欧盟首次动用《AI 法案》执法权：第 91 条信息索取，要求 30+ 企业提交安全证据

背景

2026 年 9 月 5 日，Securing.AI 拆解 EU AI Act 安全条款。8 月 29 日欧盟 AI 办公室向 GPAI 提供方发出 RFI，要求说明三点：模型如何防御攻击、是否有独立外部评估、发布后如何监测。委员会 9 月 1 日确认已致函 30+ 家企业（安全/网络与版权/透明两条线）。委员会动用的第一项执法工具（第 91 条信息索取）要的是对抗测试结果、第三方评估证据与上市后监测记录——本质是安全工程产物。与此同时，Digital Omnibus 把 Annex III 高风险义务推迟到 2027-12-02 与 2028-08-02，但透明度等条款按期生效，被忽视的 Article 50 已于 2026-08-02 适用。

核心要点

• 首份执法文书（第 91 条）要安全证据
• 要求：对抗测试 + 第三方评估 + 上市后监测
• 覆盖 30+ 家 GPAI 提供方
• Digital Omnibus 把高风险义务推迟到 2027/2028
• 透明度（Article 50）已于 2026-08-02 适用
• 新增禁止深度伪造/性虐待材料条款

为什么重要

给所有用 AI 的企业敲警钟：把 AI Act 当成「法律审查 + 写政策文档」远远不够，真正被执法的是安全工程产物。CISO 须把对抗测试、红队、上市后监测做成可审计记录；否则合规努力在法律生效日已是「做错了两件事」。

关键事实速记

• 发布：2026-09-05
• 工具：第 91 条信息索取
• 范围：30+ 企业
• 要求：对抗测试/第三方评估/监测
• 推迟：高风险至 2027-12-02
• 已适用：Article 50（2026-08-02）