EU AI Act 安全要求落地：首份执法文书要求对抗测试与第三方评估证据

背景

9 月 5 日，Securing.AI 发布对 EU AI Act 安全条款的拆解。文章指出，8 月 29 日欧盟 AI 办公室向 GPAI 提供方发出 RFI，要求说明三点：模型如何防御攻击、是否有独立外部评估、发布后如何监测。委员会 9 月 1 日确认已致函 30+ 家企业。文章强调，委员会动用的第一项执法工具（第 91 条信息索取）要求的是对抗测试结果、第三方评估证据与上市后监测记录——本质是安全产物。与此同时，Digital Omnibus 把 Annex III 高风险义务从 2026-08-02 推迟到 2027-12-02 与 2028-08-02，但透明度等条款按期生效，被忽视的 Article 50 已于 2026-08-02 适用。

核心要点

• 首份执法文书（第 91 条）要安全证据
• 要求：对抗测试 + 第三方评估 + 上市后监测
• Digital Omnibus 把高风险义务推迟到 2027/2028
• 透明度（Article 50）已于 2026-08-02 适用
• 多数企业合规未触及安全产物
• 新增禁止深度伪造/性虐待材料条款

为什么重要

给所有用 AI 的企业敲警钟：把 AI Act 当成「法律审查 + 写政策文档」远远不够，真正被执法的是安全工程产物。安全团队（CISO）须把对抗测试、红队、上市后监测做成可审计记录；否则合规努力在法律生效日已是「做错了两件事」。

关键事实速记

• 发布：2026-09-05
• 工具：第 91 条信息索取
• 要求：对抗测试/第三方评估/监测
• 推迟：高风险至 2027-12-02
• 已适用：Article 50（2026-08-02）
• 新增禁止：深度伪造/CSAM