关键要点: 全球范围内的 AI 监管正在持续演进，欧盟通过 DORA、人工智能法案和数字服务法案走在前列。这些法规具有域外适用效力，为全球企业带来合规挑战。保持对监管动态的持续关注，实施前瞻性的治理机制，并与专业伙伴合作，有助于降低风险，并以负责任的方式释放 AI 的价值。

每一家使用 AI 的企业都已进入监管视野。三项新的欧盟法规正在推动一种全新的监管范式。全球各国政府正以域外适用和追溯适用的方式推出新的 AI 法律和监管要求，且往往伴随高额罚款。过去只需遵守本国法规即可高枕无忧的时代已经结束，合规方式必须随之改变。

许多组织仍认为地理距离可以让自己避开欧盟监管，但现实早已不同。深入审视这些新兴的欧盟法规，可以清楚看到企业需要采取的关键合规路径，以满足最新要求，并为无国界的 AI 监管环境做好准备。

推动全球合规挑战的三项关键欧盟法规

欧盟正引领隐私与 AI 监管进程。三项新的法规分别聚焦技术与合规的不同层面，共同构成一个影响深远的全新框架，带来复杂且严格的合规义务，并伴随高额处罚风险。

数字运营韧性法案

数字运营韧性法案聚焦于欧盟金融机构的数字韧性建设，建立了用于管理信息与通信技术风险的框架，帮助机构在面对运营中断（包括网络攻击）时具备承受、应对和恢复能力。

值得注意的是，该法案的适用范围并不限于金融机构本身，还延伸至其第三方供应商和代理方。例如，如果一家金融机构在关键业务职能中使用了类似 ChatGPT 的 AI 系统，那么该金融机构及 AI 服务提供方都可能被纳入法案的适用范围。

欧盟人工智能法案

欧盟人工智能法案为人工智能的开发和使用建立了一个全面的治理框架。该法案采用以风险为基础的方法，将 AI 系统划分为四个等级，即最低风险、有限风险、高风险和不可接受风险。不同风险等级对应不同要求，法案同时对 ChatGPT 等通用型 AI 模型提出了专门规定。

被归类为高风险的 AI 系统将面临更严格的要求，包括:

• 在高风险 AI 系统的整个生命周期内建立风险管理体系
• 提供技术文档，用于证明合规性，并为监管机构评估合规情况提供必要信息
• 在系统设计中纳入记录机制，自动记录与识别国家层面风险相关的事件
• 建立质量管理体系，确保持续符合法规要求

不可接受的风险等级包括被视为对个人安全、生计和基本权利构成明确威胁的系统。欧盟人工智能法案禁止八类做法，其中包括:

1. 社会评分
2. 对个人犯罪行为风险的评估或预测
3. 在工作场所和教育机构中进行情绪识别
4. 通过生物特征分类推断特定受保护特征

数字服务法案

数字服务法案聚焦于在线内容治理，赋予监管机构评估并移除其认定为虚假或有害内容的权力。这种带有主观判断的标准引发了一系列复杂问题，包括:

• 谁应对 AI 生成或传播的内容负责，是提示发起者、发布者、模型所有者，还是数据来源方
• 如果内容在未经你同意的情况下被 AI 模型使用，你是否仍需承担责任

违反这些法规的处罚金额可高达数亿美元，这也促使平台必须更加严格地监控和限制内容传播行为。

欧盟监管的长臂效应

对合规专业人士而言，不确定性往往最令人不安。身处欧盟之外是否仍可视为安全港，目前尚无定论。但可以确定的是，假设地理位置能够让企业置身于欧盟监管之外，可能会成为一次关键失误。三项法规均具有域外适用效力这一点已十分明确。例如，在数字服务法案下，只要欧盟居民能够访问你的内容，该法案即可能适用。欧盟人工智能法案同样适用于并非设立在欧盟境内的企业。

在当今高度互联的全球数字环境中，仅仅让内容在欧盟范围内可访问，就可能触发合规义务。尽管存在反对声音，但在当前阶段，企业要么选择合规，要么承担重大风险。

合规落地的实操路径

尽管监管环境日益复杂，企业仍可采取一系列前瞻性措施，确保符合不断演进的全球监管要求。

1. 团队需要持续学习，通过聚焦 AI 与合规的法律或专业培训项目，紧跟最新监管变化。
2. 与值得信赖的合作伙伴协作，由其对技术进行审查并确认符合法规标准，从而降低风险并明确责任边界。
3. 任命专职的数据隐私官，持续监控合规情况并统筹隐私相关工作。
4. 在业务运营所在地或数据可能被访问的司法辖区，引入本地隐私法律顾问。区域性专业经验对于解读细微而复杂的法规至关重要。
5. 制定并严格执行清晰的企业级政策，明确 AI 使用和数据处理要求，确保政策得到有效传达、持续监控并定期更新。

最后，请熟悉客户和供应商的相关政策。围绕以下关键问题进行审查，有助于有效避免冲突、保持透明度，并在所有合作关系中建立信任:

• 大语言模型是否会使用客户数据进行训练
• 数据存储和访问位置在哪里
• 具备哪些安全防护措施
• 模型是私有的还是公共的
• 系统是否能够识别幻觉并提供来源引用

对于法律团队而言，托管式电子发现服务具备明显的战略优势。集中化的数据存储可以降低供应商风险，加强对安全设置的控制，并提升对新工具和新功能的治理能力。这一方式有助于同时应对多项法规之间相互重叠的合规要求。

清晰前行

技术正在快速演进，监管也在加速跟进。欧盟的数字运营韧性法案、人工智能法案和数字服务法案，只是全球监管趋严趋势中的几个代表。AI 的采用为企业带来了前所未有的机遇，同时也伴随着新的风险。持续掌握监管动态，建立稳健的治理机制，并与专业伙伴合作，是企业在这一环境中稳步前行、同时充分释放自动化价值的关键。

Brandon Hollinder 电子发现与网络解决方案副总裁
作为 Epiq 的电子发现与网络解决方案副总裁，Brandon Hollinder 以专家身份与客户紧密合作，致力于为客户创造价值，并确保解决方案得到有效设计和专业落地。Brandon 在电子发现和网络解决方案领域拥有超过十五年的经验，负责领导 Epiq 电子发现托管服务和网络事件响应业务线的市场进入战略。