12 月 2 日之后：2027 年才是主战场
12 月 3 日早上，很多团队的合规群会安静下来：材料交了、会开完了、预算结掉、人调回业务线。这个动作在 2026 年是对的，放在 2027 年会很贵。因为 12 月 2 日从来不是终点，它是欧盟 AI 法案这套规则真正开始运转的分界线——在此之前大家在准备，在此之后，规则开始被使用、被执行、被写进合同。
12 月 3 日早上，很多团队的合规群会安静下来。
该交的材料交了，该开的会开完了，项目群里最后一条消息是"辛苦了，先告一段落"。预算结掉，人调回业务线，文档存进某个共享盘，等明年再说。
这个动作，在 2026 年是对的。放在 2027 年，会很贵。
因为 12 月 2 日从来不是终点。它是欧盟 AI 法案这套规则真正开始运转的分界线——在此之前，大家在准备；在此之后，规则开始被使用、被执行、被写进合同。
一、2027 年，三个日期在等着
| 日期 | 会发生什么 |
|---|---|
| 2027 年 8 月 2 日 | 通用模型存量过渡期结束，2025 年 8 月前投放的模型必须完成合规 |
| 2027 年 12 月 2 日 | 附件三高风险系统的核心义务适用，包括风险管理、技术文档、人机监督、上市后监测 |
| 2028 年 8 月 2 日 | 附件一产品类 AI（机械、玩具、医疗器械等嵌入 AI 的产品）的合规义务适用 |
三个日期，对应三类完全不同的企业。
做通用模型和微调的，看第一个。做招聘、教育、信贷、关键基础设施应用的，看第二个。做智能硬件、医疗器械、工业设备的，看第三个。
如果你的产品横跨两类，按最严的那个准备。
二、为什么说 2027 才是主战场
四个原因。
第一，延期改变的是时间，不是方向。
数字综合法案把高风险义务推后了一年，很多人读成"欧盟松了"。实际发生的是：立法者承认产业准备不足，给了一年缓冲。缓冲期的意思是"你还有一年把事做完"，不是"这件事不用做了"。
而且延期期间，透明度义务、通用模型义务、成员国的消费者保护执法，一天都没停。
第二，监管机构在这一年里完成了能力建设。
AI Office 在 2025 年就已经开始运转，成员国的市场监督机构在 2026 年陆续指定。到 2027 年，这些机构会有编制、有预算、有执法流程、有第一批案子。执法的确定性会大幅上升。
第三，第一批案例会形成事实标准。
法律条文写"适当的人机监督"，什么叫适当？写"足够详细的技术文档"，多详细算够？这些问题不会由立法回答，会由第一批监管决定和法院判决回答。2027 年之后，答案会逐渐清晰，而清晰意味着"不能再按自己的理解做了"。
第四，客户会把合规变成采购条件。
这是最容易被低估的一条。当你的大客户自己开始被审，他会把压力传给你。合同里会出现这样的条款：供应商应证明其产品符合欧盟 AI 法案；供应商应在监管问询时提供技术文档；因供应商不合规导致的罚款由供应商承担。
到那时候，合规不再是一个"要不要做"的选择，而是一个"能不能进供应商名单"的门槛。
三、这 12 个月，做四件事
第一件：把文档变成系统，不是一堆文件。
现在很多团队的合规文档，是为了应付某个时间点赶出来的。赶出来的东西有三个特征：版本混乱、没人维护、和实际产品对不上。
真正有用的文档体系，要能回答三个问题：谁维护、多久更新一次、产品变更时怎么同步。做不到这三点，文档越多，风险越大。
第二件：把质量管理体系建起来。
高风险系统的义务里，最难速成的是质量管理体系。它不是写一份手册，是研发流程、变更管理、测试记录、供应商管理、上市后监测这一整套东西的运转方式。
这套东西建起来要 6 到 12 个月。2027 年 12 月要用，现在就该动。
第三件：把供应链合同谈一遍。
上游模型方给你什么文档、什么时候给、模型升级怎么通知、出问题谁负责。下游客户要求你承诺什么、承诺的边界在哪里、超额责任怎么限制。
这两头的合同，决定了你在监管和商业纠纷里的位置。等到出事再谈，谈判筹码是零。
第四件：做市场准入的取舍。
不是所有市场都值得进。有的市场合规成本高、规模小、监管严，进去就是负毛利。有的市场可以用"合规"作为差异化，反而能卖出溢价。
这个判断要基于数据做，不是基于感觉。把每个市场的合规成本、准入周期、客户付费意愿算一遍，该放弃的早点放弃。
四、四类企业，四种打法
| 企业类型 | 2027 年的重点 |
|---|---|
| 通用模型方 | 技术文档、训练数据摘要、版权政策、系统性风险评估，四件事都要能持续运行 |
| 应用层/集成层 | 角色判断（是不是升级为提供者）、上游文档获取、高风险场景的完整义务 |
| 智能硬件 | 附件一产品法规的衔接，CE 体系与 AI 义务的合并管理，供应链追溯 |
| 出海服务商/代运营 | 你不能替客户承担合规义务，但你可以帮他做；合同里必须写清边界 |
最后一类要特别说一句。很多代运营、SaaS 服务商、出海服务公司，会在合同里写"我们负责客户的合规"。这句话很危险——合规义务在法律上属于投放市场的主体，不属于服务商。你可以提供服务，但不能承接责任。写错了，赔的是自己。
五、三个预判
预判一：合规成本会从"项目费"变成"固定成本"。
现在是请律师做一次评估、做一套文档、交一次差旅。2027 年之后，会变成每年固定的预算：文档维护、体系审核、监测、培训、外部评估。企业要按"年度合规预算"来做财务安排，而不是按"一次性项目"。
预判二：大客户会向下游传导压力。
欧盟的执法资源有限，会优先打大企业。大企业为了自保，会把合规要求写进采购合同，压力顺着供应链往下走。中小供应商会在 2027 年第一次感受到"我被客户审了"。
预判三：会出现一批"合规套利"服务。
卖模板的、卖证书的、承诺"包过"的、声称"有关系"的。这类服务在每一个新监管周期都会出现。判断标准很简单：合规的产物是"你能证明自己做了什么"，不是"你拿到了一张纸"。 任何不问你产品、不问数据、不问用途就报价的，基本可以排除。
六、一句话
2026 年 12 月 2 日考的是"你有没有开始"，2027 年 12 月 2 日考的是"你有没有建成"。
开始可以靠冲刺，建成只能靠时间。这一年看着很长，扣掉春节、扣掉业务旺季、扣掉决策链条，真正能干活的时间不到八个月。
现在把项目组解散，明年三月重新启动，会发现所有事情都要从头再来一遍——而这一次，没有缓冲期了。
相关阅读
2027 年的合规预算，现在就该定了
把 2027 年的产品路线图和欧盟业务计划发到 [email protected]，可安排 30 分钟免费初步评估，按三个关键日期倒排出 12 个月的任务表与预算量级。
本文为一般性信息分享，不构成法律意见。时间表以欧盟官方最终公布的适用安排为准，具体义务需结合产品形态个案判断。具体事项请咨询执业律师。转载请联系作者并注明出处。