AI at Work News
Empat Bulan ke Penguatkuasaan Penuh EU AI Act: Apa yang Perlu Diketahui Setiap CEO
2 Ogos 2026 adalah tarikh peruntukan penguatkuasaan EU AI Act untuk sistem AI berisiko tinggi berkuat kuasa sepenuhnya. Jika syarikat anda beroperasi di Eropah, menjual kepada pelanggan Eropah, atau menggunakan alat AI yang menyentuh keputusan pekerjaan, penilaian kredit, atau pemarkahan pelanggan, tarikh akhir ini terpakai secara langsung kepada anda. Jam sedang berjalan.
Menurut analisis kawal selia terperinci yang diterbitkan oleh LegalNodes, EU AI Act mula berkuat kuasa pada Ogos 2024 dan telah dilaksanakan secara berperingkat. Larangan amalan AI yang diharamkan dan keperluan literasi AI berkuat kuasa pada Februari 2025. Kewajipan tata kelola untuk model AI serba guna bermula pada Ogos 2025. Pencapaian Ogos 2026 adalah apabila penguatkuasaan penuh bermula untuk sistem AI berisiko tinggi — klasifikasi yang menangkap kebanyakan kes penggunaan AI perusahaan yang tidak dianggap oleh syarikat sebagai "produk AI."
Struktur penalti bukan teoritikal. Ketidakpatuhan dengan kewajipan AI berisiko tinggi boleh mengakibatkan denda sehingga €35 juta atau 7% daripada hasil tahunan global, yang mana lebih besar. Bagi syarikat dengan hasil $500 juta, itu berpotensi $35 juta dalam pendedahan daripada alat AI yang tidak anda bina, hanya gunakan.
Andaian yang Menyebabkan Syarikat Bermasalah
Salah faham yang paling biasa tentang EU AI Act adalah ia terpakai terutamanya kepada pembangun AI: OpenAI, Anthropic, dan Mistral AI di dunia. Andaian itu salah, dan itulah yang mewujudkan risiko pematuhan paling banyak untuk perusahaan B2B sekarang.
Kerangka kawal selia AI EU melanjutkan kewajipan kepada pengguna sistem AI, bukan hanya pembangun. Jika anda adalah syarikat yang membeli ATS berkuasa AI untuk pengambilan pekerja, platform pengurusan prestasi AI untuk ulasan pekerja, atau alat keputusan kredit yang tertanam dalam aliran kerja kewangan anda, anda adalah pengguna. Kewajipan pematuhan tidak terletak sepenuhnya pada vendor. Ia juga terletak pada anda.
Ini lebih penting daripada yang kini dihargai oleh kebanyakan pasukan eksekutif. Andaian perolehan B2B standard adalah bahawa vendor SaaS mengendalikan pematuhan mereka sendiri. Di bawah EU AI Act, itu sebahagiannya benar, tetapi kewajipan pengguna tentang pengawasan manusia, dokumentasi, dan pengurusan risiko adalah milik anda untuk dipenuhi tanpa mengira sama ada vendor anda patuh. Kerangka tata kelola AI anda perlu menangani tanggungjawab pengguna ini secara eksplisit — pematuhan vendor dan pematuhan dalaman adalah dua jejak audit yang berasingan.
Apa Sebenarnya Maksud "Berisiko Tinggi" dalam Amalan
Klasifikasi berisiko tinggi EU AI Act bukan berdasarkan betapa canggihnya AI. Ia berdasarkan keputusan apa yang dimaklumkan atau dibuat oleh sistem AI. Alat AI mudah yang menyaring CV untuk pasukan HR adalah berisiko tinggi. Sistem AI kompleks yang mencadangkan topik siaran blog tidak.
Menurut analisis LegalNodes, kategori berisiko tinggi yang paling relevan untuk perusahaan B2B termasuk:
Pekerjaan dan pengurusan tenaga kerja. Alat AI yang digunakan untuk pengambilan pekerja (termasuk penyaringan CV, penarafan calon, dan pemarkahan temu duga), pemantauan prestasi, keputusan kenaikan pangkat, dan proses penamatan jatuh dalam kategori ini. Jika ATS atau platform pengurusan prestasi anda mempunyai lapisan pemarkahan AI (dan kebanyakan yang moden memang ada) anda sedang mengendalikan sistem AI berisiko tinggi. Pertimbangan keselamatan dan pematuhan AI untuk alat ini melampaui dasar privasi vendor — ia termasuk dokumentasi operasi anda sendiri.
Keputusan kredit dan kewangan. AI yang memaklumkan penilaian kelayakan kredit, asal pinjaman, atau pemarkahan risiko untuk produk kewangan adalah berisiko tinggi. Ini melampaui perbankan ke konteks jualan B2B di mana alat AI menyokong keputusan had kredit atau terma pembayaran.
Pendidikan dan latihan vokasional. Sistem AI yang digunakan untuk menilai pelajar, mengesyorkan laluan pembelajaran, atau membuat keputusan tentang akses kepada program pendidikan jatuh di bawah klasifikasi berisiko tinggi.
Penguatkuasaan undang-undang dan kawalan sempadan. Kurang relevan untuk kebanyakan perusahaan B2B, tetapi disertakan untuk kesempurnaan.
Ujian praktikal adalah ini: adakah alat AI anda membuat atau memaklumkan dengan kuat keputusan bermakna tentang seseorang? Jika ya, anggap ia berpotensi berisiko tinggi sehingga pasukan undang-undang anda mengesahkan sebaliknya.
Apa Sebenarnya Keperluan Pematuhan
Memenuhi kewajipan AI berisiko tinggi EU AI Act bukan hanya tentang mempunyai dasar privasi yang menyebut AI. Ia memerlukan proses yang didokumentasikan yang boleh ditunjukkan kepada pengawal selia. Menurut panduan pematuhan daripada SecurePrivacy, keperluan teras untuk pengguna sistem AI berisiko tinggi termasuk:
Inventori dan klasifikasi sistem. Anda perlu tahu sistem AI mana yang digunakan oleh organisasi anda, keputusan apa yang dimaklumkannya, dan sama ada ia menyentuh kategori berisiko tinggi di atas. Kebanyakan perusahaan belum mempunyai inventori ini, dan ia lebih sukar untuk dihasilkan daripada yang kedengaran — kerana ciri-ciri AI kini tertanam dalam berpuluh alat SaaS yang tidak dibeli sebagai "sistem AI."
Penilaian risiko. Untuk setiap sistem AI berisiko tinggi yang digunakan, anda memerlukan penilaian risiko yang didokumentasikan yang merangkumi tujuan yang dimaksudkan sistem, potensi untuk hasil berat sebelah atau diskriminasi, dan kawalan kualiti data.
Mekanisme pengawasan manusia. Sistem AI berisiko tinggi mesti direka bentuk untuk membolehkan semakan manusia yang bermakna sebelum keputusan muktamad dibuat. "AI mengesyorkannya" bukan proses yang mencukupi untuk keputusan pekerjaan atau kredit di bawah Akta.
Dokumentasi tata kelola data. Anda perlu menunjukkan bahawa data yang digunakan untuk melatih atau mengendalikan sistem AI adalah tepat, lengkap, dan tidak berat sebelah secara sistematik. Ini sering kali bahagian yang paling sukar kerana data yang relevan mungkin berada dengan vendor SaaS anda, bukan dengan anda. Untuk pasukan RevOps yang menjalankan alat pemarkahan petunjuk dan ramalan berkuasa AI, senarai semak pematuhan RevOps merangkumi langkah dokumentasi khusus untuk aliran kerja tersebut.
Pengesahan pematuhan vendor. Anda perlu mengesahkan bahawa vendor AI anda (syarikat yang membina alat yang anda gunakan) sendiri mematuhi kewajipan Akta untuk pembangun dan penyedia AI. Jangan andaikan. Minta, secara bertulis, dokumentasi pematuhan mereka.
Jurang yang Belum Ditangani oleh Kebanyakan Pasukan Kepimpinan
Terdapat jurang khusus yang muncul berulang kali dalam perbincangan tentang kesediaan EU AI Act: putus sambungan antara pasukan undang-undang/pematuhan dan fungsi operasi yang sebenarnya menggunakan alat AI.
Kebanyakan pasukan undang-undang perusahaan sedar EU AI Act wujud. Tetapi orang yang tahu alat AI mana yang sebenarnya berjalan dalam perniagaan (dalam HR, operasi jualan, kewangan, dan kejayaan pelanggan) tidak selalu dalam perbincangan undang-undang tersebut. Pemimpin HR yang menaik taraf ATS tahun lalu mungkin tidak tahu ciri pemarkahan AI layak sebagai sistem berisiko tinggi. Pengarah RevOps yang mengkonfigurasi sistem pemarkahan petunjuk AI mungkin tidak sedar ia menyentuh keputusan bersebelahan kredit yang memerlukan dokumentasi pengguna.
Menutup jurang ini memerlukan proses inventori rentas fungsi, bukan semakan undang-undang yang dijalankan secara terpencil. Syarikat yang akan berada dalam kedudukan baik pada Ogos 2026 adalah yang memulakan perbincangan rentas fungsi tersebut sekarang.
Kerangka Tindakan Pematuhan
Ini bukan nasihat undang-undang. Bekerja dengan peguam yang berkelayakan tentang kewajipan khusus anda. Dari perspektif kesedaran eksekutif, berikut adalah urutan yang masuk akal dalam empat bulan akan datang:
Komisen inventori sistem AI. Dalam dua hingga tiga minggu akan datang, minta setiap ketua jabatan menyenaraikan setiap alat AI atau ciri berkuasa AI yang digunakan oleh pasukan mereka, termasuk alat yang tertanam dalam platform SaaS sedia ada. Hasilnya akan mengejutkan anda.
Terapkan ujian klasifikasi berisiko tinggi. Jalankan setiap alat yang dikenal pasti berbanding kategori berisiko tinggi EU AI Act. Konteks pekerjaan, kredit, pendidikan, dan penguatkuasaan undang-undang adalah penapis utama. Pasukan undang-undang anda harus melakukan semakan ini, tetapi mereka tidak boleh melakukannya tanpa inventori terlebih dahulu.
Minta dokumentasi pematuhan daripada vendor. Untuk mana-mana alat yang mungkin layak sebagai berisiko tinggi, hubungi vendor dan minta status dokumentasi pematuhan EU AI Act mereka. Jika mereka tidak boleh menyediakannya, eskalasi kepada pasukan perolehan anda. Pematuhan vendor kini adalah kriteria perolehan, bukan hanya kotak semak keselamatan.
Petakan proses pengawasan manusia anda. Untuk sistem AI berisiko tinggi yang digunakan, dokumentasikan bagaimana semakan manusia sebenarnya berlaku sebelum keputusan bermakna dimuktamadkan. Jika jawapan jujurnya adalah "ia tidak," itulah jurang proses yang perlu anda tangani.
Libatkan peguam untuk penilaian formal. Dengan inventori di tangan dan klasifikasi berisiko tinggi awal selesai, anda mempunyai apa yang diperlukan untuk menjalankan perbualan substantif dengan pasukan undang-undang anda atau peguam luar. Mereka boleh menasihati tentang keperluan dokumentasi khusus dan pendedahan risiko anda.
Apa yang Perlu Dilakukan Minggu Ini
Satu tindakan konkrit: mulakan inventori sistem AI.
Hantar mesej ringkas kepada pasukan kepimpinan anda (HR, RevOps, Kewangan, Produk, Kejayaan Pelanggan) meminta senarai setiap alat AI atau ciri berkuasa AI yang sedang digunakan dalam fungsi mereka, termasuk ciri yang tertanam dalam alat yang sudah mereka miliki. Beri mereka seminggu untuk menjawab. Kompilasi jawapan secara berpusat.
Langkah tunggal ini meletakkan anda lebih kehadapan daripada kebanyakan syarikat yang masih mencari tahu apa yang mereka jalankan apabila Ogos 2026 tiba. Garis masa pematuhan adalah tetap. Garis masa persediaan anda tidak, tetapi ia lebih pendek daripada yang kini dijangkakan oleh kebanyakan eksekutif.
Sumber: EU AI Act 2026 Updates (LegalNodes), kerangka kawal selia EU Digital Strategy, dan panduan pematuhan SecurePrivacy. Artikel ini adalah taklimat kesedaran eksekutif, bukan nasihat undang-undang. Dapatkan khidmat peguam yang berkelayakan untuk nasihat yang spesifik kepada situasi syarikat anda.
