欧盟中人工智能自动化领域的《人工智能法》与《通用数据保护条例》：何种规定适用？
《人工智能法》的颁布时间在2026年的《数字综合法案》之后，而后台自动化属于该法案的范畴，我们依据《通用数据保护条例》制定的原则包括数据最小化、处理方要求、第22条以及数据影响评估。
在欧盟，使用人工智能实现工作自动化的企业需同时遵守两套规则：自2018年5月起实施的《通用数据保护条例》，该条例无论是否涉及人工智能，都适用于个人数据保护；以及正在分阶段实施的《人工智能法案》，即法规（EU）2024/1689。这是工程师对我们设计人工智能自动化系统时所考虑因素的总结，并非法律建议；针对您的具体情况，请咨询律师或数据保护专员。
截至2026年11月的《人工智能法案》时间表
《人工智能法案》于2024年8月1日生效，并分阶段实施。2026年7月，该法案通过《人工智能数字综合法规》，即法规（EU）2026/1744进行了修订，调整了高风险系统的实施日期。当前情况如下：
| 日期 | 适用内容 |
|---|---|
| 2025年2月2日 | 禁止的AI行为（第5条）及AI素养要求（第4条，经综合法案修订） |
| 2025年8月2日 | 通用型AI模型提供方的义务、治理措施及处罚规定 |
| 2026年8月2日 | 整体实施日期，包括大部分透明度要求 |
| 2026年12月2日 | 针对2026年8月2日之前已投放市场的系统，标记AI生成内容的截止日期 |
| 2027年12月2日 | 附件三所列独立系统的高风险规则 |
| 2028年8月2日 | 附件一法规所涵盖产品中嵌入的AI的高风险规则 |
由于后续的修订和指导文件，相关日期和细节可能会再次发生变化，因此在依赖这些信息之前请务必查阅官方来源。
典型业务自动化应用的范畴
《人工智能法案》是根据应用场景而非技术类型对系统进行分类的。大多数后台自动化任务，比如提取发票数据、根据要求清单核查供应商资质，或是为内部审核人员汇总合同内容，都不属于高风险类别。高风险应用场景列在附录三中，包括招聘与员工管理、个人信用评估、基本服务获取、教育以及关键基础设施等领域。
这一点值得尽早确认。用于对求职者进行排名或决定谁能获得贷款的工具，与用于读取送货单的工具虽代码可能相似，但属于完全不同的项目。
即便在非高风险领域，也有一些规定需要遵守：企业有责任提升使用这些系统的员工的AI素养，当人们与聊天机器人交流时应当被告知，而且某些生成的内容必须标明其性质。
GDPR已规定的要求
对于大多数文档自动化处理而言，GDPR才是更重要的日常遵循标准，因为合同、发票和人力资源文件中都包含个人数据。我们需要重点考虑的要点包括：
- 合法依据与用途。为某一目的收集的数据不得简单用于训练或新的分析。
- 数据最小化。仅处理任务所需的字段；在数据传入模型之前对其余部分进行遮蔽或删除。
有助于简化合规流程的设计选择
这些规则所要求的内容大多也是良好的工程实践：
- 记录系统执行了什么操作、使用了哪个模型版本以及由谁批准了结果；
- 在涉及人员决策时让相关人员参与其中，并确保审查过程真实有效，同时能查看原始文档；
- 当数据敏感时，在自己控制的基础设施上运行模型（参见用于处理机密文档的本地 AI）；
- 维护测试集，并在每次更改前后测量准确率（参见评估与人工审查）；
- 明确记录系统的用途以及禁止其使用的场景。
官方来源
- 《AI 法案》：EUR-Lex 上的法规 (EU) 2024/1689
从第一个原型开始，我们就通过日志记录、人工审核和数据最小化原则来构建AI自动化系统。请查看从演示到实际应用以及用于文档审核的AI智能体。针对您具体情况的法律评估仍需由您的律师负责。