GPAI 大限 2027/8：模型方与 ToB 团队的义务清单
"底座不是我们训的""我们只提供 API"——这两句话单独听都有道理，放在同一份合同的两端，就变成了一个责任真空：没有任何一方认为自己要对"这个模型最终造成了什么"负责。2027 年 8 月 2 日，存量通用模型的过渡期到期，这条分界线必须在那之前写进合同。
先说一个在项目里反复出现的对话。
做行业模型微调的团队说：底座不是我们训的，通用模型的义务在模型方，我们只是拿它做应用。
模型方说：我们只提供 API，客户怎么用、用在什么场景，不在我们的控制范围内。
两句话单独听都有道理。放在同一份合同的两端，就变成了一个真空：没有任何一方认为自己要对"这个模型最终造成了什么"负责。
欧盟 AI 法案对这个真空是有安排的。它把通用人工智能模型（GPAI）单独拎出来，设了一套上下游分工的义务体系。这套义务的存量过渡期，到 2027 年 8 月 2 日结束。
这个日期，比 12 月 2 日更值得你现在就放进日历。
一、2027/8/2 到底是什么日子
先把时间线摆清楚。
AI 法案对通用模型设了两条线。一条是义务开始适用的时间：2025 年 8 月 2 日。另一条是给存量模型的过渡期：在 2025 年 8 月 2 日之前已经投放市场的通用模型，可以在 2027 年 8 月 2 日之前完成合规。
也就是说，如果你现在用的底座模型是在 2025 年 8 月之前发布的，它享受这个过渡期。但这个过渡期不是"暂时不用管"，而是"最迟到 2027 年 8 月 2 日必须补齐"。
对国内团队来说，这条线有三个现实含义：
第一，你依赖的海外底座，大概率在这条线上。它们的合规进度，会通过文档、合同、API 条款传导到你身上。
第二，2027 年 8 月之后，拿不出技术文档和训练数据摘要的模型，在欧盟市场会变成"不可采购"的供应商。这不是罚款问题，是商业准入问题。
第三，如果你自己做了微调、蒸馏、继续预训练，你可能已经不是单纯的"下游使用者"了。
二、模型方的四项基础义务
通用模型提供者的基础义务，集中在 AI 法案第 53 条。四项，缺一不可。
| 义务 | 具体要交什么 |
|---|---|
| 技术文档 | 按附件十一编制，覆盖模型架构、训练方法、训练数据、评估结果、已知局限 |
| 下游信息 | 按附件十二向下游提供信息，使下游能理解模型能力、限制和合规要求 |
| 版权政策 | 制定并遵守欧盟版权法下的政策，特别是尊重权利人对文本和数据挖掘的保留声明 |
| 训练内容摘要 | 公开一份足够详细的训练内容摘要，说明用了哪些类型的数据、来源如何 |
这四项里，最容易被低估的是第二项。
技术文档是给监管看的，训练摘要是对公众的，版权政策是给权利人看的。只有"下游信息"是给你客户看的。它决定了你的客户能不能合规地把你接进他的产品。
一份写得差的附件十二信息，会让下游无法判断：这个模型能不能用于高风险场景、要不要额外做人机监督、输出要不要标识。下游判断不了，就只能要么不用，要么自己承担全部风险。
三、系统性风险模型，再加四项
如果模型的累计训练算力超过 10 的 25 次方 FLOP，会被推定为具有系统性风险。这个门槛之上，第 55 条再加四项义务。
| 额外义务 | 实质要求 |
|---|---|
| 模型评估 | 采用适当的方法评估模型能力与风险，包括对抗性测试 |
| 风险缓解 | 评估并缓解可能的系统性风险，建立相应的治理与监测机制 |
| 事件报告 | 向 AI Office 和相关主管机构报告严重事件，并采取纠正措施 |
| 网络安全 | 确保模型及其物理基础设施达到适当的网络安全保护水平 |
这四项的共同点是：它们都要求持续运行，不是交一份文件就完事。模型评估要定期做，事件报告要有流程，网络安全要有监测。对国内团队来说，这意味着如果上游是系统性风险模型，你在采购时要问的不只是"能不能用"，还有"出事了你怎么通知我"。
四、ToB 团队的五项义务
这一节是给应用层、集成层、行业解决方案团队看的。
第一，先判断你的角色。
AI 法案第 25 条规定了几种"角色升级"的情形：把通用模型集成进高风险系统、以自己的名义或商标投放市场、实质性修改模型的预期用途。触发任何一种，你就从"部署者"变成了"提供者"，承担提供者的全部义务。
这一步判断错了，后面的合规动作全是白做。
第二，把上游文档要全，并且留存。
附件十二的信息不是"参考资料"，是你履行下游义务的基础。采购时就要写进合同：交付什么文档、什么时候交付、模型更新时怎么通知、文档不完整时怎么处理。
第三，高风险场景下的额外义务。
如果你的应用属于附件三的高风险类别（招聘、教育、信贷、关键基础设施等），义务不是"拿到模型文档"就结束了。你还需要风险管理体系、数据治理、技术文档、日志记录、人机监督、准确性稳定性评估、上市后监测。这些义务在你这儿，不在模型方。
第四，合同要把责任切开。
上下游之间最容易含糊的三件事：模型能力变化导致输出异常，谁负责；监管来问，谁出面；下游客户索赔，谁承担。合同里不写，出事时就是各说各话。
第五，对客户披露要诚实。
你的客户也在做合规。他需要知道你的产品里用了什么模型、有什么限制、有没有做人类监督。你藏着不说，等于把风险转移给他，长期会失去 B2B 客户。
五、合同里必须有的六条
| 条款 | 写法要点 |
|---|---|
| 文档交付 | 明确列出附件十一、十二对应的文档清单，约定交付时点和更新机制 |
| 变更通知 | 模型版本升级、能力变化、已知缺陷，提前多少天通知 |
| 用途限制 | 明确哪些场景不在支持范围内，越界使用的后果 |
| 合规配合 | 监管问询、符合性评估、事件调查时的配合义务和时限 |
| 事件通报 | 严重安全事件、输出异常、数据泄露的通报路径和时限 |
| 责任分配 | 因模型缺陷、因下游误用、因双方共同原因导致的责任划分 |
这六条不是标准模板能解决的。每一家的模型形态、应用场景、客户结构都不一样。但有一条通用原则：谁控制风险，谁承担相应责任；谁掌握信息，谁负责披露。
六、12 个月倒排
距离 2027 年 8 月 2 日还有大约 9 个月。按季度排，节奏大概是这样的。
| 阶段 | 该完成的事 |
|---|---|
| 现在到 2027 年 1 月 | 盘清用了哪些模型、哪些是存量模型、有没有微调或蒸馏、有没有角色升级 |
| 2027 年 2 月到 4 月 | 向上游索取附件十二信息，补齐技术文档，把合同条款谈进去 |
| 2027 年 5 月到 6 月 | 高风险场景完成风险管理、数据治理、人机监督设计 |
| 2027 年 7 月 | 内部演练：监管来函能不能在时限内拿出材料 |
| 2027 年 8 月 2 日 | 存量模型过渡期结束 |
最后一步的演练，比前面所有文档都重要。合规不是"我有一份文件"，是"我能在被问到的当天把文件拿出来，并且文件里的内容和我实际做的一致"。
七、一句话
通用模型把能力批发给了所有人，但没有把责任一起批发出去。
模型方负责模型本身的透明与安全，你负责你的用途、你的场景、你的客户。这条分界线不会因为"模型不是我训的"而消失，也不会因为"我只提供 API"而消失。2027 年 8 月 2 日之前，把它写进合同，比写进 PPT 有用。
相关阅读
你的模型供应链合同分界线清楚吗？
把你与模型方/客户之间的关键条款（可脱敏）发到 ran.yan@kangdalawyers.com，可安排 30 分钟免费初步评估，标出 2027/8 前必须补上的义务条款缺口。
本文为一般性信息分享，不构成法律意见。算力门槛、开源豁免等具体适用需结合模型实际情况判断，以欧盟官方最终公布的实施细则为准。具体事项请咨询执业律师。转载请联系作者并注明出处。