欧盟的 Artificial Intelligence Act 从 2025 年起分阶段生效，其中针对高风险 AI 系统那一批最重的义务，2026 年 8 月开始可以执法。如果你的马来西亚公司做软件、出口产品，或者有欧洲客户，这条法律可能已经管到你头上。
我们接触过的老板，大多以为这是欧洲人的事。不是。EU AI Act 有域外效力。只要你的 AI 系统在欧盟境内被使用，不管公司注册在哪里，它都算数。
谁需要遵守 EU AI Act？
只要把 AI 系统投放到欧盟市场，或在当地投入使用，就要遵守。这包括开发 AI 系统的 provider、使用它们的 deployer，以及把 AI 产品带进欧盟的进口商和分销商。
你替欧盟客户做带 AI 功能的软件、你的 SaaS 产品有欧洲用户，或者你的 AI 组件流进了一条通往欧盟的供应链，这条法律很可能就管到你。
违规罚款可以去到 1,500 万欧元或全球年营业额的 3%。碰到被禁止的 AI 用途，罚得更狠：最高 3,500 万欧元或全球营业额的 7%，以较高者为准。
EU AI Act 对企业意味着什么？
这条法律把 AI 系统分成四个风险等级：
| 风险等级 | 例子 | 要求什么 |
|---|---|---|
| 不可接受（禁止） | 社会评分、操纵性 AI、公共场所实时生物特征监控 | 完全禁止 |
| 高风险 | 用在招聘、信用评分、医疗、教育、执法的 AI | 风险评估、数据治理、人为监督、文件记录 |
| 有限风险 | 聊天机器人、AI 生成内容 | 必须说明有 AI 参与 |
| 极低风险 | 垃圾邮件过滤、AI 游戏、一般商用工具 | 没有额外规定 |
马来西亚做标准商用软件的科技公司，大多落在有限或极低风险这两档。但只要你替欧盟客户做的东西碰到招聘决定、信用评估或医疗建议，你就进了高风险区。那意味着风险评估、数据治理计划、人为监督要求，还有一整套详细文件。
哪些马来西亚行业受影响？
电子、医疗器械和汽车领域的马来西亚出口商已经感受到了。The Edge Malaysia 报道，主要出口商收到越来越多来自欧盟、要求提供 AI-readiness 文件的询问。
不只是制造业。你的公司如果向欧盟用户提供 AI 驱动的 SaaS 工具、聊天机器人或自动决策系统，一样适用。
我们的看法：当成机会来处理
我们读过的法律分析，大多在讲合规的成本和麻烦。这么讲没错。但视角可以放大一点。
马来西亚的 National Guidelines on AI Governance and Ethics 目前是自愿性质。不过在监管这件事上，各国往往跟着欧盟走。还记得 GDPR 怎么改变了全世界的数据保护法，包括马来西亚的 PDPA 修订吗？我们预期东盟国家几年内会推出类似的 AI 框架。
现在先走一步，等本地法规到位时你就不用手忙脚乱。对那些在意负责任 AI 的客户，这也是加分项，而这群客户正在快速变多。
在 Gotchaa Lab，我们替客户做 AI 方案时，已经把透明度和文件记录的做法放进去，刚好对得上这些要求。不是有谁逼我们。是这样做软件本身更好，而跨境经营的客户看得出来。
现在可以做的事
-
盘点你的 AI 暴露面。把产品和服务里每一个 AI 功能列出来。哪些碰到欧盟用户，或流进了欧盟供应链？
-
确认你的风险等级。European Commission 有一个合规检查工具，可以告诉你系统落在哪一档。
-
开始做记录。就算是极低风险那一档，把 AI 系统怎么运作、用什么数据、谁在监督写下来，你就已经走在大多数公司前面。
不用慌。但也别拖着不管。
在想 AI 法规会怎么影响你的软件？找我们聊聊。哪些管得到你的生意、哪些管不到，我们给你直接的答案。
本文只提供一般资讯，不构成法律意见。具体合规问题，请咨询熟悉 EU AI Act 的合格法律专业人士。
参考资料
- EU AI Act Compliance Checker - European Commission
- Asean exporters need AI-readiness before EU AI Act takes effect - The Edge Malaysia
- EU AI Act: Key Compliance Steps For Malaysian AI Exporters - Mondaq
- We can't ignore EU's AI Act - The Star
- EU Artificial Intelligence Act: Implications For Malaysian Businesses - NZ Chambers
