精选

OpenRouter 把儿童安全合规嵌入推理链路，ZDR 零保留承诺新增了筛查与上报所需的法定例外。

• 影响依赖 ZDR 隔离敏感数据的团队需要重读条款，被标记内容可能被保留审查；各模型厂商与上游提供商的筛查和保留做法不同，选型时的数据流评估要多问一层；CSAM 上报与一年期保存是法定义务，不因 ZDR 免除。
• 参考可考虑让法务或安全团队核对更新后的条款与 ZDR 说明，确认例外范围可接受；涉及图像或视频生成的场景，值得按 NCMEC 指南检查哈希比对与分类器等儿童安全措施是否到位；有严格保留要求的组织可先比对各提供商政策再决定路由。

供应商侧凭据失窃叠加 AI 智能体批量入侵，守方留给检测和响应的时间很少，单点供应商失陷可波及数千家依赖企业。

• 影响依赖云备份和远程访问供应商的企业可能因供应商凭据失窃被直接读取邮件和文件；环境缺少多因素认证时损失代价更高；分钟级攻击节奏考验内部告警与响应流程。
• 参考可考虑排查是否使用 ConnectWise 或同类云备份与远程访问服务，并跟踪供应商泄露通报；也可盘点邮件和核心系统的多因素认证覆盖率，把特权账号与服务凭据列入优先核查清单。

文本水印把 AI 是否参与写作变成可事后检验的属性，生成内容标识正从厂商自愿转为欧盟法规下的默认动作。

• 影响用 Claude 生成或改写的外发内容将默认带可检测标识，内容合规与审计流程需要纳入；水印全球生效，不限欧盟业务范围；官方称水印不增加 token、不影响速度与价格，成本影响可忽略。
• 参考可考虑盘点用 Claude 生成或改写后对外发布的内容清单，决定是否需要主动声明 AI 参与；有欧盟合规义务的企业可登记申请检测 API 私测；值得提醒审核团队，水印检测与第三方 AI 检测软件的结论并不等同。

欧盟高风险 AI 合规从原则要求进入可操作阶段，质量管理体系建设有了官方认可的具体落地路径。

• 影响计划向欧盟投放高风险 AI 系统的企业有了可循的 QMS 建设路径；已有 ISO/IEC 42001 或行业体系的企业可叠加集成，免于另建并行双体系；合规节奏需对齐 2027 年 12 月与 2028 年 8 月两个适用时点。
• 参考可考虑对照 EN 18286 与现有 ISO/IEC 42001 或行业质量体系的差距，评估叠加集成的改造成本；计划进入欧盟市场的团队值得把体系搭建或认证排期放在 2027 年要求生效之前。

中国并非立即关停开源模型，而是建立可随时收紧的出口许可机制，给权重类AI技术跨境流动留下政策开关。

• 影响在境外本地服务器部署中国受控开源模型的路线需出口许可，自托管的连续性取决于许可发放；API与SaaS调用暂不受限；欧盟依赖开源模型保主权的技术路线承压。
• 参考可考虑盘点对开源权重模型的境外部署清单，区分本地自托管与API调用；评估供应商时值得把模型来源地的出口管制风险纳入选型标准。

欧盟把 AI Act 从条文推进到可操作的投诉入口，用户和合作方都能借正式渠道触发 AI Office 介入。

• 影响在欧盟提供或部署 AI 系统的企业，其用户和合作方现在有了直接向 AI Office 投诉的正式渠道；投诉保密处理，经投诉人同意可转介成员国市场监督机构；合规记录和部署留痕会影响投诉应对。
• 参考可考虑对照第 85 条与第 53 至 55 条范围，自查欧盟业务所用 AI 系统是否存在可被投诉的违规风险；值得预先指定对接 AI Office 的负责人并准备响应流程与证据清单。

欧盟以官方意见背书AI生成内容透明度自愿守则，使其成为全欧盟范围履行AI Act透明度义务的实际参照。

• 影响面向欧盟市场提供或部署生成式AI的企业，无论设立在何处均受AI Act透明度义务约束；签署守则可作为展示合规的途径，但不构成合规的结论性证据；AI Office拟至少每两年推动守则更新，相关做法会随标准和技术演进调整。
• 参考可考虑先核对自身生成式AI产品是否落入第50(2)、(4)、(5)条义务范围，再评估签署守则所需的内容标识改造；值得让法务与产品团队对照守则文本盘点现有标识与披露机制。

AI 法案第 50 条的合规边界有了官方解释文本，在欧盟提供或部署 AI 的企业可据此对齐自身义务。

• 影响在欧盟提供或部署 AI 系统的企业有了官方解释口径，可据此核对第 50 条义务是否适用于自身；指南区分提供者与部署者两类主体，角色定位对应不同合规责任；文件公开可下载，法务与合规团队可直接取用原文。
• 参考可考虑由合规团队下载指南与批准通报原文，对照自家 AI 产品在欧盟场景下属于提供者还是部署者；值得把第 50 条透明度义务的范围核对纳入面向欧盟市场的产品合规清单。

欧盟 AI Act 进入执行阶段，面向用户的 AI 披露与内容标注从自愿做法变成有执法通道支撑的法定义务。

• 影响面向欧盟用户的聊天机器人与 AI 生成内容产品需要补齐告知和标注能力；内容生产流程要加入机器可读标记；官方投诉、举报通道同步上线，合规瑕疵更容易被外部追责。
• 参考可考虑先盘点面向欧盟用户的产品里哪些涉及聊天机器人或 AI 生成内容，测算标注与告知缺口；值得对照官方透明度指南和 GPAI 行为准则逐条核对自身义务范围。

欧盟给高风险 AI 合规大限松绑、减轻中小企业义务，监管底线并未撤除，是一次为创新让路的定向简化。

• 影响做欧盟市场高风险 AI 业务的企业合规窗口延长，排期与预算可按新节点重算；中小规模企业义务简化并可用监管沙盒降低试错成本；生成亲密内容类 AI 被划入红线，平台内基于通用模型的系统面临 AI Office 更多监管。
• 参考可考虑按 2027 年 12 月与 2028 年 8 月两个节点重排欧盟高风险 AI 合规项目；符合 SMC 条件的在欧主体值得核对能否套用简化义务；内容生成类产品线先自查是否触及新禁令。

欧盟为AI内容标注义务提供了签署即可依赖的合规路径，签署与否将决定企业面对监管审查的方式与成本。

• 影响在欧盟提供生成式AI服务的企业面临双轨选择，签署准则可降低行政负担并获得成员国间一致的确定性；不签署则须逐案向各国市场监管机构自证措施充分；部署方还需对深度伪造和公共议题AI文本履行标注义务。
• 参考涉及欧盟业务的企业可先核对自身属提供商还是部署方，再比对准则条款与现有标注能力；值得测算签署与逐案自证的合规成本差，并参考已签署的约190家同行名单。

欧盟把禁止类AI红线的解释口径具体化，面向欧盟市场开展AI业务的企业有了可对照的合规参考。

• 影响在欧盟提供或部署AI系统的企业可按指南排查自身场景是否落入有害操纵、社会评分等禁止类红线；因指南不具约束力，边缘案例的最终认定以欧盟法院解释为准。
• 参考值得先排查面向欧盟用户的AI功能是否涉及社会评分、实时远程生物识别等被禁做法；可考虑让法务对照指南中的实务示例，复核操纵性设计或生物识别相关功能的边界。