留给AI玩具和服务机器人的时间，还有不到一年

原创

GTG-Hardy
GTG-Hardy

GTG网络安全实验室

2026年10月3日 09:00
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

很多厂商第一次意识到问题的严重性，是在客户发来一封邮件的时候。

邮件很短：请提供贵司 AI 系统符合欧盟《人工智能法案》的符合性评估材料与 CE 相关文件。

产品经理翻了半天说明书，心里想的是——我们做的是个 AI 玩具，哪来的 AI 系统？

如果你也有过类似的困惑，这篇想讲清楚三件事：这条法案什么时候开始管你、为什么2027年8月2日对硬件厂商特别贴身、以及从现在到那天你还剩多少时间。

01

先看清一件事：这条法案是“分段生效”的

很多人对欧盟《人工智能法案》的印象还停留在“听说很严”，但不知道它到底什么时候开始管自己。其实它有一份明确的时间表，而且是分段落地的：

请注意第二行和第三行。它们不是“未来”，是已经过去了。

禁止性条款生效一年半了；大部分高风险义务也在两个月前刚刚生效。也就是说，如果你的产品里有摄像头做人脸识别、或者围绕儿童做行为引导，你今天就已经在法律的约束之下——不存在“还有两年准备期”这回事。

真正还留着时间窗口的，是最后一批。这也是这篇文章要讲的重点。

02

为什么 2027 年 8 月 2 日对硬件厂商特别“贴身”

欧盟 AI 法案判定高风险，有两条逻辑完全不同的路径：

路径一：按用途判。

身份识别、教育、医疗、交通、关键基础设施等八个领域里的 AI，属于高风险。这条路径下，你要论证的是这套 AI 到底做了什么、影响到谁。

路径二：按产品身份判。

如果你的产品本身已经被欧盟某部产品法规管着，而 AI 构成了这个产品的安全部件，那这套 AI 直接就是高风险——不需要再讨论用途，不需要再讨论影响谁。

路径二是硬件厂商最容易忽略、也最容易中招的一条。它是这么运作的：

• 你做的是AI 玩具——玩具受欧盟《玩具安全指令》管；
• 你做的是 服务机器人——受《机械指令》管；
• 你做的是 医疗健康设备——受欧盟医疗器械法规（MDR）管。

只要产品落在这三部法规的管辖范围内，而里面又有由 AI 控制、会影响人身安全的部件或动作——机器人能自己移动、AI 玩具里会动的活动部件、自动开合的机构——这套 AI 就构成“安全部件”，直接落入高风险。

而 2027 年 8 月 2 日，就是这条路径下高风险义务全面适用的日子。

对玩具、机器人、医疗设备厂商来说，这个日期之所以“贴身”，是因为它不由你的用途决定，而由你的产品品类决定。你很难用“我们只是个陪伴玩具”绕开它。

03

“高风险”这三个字，实际意味着什么

先澄清一个常见误解：高风险不等于不能卖。

高风险是可以上市的，但要先走完一整套义务：

• 风险管理体系：覆盖设计、开发、使用、部署全周期，包括“可预见的误用”
• 数据治理：训练/验证数据要充分、有代表性，误差与缺失要处理
• 技术文档：架构、数据集、日志、人工监督机制、性能指标，一份不能少
• 日志能力：运行日志完整、可追溯、可留存
• 透明度与用户告知：讲清能力边界和正确用法
• 人工监督：必须有人能覆盖、能回退
• 准确性、鲁棒性、网络安全：达到适当水平
• 符合性评估 + CE 标志
• 欧盟 AI 数据库注册（上市之前完成）
• 上市后监控、严重事件上报、文档留存 10 年

罚款也很直白：违反高风险义务，最高 1500 万欧元，或全球年营业额的 3%（取高者）；碰到禁止性条款，最高 3500 万欧元或全球营业额的 7%。

关键不在条目多，而在于——这些不是“填几张表”能解决的。风险管理要嵌进研发流程，数据治理要回到数据集本身，日志能力要在固件里实现，人工监督要设计成产品交互的一部分。这是产品层面的事，不只是文档层面的事。

04

别被“检测”和“识别”骗了

顺着讲一个特别常见的技术误判，它决定了你走高风险还是最小风险：

• 人脸检测——判断“画面里有没有一张脸”：通常是最小风险
• 人脸识别——判断“这张脸是谁”：高风险

同样一台摄像头、同样一个功能，一字之差，合规负担差了一整个量级。

如果你正在规划这类功能，建议在需求文档阶段就把这条界划清楚。

05

倒推一下时间：你现在开始，晚不晚？

如果把 2027 年 8 月 2 日当成必须完成的日子，往前倒推：

• 风险评估、专项测试、差距诊断：约 1–2 个月
• 产品整改（可能涉及固件、模型、交互）：1 个月以上，还要和研发排期抢资源
• 全套合规文档编制：约 1 个月
• 欧盟 AI 数据库注册与符合性评估：数周

从零走到能带着 CE 上市，乐观估计也要三到六个月，而且还没算上研发资源被其他项目占用的情况。

更要紧的是：智能硬件的研发周期本来就长。如果一个产品计划 2027 年下半年上市，它的设计冻结节点很可能就在 2026 年底到 2027 年初——那时候合规要求必须已经清晰，否则“整改”就等于在改已经定型的硬件。

所以我们的判断是：倒计时不是从 2027 年 8 月 2 日开始的，而是从现在开始的。

欧盟 AI 法案对硬件厂商的真正挑战，不在于它有多严，而在于它的判定逻辑和很多人的直觉不一样——它不看你的产品叫什么，而看你的 AI 在系统里扮演什么角色。

把产品拆开、把每个 AI 系统认出来、把风险等级判准、把路径走通——这个过程是可以被拆解、被管理的，不是一个黑洞。

广测电磁：全球数字安全合规优选伙伴

别让合规只停留在“拿证”。

面对欧盟 CRA网络弹性法案、AI法案及 GDPR/CCPA/数据法案等严苛监管，凭借CNAS(L18872)+A2LA(6947.01)双资质及前360/深信服核心网络安全专家团队，为您提供真正的“实战级”防护。

🏆 为什么GTG能为您降本避险？

• 拒绝模板：不只给报告，我们提供定制化漏洞修复方案，确保产品真安全。
• 极致省心：代写核心文档，免除繁琐填表，让合规效率提升70%。
• 全域覆盖：从消费电子到汽车、工控、医疗，一站式解决全球隐私与数据安全难题。

您的全球合规通行证，从这里开始。

[👉 立即咨询 CRA / AI法案 / 隐私合规]

更多相关内容

欢迎关注视频号“GTG网络安全实验室”