炒股就看金麒麟分析师研报，权威，专业，及时，全面，助您挖掘潜力主题机会！

（来源：证券时报）

叶韦明

随着《欧盟人工智能法案》（以下简称“法案”）的逐步落地，全球科技界与监管界的目光聚焦于科技巨头、基础大模型提供商以及系统开发者。在这场深远的技术社会治理变革中，“技术的使用者”同样被赋予了前所未有的权利与义务。

法案基于风险等级（不可接受风险、高风险、有限风险、极小风险）对AI（人工智能）进行了严密的分类监管。在这套复杂的监管框架下，传统的用户概念被一分为二：一端是作为技术承受者的“普通终端用户”，另一端则是以专业身份应用AI技术的“专业部署者”。对于这两类截然不同的群体，法案带来的影响、赋予的权利以及施加的义务有着本质的区别。

在AI时代，普通大众往往在不知情的情况下成为了算法的实验对象。从与高度拟人化的客服机器人交流，到社交媒体上以假乱真的AI生成视频，普通人在真伪难辨的AI世界中处于弱势地位。

法案通过明确的透明度义务，为普通终端用户建立了关键安全防线。对于那些被划定为“有限风险”的AI系统（如聊天机器人和深度伪造技术），系统需遵守透明度义务。法案强制要求开发者和部署者必须确保终端用户意识到自己正在与AI进行交互。

首先，它剥夺了AI系统伪装成人类的特权。当用户在电商平台上进行投诉、在心理咨询APP上倾诉，强制性的“AI生成”或“AI交互”标签将打破用户的默认信任机制，防止操纵性AI对个体决策的潜移默化影响。其次，透明度设定是对普通消费者的赋权。法案禁止那些利用潜意识、操纵性或欺骗性技术来扭曲行为并造成重大损害的AI系统，也禁止利用年龄、残疾或社会经济状况等脆弱性来扭曲行为的AI系统。确保有限风险系统的透明度，让普通用户重新获得在人机交互过程中的知情同意权与退出权。

如果说普通终端用户是受法律保护的客体，那么法案中的“用户”是指以专业身份部署AI系统的自然人或法人，是需要承担实质性法律责任的合规主体。例如，一家使用AI系统来筛选求职者简历的人力资源公司、一家使用AI算法来评估客户信用额度的银行，它们在这个法律框架下都不是单纯的消费者，而是专业部署者。

法案彻底终结了部署者“技术中立”与“买来即用、责任甩锅”的时代。高风险AI系统的用户（部署者）需要承担一定的合规义务，但这些义务少于提供者（开发者）所承担的。

当企业决定在核心业务流程中采购并部署那些被列入“附件 III（Annex III）”的高风险AI系统（如教育和职业培训评估、就业与工人管理、公共及私人基本服务评估等）时，合规责任便在提供者与部署者之间发生了转移与共享。例如，法案要求高风险AI提供者必须提供使用说明给下游部署者，以使后者能够实现合规。同时，提供者在设计高风险AI系统时，必须允许部署者实施人工监督。这就意味着，部署者在购买系统后，不能将其设为“自动驾驶”模式便置之不理，而是必须在实际业务场景中建立有效的人工监督流程，配备具备相应能力的人员来审核、干预，甚至推翻AI的决定。

需要重点指出，法案对专业部署者的管辖范围展现出了强大的域外效力。如果一家中国跨境电商企业，利用AI信用评估系统来决定是否向欧洲客户提供分期付款服务，就必须受到法案的严格约束。

以专业身份应用AI技术的企业和机构，作为连接底层技术与终端受众的桥梁，必须在业务创新与法律风险之间寻找平衡。

其一，建立完善的AI采购审查。部署者须将合规要求前置到采购环节，在引入任何新的AI系统之前进行严格的风险分级评估。如果拟采购的系统属于高风险AI系统，部署者要求上游提供者出具完整的技术文档、证明其已建立质量管理体系，并详细审查其提供的使用说明。部署者应在商业合同（SLA）中明确划分合规责任，确保一旦因系统本身的设计缺陷导致违规，能够向上游提供者进行追偿。

其二，落实人工监督体系。法律要求高风险AI系统部署者实施人工监督，企业就须在内部建立起与之匹配的人机协同管理架构。企业不能以“算法决策”为由推脱责任，需要对直接操作或依据AI结果做出决策的员工进行专项培训，赋予他们审查、质疑和推翻AI建议的权力和能力。

其三，强化全生命周期的监测与数据管理。高风险AI系统的合规是贯穿使用周期的动态过程。同时，由于法案强调数据治理的重要性，部署者在向AI系统输入本地化业务数据时（尤其涉及个人敏感信息），必须确保符合《通用数据保护条例》（GDPR）的要求，避免因输入端的数据污染导致输出结果的违规。

其四，设立专属的AI伦理与合规委员会。面对日益复杂的全球监管环境，大中型企业应考虑在组织内部设立跨部门的AI伦理与合规委员会，涵盖法务、技术、伦理、业务和人力资源等职能。

本版专栏文章仅代表作者个人观点