备受瞩目的欧盟人工智能监管法案(EU AI Act)正在走向收尾阶段。自去年底ChatGPT“一夜成名”，AI迎来狂飙时刻，各种新应用新模型层出不穷，监管呼声也日益高涨。欧盟AI法案监管的跨边境特征——只要是在欧盟市场投入服务或部署AI系统的企业都将受到监管，无论其是在欧盟内部还是第三国，以及考虑到这是全球首个试图全面监管AI的尝试，欧盟AI法案成为各方关注的焦点，6月14日欧盟议会通过该草案后，主席罗伯塔·梅佐拉(Roberta Metsola)即表示，这项法案“毫无疑问将在未来数年成为全球标准”。
不过该法案还远未能落地，不仅是因为这是个极其复杂的崭新领域，涉及监管与创新的平衡、对社会和经济的长远影响等，还因为欧盟的法律生成程序异常繁杂，且仍面临着来自成员国、企业等多方的政治博弈。
欧盟AI监管法案有哪些核心内容?对企业影响几何?多久才能落地，以及未来可能还会如何演变?
“风险金字塔”
该法案的基石是一套对不同AI应用风险等级判定基础上的风险分类体系，风险体系被分为四等，从高到低分别为，“不可接受的风险”、“高风险”、“有限风险”、“低风险和极小的风险”。针对不同等级的风险，实施不同程度的限制措施。
1. 不可接受的风险，指的是可对人们的安全、生计和权利构成明显威胁的行为。包括：
—对普通人或特定群体实施认知行为操纵，比如，鼓励儿童危险行为的发声玩具。
—社会评级：基于行为、社会经济地位或个人特征对人进行分类。
—实时和远程生物识别，比如面部识别系统。此条也有例外情形，不过条件严苛——远程的生物识别，且距离识别行为发生后很长一段时间(after a significant delay)，可在获得法庭许可后用于对严重犯罪行为的起诉中。
带有不可接受风险的AI系统、产品等将被明确禁止在欧盟市场上销售和使用。
2. 高风险，指能对人们的安全或基本权力产生不利影响的行为，主要涉及两类：
—在欧盟产品安全法律条文下受监管的玩具、航空、汽车、医疗设备、电梯等所使用的AI系统;
—以下需要在欧盟数据库登记备案的八类AI系统：
针对自然人的生物识别和分类;
关键基础设施的管理和运营;
教育和课外培训;
就业，工人管理和自雇相关的机会;
关键私人服务、公共复苏和利益的获得和享受(access to and enjoyment);
执法领域;
移民、难民和边境管理;
为法律解释和法律使用提供协助。
所有高风险的AI系统在投入使用前以及其整个生命周期中都需要接受评估。
3. 有限风险的AI系统：这些系统对人们的安全或基本权利的影响较小，因此需要满足的义务主要是透明度要求。
4. 低或最小风险的AI系统：这些系统对人们的安全或基本权利的影响非常有限，因此不需要特别的监管要求。
另外，该法案也覆盖了对通用模型的监管。按照欧盟议会的草案，通用人工智能的大模型提供者(不是部署者)需要在透明度、数据管理、风险消减和登记注册等方面满足监管要求。
该草案还附带了处罚条款，若违反可能面临高达4000万欧元或相当于公司全球一年营收额7%的罚款。
达不到的监管要求?
当下企业能否满足欧盟的监管要求?答案恐怕是否定的。
斯坦福大学近日公布的一项研究结果表明，迄今为止，有AI基础模型部署的全球领先的AI公司距离满足欧盟的监管要求还有很远的距离。
研究者们选定了欧盟草案中的12条规则，然后逐一逐项为全球10个领先的AI模型打分，结果显示，其中表现最好的(Hugging Face的BLOOM)在48分的总分中也只得到了36分。占据市场领先地位的ChatGPT，其表现只能算中等，得分25。最低的分数只有5分，来自德国一家AI公司Aleph Alpha，而谷歌支持下的Anthropic模型得分也只有7分。
研究者认为透明度欠缺是目前大模型在监管合规上的主要障碍。“基础模型提供者在数据、计算和模型部署，以及模型本身的关键特征方面，极少透露精确信息，”他们在报告中写道。他们的评估也显示，满足对欧盟AI监管草案的要求对这些基础模型提供者是可行的，首要任务就是要增强透明度。
一直以来，主要AI公司均表示支持对AI行业进行监管，不过在如何监管上仍存在分歧。OpenAI的创建者Sam Altman据报道过去一个月一直在全世界各地会见各国政府监管机构，在各种公开场合呼吁对AI进行全球性监管，不过从《时代周刊》拿到的文件来看，OpenAI正在游说在欧盟AI法案中增加补充条款，减轻公司的监管负担。
值得一提的是，最近欧盟议会以绝对优势通过AI草案并不意味着欧盟的AI监管措施正式落地。14日的欧盟议会投票只是意味着，继欧盟委员会和欧盟理事会之后，欧洲三大核心监管机构中的第三个，加入到了AI监管法案的谈判场。在接下来的“三方会谈(trilogue)”阶段，三大机构的决策者以及欧盟各成员国将就法案的最终细节进行协商然后投票。布鲁金斯学会预计，考虑到AI法案已被列为政治优先事项，“三方会谈”预计进展会非常迅速——欧盟委员会希望能在今年底完成对AI法案的投票，力争不对明年6月的欧盟议会选举产生政治影响。
国际律所Gibson Dunn21日刊文称，如果今年底完成“三方会谈”，敲定最终版本，那么这个AI法案将进入为期两年的执行期(implementation period)，在这期间，相关治理架构，比如欧盟人工智能办公室(the European Artificial Intelligence Office)将建立起来，并最早将于2025年下半年向所有AI提供商和部署商提供服务。
博弈仍将继续
欧盟AI法案接下来如何演变，“三方会谈”中的博弈将是关键。麻省理工科技评论19日刊发的一篇文章列出了草案中的五个最应该关注、最可能成为博弈焦点的地方：
第一，禁止情绪识别AI系统。欧盟议会的草案禁止在警局、学校和工作场合使用试图识别人们情绪的AI系统，比如，判断一个学生是否能理解学习内容，一个正在驾驶汽车的司机是不是会睡着等。此前欧盟理事会和欧盟委员会通过的草案中没有这一禁令，意味着这一点可能会成为“三点会谈”中博弈的焦点之一。
第二，禁止在公共场所进行实时生物识别和预测性执法(predictive policing)。如何执行将是个难题，而且一些成员国认为，生物识别是现代警务工作中所必需的，比如法国，实际上正在计划增加对面部识别的使用。
第三，禁止社会打分(social scoring)。公共机构进行的社会评分，或利用人们的社会行为数据进行归纳和描述的做法，将被取缔。在一些国家，通过社会行为数据来评估发放抵押贷款、设定保险费率、招聘员工等做法很常见。但在欧盟，这些行为将受到限制。
第四，对通用人工智能的新限制。该草案首次提出了规范生成性人工智能的方法，并禁止在OpenAI的GPT-4等大型语言模型的训练集中使用任何受版权保护的材料。该法案草案还要求对人工智能生成的内容进行标示。这也意味着，欧洲议会现在必须向欧盟委员会和各个国家推销其政策，这些国家可能会面临来自科技行业的游说压力。
第五，对社交媒体上的推荐算法的新限制。新的草案将算法推荐系统归入 “高风险”类别，这是在其他拟议法案基础上的升级。这意味着，如果该法案通过，社交媒体平台上的推荐系统将受到更多审查，科技公司可能要为用户生成的内容承担更多责任。