文章总结： 文章解读欧盟《人工智能法案》对硬件厂商的影响，重点分析2027年8月2日高风险义务全面适用节点。法案按用途和产品身份两条路径判定高风险，AI作为安全部件将直接落入高风险。文章详述高风险义务内容、罚款标准及合规时间倒推建议，提醒厂商尽早启动合规准备。
综合评分： 85
文章分类： 政策法规,AI安全,解决方案
留给AI玩具和服务机器人的时间，还有不到一年
原创
GTG-Hardy
GTG-Hardy
GTG网络安全实验室
2026年10月3日 09:00
广东
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
很多厂商第一次意识到问题的严重性，是在客户发来一封邮件的时候。
邮件很短：请提供贵司 AI 系统符合欧盟《人工智能法案》的符合性评估材料与 CE 相关文件。
产品经理翻了半天说明书，心里想的是——我们做的是个 AI 玩具，哪来的 AI 系统？
如果你也有过类似的困惑，这篇想讲清楚三件事：这条法案什么时候开始管你、为什么2027年8月2日对硬件厂商特别贴身、以及从现在到那天你还剩多少时间。
01
先看清一件事：这条法案是“分段生效”的
很多人对欧盟《人工智能法案》的印象还停留在“听说很严”，但不知道它到底什么时候开始管自己。其实它有一份明确的时间表，而且是分段落地的：
| 时间 | 发生了什么 |
| — | — |
| 2024年8月1日 | 法案正式生效，进入过渡期 |
| 2025年2月2日 | 禁止性条款开始适用—— 红线从这天起就生效了 |
| 2026年8月2日 | 大部分条款开始适用：高风险系统主要义务、通用 AI（GPAI）义务等 |
| 2027年8月2日 | 嵌在产品里的“安全部件 AI”高风险义务全面适用 |
请注意第二行和第三行。它们不是“未来”，是已经过去了。
禁止性条款生效一年半了；大部分高风险义务也在两个月前刚刚生效。也就是说，如果你的产品里有摄像头做人脸识别、或者围绕儿童做行为引导，你今天就已经在法律的约束之下——不存在“还有两年准备期”这回事。
真正还留着时间窗口的，是最后一批。这也是这篇文章要讲的重点。
02
为什么 2027 年 8 月 2 日对硬件厂商特别“贴身”
欧盟 AI 法案判定高风险，有两条逻辑完全不同的路径：
路径一：按用途判。
身份识别、教育、医疗、交通、关键基础设施等八个领域里的 AI，属于高风险。这条路径下，你要论证的是这套 AI 到底做了什么、影响到谁。
路径二：按产品身份判。
如果你的产品本身已经被欧盟某部产品法规管着，而 AI 构成了这个产品的安全部件，那这套 AI 直接就是高风险——不需要再讨论用途，不需要再讨论影响谁。
路径二是硬件厂商最容易忽略、也最容易中招的一条。它是这么运作的：
- 你做的是AI 玩具——玩具受欧盟《玩具安全指令》管；
- 你做的是 服务机器人——受《机械指令》管；
- 你做的是 医疗健康设备——受欧盟医疗器械法规（MDR）管。
只要产品落在这三部法规的管辖范围内，而里面又有由 AI 控制、会影响人身安全的部件或动作——机器人能自己移动、AI 玩具里会动的活动部件、自动开合的机构——这套 AI 就构成“安全部件”，直接落入高风险。
而 2027 年 8 月 2 日，就是这条路径下高风险义务全面适用的日子。
对玩具、机器人、医疗设备厂商来说，这个日期之所以“贴身”，是因为它不由你的用途决定，而由你的产品品类决定。你很难用“我们只是个陪伴玩具”绕开它。
03
“高风险”这三个字，实际意味着什么
先澄清一个常见误解：高风险不等于不能卖。
高风险是可以上市的，但要先走完一整套义务：
- 风险管理体系：覆盖设计、开发、使用、部署全周期，包括“可预见的误用”
- 数据治理：训练/验证数据要充分、有代表性，误差与缺失要处理
- 技术文档：架构、数据集、日志、人工监督机制、性能指标，一份不能少
- 日志能力：运行日志完整、可追溯、可留存
- 透明度与用户告知：讲清能力边界和正确用法
- 人工监督：必须有人能覆盖、能回退
- 准确性、鲁棒性、网络安全：达到适当水平
- 符合性评估 + CE 标志
- 欧盟 AI 数据库注册（上市之前完成）
- 上市后监控、严重事件上报、文档留存 10 年
罚款也很直白：违反高风险义务，最高 1500 万欧元，或全球年营业额的 3%（取高者）；碰到禁止性条款，最高 3500 万欧元或全球营业额的 7%。
关键不在条目多，而在于——这些不是“填几张表”能解决的。风险管理要嵌进研发流程，数据治理要回到数据集本身，日志能力要在固件里实现，人工监督要设计成产品交互的一部分。这是产品层面的事，不只是文档层面的事。
04
别被“检测”和“识别”骗了
顺着讲一个特别常见的技术误判，它决定了你走高风险还是最小风险：
- 人脸检测——判断“画面里有没有一张脸”：通常是最小风险
- 人脸识别——判断“这张脸是谁”：高风险
同样一台摄像头、同样一个功能，一字之差，合规负担差了一整个量级。
如果你正在规划这类功能，建议在需求文档阶段就把这条界划清楚。
05
倒推一下时间：你现在开始，晚不晚？
如果把 2027 年 8 月 2 日当成必须完成的日子，往前倒推：
- 风险评估、专项测试、差距诊断：约 1–2 个月
- 产品整改（可能涉及固件、模型、交互）：1 个月以上，还要和研发排期抢资源
- 全套合规文档编制：约 1 个月
- 欧盟 AI 数据库注册与符合性评估：数周
从零走到能带着 CE 上市，乐观估计也要三到六个月，而且还没算上研发资源被其他项目占用的情况。
更要紧的是：智能硬件的研发周期本来就长。如果一个产品计划 2027 年下半年上市，它的设计冻结节点很可能就在 2026 年底到 2027 年初——那时候合规要求必须已经清晰，否则“整改”就等于在改已经定型的硬件。
所以我们的判断是：倒计时不是从 2027 年 8 月 2 日开始的，而是从现在开始的。
欧盟 AI 法案对硬件厂商的真正挑战，不在于它有多严，而在于它的判定逻辑和很多人的直觉不一样——它不看你的产品叫什么，而看你的 AI 在系统里扮演什么角色。
把产品拆开、把每个 AI 系统认出来、把风险等级判准、把路径走通——这个过程是可以被拆解、被管理的，不是一个黑洞。
广测电磁：全球数字安全合规优选伙伴
别让合规只停留在“拿证”。
面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。
🏆 为什么GTG能为您降本避险？
- 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
- 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
- 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。
您的全球合规通行证，从这里开始。
[👉 立即咨询 CRA / AI法案 / 隐私合规]
更多相关内容
欢迎关注视频号“GTG网络安全实验室”
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：GTG网络安全实验室 GTG-Hardy
GTG-Hardy《留给AI玩具和服务机器人的时间，还有不到一年》