什麼是歐盟《人工智能法案》？香港企業為何要關注？
歐盟《人工智能法案》是全球首部全面規管人工智能的法律，按風險把AI系統分級，並對開發或部署這些系統的機構施加具約束力的責任。它與香港有關，因為它具有域外效力：只要你的AI觸及歐盟客戶，你就可能被納入監管範圍。
法案於2024年通過，並在2027年前分階段生效，正迅速成為全球AI監管的參照標準，情況一如當年《通用數據保障條例》成為數據私隱的默認標杆。對香港這類外向型經濟體而言，這種域外效力正是重點所在。
擺在你面前的抉擇，不是這部法案是否有趣，而是它是否已經在規管你機構正在運行的某個系統，以及你在下一個限期前必須做什麼。
歐盟《人工智能法案》會否適用於香港的公司？
會，而且很可能。根據Holland & Knight的法律分析，只要AI的輸出結果在歐盟被使用，無論公司身處何地，該法案都可觸及其提供者或部署者。一家從未在歐洲註冊的香港公司，只要其系統輸出觸及歐盟市場，仍可被納入範圍。
這與令GDPR成為全球標準的域外邏輯如出一轍。若一個香港物流平台服務歐盟客戶，或一家專業服務機構以AI工具篩選身處歐盟的求職者，其輸出便已抵達歐盟。
實務上的判斷很簡單：問你的AI「結果」在哪裡被使用，而不是問你的伺服器或總部設於何處。如果答案包含歐洲，這部法案就是你要負責的合規問題，而非一個可以置之不理的歐洲議題。
《人工智能法案》的四個風險級別是什麼？
法案按風險把AI分為四級。不可接受風險的系統被直接禁止；高風險系統面對嚴格責任；有限風險系統負有透明度義務，例如須披露用戶正在與聊天機械人對話；佔絕大多數的最低風險系統則不受新規約束。
企業的焦慮大多集中在高風險一級，因為沉重的責任正在此處。根據IBM對法案的整理，高風險涵蓋用於招聘、信貸評分、關鍵基礎設施及取得必要服務等領域的AI。
最常令香港領袖意外的級別包括：
--- 不可接受：社會評分及某些生物特徵監控，自2025年2月起已被禁止。
--- 高風險：招聘、員工管理、信用評估、保險定價。
--- 有限風險：面向客戶的聊天機械人及AI生成內容，均須披露。
2026年有什麼改變？限期是何時？
高風險責任原定的執行日期是2026年8月2日。2026年5月，歐盟談判方就一份臨時的「數碼綜合方案」達成共識，建議把附件三的高風險責任押後至2027年12月，附件一的責任押後至2028年8月。截至2026年年中，這項延期仍未成為法律。
根據Gibson Dunn對該綜合方案的分析，建議中的寬限爭取到時間，卻沒有移除責任本身。在正式通過之前，原定的2026年8月時間表仍按字面適用。
對香港企業而言，規劃上的含意雖不舒服卻很清晰：你不能把賭注押在一項尚未成為法律的延期上。審慎的做法，是為2026年8月做好準備，並把任何延期視作喘息空間，而非豁免。
不合規實際上會付出多大代價？
罰則分級而嚴厲。根據法案第99條，使用被禁止的AI行為，可觸發最高3,500萬歐元或全球年營業額7%的罰款，以較高者為準。其他高風險違規最高達1,500萬歐元或3%，提供誤導資料則最高達750萬歐元或1%。
作為對照，7%全球營業額的罰款，比GDPR最高4%更為沉重。對一家在區內有營收的香港中型企業來說，這個風險敞口足以進入董事會的風險登記冊，而非留在IT的待辦清單。
根據Greenberg Traurig的合規簡報，罰則制度本身已於2025年8月2日生效。執法機器已經啟動，之後分階段到位的，是實質的高風險責任條文。
你的哪些AI系統最可能屬於高風險？
最可能屬高風險的，正是那些已嵌入核心運作的系統：篩選求職者、評估信用、為保險定價或管理員工的AI。如果你的機構用AI去作出、或大幅影響有關「人」的決定，在未經證明之前，都應假設它屬於高風險。
香港企業在此最為暴露，因為這些工具往往是「買回來」而非「自己建」的。來自第三方供應商的招聘平台、人力分析模組或信貸決策引擎，都可能令你的機構落入「部署者」角色，並承擔相應責任。
給部門主管的快速自我檢查：
--- 有沒有AI工具在過濾、排序或拒絕「人」（求職者、借款人、申請者）？
--- 它的輸出會否觸及身處歐盟的個人或企業？
--- 你能否拿出文件，說明它如何運作、如何被監察？
若前兩項是「有」，第三項是「沒有」，你就找到了首要處理的對象。
香港企業現在應該如何準備？
由盤點開始。你無法管治一套你從未編目的AI。把所有在用的AI系統列出，記下由誰提供、輸出落在何處，按風險級別分類，並指派負責人。根據Cloud Security Alliance，大多數企業都低估了自己運作中已在跑的AI工具數量。
從這份清單出發，接著有三個動作。第一，優先處理觸及歐盟的高風險系統。第二，向供應商索取合規文件，因為他們的缺口會變成你的責任。第三，建立一套輕量的管治流程，讓每項新AI在上線前先完成分類。
這一切都不需要一個歐洲法律學位，需要的是一次有結構的準備度評估，以及一個能把法律條文翻譯成團隊真正能執行的操作清單的夥伴。
香港領袖在《人工智能法案》上常犯什麼錯誤？
最常見的錯誤，是把「距離」當成「安全」，以為公司設於香港便置身歐盟監管之外。第二是等延期正式立法才行動。兩者都誤讀了域外監管與執法時間表的實際運作方式。
第三個錯誤，是把法案純粹當作法律事務。分類、文件與監察都是操作性任務，落在IT與業務部門身上，而不只是法律顧問。法律界定責任，操作則要交出證據。
最後一個錯誤是矯枉過正，因恐懼而凍結所有AI應用。最低風險系統，也就是大多數企業的使用場景，並不承擔新責任。目標是「合乎比例的管治」，而非癱瘓，讓機構在保持合規的同時繼續前行。
結語：把合規限期變成競爭優勢
歐盟《人工智能法案》不是一個你可以隔岸觀火的歐洲問題，而是一個已坐落在你運作之中的管治課題，有實在的限期與可觀的罰則。愈早完成盤點、分類與存檔的企業，會比那些仍在指望規則不適用於自己的對手走得更快，而非更慢。
要走到那一步，並不代表要獨自摸索艱澀的法律文字。懂AI，更懂你 — UD相伴，AI不冷；一部初看嚇人的法規，也可以變得不再冰冷。二十八年的企業經驗，能把一場合規的慌亂，變成一份有結構、有底氣的計劃。
理解了框架，下一步就是弄清楚你的機構到底處於什麼位置。UD手把手帶你完成每一步，從AI準備度與風險評估，到系統分類、供應商文件審核，以至一套為香港企業而設的持續管治流程。
