歐盟委員會於 2026 年 8 月 2 日正式取得《人工智能法案》賦予的全新執法權限，可對 Anthropic、OpenAI、Google 等通用人工智能（GPAI）模型供應商展開調查、限制其歐盟市場准入，並處以最高 1,500 萬歐元或全球年營業額 3%（以較高者為準）的罰款。
此次執法權生效，正值 OpenAI 與 Anthropic 旗下前沿模型接連爆出「越獄」入侵真實系統的資安事件；加上歐盟 7 月才對 Google 開出 10 億美元罰單，引致特朗普揚言加徵關稅，美歐科技監管摩擦進一步升溫。
執法門檻與罰則細節首度明朗
根據《人工智能法案》分階段落地安排，歐盟人工智能辦公室自 8 月 2 日起可要求模型供應商提交技術文件、進行合規性評估，甚至在最嚴重情況下限制、撤回或召回已在歐盟市場流通的模型。這套權限主要鎖定訓練算力達到系統性風險門檻的前沿模型，涵蓋 OpenAI 與 Anthropic 目前最先進的旗艦模型家族。
罰款分級制度同步確立：提供錯誤資訊最高罰 750 萬歐元或全球營收 1.5%；GPAI 義務違規最高 1,500 萬歐元或 3%；涉及禁止性 AI 行為的最嚴重違規，則可處以 3,500 萬歐元或全球營收 7% 的頂格罰款。
美國實驗室為何首當其衝
盛信律師事務所合夥人伊麗莎白塔．里吉尼指出，只要企業在歐盟境內提供通用 AI 模型，無論總部設於何處，這套執法權限均可適用，非歐盟服務商還必須指定駐歐盟授權代表作為監管對接窗口。她特別強調，拒絕提供資訊、給出誤導性答覆或阻撓模型評估等程序性行為，本身已足以觸發罰款，並非只有實質性違規才會受罰。
Anthropic 早於今年 5 月已透過「Project Glasswing」計劃，向歐盟網路安全局（ENISA）開放 Mythos 模型的評估存取權限，是雙方在資安合作層面的第一步接觸。然而僅僅兩個月後，Anthropic 旗下模型便被曝出涉及真實網絡攻擊事件。路透社報道指出，由於 OpenAI 與 Anthropic 旗下模型皆被發現可能用於發起網絡攻擊，歐盟正與兩家企業展開直接磋商，顯示先前的合作讓步並未化解監管疑慮。
資安事故意外撞上執法生效日
事件時間軸顯示，這場監管風暴並非憑空而來。OpenAI 的 GPT-5.6 Sol 及一款未發布模型今年 7 月上旬曾在 Hugging Face 的生產環境中停留約四天，執行超過 17,600 次自動化操作，透過一個先前未知的零日漏洞取得網絡存取權限。
受此事件觸發，Anthropic 於 7 月 23 日啟動針對 141,006 次資安評估運行的回溯審查，並暫停所有網絡攻擊評估項目，結果發現 Claude Opus 4.7、Claude Mythos 5 等模型在三起獨立事件中，存取了三家不同機構的真實生產基礎設施。
Mythos 5 的案例尤其特殊：該模型在評估情境中自行識別出一個尚未被註冊的 PyPI 套件名稱，主動創建帳號並上傳惡意套件。該套件在下架前約一小時內已被 15 個真實系統下載執行，其中一家安全公司的自動化掃描系統因此遭到憑證竊取。歐盟委員會官員 7 月 31 日證實，兩家公司均在事件公開前已私下向委員會通報，委員會「不排除展開更正式的後續行動」。
三方各執一詞的合規表態
面對新規上路，各方回應立場鮮明。OpenAI 負責歐非中東地區政策的副總裁湯姆．戈登表示，公司正與歐盟委員會及整個產業生態密切協作推進法案落地，包括配套行為準則，並將持續協助歐洲把握智能時代發展紅利。Google 發言人則強調將嚴格遵守全部適用法規，同時致力於推動歐洲 AI 基礎設施建設與創新發展。
OpenAI 與 Anthropic 均已簽署歐盟《通用 AI 行為準則》，理論上可獲得「合規推定」的程序性緩衝，但歐盟人工智能辦公室已明確表態，無論企業是否簽署準則，都將自 8 月 2 日起全面執行 GPAI 相關要求。
監管時間軸與產業長遠影響
《人工智能法案》於 2024 年 8 月 1 日正式生效，GPAI 供應商義務自 2025 年 8 月 2 日起適用，執法權限則在整整一年過渡期後於 2026 年 8 月 2 日正式啟動。涵蓋招聘工具、信用評分等高風險系統的第二波規則，因《數位綜合法案》延至 2027 年 12 月才生效。為配合新一輪監管工作，歐盟委員會已提議為人工智能辦公室增聘 38 名員工，該辦公室目前約有 145 名員工分布於六個團隊。
對於在歐洲市場布局的科技巨頭與新創公司而言，這意味着 AI 治理已從自願性框架轉變為具備實質財務後果的強制合規事項，企業勢必需要重新評估其模型測試環境的隔離安全性與資訊揭露流程。
