EU AI Act 企業準備指南：期限、責任同自查清單

如果你公司有歐盟業務、向歐盟市場提供 AI 產品，或者喺歐盟營運中使用 AI，問題通常唔係「可唔可以用 AI」，而係「呢個具體用法點樣分類」。

先搞清楚：AI Act 改變咗咩

企業以後唔應該只係問：我哋可唔可以用呢個 AI 工具？更應該問：呢個 AI 用例實際上做緊咩？

例如，一個只係幫內部同事撮要文件嘅工具，風險同義務未必等同於一個會預先篩選求職者、評估員工表現，或者協助作出關乎個人機會同權益決定嘅系統。來源資料將 AI Act 描述為分階段落地：先處理禁止 AI 做法，再到一般用途 AI 模型 GPAI 嘅責任，之後係大部分高風險 AI 義務，最後再處理某些已受產品安全規管嘅產品入面所嵌入嘅 AI 系統。

企業可以先用三條問題做框架：

1. 用例： 呢個 AI 具體做咩？用咩數據？對決策有幾大影響？
2. 角色： 你公司係部署者或使用者 deployer、AI 系統提供者 provider，定係 GPAI 模型提供者？
3. 風險： 呢個用法會唔會涉及禁止做法、GPAI、高風險 AI，定只係較低風險應用？

主要期限：放入企業合規日曆

以下時間表唔能夠取代法律意見，但可以幫企業安排盤點、供應商審查同內部治理工作。

真正檢查點：用例、角色、風險

1. 先講用途，唔係先講工具名

唔好由工具品牌開始，而要由用途開始。某產品有 AI 功能，唔代表你已經知道相關義務。關鍵係該應用會唔會評估人、影響人取得機會或服務、控制安全相關流程，定只係支援內部一般工作。

企業應該特別早檢視敏感範疇。來源提到，生物識別、關鍵基礎設施、教育、僱傭同公共服務等範疇，都較容易引出高風險 AI 問題。

2. 你公司到底係咩角色

同一間公司喺唔同 AI 應用入面，可以有唔同角色。買入一個 AI 工具自用時，你公司好多時主要係部署者或使用者。若果你將一個有 AI 功能嘅自家產品推出市場，提供者責任就可能相關。若果你開發或提供一般用途 AI 模型，仲會有 GPAI 模型提供者嘅特別問題。

角色分類好重要，因為義務唔只取決於系統風險，亦取決於你公司係提供 AI、部署 AI，定係作為模型提供者出現。

3. 風險初步分類可以分四步

1. 先排除禁止風險： 如果某用例落入禁止類別，呢個唔係日後先處理嘅合規項目，而係即時要正視嘅問題。
2. 再睇 GPAI 關係： 你公司係自己提供 GPAI 模型，定只係喺某個具體應用入面使用第三方模型？
3. 檢視高風險關係： 用例是否屬於敏感範疇，或者會影響關於個人嘅決定？
4. 檢視產品制度： AI 是否嵌入一件本身已受規管嘅產品，而該產品可能有特別過渡期？

企業而家應該點樣落手做

建立一份 AI register

最實際嘅第一步，係整一份完整 AI register，即 AI 應用登記冊。唔好只記大型策略項目；內部助理工具、買返嚟嘅 SaaS AI 功能、自動化流程、自家產品 feature、用緊嘅模型，都應該入冊。

一份有用嘅 AI register 至少應包括：

• 工具或系統名稱
• 用途同使用部門
• 內部開發定外部供應
• 使用嘅數據類型
• 受影響人士或群組
• 對決策嘅影響程度
• 供應商、內部 owner 同負責團隊
• 初步判斷：是否有禁止風險、GPAI 關係、高風險關係，或者屬較低風險

呢個盤點係之後逐個 use case 檢查角色同風險分類嘅基礎。

敏感 use case 先處理

唔係每一個 AI 應用都需要同等力度處理。應該優先檢視會評估人、影響人取得機會或服務，或者用喺敏感範疇嘅系統。來源點名提到嘅敏感範疇包括生物識別、關鍵基礎設施、教育、僱傭同公共服務。

實務上，呢類場景可能包括 HR 工具、求職者預篩、員工表現評估、安全相關應用，以及協助準備關於個人決定嘅系統。不過，一個具體個案係咪真係高風險，仍然要睇完整工作流程同你公司嘅角色。

先搭好治理同文件底盤

對高風險系統，來源提到嘅要求包括風險管理、技術文件同合規評估。至於邊啲任務實際落喺你公司身上，就要視乎你嘅角色同系統性質而定。 對 AI Act 附件 III 所列嘅高風險系統，完整合規框架由 2026 年 8 月 2 日起適用。

企業可以提早做幾件事：

• 指定業務部門、IT、資料保障、法律同合規負責人
• 為新 AI 工具建立採購同批核流程
• 向供應商索取技術文件、風險資料同合約承諾
• 記錄用途、數據、風險、人手監督安排同重大改動
• 對灰色地帶及早做法律評估

唔好低估 AI literacy

AI literacy 唔只係高風險系統先要理。有來源將 AI literacy 描述為一項廣泛義務，適用於提供者同部署者，不論其 AI 系統風險水平；即使機構只使用最低風險 AI 系統，亦要注意 AI literacy 要求，並避免使用禁止做法。

換句話講，負責揀選、設定或使用 AI 嘅同事，應該知道系統限制、常見錯誤、何時要人手覆核，以及咩資料唔應該隨便輸入。

三個常見企業情境

情境 1：只係內部用 AI 助理工具

重點仍然係用途。純粹內部文字整理或資料搜尋支援，風險判斷通常會同 HR、評估、服務准入或其他敏感流程唔同。不過，呢類工具都應該放入 AI register；即使風險較低，AI literacy 同清晰使用規則仍然有實際需要，亦有來源指出相關要求可適用於低風險情況。

情境 2：你公司做 SaaS 產品，加入 AI feature

咁就要檢查你公司會唔會被視為 AI 系統提供者，以及該 feature 會唔會落入高風險語境。對高風險系統而言，由 2026 年起，風險管理、技術文件同合規評估等要求會特別重要。

情境 3：用 AI 做招聘、評分或客戶支援

招聘同其他僱傭場景應該優先檢視，因為來源將僱傭列為可能受高風險審視嘅範疇之一。 至於評分或客戶支援，就要睇 AI 只係輔助員工，定係實際上準備、影響甚至自動化關於個人嘅決定。無完整工作流程描述，就唔應該草率作最終分類。

下一步自查清單

1. 盤點所有 AI 應用： 記錄工具、模型、產品 feature 同自動化流程。
2. 逐個 use case 初步分類： 先排除禁止做法，再睇 GPAI 關係同可能高風險場景。
3. 釐清公司角色： 每個應用都要分清你係部署者、提供者，定係 GPAI 模型提供者。
4. 優先處理敏感範疇： HR、生物識別、關鍵基建、教育、公共服務，以及其他貼近個人決策嘅流程，要早啲評估。
5. 檢查供應商： 如果 AI 係買返嚟，要問清對方提供咩文件、風險資料、更新機制同合約承諾。
6. 建立治理流程： 定義負責人、批核流程、培訓要求同文件記錄方式。
7. 為高風險系統預留時間： 如可能涉及附件 III 高風險系統，應將 2026 年 8 月 2 日視為重要準備節點。

結語

EU AI Act 對企業最關鍵嘅問題，唔係一句「可唔可以用 AI」就答得晒。真正要答嘅係：呢個具體 use case 係咩、你公司係咩角色、適用邊個風險分類同限期。

如果只係少量內部 AI 工具，工作量未必好大；但 AI register、使用規則同 AI literacy 仍然值得做，而且部分要求本身亦有相關性。 如果你公司喺敏感範疇用 AI、提供 AI 產品，或者本身提供 GPAI 模型，就唔應該等到 2026 年先開始準備。