直接答案：欧盟《人工智能法案》（AI Act，Regulation (EU) 2024/1689）对通用人工智能模型（GPAI）提供商的义务自 2025-08-02 起适用，并从 2026-08-02 起进入全面适用/执行阶段。GPAI 提供商至少要做四件事：① 编写并维护技术文档（Annex XI）；② 向下游 AI 系统提供商提供能力/限制与合规所需信息（Annex XII）；③ 建立版权合规政策，识别并遵守权利保留；④ 公开足够详细的训练数据摘要（按 AI Office 模板）。被推定为具有系统性风险的模型（训练累计算力 >10^25 FLOPs）还要做模型评估、对抗测试、风险评估与缓解、事件报告和网络安全。第三国提供商在投放欧盟市场前须指定欧盟授权代表。罚款最高可达 全球年营业额的 3% 或 1,500 万欧元（取较高者）。
本文面向基础模型/大模型提供商、把 GPAI 集成进产品的下游 AI 系统提供商、开源模型维护者，以及在欧盟市场提供模型 API 或权重下载的团队。资料截止 2026-11-08；依据欧盟委员会 AI Act 页、GPAI Code of Practice 页、EUR-Lex Regulation (EU) 2024/1689（consolidated version 2026-07-27）。本文把“官方事实”“编辑解读”和“待确认项”分开写，不构成法律意见。
① GPAI 义务不是“2026 年才开始”：2025-08-02 已适用，2026-08-02 是 AI Act 全面适用/执行节点。② 开源不等于全豁免：公开权重/参数的开源模型可免技术文档和下游信息，但版权政策与训练数据摘要仍要做，且系统性风险模型不适用豁免。③ 系统性风险的门槛是 >10^25 FLOPs 的推定，达到后 2 周内通知委员会；罚款按全球营业额 3% 或 1,500 万欧元取高。
时间表：GPAI 义务、全面适用与旧模型过渡
AI Act 于 2024-08-01 生效；禁止性条款自 2025-02-02 适用；GPAI 义务与治理自 2025-08-02 适用，第 101 条 GPAI 罚款自 2026-08-02 起适用；整部法规自 2026-08-02 起全面适用（Article 6(1) 对应的 Annex I 产品类高风险义务从 2027-08-02 起适用）。对 2025-08-02 之前已投放市场的 GPAI 模型，提供商须在 2027-08-02 前完成合规（Article 111(3)）。这意味着 2026 年的检查重点不是“要不要做”，而是“文档、版权政策、训练数据摘要、系统性风险流程是否可审计”。
| 日期 | 事项 | 对企业含义 |
|---|---|---|
| 2024-08-01 | AI Act 生效 | 进入分阶段实施 |
| 2025-02-02 | 禁止性条款适用 | 不可接受风险的 AI 实践被禁 |
| 2025-08-02 | GPAI 义务适用 | 技术文档、下游信息、版权、训练数据摘要；第 101 条 GPAI 罚款自 2026-08-02 起 |
| 2026-08-02 | 全面适用 | AI Act 主要义务/执行全面落地；第 101 条 GPAI 罚款适用 |
| 2027-08-02 | Annex I 高风险 + 旧 GPAI 过渡 | 产品类高风险义务；2025-08-02 前旧模型合规截止 |
来源：Regulation (EU) 2024/1689 第 111、113 条（consolidated 2026-07-27）；欧盟委员会 AI Act 页与 GPAI Code of Practice 页（访问 2026-11-08）。具体适用、过渡和成员国执行以法规原文与主管机关要求为准。
谁承担 GPAI 义务：提供商、下游、代表
GPAI 模型是指具有显著通用性、能胜任广泛不同任务、可集成到多种下游系统/应用的模型（包括大规模自监督训练得到的模型）。提供商（把模型投放市场/提供服务，包括以 API、权重下载等方式）承担第 53/54/55 条义务；下游 AI 系统提供商把模型集成进自己的系统，承担其作为 AI 系统提供商的义务（如高风险系统的第 III 章义务）；第三国提供商在投放欧盟市场前须书面指定欧盟授权代表，代表须能核验文档、保存文档 10 年、向 AI Office 提供信息并配合行动。免费开源模型在满足公开权重/参数等条件时，可免第 53(1)(a)(b) 条的技术文档和下游信息义务，但不免版权政策、训练数据摘要，且系统性风险模型不适用该豁免。
| 角色 | 核心义务 | 先核对 |
|---|---|---|
| GPAI 提供商 | 第 53 条四项义务；系统性风险时第 55 条 | 是否把模型投放欧盟市场/提供服务 |
| 下游 AI 系统提供商 | 集成后作为 AI 系统提供商的义务；高风险时第 III 章 | 用途是否高风险、是否改变模型 |
| 第三国提供商 | 指定欧盟授权代表（第 54 条） | 是否在欧盟设立 |
| 开源模型维护者 | 版权政策、训练数据摘要；豁免仅限部分条款 | 许可证、权重/参数是否公开、是否有系统性风险 |
| 系统性风险模型提供商 | 评估、对抗测试、风险缓解、事件报告、网络安全 | 是否 >10^25 FLOPs 或被指定 |
来源：Regulation (EU) 2024/1689 第 3(63)、53、54、55 条与 Annex XI/XII（访问 2026-11-08）。表中为编辑整理；GPAI 定义、开源豁免和角色划分需按具体模型/分发方式判断。
第 53 条：四项基础义务与证据
第 53(1) 条要求 GPAI 提供商：(a) 技术文档——覆盖训练/测试过程、评估结果，至少包含 Annex XI 信息，按 AI Office/国家主管机关要求提供；(b) 下游信息——向拟集成该模型的 AI 系统提供商提供能力、限制和合规所需信息，至少包含 Annex XII 要素；(c) 版权政策——建立遵守欧盟版权及相关权利的政策，识别并遵守权利人依 Directive (EU) 2019/790 第 4(3) 条作出的权利保留（包括使用先进技术）；(d) 训练数据摘要——按 AI Office 模板公开足够详细的训练内容摘要。第 53(4) 条允许通过遵守经批准的 Code of Practice 或协调标准来证明合规；不遵守的，须向委员会证明有其他适当合规方式。
| 义务 | 要点 | 可核对证据 |
|---|---|---|
| 技术文档 | 训练/测试流程、评估结果、Annex XI 信息 | 模型卡、训练日志、评估报告、版本记录 |
| 下游信息 | 能力/限制、集成与合规所需信息（Annex XII） | 开发者文档、API 说明、已知限制 |
| 版权政策 | 识别/遵守权利保留（TDM opt-out） | 版权政策、爬虫/数据源清单、opt-out 处理记录 |
| 训练数据摘要 | 按 AI Office 模板公开足够详细摘要 | 公开摘要页、模板字段、更新记录 |
| 合规证明路径 | Code of Practice / 协调标准 / 其他适当方式 | 签署/采纳记录、差距评估、替代证明 |
来源：Regulation (EU) 2024/1689 第 53 条与 Annex XI/XII（访问 2026-11-08）；欧盟委员会 GPAI Code of Practice 页与训练数据摘要模板说明。表中为编辑整理；文档深度、模板字段和“足够详细”的判断以官方模板/指南为准。
系统性风险：10^25 FLOPs、2 周通知、评估与事件报告
第 51 条把“具有高影响能力”或委员会决定的模型列为系统性风险 GPAI；训练累计算力超过 10^25 FLOPs 的模型被推定为具有高影响能力。达到该门槛的提供商须不迟延、最晚 2 周内通知委员会，并可提交有充分理由的论证，说明模型因特殊性质不构成系统性风险（由委员会评估）。系统性风险模型还要按第 55 条做：标准化协议/工具的模型评估与对抗测试、在欧盟层面评估并缓解系统性风险、记录并向 AI Office/主管机关报告严重事件、确保足够的网络安全保护。Code of Practice 可帮助证明合规，但不是唯一路径。
| 要求 | 触发/时限 | 证据 |
|---|---|---|
| 系统性风险推定 | 训练累计算力 >10^25 FLOPs | 算力核算、训练记录 |
| 通知委员会 | 达到门槛后最晚 2 周 | 通知副本、论证材料 |
| 模型评估/对抗测试 | 标准化协议与工具、state of the art | 评估方案、红队报告、复现记录 |
| 风险缓解 | 欧盟层面系统性风险评估与缓解 | 风险登记、缓解措施、残余风险 |
| 事件报告 | 严重事件不迟延报告 | 事件台账、报告记录 |
| 网络安全 | 足够的网络安全保护 | 安全控制、渗透测试、访问控制 |
来源：Regulation (EU) 2024/1689 第 51、52、55 条（访问 2026-11-08）。表中为编辑整理；“高影响能力”、通知论证和事件报告细节以法规、委员会指南/Code of Practice 为准。
合规路径：Code of Practice、标准与其他方式
GPAI Code of Practice 是委员会推动、独立专家起草的自愿工具，细化第 53/55 条规则；首个 Code 已由委员会收到。提供商可签署/采纳 Code 来证明合规；也可遵守协调标准获得推定符合；两者都不适用时，须向委员会证明其他适当合规方式。对训练数据摘要，AI Office 还提供了模板；对版权，需要把权利保留（如 TDM opt-out）纳入数据采集/训练流程。2026 年的实务重点是：把“政策文件”变成“可复现的证据链”——模型版本、数据源、opt-out 处理、评估结果、事件记录能对应到具体模型。
| 路径 | 作用 | 注意 |
|---|---|---|
| GPAI Code of Practice | 细化第 53/55 条；签署/采纳可证明合规 | 自愿；需按 Code 建证据，不是“签了就算” |
| 协调标准 | 提供推定符合 | 标准覆盖范围内才有效 |
| 其他适当方式 | 不采纳 Code/标准时的替代证明 | 需向委员会证明，举证责任更重 |
| 训练数据摘要模板 | 统一第 53(1)(d) 的公开摘要 | 按模板字段，保持更新 |
| 版权政策 | 识别/遵守权利保留 | 数据源、爬虫、opt-out 处理要留痕 |
来源：欧盟委员会 GPAI Code of Practice 页与 Regulation (EU) 2024/1689 第 53(4)、56 条（访问 2026-11-08）。表中为编辑整理；Code/标准的最新状态与适用范围以官方页面为准。
90 天落地清单
先用 90 天把“模型清单、角色、文档、版权、训练数据摘要、系统性风险”串成证据链。顺序是：模型/角色盘点 → 文档与下游信息 → 版权/数据摘要 → 系统性风险判定 → Code/标准差距 → 证据与演练。
| 阶段 | 动作 | 产出 |
|---|---|---|
| 第 1–2 周 | 盘点 GPAI 模型、版本、分发方式、欧盟市场投放 | 模型清单、角色矩阵 |
| 第 2–4 周 | 补齐 Annex XI 技术文档与 Annex XII 下游信息 | 模型卡、评估报告、开发者文档 |
| 第 3–5 周 | 建版权政策与 TDM opt-out 处理流程 | 版权政策、数据源/opt-out 台账 |
| 第 4–6 周 | 按 AI Office 模板发布训练数据摘要 | 公开摘要页、更新记录 |
| 第 5–8 周 | 判定系统性风险（>10^25 FLOPs/被指定）；建 2 周通知流程 | 算力核算、通知模板 |
| 第 7–10 周 | 做模型评估/对抗测试/风险缓解/事件报告/网络安全 | 红队报告、风险登记、事件台账 |
| 第 9–12 周 | 对照 Code/标准做差距评估与证据包 | 差距清单、整改计划、管理评审 |
编辑整理的落地建议，不是官方模板；具体文档、评估、事件报告和 Code/标准要求以 AI Act、委员会指南/Code 和主管机关要求为准。
常见问题
GPAI 义务现在适用吗？
适用。GPAI 义务自 2025-08-02 起适用；第 101 条 GPAI 罚款自 2026-08-02 起适用；AI Act 自 2026-08-02 起全面适用。2025-08-02 前已投放市场的 GPAI 模型须在 2027-08-02 前完成合规。
什么算 GPAI 模型？
AI Act 第 3(63) 条定义为具有显著通用性、能胜任广泛不同任务、可集成到多种下游系统/应用的模型，包括大规模自监督训练得到的模型。它不是按“参数规模”单一判定，也不是所有基础模型都自动高风险；高风险取决于下游用途。
开源模型可以豁免吗？
部分可以。免费开源、允许访问/使用/修改/分发且公开权重、架构和使用信息的模型，可免第 53(1)(a)(b) 条的技术文档和下游信息义务；但不免版权政策、训练数据摘要，且具有系统性风险的模型不适用该豁免。
系统性风险的门槛是什么？
训练累计算力超过 10^25 FLOPs 的模型被推定为具有高影响能力/系统性风险；委员会也可依职权或科学小组的合格警报决定。达到门槛须最晚 2 周内通知委员会，并可提交有充分理由的论证说明不构成系统性风险。
中国模型提供商要做什么？
第三国提供商在把 GPAI 模型投放欧盟市场前，须书面指定欧盟授权代表；代表要能核验 Annex XI 文档、保存文档 10 年、应 AI Office 要求提供信息并配合行动。此外仍需完成第 53/55 条义务（按适用）。
Code of Practice 是强制吗？
不是。Code 是自愿工具，签署/采纳可帮助证明符合第 53/55 条；也可遵守协调标准获得推定符合；两者都不适用时，须向委员会证明其他适当合规方式。Code 的具体内容和签署状态以官方页面为准。
罚款多少？
对 GPAI 提供商，委员会可依第 101 条处以最高全球年营业额 3% 或 1,500 万欧元（取较高者）的罚款；其他违规（如禁止性实践）另有更高上限。具体金额/程序看违规类型、情节和委员会决定。
GPAI 和高风险 AI 是什么关系？
GPAI 提供商承担第 V 章义务；把 GPAI 集成进高风险 AI 系统的下游提供商，仍要承担其作为 AI 系统提供商的第 III 章义务（风险管理、数据治理、技术文档、人类监督、 conformity assessment 等）。角色不同，义务不能互相替代。
研究方法与局限
本文把“官方事实”和“编辑建议”分开：GPAI 义务 2025-08-02 适用、2026-08-02 全面适用、2027-08-02 旧模型过渡、第 53/54/55 条内容、10^25 FLOPs 推定、2 周通知、第 101 条罚款，来自 EUR-Lex Regulation (EU) 2024/1689（consolidated 2026-07-27）；Code of Practice、训练数据摘要模板、AI Act 风险分级与执行信息来自欧盟委员会 AI Act 页与 GPAI Code of Practice 页。90 天清单和表格中的“证据/动作”为编辑整理。
局限有八个：① 本文不是法律意见；② AI Act 的 consolidated 版本/指南/Code 仍在更新，具体以最新官方文本为准；③ 未逐国核对主管机关、处罚实践和 AI Office 执法安排；④ GPAI 定义、开源豁免、系统性风险论证高度依赖具体模型与分发方式；⑤ 未覆盖 Annex XI/XII 的逐项字段和 Code 的全部章节；⑥ 未展开 GPAI 与高风险 AI、GDPR、CRA、Data Act 的逐条交叉；⑦ 未提供完整技术文档模板或评估工具；⑧ 模型能力/算力/事件报告的技术判断需结合具体事实与专业意见。
数据来源与口径
- European Commission, AI Act：digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai。风险分级、禁止性实践、GPAI、执行与 AI Act Service Desk。访问 2026-11-08。
- European Commission, Drawing-up a General-Purpose AI Code of Practice：digital-strategy.ec.europa.eu/en/policies/ai-code-practice。GPAI 规则自 2025-08-02 适用；Code 细化第 53/55 条；训练数据摘要模板。访问 2026-11-08。
- EUR-Lex, Regulation (EU) 2024/1689（AI Act，consolidated 2026-07-27）：eur-lex.europa.eu/eli/reg/2024/1689/oj。第 3(63) 定义、第 51/52/53/54/55/56 条、第 99/101 条罚款、第 111/113 条适用时间。访问 2026-11-08。
- European Commission, Guidelines on the scope of obligations for providers of general-purpose AI models under the AI Act：digital-strategy.ec.europa.eu/en/library/guidelines-scope-obligations-providers-general-purpose-ai-models-under-ai-act。GPAI 义务范围、角色与实施指引。访问 2026-11-08。
资料截止 2026-11-08；本文依据官方页面与法规原文整理，不构成法律意见；具体义务以 AI Act、委员会指南/Code、AI Office 和成员国主管机关要求为准。