模型公司自己做的產品，由布魯塞爾直接管，不走各成員國。

這跟不在歐洲的公司有什麼關係？

有關係，而且比多數人以為的大。

Jones Walker 那篇是寫給美國公司看的，講的原則對台灣一樣適用：AI 法案可以適用於歐盟以外的提供者與部署者，條件是 AI 的輸出在歐盟境內被使用。光是「歐洲人連得上你的網站」不構成條件，要一個系統一個系統判斷。

它給的幾個實務建議我覺得直接可以用：

1. 盤點。把有歐洲連結的聊天機器人、生成式系統、合成媒體流程列出來。
2. 分角色。每個系統你是提供者、部署者，還是兩者都是。
3. 每項義務分開處理。五項的對象不同、例外也不同，不要當成一包。
4. 找出舊系統。哪些是 8 月 2 日前上市的，可以用到 12 月 2 日的標記寬限。
5. 實際測試。聊天機器人的告知有沒有在第一次互動前出現，標記經過你的發布流程之後還在不在。
6. 把例外寫下來。如果你判斷某項義務不適用，把依據的事實記錄起來。

這次延期是好事還是壞事？

我自己的看法偏向：對使用者不算好，但做法可以理解。

可以理解的部分是標準還沒到位。Orrick 提到這次修正要求執委會請歐洲標準機構訂出同時涵蓋 AI 法案與既有調和法規的標準。規則上路了，卻沒有可以對照的標準，企業確實不知道做到什麼程度才算合規。

不算好的部分是被延掉的那一塊正好最貼近一般人。用 AI 篩履歷、打考績、決定誰被資遣，這些是現在就在發生的事，而規範它的那套要求晚了 16 個月。

歐盟選擇留下什麼，這點比較有意思。「讓人知道自己在跟 AI 講話」「合成內容要有標記」，這些便宜、對使用者直接有感的規則沒有動。貴的、要建立整套管理制度的往後推。

同一段時間美國的狀況是另一個極端。聯邦層級沒有 AI 安全立法，九月那場關於要不要放慢腳步的爭論裡，真正有強制力的東西一樣也沒出現。管制的壓力反而從法院來，像 Meta 的青少年成癮訴訟。歐盟的路線至少給了一張寫著日期的表。

什麼會讓我改變看法？如果 2027 年底之前又出現第二次延期。這次的理由是標準沒準備好，同一個理由可以再用一次。

這篇的限制

• 我沒有讀到法規條文的全文。EUR-Lex 的紀錄頁我看到了，但條文內容是透過三家法律事務所（DLA Piper、Orrick、Jones Walker）的整理得知的。
• 這些事務所的文章是寫給客戶的摘要，不是法律意見，本文更不是。
• 八月那篇寫了「執委會對通用型 AI 模型的執法權力同日啟動」。這次查的來源裡沒有支持這句話的內容，已經拿掉。
• 罰款數字是法定上限，目前沒有實際裁罰案例。
• 你的系統到底適不適用，要看具體事實，請找懂歐盟法的律師。