同一道题，两套答案
AI Agent 监管在 2026 年进入实操期，欧盟和美国走出了两条完全不同的路。这两条路不会短期内收敛，反而会形成”想进欧洲市场就守 EU 规则、想跑美国市场就守 US 规则”的并行格局。搞产品的人必须把这两套账分开算。
欧盟：EU AI Act 进入二级立法
EU AI Act 在 2024 年定下框架，2025-2026 年是二级立法与配套指南密集出台的两年。最值得关注的几条：
- GPAI（通用 AI 模型）透明度义务：训练数据摘要、能耗与算力披露、风险评估报告。所有在 EU 市场上线、参数超 10²⁵ FLOP 的模型必须公开这些信息。这意味着开源大厂也得准备一份给监管的报告。
- 高风险 Agent 强制评估：招聘、信贷、教育、医疗这些场景下的 Agent 必须在 EU 公告机构做合规评估后才能上线，初创团队的合规成本陡增。
- 禁止类用例清单：实时人脸识别（少数例外）、社会评分、操纵性 AI 等被直接禁止——欧盟把”某些用途根本不能做”作为底线。
美国：以”自愿承诺 + 行政指引”为主
美国国会层面没有对应的统一立法，但联邦层靠”AI Bill of Rights”框架 + 各部门行政指引 + 政府采购条款这套组合拳。各州（尤其加州、纽约、科罗拉多）则在隐私和算法歧视上有自己的法规。整体特征：
- 自愿承诺多过强制条款：2023 年白宫与头部厂商签署的自愿承诺（watermark、安全评估、red team 报告）依然是事实标准。
- 版权与训练数据案：NYT、艺术家集体诉 OpenAI 等案子的进展直接影响”训练阶段”合规。2026 年内会有首批判决。
- 联邦贸易委员会（FTC）对 AI 营销”虚假能力声明”开始主动执法，打击”我们的 AI 已经通过医师执照考试”这类过度宣传。
两条路对产品/工程的实际影响
- EU 用户与 US 用户走两套内容审核 pipeline已成事实标准，单一 prompt 不能假定两边都过得了。
- 训练数据审计在两边都被推上台面，”用了哪些数据 / 怎么清洗 / 怎么记录”未来 12 个月内会从加分项变成必答项。
- 实时人工接管（human-in-the-loop）在 EU 高风险场景是强制要求，工程团队不能再把”万一 AI 答错了”交给用户兜底。
- 日志保留 ≥6 个月成为 EU 侧的合规要求；意味着监控系统要重新设计。
给老板的一句话
如果产品里 Agent 是核心组件，且 12 个月内可能进欧洲，**现在就预留 15% 的合规预算**——拖到要进的时候补，价格是 3-5 倍。
