西班牙AI法案合规（欧盟《人工智能条例》）

AI法案即欧盟第2024/1689号条例，是全球首部全面的AI立法。它适用于在欧盟开发、销售或使用AI系统的任何企业，即使工具来自第三方。条例将系统分为四个风险等级，并规定与之相称的义务。

是的，分阶段生效。禁止性规定和AI素养要求自2025年2月起适用；通用模型规则和处罚制度自2025年8月起适用；第50条的透明度义务自2026年8月2日起适用。

《数字综合方案》（2026年5月达成协议）推迟了高风险义务：附件III的义务推迟至2027年12月，附件I的义务推迟至2028年8月。这些新期限须在正式公布后才生效。

分为三档：使用被禁止的AI，最高3500万欧元或全球营业额的7%；违反高风险或透明度义务，最高1500万欧元或3%；向监管机构提供虚假信息，最高750万欧元或1%。对中小企业和初创企业适用较低的数额，但并非完全豁免。

ChatGPT属于通用模型（GPAI）：主要义务由其提供者承担。您的义务是透明度：如果您生成的内容以人类内容的面目呈现，就必须告知。如果在高风险场景中使用（评估员工、信贷决策），您作为部署责任方须履行这些更严格的义务。

其使用可能影响权利或安全的系统：人员招聘、员工评估、信用评分、生物识别、教育、获取基本服务，或嵌入受监管产品的AI。这类系统须进行风险管理、编制技术文档、登记、实施人工监督并完成合格评定。

您仍然是部署责任方，并承担自身的义务：按照使用说明使用、确保人工监督、在适用时告知受影响的人，并监测其运行。不了解并不能免责：如果您的人力资源或信贷软件含有高风险AI，当务之急是先对其分类。

AI法案并不要求设立与数据保护官相当的岗位。但它要求有足够知识的人员负责监督系统（AI素养），在高风险领域还要求有效的人工监督。实践中，建议在合规体系内明确分配责任。

西班牙人工智能监管局（AESIA）总部设在拉科鲁尼亚（A Coruña），是西班牙的AI市场监督机构，也是与欧盟AI办公室的联络点。它可以检查、要求提交文件、责令撤出不合规系统并办理处罚案件，包括依职权主动办理。

只是部分推迟，这一点很重要。它推迟的是高风险义务（附件III推迟至2027年12月；附件I推迟至2028年8月），但没有推迟禁止性规定、通用模型规则以及第50条的透明度义务，后者仍从2026年8月2日起适用。此外，它还新增了对色情深度伪造的禁令，自2026年12月起生效。

是的。组织要对其业务中使用的AI负责，包括员工自行使用的AI（所谓“影子AI”）和内部部署的智能体。因此，盘点也必须涵盖目前处于视线之外的这些AI。

两者相互重叠。许多AI系统处理个人数据，因此需要把AI法案与GDPR以及数据保护官协调起来。在西班牙，AESIA与AEPD分担职权：AEPD在数据和生物识别方面保留其职责。

是的。自2026年8月起，必须告知用户正在与AI交互，并对合成内容（文本、图像、音频和视频）加以标识；自2026年12月起，提供者还须履行机器可读标识的具体义务。这对媒体、营销、广告代理和平台影响很大。

是的，但有细节。文档要求可以简化，处罚与规模相称，还可以使用AESIA的监管沙盒，在受监督的环境中测试高风险系统。《数字综合方案》把其中一些便利延伸到“小型中市值企业”（small mid-caps）。但没有任何企业能被完全豁免。

正在制定中。西班牙政府于2026年5月批准了《人工智能治理组织法》草案，使条例与西班牙法律体系衔接，并确定国家层面的监管机构和处罚。该法仍在审议中，但实体义务已通过欧盟条例生效并可被要求履行：无需等待该法通过再开始合规。