AI Governance Compare

欧盟 vs 中国：AI 与数据法规对比（大白话版）

中文 · English

逐条标注，见正文·核查 2026-10-16

读法：先看第 1 节总表和结论，再按需要往下翻。标 ⚠ 的条目表示未能从官方原文直接核到，请以原文为准。

证据等级（每个对比文件都用这套）。 A = 官方原文 —— 法律、法规、强制性国家标准 —— 且已对着该文件 source 里的链接实测可访问；B = 其他官方来源（监管指南、官方新闻稿、欧委会页面），或对原文的直接、机械的解读；C = 本仓库自己的比较或推断，或尚未对回原文的主张；C 本身不能单独支撑结论，仍未核实的 C 同时保留 ⚠。写作规则与同一张表见 docs/README.md。

0. 一句话抓住差别

欧盟：先立一部大法（AI Act），按风险大小分级，横向管所有行业。 中国：按问题领域逐个出规定（算法、深度合成、生成式 AI……），谁冒头管谁，实操优先。 — C（这是我们的概括，不是法条）

打个比方：欧盟像是在城市里先画一张总的规划图，再按图盖房；中国像是哪里堵车就先修哪条路，路网是长出来的。

1. 总表（一张表看完）

维度 欧盟 中国 等级
立法风格 统一大法 + 风险分级 分领域单行规定 + 逐块补丁 C
AI 主干法 AI Act（2024/1689，2024-08-01 生效） 《人工智能法》仍在立法计划中；先用《生成式 AI 暂行办法》等代管 A
数据保护 GDPR（2016/679，2018-05-25 适用） 个人信息保护法（2021-11-01 施行） A
数据跨境 充分性认定 + 标准合同条款(SCC) + 有约束力公司规则(BCR) 安全评估 / 标准合同 / 认证 三条路（2024 年起放宽） A
内容与标识 AI Act 透明度义务 + DSA 平台责任 深度合成规定（2023-01-10）+ 生成合成内容标识办法（2025-09-01）+ 拟人化互动服务管理暂行办法（2026-07-15） A
平台责任 DSA + DMA（管「守门人」大平台） 算法推荐管理规定（2022-03-01）+ 平台主体责任；应用商店上架前须核验安全评估与备案（2026） A
执法力度 GDPR 最高 2000 万欧 / 全球营业额 4%；AI Act 最高 3500 万欧 / 7% 以责令整改、警告、下架、暂停服务为主，罚款额度相对低 A
域外效力 GDPR 第 3 条有域外管辖，罚过美国公司 个保法第 3 条也写了域外适用，实际执行更靠个案与双边 B
价值取向 基本权利（隐私、非歧视）优先 发展与安全并重（总体国家安全观） C

2. 欧盟侧的 10 条主干道

  1. AI Act（2024/1689）——AI 的「宪法」。按风险分四档：不可接受（禁止）／高（严管）／有限（只要求透明）／最小（基本不管）。 — A
    • 分阶段适用（AI Act 第 113 条，已经 2026 年「AI 综合修正案」修改）：2025-02-02 禁止类条款先行；2025-08-02 通用 AI（GPAI）义务 + 治理 + 罚则；2026-08-02 第 50 条透明度义务；2026-12-02 第 5(1) 条新增 (ba)、(bb) 两项禁止条款（禁止非自愿亲密内容与儿童性虐待材料，第 5(1a)、(1b) 条的条件同日适用）；高风险（附件三）推迟到 2027-12-02；嵌在受监管产品里的高风险（附件一）推迟到 2028-08-02。 — A
  2. GDPR（2016/679）——个人数据保护。跨境传输看第 44–49 条。 — A
  3. 数据治理法 DGA（2022/868）——让公共数据能安全地被再利用。 — A
  4. 数据法 Data Act（2023/2854）——谁有权用联网设备产生的数据（IoT、车、机器）。 — A
  5. 数字服务法 DSA（2022/2065）——平台对违法内容的义务、透明度、算法说明。 — A
  6. 数字市场法 DMA（2022/1925）——盯「守门人」大平台，防垄断。 — A
  7. ePrivacy 指令（2002/58/EC）——cookie、电子通信隐私。为求完整列入，暂无专门卡片。 — A
  8. AI 责任指令 AILD——2022 年提案，已被欧委会在 2025 年工作计划（2025-02-11 通过）中正式撤回，短期内无替代方案；它原本要补的缺口，现在由下面的产品责任指令承接。 — B
  9. 新产品责任指令 PLD（2024/2853）——把软件和 AI 纳入产品责任；2024-12-08 起生效，对 2026-12-09（成员国转化截止日）之后投放市场的产品开始实际约束。 — A
  10. 网络弹性法 CRA（2024/2847）+ NIS2（2022/2555）——数字产品的安全与关键基础设施网络安全的底线。 — A

关键点：欧盟是「一部 AI Act 管 AI，一部 GDPR 管数据，DSA/DMA 管平台」，三层叠着来。

3. 中国侧的 9 条主干道

  1. 网络安全法（2017-06-01 施行；2025-10-28 修正，2026-01-01 起施行）——网络运行安全、关键信息基础设施。本次修正新增 AI 条款（第二十条），并大幅提高罚则，最高可罚 1000 万元。 — A
  2. 数据安全法（2021-09-01）——数据分级分类、重要数据、国家安全。 — A
  3. 个人信息保护法（2021-11-01）——国内版 GDPR，含跨境规则（第 38–43 条）。 — A
  4. 算法推荐管理规定（2022-03-01）——推荐算法要备案、要能关、不能诱导沉迷。 — A
  5. 深度合成管理规定（2023-01-10）——换脸、合成语音必须标识、不得用于造谣。 — A
  6. 生成式 AI 服务管理暂行办法（2023-08-15）——面向公众的生成式 AI 服务要备案、要安全评估、内容要合规。 — A
  7. 人工智能生成合成内容标识办法（2025-09-01 施行，四部门联合发布）——AI 生成的文本/图片/音频/视频/虚拟场景都要「显式 + 隐式」标识。 — A
  8. 促进和规范数据跨境流动规定（2024-03-22 施行）——把出境门槛放宽、明确了哪些情形免评估，配合《数据出境安全评估办法》（2022-09-01）用。 — A
    • 另有 科技伦理审查办法（试行）（2023-12-01）⚠ 作为伦理侧兜底。 — C
    • 《人工智能法》：连续进入国务院立法工作计划，截至目前尚未出台 ⚠。 — B
  9. 人工智能拟人化互动服务管理暂行办法（五部门令第 21 号，2026-07-15 施行）——第一部盯着 AI 陪伴本身而不是 AI 内容的规则：不得诱导情感依赖与情感操纵、不得向未成年人提供虚拟亲属/虚拟伴侣、连续使用每超过 2 小时要提醒、交互数据可复制可删除、属于敏感个人信息的交互数据未经单独同意不得用于模型训练。 — A

关键点：中国是「网络安全法 + 数据安全法 + 个保法」三根柱子打底，AI 这一层靠一部部部门规章去补。

4. 八个维度细看

4.1 管的「东西」不一样 — A

4.2 对生成式 AI 的态度 — A

4.3 数据跨境（最容易卡企业的地方） — A

4.4 处罚 — A

4.5 平台 — A

4.6 权利语言 — C （这是我们的概括框架，不是法律主张）

4.7 谁在执法 — A

4.8 对「AI 生成真人亲密内容」这类事 — A

5. 为什么「跨境治理」是最难的一块

一句话：法律是国家的，互联网是跨国的。

有些社交 Agent 产品提出「授权 / 撤销 / 身份 / 审计」的思路，恰好是绕开立法、用产品机制解决「发现 ≠ 联系许可」——可作参考，但要问清：数据存哪、受哪国法律管、被审计时给谁看。

6. 给你（做研究）的三个可切入点

  1. 标识制度的比较：中国 2025-09 的标识办法 vs 欧盟 AI Act 的透明度义务——谁更细、谁更可执行？ — C
  2. 跨境执法缺口：以「AI 生成真人亲密视频」为例，写清两国法条都管得住、但都够不着境外平台的机制。 — C
  3. 专家身份的落点：这类比较最适合变成「评估报告 / 标准建议」，正好是你想走的路。 — C

7. 局限与待核实 ⚠

8. 官方来源（可自查）