EU AI Act 先把模型分清楚

EU AI Act（欧盟 AI 法案）和 GDPR 管的重点不同。GDPR 管个人信息与数据处理；EU AI Act 则依风险、用途和供应链角色，分层管理 AI 系统与模型。对 Mistral 来说，这些规则也是企业采购时看得见的信任信号。公司全貌可以先看 Mistral 是什么公司。

GPAI 是通用目的 AI 模型（general-purpose AI model），指可被下游拿去写作、摘要、写代码、做客服等多种任务的基础模型。Mistral 在自己的法务中心公布各模型的 AI Act 文件（2026 年 10 月已列入 Mistral Large 4），并把 Vibe 这类产品列为 AI 系统。

EU AI Act 时间表：哪些已经上路

日期开始适用
2025 年 8 月 2 日GPAI 模型义务
2026 年 8 月 2 日聊天机器人、深度伪造等 AI 系统的透明度义务；欧盟 AI 办公室取得执法权
2027 年 12 月 2 日高风险 AI 用途
2028 年 8 月 2 日嵌入产品中的高风险 AI

高风险规则原本更早上路，2026 年 7 月 27 日生效的 Digital Omnibus（Regulation (EU) 2026/1744）把它延后；透明度义务没有延后。这些日期，是欧洲企业的法务、信息安全与风控团队放进采购检查表的时间点。

欧盟委员会在 2025 年 7 月发布 GPAI 行为准则，重点是透明度、著作权与安全。这是自愿性工具，Mistral 是签署方。签了代表 Mistral 愿意按欧盟认可的方式披露模型信息，也能把“我们知道欧盟规则怎么落地”说成产品能力。

训练数据开关：数据主权的产品设计

GDPR 下企业最在意的问题，是数据会不会被拿去训练。依 Mistral 帮助中心（2026 年 8 月更新），Vibe 的输入与输出默认会用来训练模型，用户可以关闭；企业版默认不用于训练，团队方案的管理员也能替整个组织关闭。API 用户另有独立开关，可随时关闭。

换句话说，免费与个人方案默认会训练，企业要的是合同层级的保证。欧洲银行、政府与制造业在意员工输入的合同、客户数据、研发文件会不会变成训练材料，Mistral 把这件事写进企业条款，正好接上 主权 AI 的数据自主需求。

著作权：测试信号不是判决

Patronus AI 2024 年测试中，Mixtral 在 22% 的诱导提示下输出受著作权保护的书籍内容。这是测试信号，不是法律裁决，也不能直接推论侵权责任。截至 2026 年 10 月，未见针对 Mistral 的已确认诉讼。

对企业来说，重点是看供应商怎么披露训练数据、过滤输出、写合同责任。签署 GPAI 行为准则能降低疑虑，但无法让著作权风险归零。

小企鹅的总结

合规要变成护城河，有两个前提：客户真的愿意为数据留欧、可自建部署、DPA 数据处理附件与审计支持付钱；Mistral 的模型能力、价格和部署体验也要足够好，让企业不必为了合规牺牲太多效率。

OpenAI、Anthropic 走闭源 API，模型与产品能力很强；Mistral 则把欧洲语言、数据主权、法规文件与自建部署能力打包在一起，差异可接着看 Mistral 与 OpenAI、Anthropic 的不同打法。合规能打开门，能否留住客户，仍要回到效果、成本与信任。