2026年8月2日，欧盟《人工智能法案》进入可执行阶段。但这一天真正开始产生约束力的义务，并不是过去两年占据每份合规路线图的那一批。
2026年7月27日，《数字综合法案（AI）》以Regulation (EU) 2026/1744生效，7月24日刚刊登在官方公报上，距主适用日只有几天。它没有移动AI法案的整体适用日期，移动的是高风险系统的义务时间表——两句话同时成立，风险就住在两者之间的空隙里。
8月2日到底启动了哪三件事
第一，欧盟委员会和AI办公室获得调查和处罚通用人工智能模型提供者的权力。第二，第50条透明度义务变为可执行。第三，处罚框架投入运转，成员国市场监管机构可以对已生效的条款执法。
罚款分三档：社会评分这类被禁止的做法，最高3500万欧元或全球营业额7%；违反其他合规义务的提供者和部署者，最高1500万欧元或3%；向公告机构或国家主管机关提供不准确、不完整、误导性信息，适用更低一档。
被禁止的做法（第5条）和AI素养义务（第4条）从2025年2月2日就已适用，只是素养要求被《数字综合法案》软化了：现在只需采取支持员工提升AI素养的措施，不必保证达到某一水平。
第50条：几乎人人有份
从2026年8月2日起，任何提供与人交互的系统的一方，都要让人能识别出对面是机器，除非语境已经很明显；使用情绪识别或生物特征分类，要告知当事人；用AI生成深度伪造内容，或生成面向公众、涉及公共利益议题的文本，要明确说明。一家用AI辅助写稿的报社，正好落在里面。
范围很宽：客服聊天机器人、语音代理、虚拟助手和数字人、AI生成的图像和视频、合成音频、AI辅助的编辑内容。
有一个例外必须记住：第50条第2款对合成内容的标记义务，对2026年8月2日之前已投放市场的系统，推迟到2026年12月2日；面向人的披露则现在就适用。这也是整部法规里成本最低的合规动作，忽略它的理由很难向董事会解释。
委员会7月20日发布了第50条的最终指南，截至期限约有190家机构签署了AI生成内容透明度行为准则。
部署者会变成提供者
上面的执法权不只针对做基础模型的大公司。按AI法案，部署者在几种情况下会被重新认定为提供者：为自己的需要定制系统、用自己的数据训练或微调、以自己的名义或商标投放市场、对高风险系统作重大修改。
后果并不只是名义上的：从部署者那套较轻的义务，直接进入完整的提供者制度，文档、合格评定和执法风险一并跟上来。
而这件事正在悄悄发生：一家银行用自己的客户对话微调商用模型，一家零售商把对话助手换成自己的品牌，一家软件公司把第三方模型嵌进自己的产品、贴上自己的品牌去卖。每一个都是被重新认定的候选，而多数组织里没人问过这个问题。
推迟了什么，为什么没那么轻松
附件三的高风险系统——招聘与就业、信用评分、教育、基本公共和私人服务、生物识别、关键基础设施、执法、移民、司法——义务推到2027年12月2日；嵌入受监管产品的附件一系统推到2028年8月2日。生成非自愿性私密内容或儿童性虐待材料的AI系统，从2026年12月2日起禁止投放和使用；成员国建立监管沙盒的期限推到2027年8月2日。
推迟不等于减负。高风险提供者要建风险管理与质量管理体系、准备技术文档、留存自动日志、完成注册、保证人工监督、确保透明运行，还要达到适当的准确性、稳健性和网络安全水平；部署者要按提供者说明使用、由有资质人员监督输出、监测运行并报告风险、保留自己控制的日志；公法机构、提供公共服务的私营实体、银行和保险公司还要做基本权利影响评估。这套东西不是一个季度能搭起来的。
所以眼下真正的障碍往往不是法条，而是没人真正负责“AI合规”这件事。清单可以先做四步：现在盘清在用的每一个AI系统，包括那些没走正式审批就装上的；现在定下法律、IT、合规、审计、风控和业务线各自的责任；核查有没有踩到禁止性做法、有没有因为定制或微调把自己变成提供者；然后从8月起把聊天机器人、语音代理和AI生成内容标出来。