中欧人工智能立法比较：五大差异与合规需知

岛屿旅人

于 2024-11-20 23:20:21 发布

阅读量1k

点赞数 31

分类专栏：人工智能网络安全文章标签：人工智能网络网络安全安全 web安全

本文链接：https://blog.csdn.net/qq_41432686/article/details/143927813

版权

网络安全同时被 2 个专栏收录

288 篇文章

订阅专栏

人工智能

64 篇文章

订阅专栏

文章目录

前言
一、背景介绍
二、横向立法 Vs. 纵向立法
三、两个司法辖区合规义务的范围不同
四、执法结构体现行政和法律环境的差异
总结

前言

在AI大模型掀起的全球技术浪潮中，国产AI应用出海趋势显著增强，在全球市场具有广泛的渗透与影响。然而，面对国际市场，各国对于AI应用的监管情况各不相同。如美国和英国，采取较为宽松的监管策略，侧重于行业自律与分散监管，为AI创新提供相对自由的空间，欧盟则实施更为严格的监管模式，旨在确保AI系统的安全性和可靠性。

在这里插入图片描述

一、背景介绍

2024 年 7 月 12 日，欧盟在其《欧盟官方公报》（Official Journal of the European Union, OJEU）上正式发布了欧盟《人工智能法案》（Artificial Intelligence Act），旨在全面规范欧人工智能系统在欧盟境内的设计、部署和使用。该法案的主要条款将于未来三年内逐步适用于各组织，具体举措取决于组织的角色、所提供服务的风险等级及其能力。与此同时，中国的监管机构也将注意力转向了人工智能，陆续发布了一系列法规和标准，旨在规范特定服务提供商的行为，以符合法律要求。其中，最重要的三项规定包括：《互联网信息服务算法推荐管理规定》 (2022) 、《互联网信息服务深度合成管理规定》(2023)以及《生成式人工智能服务管理暂行办法》(2023)。

欧盟和中国在人工智能治理框架方面的演变上存在诸多相似之处。例如，欧盟成员国在 2017-2020 年间陆续发布了全面的 “人工智能战略”，而与此同时，中国政府也承诺加强对人工智能的监管。两地的政策制定者都表达了类似的监管目标，涉及道德伦理、数据保护、安全和安保等主题。此外，布鲁塞尔与北京的人工智能监管都依托于现有法律框架，涵盖了包括个人信息处理在内的数据监管。尽管存在诸多相似之处，这两个治理框架之间仍有明显差异。本文将探讨其中的五大差异，以帮助企业理解这两个市场的具体要求，为合规做好充分准备。

二、横向立法 Vs. 纵向立法

欧盟《人工智能法案》旨在为人工智能系统的开发、市场投放、服务投入及使用建立一个“统一的法律框架”，适用于整个欧盟。该法案补充了其他与数据相关的法律（包括源自欧盟委员会数字战略的法律），作为一个横向的监管框架，将各种参与方、组织和技术纳入其范围（见第2-3条）。该框架定义了一系列核心概念，包括“人工智能系统”（“基于机器的系统，设计目的是以不同的自主性水平运行，可能在部署后表现出适应性，并基于输入信息推断生成输出，这些输出可能是预测、建议或决策，进而影响物理或虚拟环境”）；以及“通用人工智能”，指能够开发并集成到其他服务中的基础模型（详见下文）。

在实践中，这意味着组织不仅需要评估其法律义务是否符合其他法规的要求，还需明确自身是否属于欧盟《人工智能法案》的规制范围、以何种方式纳入该范围（即其活动触发了哪些义务），以及因此需要采取哪些具体措施。当然，出海企业仍需要应对与其他欧盟法律项下交织重叠的复杂法律问题，如AI与数据保护、AI与知识产权、以及AI与纵向的行业立法（汽车、医疗等）。但是，欧盟《人工智能法案》已经构建了基本闭环的完整体系，并且将许多责任集中在这一部法律之下。

相比之下，中国采取了截然不同的纵向立法的方式。与通过单一的综合性法律进行规范不同，中国的政府部门采取了双管齐下的策略：（1）制定并实施行业特定的法规（如前述的算法推荐、深度合成以及生成式人工智能相关法规）；（2）发布技术标准并启动人工智能治理试点项目，以积累最佳实践和执法经验。尽管现行法规存在一定重叠，但每项法规的适用范围都依赖于所提供服务的类型。因此，中国在法规层面尚未对“人工智能”提供权威的定义（尽管在某些技术标准中对此有所界定）。在实践中，关键在于某项服务是否以法规所涵盖的方式提供服务，而不是其是否符合“人工智能系统”的定义。截至本文写作时，我们已观察到中国正在考虑着手制定统一的人工智能法律，这一发展可能对我们目前的分析产生影响。

三、两个司法辖区合规义务的范围不同

二者在适用于组织的合规义务类型上也存在显著差异。首先，欧盟《人工智能法案》具有域外效力，即当境外的人工智能系统提供者在欧盟市场上投放或使用人工智能系统或通用人工智能模型时，或当境外提供者或部署者的人工智能系统产生的输出在欧盟境内被使用时，该法案同样适用。相比之下，在中国，只有进入市场的服务才会受到监管，未进入市场的境外人工智能系统或其输出并不在中国现行法规的监管范围内。

除了适用范围外，主要差异还体现在服务的风险分类及组织在提供该服务时所扮演的角色。欧盟《人工智能法案》下的合规要求较为复杂，并通过实施细则和委托法案进一步细化。例如，高风险系统在其生命周期内必须满足一系列特定的技术和组织措施，包括：

· 风险管理：实施识别、分析和缓解风险的策略；

· 数据治理：符合数据训练和模型测试的标准；

· 技术文档和记录保存：证明合规性、可追溯性并便于市场后监控；

· 透明度：设计人工智能系统以便于理解输出，并提供使用说明；

· 准确性、稳健性和网络安全：确保系统的准确性、安全性和韧性；

· 人类监督：根据人工智能系统的风险级别、自主性和使用环境，确保人类参与。

这些要求构成了高风险系统在欧盟市场上的合规框架，涉及到系统的全生命周期管理，以确保技术和运营的稳健性及法律合规性。

值得注意的是，中国的要求也涉及类似的主题，并使用相似的语言进行规范。例如，中国人工智能治理的重要组成部分包括实施全面的风险管理系统、记录保存以及向下游使用者提供技术指导。此外，欧盟《人工智能法案》第50条的许多要求在中国的人工智能法规中已有所体现（例如对人工智能生成内容打水印的透明度要求、标记含有深度伪造内容，并向公众披露服务正在使用人工智能）。虽然在文本上二者存在一些相似之处，但在执行和实施上的重叠程度仍有待观察。实际上，二者监管机构的优先事项可能存在根本差异，以至于比较更多落脚于学术层面。

四、执法结构体现行政和法律环境的差异

欧盟《人工智能法案》将执法权下放至各成员国指定的国家主管当局，负责监督法案的实施，包括高风险人工智能系统的义务和禁令。目前，尚未明确哪些行政机构将被指定为主管当局，但许多数据保护监管机构已主张应将《人工智能法案》纳入其管辖范围。

为协调各成员国的执法工作，人工智能办公室将发挥支持作用，对所有27个成员国进行集中监督，并就关键问题提供指导和专业知识。该办公室将协助开展联合调查、简化国家主管当局之间的沟通，并创建一个治理体系，包括在欧盟层面建立技术咨询机构，并为独立专家科学小组提供支持。此外，人工智能办公室还负责监督执行法案中关于通用人工智能模型的相关条款，确保在整个欧盟内对这些模型的执法保持一致。最后，人工智能办公室将协助各主管当局和其他中央机构，发布自愿行为准则，支持起草技术标准及指南、实施和授权法案，以及人工智能监管沙盒的建立。

在中国，多个行政机构参与人工智能的执法工作，涵盖不同的部委和部门，其核心职责通常按法律领域和行业划分。这些政府机构在人工智能的关键问题上经常协同合作，包括共同起草和通过人工智能相关的法规与指南。例如，尽管国家互联网信息办公室是中国主要的人工智能监管机构，但工业和信息化部也在监管电信、物联网和移动应用行业的人工智能法规制定中发挥了关键作用。此外，中国政府利用以往的监管经验来应对人工智能带来的新风险。例如，网信办在人工智能的安全和数据保护监管中发挥主导作用。

然而，欧盟与中国在行政单位之间及各单位内部的职权划分上存在显著差异。在实践中，这将影响组织如何理解并评估其与执法机构的关系。在欧盟《人工智能法案》框架下，各成员国需自行指定执法当局，且可以基于自身需求选择具体的执法机构。因此，不同成员国可能会指定不同的主管机构，导致组织需根据所在国的不同，适应相应的监管结构。在中国，各部委在省、市级设有地方办事处，地方机构负责辖区内的具体监管。这意味着无论组织在中国何地运营，都需应对多个对其服务具有管辖权的部委。此外，中国的中央监管由位于北京的中央级部委办公室主导，这些办公室制定统一的程序管理规则和政策，要求地方办事处严格执行。这与欧盟的情况相反，在欧盟，中央级机构主要发挥支持性作用，负责发布指导意见，而非直接解释和执行《人工智能法案》（除某些特定条款外）。

随着人工智能治理法规在这两个司法辖区的逐步实施，未来将出现更多具体的跨境合规经验，有助于组织更好地适应不同的监管环境。