2026 EU AI Act 透明度实践准则：签署还是自行证明合规？

27 July 2026，18:00 CEST 是一个容易被误读的时间点。它关系到企业能否进入欧盟委员会公布的初始签署名单，却不等于所有生成式 AI 企业必须在这一天前完成 Article 50 合规。

真正的分界线是 2026 年 8 月 2 日：从这一天起，EU AI Act Article 50 的相关透明度义务开始适用。于是，管理层面对的不是简单的“签或不签”，而是一个更现实的问题：签署实践准则能否降低监管沟通成本？如果选择自行证明，团队是否真的准备好了足够的证据？(digital-strategy.ec.europa.eu)

2026 EU AI Act 透明度实践准则到底是什么？

Code of Practice on Transparency of AI-Generated Content，是欧盟 AI Office 组织多方参与制定的自愿性实践工具。它主要帮助生成式 AI 系统提供者和部署者落实 Article 50 第 2、4、5 款涉及的内容标记、检测和披露要求。

关键点只有一句：实践准则是自愿签署的，但 Article 50 的透明度义务不是自愿的。

对提供生成式 AI 系统的企业来说，核心措施包括让人工生成或操纵的图像、音频、视频和文本具备机器可读标记，并采取相应的检测与溯源机制。对部署者来说，深度伪造内容，以及面向公众发布、用于说明公共利益事项的 AI 生成或操纵文本，在适用情况下需要向公众披露。

欧盟委员会和 AI Board 已评估该实践准则，认为它能够充分覆盖 Article 50 相关透明度义务，并可作为欧盟范围内认可的合规实施工具。但官方同时明确：遵守实践准则并不构成绝对、结论性的合规证明，企业仍要确保自身措施实际有效。(digital-strategy.ec.europa.eu)

你可以先阅读欧盟委员会发布的透明度实践准则官方说明，再让法务根据企业角色确认具体适用范围。

哪些企业需要认真考虑签署？

不要只看公司注册地。Article 50 的判断更关注企业是否在欧盟市场提供、部署或投入使用相关 AI 系统，以及系统由谁以什么身份提供。

以下几类企业通常需要纳入决策：

• ✅ 生成式 AI 系统提供者：开发能够生成合成文本、图像、音频或视频的系统，并以自身名称或商标投放欧盟市场，免费提供也不当然排除。
• ✅ 专业场景部署者：企业在自身管理权限下，为专业目的使用生成式 AI 系统，并产生深度伪造或涉及公共利益信息的 AI 生成文本。
• ✅ 通用模型或底层能力提供者：虽然具体义务要结合系统角色判断，但模型提供方通常需要为下游的机器可读标记、内容检测和透明度能力提供接口或技术支持。
• ⚠️ 标记、溯源和检测工具提供者：这类企业未必承担全部 Article 50 义务，但可能可以签署实践准则的提供者部分，以展示其技术措施与欧盟框架的兼容性。

一个常见误区是：企业使用第三方模型，就认为自己只是普通软件用户。实际上，如果你把模型嵌入客服、内容发布、营销自动化或公共信息生成流程，部署者角色仍可能带来披露和治理责任。欧盟签署问答文件对提供者、部署者和技术工具提供者分别作了说明。(digital-strategy.ec.europa.eu)

签署和自行证明，差别到底在哪里？

签署实践准则：用统一框架换取可预测性

签署路径的优势，不是“签字后不用做事”，而是团队可以围绕一套已被欧盟层面评估的措施组织实施。

它通常适合以下情况：

• 你的产品会同时进入多个欧盟成员国市场；
• 企业没有足够成熟的内部法规解释和证据管理能力；
• 需要向合作伙伴、客户或投资方展示一个明确的合规路线；
• 产品模态较多，涉及文本、图像、音频和视频的组合标记；
• 预计未来会被市场监督机构询问，希望降低各地分别解释的成本。

签署后，监管重点仍会落在企业是否持续遵守准则，而不是只检查你是否出现在名单上。企业还需要维护水印、元数据、检测机制、用户披露、异常处理和版本记录。

自行证明合规：灵活，但证据责任更重

EU AI Act 自行证明合规并不是一张统一格式的证书，而是一套由企业自行设计、执行并留痕的证据体系。它可以采用不同于实践准则的技术方案，但你必须能够说明：为什么该方案足以达到 Article 50 的透明度目标。

自行证明通常需要准备：

• 适用范围判断：哪些产品、地区、用户和内容类型被纳入；
• 技术措施说明：机器可读标记、内容溯源、检测工具和披露界面如何工作；
• 测试记录：不同压缩、裁剪、转码、二次编辑条件下，标记是否仍可识别；
• 例外处理：人工编辑、混合创作、低风险内部内容如何分类；
• 责任分工：产品、工程、法务、客服和供应商各自负责什么；
• 版本留痕：模型、标记协议、检测工具和前端提示何时变更。

经验提醒： 自行证明不是“没有签署文件”，而是把签署实践准则外显的承诺，转化为企业内部可复核的技术和治理证据。

欧盟官方说明指出，未签署的企业需要通过其他方式证明合规，而这些措施的充分性可能由不同市场监督机构分别评估。也就是说，自行证明并非不可行，但监管解释责任更多地落在企业自己身上。(digital-strategy.ec.europa.eu)

EU AI Act 未签署有什么影响？

先排除一个最危险的误解：未签署不等于自动违法，也不等于 2026 年 8 月 2 日后不能继续运营。

真正可能增加的是以下几类管理成本：

1. 监管沟通成本上升
   你需要解释自有方案如何满足机器可读标记、深度伪造披露和公众信息文本披露等要求。不同成员国市场监督机构可能要求不同层次的证据。

2. 技术方案被单独审查
   签署者可以依托实践准则的统一框架说明措施逻辑；自行证明企业则需要展示自己的设计依据、测试边界和失败处理机制。

3. 跨团队证据更容易断裂
   工程团队可能保存了接口文档，却没有保存上线版本；法务有政策文本，却无法对应到具体模型版本；产品有用户提示，却没有记录哪些场景触发提示。

4. 供应商责任更难划分
   如果使用外部模型或检测服务，企业不能只把责任推给供应商。你仍需要确认供应商输出的标记、溯源和检测能力是否适合自己的欧盟产品流程。

因此，EU AI Act 未签署有什么影响，不能只用“会不会罚款”来判断。更准确的判断是：你的团队是否愿意承担更高的证据组织和监管解释成本。

错过初始签署节点后还能签吗？

可以，但要区分两个日期。

2026 年 7 月 27 日 18:00 CEST 是进入初始签署名单的提交节点。签署表需要由具有足够授权、能够约束企业的高级负责人签署，并按欧盟 AI Office 的要求提交。

2026 年 8 月 2 日 是 Article 50(2)、(4)、(5) 相关义务开始适用的日期，不是实践准则的“最终报名截止日”。

欧盟委员会的签署说明表示，企业原则上可以在 7 月 27 日之后继续提交签署表。不过，如果企业在 8 月 2 日后才签署，不能把等待签署当作合规缓冲期；在此之前，仍应确保自身已经具备可执行的标记、检测和披露措施。(digital-strategy.ec.europa.eu)

对管理层来说，最稳妥的做法是：

• 在初始节点前能完成内部授权的，尽量先完成签署决定；
• 无法及时签署的，先按自行证明路径完成差距分析；
• 8 月 2 日后再签署的，不要删除已有证据，而是将实践准则要求映射到现有控制措施；
• 对外宣传时，不要把“已签署”写成“获得永久合规认证”。

不签署时，证据材料怎么准备？

建议把材料分成 5 层，而不是只整理一份法规解读报告。

第 1 层：适用范围判断

记录系统名称、提供者或部署者角色、欧盟市场情况、内容模态、专业用途和公众传播场景。对于“是否属于公共利益事项”“是否构成深度伪造”等容易争议的问题，要保存判断依据。

第 2 层：内容标记方案

说明系统如何为 AI 生成或操纵内容加入机器可读标记，标记存放在哪里，经过压缩、裁剪、转码和平台转发后是否仍能识别。

图像、音频、视频和文本不应默认使用同一套验证逻辑。内容类型不同，标记的持久性、可检测性和用户可见提示也不同。

第 3 层：检测与验证记录

保留检测工具版本、测试样本、测试日期、误报和漏报结果，以及检测失败后的处理流程。若企业声称内容可以被识别，就需要证明在典型生产链路中确实测试过，而不是只引用供应商宣传材料。

第 4 层：披露与用户体验

保存前端提示、标签文案、语言版本、触发条件和发布审批记录。深度伪造披露应能被普通用户理解；面向公众发布的 AI 生成文本，则要明确何时需要标注、何时适用人工审校和编辑责任。

第 5 层：持续治理

建立模型版本、规则版本、供应商变更和事故处理记录。至少要能回答三个问题：谁批准了这次上线？上线时使用了哪个标记方案？发生争议后，能否重建当时的技术状态？

签署能覆盖加州 AB 853 吗？

不能。签署欧盟实践准则，只能解决欧盟 Article 50 路径中的一部分证明问题，不能自动覆盖加州 AB 853 合规要求。

根据加州官方法案文本，面向公众、在加州达到 每月超过 1,000,000 名访问者或用户的生成式 AI 系统提供者，需要免费提供 AI detection tool，让用户判断图像、视频或音频内容是否由其系统生成或修改，并输出检测到的系统溯源数据。AB 853 将相关法律的实施日期推迟到 2026 年 8 月 2 日。(leginfo.legislature.ca.gov)

此外，加州规则还涉及不同时间点的后续要求：

• 从 2027 年 1 月 1 日起，大型在线平台需要检测内容中是否嵌入或附加符合广泛采用标准的溯源数据；
• 从 2028 年 1 月 1 日起，符合条件的捕获设备制造商需要为用户提供加入 latent disclosure 的选项；
• 部分生成式 AI 系统提供者需要让 AI 生成图像、视频或音频包含永久或极难移除的显性或潜在披露。

因此，生成式 AI 跨境合规路径不能只准备一套“欧盟标签”。你还要单独核查：

• 是否触发加州用户规模门槛；
• 是否需要免费 AI detection tool；
• 是否能够输出系统 provenance data；
• 显性披露与 latent disclosure 是否同时存在；
• 2027 年大型平台义务是否会影响你的分发链路。

注意： “检测到 AI 内容”与“证明内容来自哪个系统”不是同一个功能。前者偏向识别，后者涉及溯源、来源声明和内容链路，两者不能用一个普通文本分类器替代。

你该签署，还是选择自行证明？

可以用以下决策逻辑，而不是凭团队偏好决定。

更适合签署的情况

• 欧盟是重要收入市场，且产品会覆盖多个成员国；
• 产品同时生成多种内容；
• 法务团队规模有限，无法长期维护多套成员国监管解释；
• 你希望获得更稳定的对外合规叙事；
• 工程团队已经具备标记、检测和溯源能力，只是缺少统一治理框架。

更适合自行证明的情况

• 产品处于试点阶段，欧盟业务范围很窄；
• 你的技术架构需要采用实践准则之外的专门方案；
• 企业已有成熟的合规管理体系和独立测试能力；
• 签署文本中的承诺与产品当前控制措施存在明显不匹配；
• 团队可以接受更高的监管问询响应成本。

更适合双轨实施的情况

• 欧盟和加州都是明确目标市场；
• 已经有内容标记或 provenance 能力，但缺少免费检测工具；
• 使用多个模型供应商，无法保证所有输出采用同一种标记格式；
• 产品既服务企业客户，也面向公众发布内容。

这里的“双轨”不是重复建设两套系统，而是将欧盟实践准则作为欧盟证明框架，同时单独建立加州的检测工具、披露和溯源差距清单。

SpinMac 跨境合规路径决策矩阵：本站分析

下面这套矩阵是 SpinMac 基于企业角色、目标市场和现有技术能力整理的分析，不代表法律意见，也不是对任何企业结果的保证。

• 欧盟市场为主、已有标记能力、缺少统一证据管理：优先考虑签署实践准则，再补齐内部测试和版本留痕。
• 欧盟市场较小、产品仍在试点、技术方案高度定制：可以先走自行证明，但必须建立完整的差距分析和监管问询资料包。
• 欧盟与加州同步上线、涉及图像和音视频：建议双轨实施，欧盟侧处理 Article 50 证明，加州侧单独核查 AI detection tool、provenance data 和 latent disclosure。
• 仅部署第三方模型、没有直接面向公众发布内容：先确认自己是普通使用者还是专业部署者，再决定是否需要签署或准备 Article 50 证据。
• 平台允许用户上传、编辑和再发布 AI 内容：不要只审查模型输出，还要审查内容流转、标签保留、二次编辑和删除标签后的处置。

如果团队需要为每个版本保留测试环境和合规记录，当前方案若依赖共享 Windows 机器、临时云主机或多人远程桌面，常见问题是环境漂移、权限边界不清、日志分散，以及模型和检测工具版本无法稳定复现。对需要长期维护开发、测试和法务审阅环境的团队，租赁 SpinMac 的 Mac 设备，可以把合规测试放在更稳定、可分配的独立工作环境中，减少临时采购硬件和频繁迁移环境的负担；你可以先查看 SpinMac 的 Mac 方案 和 按月计费说明，再根据团队人数和测试周期安排。

团队现在先做哪三件事？

1．确认角色和适用范围

产品、工程与法务共同列出系统提供者、部署者、模型供应商和平台运营者角色，标记欧盟市场、内容模态、专业用途及公众传播场景。不要先讨论签署，先确认企业到底要证明什么。

2．在签署与自行证明之间做正式决策

把现有技术措施对照实践准则逐项核验，记录缺口、负责人和完成日期。若决定签署，也要把签署后的内部控制措施写入产品发布流程；若决定自行证明，则要建立可供监管问询的证据包。

3．单独完成加州 AB 853 差距审查

检查免费 AI detection tool、系统溯源数据、永久或难以移除的披露、平台分发链路和后续时间节点。不要因为欧盟侧已签署，就把加州检查项标成“已完成”。

最后，保存这篇文章中的决策矩阵，组织产品、工程与法务负责人完成一次联合评审。你需要在 2026 年 8 月 2 日前确认适用主体、选定欧盟证明路径，并另行完成加州 AB 853 差距审查；具体适用结论和法律责任，仍应由具备相关资质的专业法律顾问确认。