全球生成式人工智能监管研究报告.pdf

全球生成式人工智能监管全球生成式人工智能监管研研 究究 报报 告告20232023.08.08目录目录一、生成式人工智能监管地图一、生成式人工智能监管地图.1 1二、主要地区监管概述二、主要地区监管概述.2 2（一）中国.2（二）欧盟.2（三）美国.6（四）加拿大.7（五）英国.9（六）澳大利亚.11（七）印度.12（八）日本.13（九）新加坡.14（十）中国香港.16三、中国三、中国.1717（一）监管对象.17（二）监管部门.18（三）合规义务要求.18（四）未来可能面临的监管挑战.19四、欧盟四、欧盟.2121（一）监管框架.21（二）一般合规义务.24（三）特殊合规义务.29（四）监管动态.31（五）相关机构.32五、美国五、美国.3434（一）监管框架.34（二）一般合规义务.37（三）特殊合规义务.39（四）监管动态.40（五）相关机构.41六、加拿大六、加拿大.4242（一）监管框架.42（二）一般合规义务.43（三）监管动态.48（四）相关机构.491 1一一、生生成成式式人人工工智智能能监监管管地地图图截止 2023 年 7 月 24 日，我们依据对全球生成式人工智能监管动向的梳理，绘制了监管地图：1.红色区域表明该地区目前已经或即将建立成熟且较为严格的监管制度，主要包括欧盟、加拿大和中国；2.橙色区域表明该地区目前对生成式人工智能产品存在一定的限制和监管要求，例如美国；3.黄色区域表明该地区目前还没有相关制度，但是监管机构未来有计划对生成式人工智能制定规则，例如英国、澳大利亚和印度；4.绿色区域表明该地区目前没有相关制度，且监管机构也倾向于在未来不采取强制性的监管措施，例如新加坡、日本、中国香港。注：地图颜色仅表明不同地区在生成式人工智能领域法律监管的程度。2 2二、主要地区监管概述二、主要地区监管概述（一）中国（一）中国中国监管机构从 2021 年起加强了对人工智能的监管，并陆续发布了互联网信息服务算法推荐管理规定（“算法推荐规定”）互联网信息服务深度合成管理规定（“深度合成规定”）和生成式人工智能服务管理暂行办法（“生成式办法”）三部重要的部门规章。这三部规章都可能适用于向中国境内公众提供的生成式人工智能服务。而在未来，中国还可能制定层级更高的 人工智能法，并落实科技伦理审查制度。与此同时，这三部规范也确立了中国将采取“包容审慎的分类分级监管”原则。在未来，国家有关主管部门针对生成式人工智能技术特点及其在有关行业和领域的服务应用，将制定相应的分类分级监管规则或者指引。目前负责算法备案、评估与监管的机构主要是网信办（中央网信办网络管理技术局）。与此同时，电信主管部门、公安部门也会依据职责负责监督管理工作。针对生成式人工智能的主要合规义务：3 3（二）欧盟（二）欧盟欧盟现行人工智能立法仍主要集中在传统人工智能而非生成式人工智能上，但也逐渐触及生成式人工智能的问题，例如在最新的人工智能法草案中规定了通用及生成式人工智能相关基础模型提供者的义务。欧盟的人工智能路径主张“以人为本（human-centric）”，在促进人工智能发展与创新的同时，构建监管体系以防范风险、保护公民基本权利和安全。欧盟目前对于人工智能的监管和治理重点在于尊重人格尊严、个人自由和保护数据及隐私安全。最新的立法进展是 2023 年 6 月 14 日欧洲议会对 人工智能法 的修订。该法采用“基于风险的方法”（risk-based）将人工智能系统分成四类，制定了不同程度的合规要求。其中，生成式人工智能系统一般属于有限风险的人工智能系统，需遵守最低限度的透明度义务，但可能会因其适用的领域和生成的内容而落入高风险人工智能系统的范畴。1与此同时，该法也规定了提供者、进口商、分销商、部署者、通用及生成式人工智能相关基础模型提供者等不同主体的合规义务。根据侵权行为的性质、严重程度等因素，不遵守人工智能法的相关当事人可能被处以不同规模的行政罚款。个人个人公司公司将禁止的人工智能系统投放市场或投入使用最高可被处4000万欧元罚款罚款 4000 万欧元或上一财政年度全球年营业额的 7%（以较高者为准）不遵守高风险人工智能系统关于数据治理、透明度和提供信息给用户的规定最高可被处2000万欧元罚款罚款 2000 万欧元或上一财政年度全球年营业额的 4%（以较高者为准）1European Parliament News:https:/www.europarl.europa.eu/news/en/headlines/society/20230601STO93804/eu-ai-act-first-regulation-on-artificial-intelligence4 4违反其他对于人工智能系统或模型的要求和义务最高可被处1000万欧元罚款罚款 1000 万欧元或上一财政年度全球年营业额的 2%（以较高者为准）在答复请求时向公告机构和国家主管当局提供不正确、不完整或误导性的信息最高可被处 500 万欧元罚款罚款 500 万欧元或上一财政年度全球年营业额的 1%（以较高者为准）历时两年有余，人工智能法草案的提出和修订体现了欧盟对人工智能的严格监管态度。尽管最新的草案修订稿对创新发展的考量增多，但总体而言，欧盟对人工智能的监管仍非常严苛。在执法方面，近年来，已有多个包括意大利、法国、西班牙等多个欧盟成员国对 ChatGPT 展开调查。在监管方面，欧盟目前没有专门针对人工智能监管的独立机构，主要由欧盟层面及成员国层面不同领域的主管部门联合监管和执法。最新的人工智能法草案要求成员国指定一个或多个主管机构，包括一个国家监管机构，负责监督 人工智能法 的应用和实施；并提议在欧盟层面建立由成员国和欧盟委员会的代表组成的新欧盟机构“人工智能办公室”，以期为人工智能法的统一适用提供指导、协调联合跨境调查。此外，欧洲数据保护委员会(EDPB)、国家市场监督机构、海关、国家消费者保护当局会负责各自领域与人工智能有关的执法工作。人工智能法中通用及生成式人工智能相关基础模型提供者的特殊义务：5 5人工智能法 中包括生成式人工智能在内的有限风险的人工智能系统的透明度义务：6 6（三）美国（三）美国美国是目前人工智能技术的策源地和领导者。为了保持这一领导地位，美国政府将促进人工智能的创新和发展作为高度优先事项。因此，美国主张监管需以促进人工智能负责任的创新（responsible innovation）为目标，应通过监管和非监管措施减少人工智能开发和部署的不必要障碍，同时保护美国的技术、经济和国家安全、公民自由、人权、法治、隐私和尊重知识产权等核心价值观。目前美国对人工智能的关注重点在于公民权利、公民自由、数据与隐私安全及知识产权保护。尽管美国的部分州已通过与人工智能有关的法案，但美国目前尚无专门规范通用人工智能或生成式人工智能的法律性文件。虽然两党议员尝试就不同人工智能事项提请立法，有趋势表明美国对人工智能的监管或将加强，但联邦立法监管目前仍处于非常早期的阶段。细分领域不具有法律强制性的非监管措施如主管部门的政策文件、指南、治理框架、试点项目和实验、行业自律、社会组织的共识等是目前人工智能企业在美国行事的主要参考和依循。需要注意的是，美国政府有对于生成式人工智能相关的产品实施严格进出口管制的趋势。美国政府曾严格限制用于人工智能工作的顶级计算芯片、超级计算机和其他半导体产品对中国的出口。此外，2023 年 7 月 4 日，媒体报道美国政府还计划限制中国企业使用美国的云计算服务。2美国目前没有专门针对人工智能监管的独立机构，各领域主管部门将继续在自己的职责范围内对生成式人工智能进行监管。2https:/ 7为包含人工智能生成材料的作品申请版权保护的申请人有以下义务：近期与生成式 AI 相关的监管动态：2023 年 7 月 21 日，Amazon、Anthropic、Google、Inflection、Meta、Microsoft 和 OpenAI 向美国政府自愿作出一系列承诺。8 8（四）加拿大（四）加拿大加拿大将自己定位为人工智能发展的领导者。为此，加拿大政府主张对人工智能采取灵活的监管方法，在促进人工智能系统设计、开发和使用的安全性的同时，维护加拿大民众的价值观，亦不致扼杀负责任的创新。加拿大对人工智能的监管重点在于隐私保护。目前加拿大没有明确针对人工智能的监管制度，加拿大的人工智能系统受到一般性的隐私、技术和人权法律的监管。虽然加拿大尚未处于制定全面的人工智能监管制度的阶段，但联邦和省两级都在采取行动弥补监管空白，以期让加拿大民众信任人工智能技术。2022 年 6 月提出的人工智能和数据法作为加拿大隐私领域立法改革的一部分，是加拿大针对人工智能进行监管的首次尝试。该法采用“基于风险的方法”（risk-based）对高影响人工智能系统的风险进行重点监管，具体标准有待后续法规进行界定。该法为人工智能系统负责人即设计、开发、使用、提供或管理人工智能系统运行的主体设定了合规义务，在相关活动中处理或者使用数据的主体也承担一定的透明度义务。违反该法的当事人可能面临行政罚款、行政诉讼甚至刑事制裁。人工智能和数据法下人工智能系统负责人的合规义务：9 9违反合规义务的人工智能系统负责人将面临下表所示的处罚。个人个人公司公司经公诉定罪法院酌情罚款不超过 1 千万加元与其被判刑前的财政年度内全球总收入的 3%的罚款中更高额的罚款经简易程序定罪不超过 5 万加元罚款不超过 500 万加元与其被判刑前的财政年度内全球总收入的 2%的罚款中更高额的罚款在实践方面，加拿大的两个地区法院对于在法律意见书等材料中使用人工智能（一般是生成式人工智能技术）发布了实务指导。在执法方面，2023 年 4 月，加拿大隐私专员办公室启动对 OpenAI 的调查，5 月下旬，多省数据保护机构与加拿大隐私专员办公室合作，对 OpenAI 展开联合调查。在监管方面，加拿大目前没有专门针对人工智能进行监管的独立机构，主要由不同领域的主管部门监管和执法。正在审议的 人工智能和数据法 规定创新、科学与工业部部长负责执行该法；提议建立由新的人工智能和数据专员领导的办公室，作为支持该法监管和执行的专门知识中心。此外，加拿大检察署、加拿大隐私专员办公室等部门负责各自领域与人工智能有关的执法工作。（五）英国（五）英国英国希望成为世界上建立和发展人工智能业务的最佳场所，以便将人工智能1010的巨大潜力转化为英国的经济增长和社会效益。因此，英国主张建立支持创新（pro-innovation）、合比例（proportionate）、可信、适应性强、明确和协作的监管框架，以期为投资者、企业和公众提供信心。英国不希望繁重的合规义务打击企业的创新意愿，因此没有专门针对人工智能进行立法，而主要通过发布指南、最佳实践等非监管措施为企业提供指导，鼓励促进人工智能领域负责任的创新，且对生成式人工智能这类新兴的人工智能的发展持较开放的态度。例如，财政部建议让创新者和企业家在监管沙盒（regulatory sandbox）中试验新产品或服务而无需担心罚款或责任风险，存在监管不确定性的生成式人工智能也可以使用监管沙盒。2023 年 6 月，英国内阁办公室发布了公务员使用生成式人工智能的指引，介绍了公务员使用生成式人工智能的一般原则。英国对生成式人工智能风险的关注重点在于数据和隐私保护。教育部在 教育领域中的生成式人工智能中明确指出，为保护个人隐私，个人信息和敏感数据不应输入生成式人工智能工具。英国信息专员办公室也提示开发或使用生成式人工智能的人负有数据保护的法定义务，他们需要考虑处理个人数据的合法依据为何、处理或控制数据的身份、通过数据保护影响评估、公开有关处理信息、降低安全风险、限制不必要的处理、尊重个人访问、纠正、删除等权利请求、是否完全使用生成式人工智能自动决策等问题。3对于人工智能生成的作品，英国知识产权署在 2022 年 6 月公布咨询结果，认为暂时没有证据表明人工智能生成的作品是有害的，其仍然受到英国版权法的保护。4在执法方面，2023 年 5 月，英国竞争与市场局对开发和使用人工智能基础3Generative AI:eight questions that developers and users need to ask|ICO4Artificial Intelligence and Intellectual Property:copyright and patents:Government response to consultation-GOV.UK(www.gov.uk)11 11模型涉及市场竞争和消费者保护的方面进行初步审查。52023 年 6 月，教育部启动公众咨询，寻求民众关于生成式人工智能在英国教育中的应用及其机遇与风险的看法。6英国信息专员办公室呼吁企业在使用生成式人工智能前“应对隐私风险”，同时宣布“将对企业是否遵守数据保护法律进行更严格的检查”。7英国没有专门监管人工智能的独立机构，各领域监管机构在其执法范围内对相关行为进行监管。如英国信息专员办公室作为英国的数据保护机构将对人工智能相关主体处理数据的行为进行监管，英国竞争与市场局将对不公平竞争、损害消费者的行为进行监管等。（六）澳大利亚（六）澳大利亚澳大利亚的人工智能方法希望确保人工智能可信赖、安全和负责任。澳大利亚目前主要发布了人工智能的道德原则，尚未决定对人工智能进行硬性监管。澳大利亚尚未制定专门针对人工智能的立法，所有人工智能的治理都依赖于现行法律和指南。近期与生成式人工智能有关的动态是 2023 年 7 月，数字转换机构和工业、科学与资源部合作发布了关于政府使用生成式人工智能平台的临时指南，指出公共部门使用生成式人工智能需遵守四项原则：负责任地使用；透明度和可解释性；隐私保护和安全；决策以人为本、落实问责制。8此外，澳大利亚知识产权局正在对生成式人工智能对知识产权的影响进行研究。95CMA：https:/www.gov.uk/government/news/cma-launches-initial-review-of-artificial-intelligence-models6https:/www.gov.uk/government/consultations/generative-artificial-intelligence-in-education-call-for-evidence7Dont be blind to AI risks in rush to see opportunity ICO reviewing key businesses use of generative AI|ICO8https:/architecture.digital.gov.au/guidance-generative-ai/9Generative AI And The IP System What Does It All Mean?|IP Australia1212澳大利亚没有专门针对人工智能进行监管的机构，各领域主管部门将在其主管范围内对人工智能进行监管。澳大利亚信息专员办公室负责执行隐私法律，有权对人工智能涉嫌侵害隐私的行为进行调查。澳大利亚工业、科学与资源部经常参与人工智能政策文件的制定。（七）印度（七）印度印度没有人工智能监管的正式法律法规。与此同时，人工智能产品息息相关的数据保护领域，印度目前也迟迟没有通过多次修改的个人数据保护草案。目前，仅有信息技术法案（Information TechnologyAct,2000）与信息技术（合理的安全实践和程序及敏感个人数据或信息）规则（Information Technology(Reasonable Security Practices and Procedures and Sensitive Personal Data orInformation)Rules,2011）要求数据处理者维持合理的安全措施和程序，制定隐私政策，在收集或传输敏感的个人数据或信息时获得同意，并将此类收集的数据告知接收者的数据主体。但是，近年来，印度监管者一直在积极研究人工智能监管的议题。2023 年 3月起，印度政府的国家人工智能门户网站 INDIAai 组织学术界的知名人士举办了三场圆桌讨论会，讨论研究生成式人工智能的影响、伦理和监管问题以及它给印度带来的机遇。10印度电子和信息技术部部长钱德拉塞卡(Rajeev Chandrasekhar)在接受媒体采访时表示，政府正计划监管人工智能(AI)，以保护公民免受伤害。11而 7 月 20 日，印度电信监管局(Trai)也建议成立印度人工智能和数据管理局10https:/indiaai.gov.in/research-reports/impact-opportunity-and-challenges-of-generative-ai11https:/ 5.0”（society 5.0）。为此，日本对人工智能的治理提出了“以人为本的人工智能社会原则”，该原则包括以人为本、教育、隐私保护、确保安全、公平竞争、公平、问责制和透明度、创新七个原则。日本没有选择政府作为唯一制定、监督和执行人工智能规则主体的治理模式，而是选择对人工智能实行敏捷治理（agile governance）。这是一种多个利益相关主体共同治理的模式。不同的利益相关者包括政府、企业、个人和社区将对其所处的社会状况进行持续分析，明确意图实现的目标并设计各种系统实现这些目标，且对结果进行持续评估，以改进这些系统。日本目前没有专门规制人工智能的法律，主要采用软法如政策性文件、指导性文件等对人工智能进行规范，鼓励人工智能用户和企业自愿采取行动以实现“以人为本的人工智能社会原则”。日本目前对人工智能的监管关注点主要在于隐私和数据保护，主要聚焦医疗、农业、交通、教育等领域，其中医疗领域的规范最为成熟，配套监管措施也最多。近期关于生成式人工智能的动态：2023 年 4 月，日本教育、文化、体育、科学和技术大臣 Keiko Nagaoka 在地方会议上证实，日本的法律不会保护人工智能数据集中使用的受版权保护的材料，“在日本，无论是非营利目的、营利目的、复制以外的行为，还是从非法网站等获取的内容，无论采用何种方法，都可以被12https:/ 年 6 月，日本个人信息保护委员会对 OpenAI 发出警告，由于担心ChatGPT 收集敏感数据，该委员会可能会采取行动。日本个人信息保护委员会表示，OpenAI 只能在获得许可的情况下收集数据并应尽量减少收集行为，同时要求 OpenAI 考虑隐私保护和生成式人工智能的潜在好处之间的平衡。14日本没有专门对人工智能进行监管的机构，各领域主管机构将在其各自职权范围内对人工智能进行监管。日本个人信息保护委员会负责保护包括个人信息在内的个人权益，人工智能处理数据的行为将落入该委员会的监管范围内。日本经济产业省作为负责提高民间经济活力、维护对外经济关系、保护经济产业发展的部门经常参与人工智能治理的政策、指南等文件的制定。（九）新加坡（九）新加坡新加坡希望建立可信赖和负责任的人工智能生态系统。新加坡目前没有考虑对人工智能进行监管15，尚无专门规制人工智能的法律。已有的文件主要是指南、实践指引等。新加坡发布了模范人工智能治理框架（第 2 版）及其配套文件 人工智能治理框架机构实施及自我评估指引 用例汇编，帮助企业负责任地部署人工智能。近期与生成式人工智能有关的动态：新加坡信息通信媒体发展局发布讨论文件生成式人工智能：对信任和治理的影响，为政府和企业的高级领导人提出了建立可信赖和负责任地使用生成式人工智能的生态系统的想法。13決算行政監視委員会分科会質疑振返。-（）/選挙()14https:/ is not looking to regulate A.I.just yet,says the city-state()1515新加坡没有专门对人工智能进行监管的机构，现有主管部门将在其职能范围内对人工智能企业进行执法。如新加坡个人数据保护委员会将从数据保护的角度对人工智能的数据使用、处理等行为进行监管。值得一提的是，新加坡资讯通信媒体发展局和新加坡个人数据保护委员会推出了全球首个人工智能治理测试框架和工具包“A.I.Verify”。A.I.Verify 通过技术测试和流程检查可以帮助人工智能企业对其人工智能系统进行评估，验证系统是否符合国际公认的人工智能原则、系统技术的公平性、可解释性和稳健性以及根据企业合规需求定制报告等。1616（十）中国香港（十）中国香港中国香港目前对人工智能的监管持非常包容和开放的态度。创新科技及工业局局长孙东在回应记者问题中说，留意到国家最近针对有关技术和应用提出新措施，特区政府一直保持高度关注，将继续持非常开放态度对待有关技术发展，适时作出应对。近几年来，中国香港主要强调人工智能的开发和使用应合乎道德。从 2018年到 2022 年，香港发布了包括中国香港的道德问责框架开发及使用人工智能道德标准指引人工智能道德框架和应用人工智能的高层次原则在内的多份指导性文件。这类不具有法律上约束力的政策性文件是香港目前规范人工智能的主要文件。中国香港对人工智能的风险关注点主要集中在数据和隐私保护。17 17香港金融管理局在应用人工智能的高层次原则中表示，过分严格的规定可能会阻碍人工智能相关技术的进一步发展，因此只在指南中规定了设计和采用人工智能时应考虑的高层次的原则。可以预见，香港在短期仍将对人工智能保持非常宽容的态度。中国香港地区没有设立监管人工智能的独立机构。实践中，个人资料私隐专员公署有权对人工智能开发和使用过程中的数据处理行为进行监管。创新、科技与工业局作为负责科技发展的政府部门，也经常参与到人工智能监管与发展政策、战略的制定中。三、三、中国中国（一）监管对象（一）监管对象这三部规章规制的对象“算法推荐技术”、“深度合成技术”与“生成式人工智能”，从技术角度解释和法律文义解释的视角看，存在包含关系。因此概念范围最狭窄的生成式人工智能服务可能需要同时满足三部规章的义务要求。16其中，生成式人工智能服务管理暂行办法规制的是向中国境内公众提供的生成式人工智能服务。但有学者指出，“公众”一词目前尚未有明确的定义和解释，因此不能排除 to B 的服务将完全豁免于该办法的适用。同时，来源于中国境外向境内提供的生成式人工智能服务也受到该办法的管辖。16张凌寒，深度合成治理的逻辑更新与体系迭代ChatGPT 等生成型人工智能治理的中国路径；葛梦莹，南钰彤，专家解读|生成式人工智能、深度合成技术与算法推荐的关联与合规要点1818（二）监管部门（二）监管部门目前负责算法备案、评估与监管的机构主要是网信办（中央网信办网络管理技术局）。与此同时，电信主管部门、公安部门也会依据职责负责监督管理工作。（三）合规义务要求（三）合规义务要求1.1.合规义务概览合规义务概览如下图所示，面向中国境内的生成式人工智能服务需要同时满足算法推荐规定深度合成规定与生成式办法三部规章的要求。19192.2.安全评估义务安全评估义务生成式办法要求提供具有舆论属性或者社会动员能力的生成式人工智能服务的，应当按照国家有关规定开展安全评估，并按照互联网信息服务算法推荐管理规定履行算法备案和变更、注销备案手续。这是生成式人工智能服务上市前的必要流程，据悉目前主流的 GPT 产品如百度的文心一格、阿里的通义千问均处于安全评估阶段。生成式人工智能的安全评估与普通的算法推荐和深度合成评估不同，评估负责单位是中央网信办网络管理技术局，评估的颗粒度更细，所需提供的材料也更多。目前具体的评估内容和流程均未公开。（四）未来可能面临的监管挑战（四）未来可能面临的监管挑战1.1.人工智能法人工智能法2023 年 5 月 31 日，国务院办公厅发布了 国务院 2023 年度立法工作计划，计划在 2023 年提请全国人大常委会审议人工智能法草案。目前尚无该法律具体2020的信息，但学者猜测该法律可能会与欧盟的人工智能法案相似，具有更高的层级和更广的适用范围。2.2.科技伦理审查科技伦理审查2021 年 12 月 24 日，第二次修订的科学进步法在第 103 条提出了要建立科技伦理审查机制。而在 2023 年 4 月 4 日，科技部官网发布公开征求对科技伦理审查办法（试行），完善了科技伦理审查的流程和要求。其中涉及数据和算法的科技活动，数据处理方案需要符合国家有关数据安全的规定，数据安全风险监测及应急处理方案得当；算法和系统研发需要符合公平、公正、透明、可靠、可控等原则。根据办法草案，未来人工智能企业可能需要承担的合规义务有：1）建立本单位的科技伦理（审查）委员会。2）建立健全科技活动全流程科技伦理监管机制和审查质量控制、监督评价机制，加强对科技伦理高风险科技活动的动态跟踪、风险评估和伦理事件应急处置。3）在开展科技活动前进行科技伦理风险评估或审查。科技活动负责人应向本单位科技伦理（审查）委员会申请伦理审查。此外，根据科技部相关负责人在 2022 年关于加强科技伦理治理的意见新闻发布会的答复，国家科技伦理委员会正在研究制定科技伦理高风险科技活动清单，医学、生命科学和人工智能方面是重点领域。未来，开展科技伦理高风险科技活动将需要按规定进行登记。2121四、四、欧盟欧盟（一）监管框架（一）监管框架欧盟现行人工智能立法仍主要集中在传统人工智能而非生成式人工智能上，但也逐渐触及生成式人工智能的问题。在采用软法方法但不足以解决人工智能技术因其特定特征而带来的风险后，欧盟开始着手完善立法。以下是欧盟关于人工智能的主要立法、指南。2019 年 4 月，欧盟委员会人工智能高级专家组发布了可信赖的人工智能的道德指南，为在欧盟设计、开发、部署、实施或使用人工智能产品和服务的利益相关者提供指引。指南道出了可信赖的人工智能的四项道德原则：尊重人类尊严、防止伤害、公平和可解释性，并提出了实现这四项原则的七项要求。（可信赖的人工智能的道德指南提出的七项关键要求及其交互关系）2020 年 2 月，欧盟委员会发布了人工智能白皮书：欧洲实现卓越和信任的途径，指出欧洲未来人工智能监管框架的关键是建立“卓越生态系统”和“可2222信赖的生态系统”，保护基本权利、消费者权利等。2022 年 9 月，欧盟委员会发布了将非契约性民事责任规则适用于人工智能的指令的提案，倡议推定人工智能造成的损害与受害者遭受的损失之间存在因果关系，赋予国家法院命令披露涉嫌造成损害的高风险人工智能系统证据的权力，以期确保受人工智能系统伤害的人与受其他技术伤害的人享有相同的保护水平。2021 年 4 月，欧盟委员会提出了人工智能法草案，为欧盟人工智能产品和服务的开发、供应和使用制定了统一的法律框架。该提案建议在欧盟法律中引入技术中立的人工智能的定义，并根据“基于风险的方法”为不同类型的人工智能系统制定要求和义务。（人工智能法的分级监管示意图）2022 年 12 月，欧盟理事会通过了其共同立场，建议缩小人工智能系统的定义；将禁止使用人工智能进行社会评分的禁令的适用范围扩展到私人行为者，并增加在公共场所允许使用“实时”远程生物识别系统这一例外情形；通过实施法律，对通用人工智能系统施加要求；增加新规以考虑人工智能系统可用于许多不同目2323的（通用人工智能）的情况；简化人工智能法的合规框架，特别是加强人工智能委员会的作用。2023 年 6 月 14 日，欧盟议会投票通过了最新的人工智能法草案。欧盟委员会、欧洲议会和欧盟理事会将进入“三方会谈”阶段。最新的草案再次作出了多项实质性修改，包括：修改人工智能系统的定义，使其与亚太经合组织商定的定义保持一致 扩大被禁止的人工智能系统清单 限缩高风险人工智能系统的范围为“存在可能损害人类健康、安全、基本权利或环境的重大风险”的人工智能系统，在欧盟部署该类系统的主体有义务进行基本权利影响评估 对通用人工智能17和 ChatGPT 等生成式人工智能18模型的提供者施加义务 赋予各国当局要求访问人工智能系统的训练和培训模型（包括基础模型）的权力。此外，成员国有权寻求加强公民权利以对人工智能系统提出投诉，并有权获得对基于高风险人工智能系统的决定的解释 为支持创新，研究活动和免费、开源人工智能组件的开发在很大程度上不受人工智能法的约束（人工智能法最新立法进度图）17第 3 条（1）（1d）：可被用于和适应各种非专门和特定设计的应用的 AI 系统。18专门用于生成具有不同自治程度的复杂文本、图像、音频或视频等内容的人工智能2424（二）一般合规义务（二）一般合规义务1.1.分层监管：系统要求分层监管：系统要求（1 1）不可接受的风险人工智能系统：全面禁止）不可接受的风险人工智能系统：全面禁止人工智能法禁止以下类型的人工智能系统进入欧洲市场。（2 2）高风险人工智能系统：重点监管）高风险人工智能系统：重点监管人工智能法将高风险人工智能系统分为以下两大类。该法要求高风险人工智能系统完成事前合格评估以及包括风险管理、测试、技术稳健性、数据培训和治理、透明度、人为监督和网络安全在内的其他要求。2525（3 3）有限风险人工智能系统）有限风险人工智能系统1919：有限的透明度义务：有限的透明度义务有限风险的人工智能系统只需遵守最低限度的透明度义务，使用户能够在知情的情况下作出决定。在与应用程序交互之后，用户可以决定是否继续使用它。用户应该知道其正在与人工智能包括生成或操作图像、音频或视频内容的人工智能系统（生成式人工智能）互动。20（4 4）低风险或无风险人工智能系统：无额外法律义务）低风险或无风险人工智能系统：无额外法律义务19如与人类交互的系统（即聊天机器人）、情感识别系统、生物识别分类系统，以及生成或操纵图像、音频或视频内容的人工智能系统（即深度伪造）20EU AI Act:first regulation on artificial intelligence|News|European Parliament(europa.eu)2626虽然拟议的人工智能法未对低风险或无风险人工智能系统施加限制，但其设想制定行为准则，鼓励非高风险人工智能系统的提供者自愿适用高风险人工智能系统的强制性要求。2.2.主体义务主体义务（1 1）高风险人工智能系统相关主体义务）高风险人工智能系统相关主体义务1)提供者、部署者及其他各方其中，基础模型的提供者、生成式人工智能系统中的基础模型的提供者或将基础模型专门用于生成式人工智能系统的提供者有义务在基础模型投放市场或投入使用后 10 年内，保留其技术文件并交国家主管机关使用。在以下 3 种情形发生时，其他当事方将被视为提供者，承担使高风险人工智能系统合规的义务及上述人工智能法对提供者、部署者及其他各方施加的义务。同时，原供应商应向新供应商提供人工智能系统的技术文档和所有其他相关且合理可预期的信息能力、技术访问或基于公认的最先进技术的其他协助。27272)进口商3)分销商28284)部署者（2 2）与透明度相关的主体义务）与透明度相关的主体义务2929（三）特殊合规义务（三）特殊合规义务除以上一般合规义务外，特定主体还存在与知识产权、进出口相关的特殊合规义务。供应商、部署者、分销商、进口商、通用及生成式人工智能系统相关基础模型的提供者在将高风险人工智能系统投放市场或投入使用前存在下图所示的义务。1.1.提供者、部署者提供者、部署者2.2.进口商进口商3.3.分销商分销商30304.4.通用及生成式人工智能基础模型的提供者通用及生成式人工智能基础模型的提供者5.5.部署者部署者不遵守人工智能法的制裁：根据侵权行为的性质、严重程度、持续时间、3131后果、人工智能系统的目的、受影响人员的数量及受影响程度等因素，相关当事人可能被处以不同规模的行政罚款。个人个人公司公司将禁止的人工智能系统投放市场或投入使用最高可被处 4000 万欧元罚款罚款 4000 万欧元或上一财政年度全球年营业额的 7%（以较高者为准）不遵守高风险人工智能系统关于数据治理、透明度和提供信息给用户规定最高可被处 2000 万欧元罚款罚款 2000 万欧元或上一财政年度全球年营业额的 4%（以较高者为准）违反其他对于人工智能系统或模型的要求和义务最高可被处 1000 万欧元罚款罚款 1000 万欧元或上一财政年度全球年营业额的 2%（以较高者为准）在答复请求时向公告机构和国家主管当局提供不正确、不完整或误导性的信息最高可被处 500 万欧元罚款罚款 500 万欧元或上一财政年度全球年营业额的 1%（以较高者为准）人工智能法还规定，成员国需制定罚则并采取一切必要措施，确保罚则得到适当、有效的执行。（四）监管动态（四）监管动态近年来，已有多个包括意大利、法国、西班牙等多个欧盟成员国对 ChatGPT展开调查。时间时间国家国家监管机构监管机构性质性质措施措施事由事由2023.3.31意大利Garante主动调查限时中止令合法性、透明度、未成年人数据处理、数据准确性2023.4.11法国CNIL投诉驱动被动调查合法性基础、数据3232权利行使2023.4.14西班牙AEPD主动调查主动调查透明度2023.4.24德国BADI主动调查编制问卷数据保护影响评估2023.4.20挪威Datatilsynet未开启调查官方表态/2023.4.21爱尔兰DPC未开启调查官方表态/（欧盟成员国对 ChatGPT 的调查情况表21）2023 年 3 月，欧洲消费者组织呼吁欧盟和各国安全、数据和消费者保护部门立即对 ChatGPT 和类似的聊天机器人展开调查。欧洲消费者组织副总干事Ursula Pachl 说“像 ChatGPT 这样的生成式人工智能为消费者提供了各种可能性，但是人们对这些系统如何欺骗、操纵和伤害人们表示严重关切。它们也可以被用来传播虚假信息，延续放大歧视的现有偏见，或被用于欺诈。”222023 年 4 月 13 日，数据保护委员会决定成立一个专责小组（dedicated taskforce），以促进合作，就数据保护当局可能采取的执法行动交流信息。23最近，该小组正在调查 ChatGPT。（五）相关机构（五）相关机构欧盟目前没有专门针对人工智能监管的独立机构，主要由欧盟层面及成员国层面不同领域的主管部门联合监管和执法。最新的人工智能法草案要求成员国指定一个或多个主管机构，包括一个国家监管机构，负责监督人工智能法的应用和实施；并提议在欧盟层面建立由成员国和欧盟委员会的代表组成的新欧盟机构“人工智能办公室”，以期为21此表引自微信公众号“科技利维坦”ChatGPT 在欧洲“被禁”的法律逻辑一文，ChatGPT 在欧洲“被禁”的法律逻辑()22Investigation by EU authorities needed into ChatGPT technology(beuc.eu)23EDPB resolves dispute on transfers by Meta and creates task force on Chat GPT|European Data ProtectionBoard(europa.eu)3333人工智能法的统一适用提供指导、协调联合跨境调查。在国家一级和跨境一级执行数据保护法的欧洲数据保护委员会（EuropeanData Protection Board）将从数据保护的角度对人工智能的数据处理行为进行监管，使通用数据保护条例得到遵守。国家市场监督机构负责进行市场监督、有责任在发现危险产品时采取适当措施。根据人工智能法，该机构将负责评估提供者、部署者、授权代表、进口商和分销商对高风险人工智能系统的义务和要求的遵守情况。不合规的人工智能系统或尽管合规但对人员健康或安全、基本权利或其他公共利益保护构成风险的人工智能系统可能被采取禁用、限用、撤回或召回等纠正措施。由市场监督条例(EU)2019/1020建立的欧盟产品合规网络（EU Product Compliance Network,EUPCN）是负责在非食品领域执行欧盟产品立法的国家当局之间的主要合作论坛，确保各产品部门市场监督当局间的合作和信息交流，确定欧盟一级市场监督的优先事项，并发起协调或联合举措。