最后 8 天：欧盟存量整改冲刺清单
关于 12 月 2 日的说法至少有三种：高风险系统的合规截止日、存量产品的整改终点、欧盟已经延期了不用管。三种说法都不完全错，但混在一起，就会导致一个结果：该做的事没做，不该慌的事慌了。Digital Omnibus 之后，法律上推后了，商业上没推后——客户合同和招标文件里写的 12 月 2 日依然有效。
上周有个客户问我一句话：12 月 2 日到底要交什么？
他做了三年欧盟生意，产品在五个国家卖，团队里有人专门盯合规。但被问到"这一天你要交给谁、交什么东西"的时候，他答不上来。
这不是他一个人的问题。过去两个月，市场上关于 12 月 2 日的说法至少有三种：有人说是高风险系统的合规截止日，有人说是存量产品的整改终点，还有人说欧盟已经延期了、不用管了。
三种说法都不完全错，但混在一起，就会导致一个结果：该做的事没做，不该慌的事慌了。
这篇文章只做一件事：把 12 月 2 日说清楚，然后给你一份 8 天的清单。
一、12 月 2 日，三个日期别混在一起
先把三条时间线分开。
| 日期 | 含义 |
|---|---|
| 2026 年 8 月 2 日 | AI 法案一般适用，透明度等义务开始执行，新投放产品即须合规 |
| 2026 年 12 月 2 日 | 多数企业合规日历上的存量整改终点，也是大量客户合同、招标文件里写的承诺日 |
| 2027 年 12 月 2 日 | 数字综合法案（Digital Omnibus）调整后，附件三高风险系统核心义务的适用时点 |
关键在于：12 月 2 日的法律含义变了吗？变了。它不重要了吗？反而更重要了。
法律上，高风险系统的核心义务被推后了一年。这意味着你不需要在 12 月 2 日之前完成公告机构评估、CE 标志、欧盟数据库登记这一整套流程。
但商业上，12 月 2 日没有推后。你的客户合同里写着这一天，你的投资人尽调清单里写着这一天，你参加的几个招标文件里写着这一天。客户不会因为你引用了一个欧盟条例的修订就延长付款节点。
更要紧的是，有三类义务从来没有延期：
第一，透明度义务。 AI 生成内容的标识、聊天机器人的告知、深度伪造的披露，这些从 2026 年 8 月 2 日起就在执行。
第二，通用模型相关义务。 上游模型方的文档、下游的信息传递，有自己的时间表，不跟高风险系统的延期走。
第三，你已经对外承诺的事。 网站在合规声明里写了什么、给客户的问卷里答了什么、投标文件里承诺了什么，这些是你自己给自己设的义务。
所以 12 月 2 日的正确理解是：它不再是"高风险合规的交卷日"，而是"你能不能证明自己不是裸奔"的检查点。
二、8 天，只做四件事
不要试图在 8 天里完成一年的合规建设。做不到，而且会把真正该做的事挤掉。
按优先级，只做四件。
| 天数 | 动作 | 产出 |
|---|---|---|
| 第 1–2 天 | 盘产品：每个在欧盟销售的产品，逐一确定风险档位和适用义务 | 一张产品清单，含档位、义务、责任人 |
| 第 3–4 天 | 补文件：把"监管来函时能拿出来的东西"列成清单，缺什么补什么 | 技术文档、风险评估、数据说明的缺口表 |
| 第 5 天 | 上标识：AI 生成内容标识、聊天机器人告知、合成内容披露 | 线上可验证的标识和告知页面 |
| 第 6 天 | 改合同：供应商条款、客户条款里加三句话 | 修订后的合同模板 |
| 第 7 天 | 做演练：模拟监管来函，看能不能在 72 小时内交齐 | 一次演练记录和问题清单 |
| 第 8 天 | 归档：把所有材料放进一个可检索的目录，指定唯一责任人 | 合规档案目录 + 联系人 |
四件事里，最容易被跳过的是第 7 天。
大多数团队的合规材料是"散落在各个人的电脑里"。法务有一份，技术有一份，产品经理有一份。真被问的时候，光找文件就要一周。演练一次，你会发现问题不在"有没有做"，而在"能不能证明做过"。
三、今天就能做、不需要律师的四件事
第一，把产品清单列出来。
不用写得很专业。一张表，四列：产品名、在哪些欧盟国家卖、有没有用到 AI、有没有处理个人数据。这张表是所有合规工作的起点，没有它，后面全是空谈。
第二，检查你的网站。
有没有 AI 生成内容的标识说明？聊天机器人有没有告知用户"你在和 AI 对话"？有没有隐私政策的数据处理说明？这三项是监管最容易从外部发现的问题，也是最容易补的。
第三，翻一遍客户合同。
搜索三个词：AI、数据、合规。看看你有没有承诺过"符合欧盟 AI 法案"这类表述。如果承诺了，你现在需要证明；如果没承诺，考虑要不要加一条责任限制。
第四，指定一个人。
合规最常见的死法不是没人懂，是没人负责。指定一个能调动技术、法务、产品的人，给他一个明确的截止时间。
四、最后一周，五个典型错误
错误一：临时找公告机构。
公告机构的排期是按月甚至按季度排的。最后一周才联系，拿不到评估，还会因为"正在评估中"这个说法给自己制造虚假的安全感。
错误二：临时翻译技术文档。
机器翻译出来的技术文档，术语前后不一致，监管一看就知道是赶出来的。要么提前翻，要么至少找懂技术的人校一遍。
错误三：临时更换欧盟代表。
换代表涉及授权、文档移交、登记更新。最后一周换，中间的空档期就是风险敞口。要换，等这阵过去再换。
错误四：临时改模型或者改用途。
为了让产品"看起来不属于高风险"，在最后一周调整用途描述或者删功能。这种改动会留下版本记录，而且可能触发新的评估义务。用途是设计出来的，不是写出来的。
错误五：发一份"我们已全面合规"的声明。
这句话在 12 月 2 日之后会变成你自己的义务。没有做完的事，写成"已建立合规体系，持续完善中"，比写成"全面合规"安全得多。
五、如果来不及，怎么排优先级
现实一点：大部分团队 8 天做不完。那就按这个顺序砍。
必须做： 产品清单、透明度标识、数据流向说明、一个明确的责任人。这四项是"被问到时能不能开口"的底线。
应该做： 技术文档框架、供应商合同条款、内部演练。这三项决定你被问到时是从容还是狼狈。
可以写进计划： 公告机构评估、CE 标志、欧盟数据库登记、完整的质量管理体系。这些跟着 2027 年 12 月 2 日的新时点走，但要在文件里写清楚"计划什么时候做、谁负责"。
监管不怕你现在没做完，怕的是你既没做、也没有计划、还对外说做完了。
六、一句话
12 月 2 日不是终点，是一次体检。
体检的意义不在于你这一天有多健康，而在于你能不能拿出过去的记录、说清楚现在的位置、给出下一步的安排。延期给的是时间，不是豁免。真正会被追责的，从来不是"还没做完"，而是"说自己做完了"。
相关阅读
冲刺期四件事，你的团队排好顺序了吗？
把当前的整改状态清单发到 [email protected]，可安排 30 分钟免费初步评估，按优先级排出 12 月 2 日前该保什么、该砍什么。
本文为一般性信息分享，不构成法律意见。适用时点与义务范围需结合产品形态和投放安排个案判断，以欧盟官方最终公布的适用安排为准。具体事项请咨询执业律师。转载请联系作者并注明出处。