2026年8月2日，欧盟《人工智能法案》进入可执行阶段。过去两年被合规顾问画在路线图最上面的那些义务，也就是高风险系统的风险管理、技术文档、合格评定，恰恰不是这一天开始生效的。
原因是时间差。2026年7月27日，被称为“Digital Omnibus on AI”的(EU) 2026/1744号条例生效，赶在主要适用日之前几天修改了法案：附件三的高风险义务推迟到2027年12月2日，附件一（嵌入受监管产品的高风险系统）推迟到2028年8月2日。法案的总体适用日期没有变，仍然是2026年8月2日。这两句话同时成立，而风险正存在于它们之间的时间差里。
8月2日真正生效的是什么
三件事。第一，欧盟委员会通过AI Office获得对通用人工智能模型提供商的调查和处罚权，罚款上限为1500万欧元或全球营业额的3%。第二，第50条的透明度义务开始可执行。第三，处罚框架全面运转，各成员国的市场监管机构可以对已经生效的条款执法：禁止性做法（比如社会评分）最高罚款3500万欧元或全球营业额的7%；其他合规义务最高1500万欧元或3%；向公告机构或监管机构提供不准确、不完整、误导性信息则适用更低一档罚款。
禁止性做法和AI素养义务其实从2025年2月2日就已经适用。Omnibus把素养要求放宽了：现在只需要“采取措施支持员工AI素养的发展”，不必保证达到某个具体水平。
第50条几乎涉及每一家公司
从8月2日起，任何提供与人交互系统的一方，都必须让人能识别出这是人工智能，除非语境已经很明显。使用情绪识别或生物特征分类的，要告知当事人。使用AI生成深度伪造内容，或生成面向公众、涉及普遍利益话题的文本，要明确说明。一家用AI辅助写稿的报纸，正好属于这一范围。
实际范围比很多人想的宽：客服聊天机器人、语音助手、虚拟形象、AI生成的图像和视频、合成音频、AI辅助的编辑内容。有一处例外值得记住：第50条第二款对合成内容打水印的要求，对2026年8月2日前已经投放市场的系统不立即适用，从2026年12月2日起才适用。但面向人的披露，要求现在就开始。
这大概是整部法规里成本最低的一条合规措施。忽视它，在董事会上很难解释。
部署方什么时候变成提供方
上面的执法权不只是给做基础模型的大厂的。在法案下，部署方可能被重新认定为提供方：为满足自身需要对系统做定制、用自己的数据训练或微调、以自己的名义或商标投放市场，都会触发重新认定。对高风险系统做实质性修改也一样。
后果不是换个称呼。重新认定意味着从部署方那套相对轻的义务，进入完整的提供方制度，包括文档、合格评定、执法风险和前面提到的罚款。
现实里这件事在安静且大量地发生。一家银行拿商用模型在自己的客户对话上微调；一家零售商给对话助手贴上自己的品牌；一家软件公司把第三方模型嵌进自己的产品、用自己的品牌卖。每一个都是重新认定的候选，而多数组织里没人问过这个问题。
已经启动的调查
执法不是假设。2026年6月，AI Office启动了第一轮正式调查，针对三类在欧洲市场部署的系统：招聘工具、信用评分、学生监控。这三类的共同点很清楚：它们都在对个人做出决定，或实质性地影响这些决定。
通用人工智能模型的义务也不是新的：从2025年8月起，模型提供方就要承担对下游的透明度、训练数据版权等义务；超过10^25 FLOPs算力门槛的八个基础模型，已经被要求每月向监管机构提交系统性风险评估。这是持续报告，不是一次性认证。
该做什么
先盘点：把所有在用的AI系统列出来，包括那些没走正式审批就装上的工具，标上所有者和用途。再定角色：法律、IT、合规、审计、风险管理和业务线各自负责什么。然后检查：有没有在用的禁止性做法，定制或贴牌有没有把自己变成提供方。接着披露：聊天机器人、语音助手、AI生成内容，该标的标上。同步做素养培训。高风险的那部分工作从现在开始准备，不要等到2027年12月。
我的判断是：8月2日并不是市场预期中的那道临界线，对多数公司来说，它根本不是临界线。它是开始计算合规成本的日子，而这项成本从2025年2月就开始累积了。