EU AI Act 先把模型分清楚

EU AI Act（歐盟 AI 法案）和 GDPR 管的重點不同。GDPR 管個資與資料處理；EU AI Act 則依風險、用途和供應鏈角色，分層管理 AI 系統與模型。對 Mistral 來說，這些規則也是企業採購時看得見的信任訊號。公司全貌可以先看 Mistral 是什麼公司。

GPAI 是通用目的 AI 模型（general-purpose AI model），指可被下游拿去寫作、摘要、寫程式、做客服等多種任務的基礎模型。Mistral 在自己的法務中心公布各模型的 AI Act 文件（2026 年 10 月已列入 Mistral Large 4），並把 Vibe 這類產品列為 AI 系統。

EU AI Act 時程：哪些已經上路

日期開始適用
2025 年 8 月 2 日GPAI 模型義務
2026 年 8 月 2 日聊天機器人、深偽等 AI 系統的透明度義務；歐盟 AI 辦公室取得執法權
2027 年 12 月 2 日高風險 AI 用途
2028 年 8 月 2 日嵌在產品裡的高風險 AI

高風險規則原本更早上路，2026 年 7 月 27 日生效的 Digital Omnibus（Regulation (EU) 2026/1744）把它延後；透明度義務沒有延後。這些日期，是歐洲企業的法務、資安與風控團隊放進採購檢查表的時間點。

歐盟委員會在 2025 年 7 月發布 GPAI 行為守則，重點是透明度、著作權與安全。這是自願性工具，Mistral 是簽署方。簽了代表 Mistral 願意照歐盟認可的方式揭露模型資訊，也能把「我們知道歐盟規則怎麼落地」說成產品能力。

訓練資料開關：資料主權的產品設計

GDPR 下企業最在意的問題，是資料會不會被拿去訓練。依 Mistral 說明中心（2026 年 8 月更新），Vibe 的輸入與輸出預設會用來訓練模型，使用者可以關閉；企業版預設不用於訓練，團隊方案的管理員也能替整個組織關閉。API 使用者另有獨立開關，可隨時關閉。

換句話說，免費與個人方案預設會訓練，企業要的是合約層級的保證。歐洲銀行、政府與製造業在意員工輸入的合約、客戶資料、研發文件會不會變成訓練材料，Mistral 把這件事寫進企業條款，正好接上 主權 AI 的資料自主需求。

著作權：測試訊號不是判決

Patronus AI 2024 年測試中，Mixtral 在 22% 的誘導提示下輸出受著作權保護的書籍內容。這是測試訊號，不是法律裁決，也不能直接推論侵權責任。截至 2026 年 10 月，未見針對 Mistral 的已確認訴訟。

對企業來說，重點是看供應商怎麼揭露訓練資料、過濾輸出、寫合約責任。簽署 GPAI 行為守則能降低疑慮，但無法讓著作權風險歸零。

小企鵝的總結

合規要變成護城河，有兩個前提：客戶真的願意為資料留歐、可自架、DPA 資料處理附件與稽核支援付錢；Mistral 的模型能力、價格和部署體驗也要夠好，讓企業不必為了合規犧牲太多效率。

OpenAI、Anthropic 走閉源 API，模型與產品能力很強；Mistral 則把歐洲語言、資料主權、法規文件與自架能力綁成一包，差異可接著看 Mistral 與 OpenAI、Anthropic 的不同打法。合規能打開門，能否留住客戶，仍要回到效果、成本與信任。