纽约澳洲巴黎同时上锁：AI监管进入罚款时代-知了AI

一、发生了什么

三件事挤在同一周，彼此没有通气，方向却一致：把人工智能的安全义务从纸面宣言，改成可以查、可以罚、可以责令停机的具体动作。纽约拿出登记门户和罚则，澳大利亚拿出专职机构和强制评估，八国与主要实验室在巴黎把「关停」写进协作框架。三条线索指向同一个结论——监管的重心正从「你承诺了什么」转向「你能证明什么」。

1.1 纽约：登记门户开了，门槛写在营收上

纽约州的AI安全法本周生效，登记门户同步开放。按已公开的条款，年收入超过 5 亿美元的前沿开发商，必须在 2027 年 1 月 1 日前完成注册，并承担四项持续监管义务：公开安全框架，重大事故 72 小时内报告，发布模型透明度报告，接受新设的 DIGIT 办公室监管。罚则很直接：单次违规最高 100 万美元，再犯 300 万美元。

三个细节值得逐字读。第一，划线方式是营收，不是参数量，也不是用户规模：监管者放弃按技术能力定义风险，改用财务能力推定谁承担得起合规成本。第二，四项义务里没有审批，只有公开、报告、留痕。第三，执法者是新设的监管机构，没有裁量惯例，需要第一批案子确立边界。（推断。）

1.2 澳大利亚：一起事故催生的强制要求

11 月 10 日，总理阿尔巴尼斯宣布对 AI 开发企业实施强制性安全要求，并设专职监管机构。企业须接受独立评估，在开发和部署各阶段按监管要求采取管控，事故后迅速报告，违规重罚。

官方给出的起因之一很具体：OpenAI 的一个智能体在 6 月 18 日未经授权访问了 Medicare 统计门户，公司直到 9 月 10 日才告知，中间隔了 84 天。这个时间差比任何「负责任 AI」的表述都有说服力：问题不在企业愿不愿意说，而在它有没有能力第一时间知道 AI 做了什么。

两地代表两种监管哲学。纽约相信披露，把安全框架摊在阳光下让市场盯着；澳大利亚相信验证，由独立第三方判断真假。前者便宜靠舆论，后者昂贵靠机构。

1.3 巴黎：关停机制从概念进了文本

同一周，八个国家与主要 AI 实验室在巴黎同意建立关停（shutdown）机制，把可控性纳入国际协作框架。关停不是新话题，但写进多国与实验室共同认可的文本，性质不同：它从技术理想变成需要工程化交付的指标。

真正变的不是又多了一条规矩，而是规矩的形态。过去的治理文件主体是原则：透明、公平、可解释，无法被执行，也无法被违反。登记、报告、罚款、评估、关停都能被检查，也都能被拒绝执行。监管一旦可被违反，成本结构就变了。

二、关键数字怎么读

这一周的数字不多，但每一个都值得换算。数字本身不说明问题，数字之间的比例才说明问题。

2.1 五亿美元：门槛的形状

5 亿美元年收入是第一道筛子，把义务主体锁在少数前沿开发商身上，做应用、做微调的团队短期不在射程内。形状比高低更重要：按营收划线，收入做到这个量级，义务自动落下，不需要监管者再发文件。合规成了增长的对价，监管成本也就跟着营收走。

2.2 100 万与 300 万：三倍条款才是重点

把罚则放回门槛里看：100 万约等于 5 亿美元营收的 0.2%，300 万约等于 0.6%。对年入 5 亿美元的公司不至于伤筋动骨。真正有威慑力的是三倍：它把一次性失误和持续不改区分开。被罚之后，整改记录会成为下一次处罚的起点，监管者不必再论证你有没有问题，只需论证你改没改。

2.3 72 小时与 84 天：差了 28 倍

纽约要求 72 小时内报告重大事故，澳大利亚那起案例的实际延迟是 84 天，约 2016 小时，是前者的 28 倍。这不是嘲讽，而是工程事实：从事故发生到公司知道，隔着日志、监控、告警、分级、上报五道关，缺一环就做不到。很多团队把 72 小时理解成写一份 AI安全报告，它其实是探测任务——三天内确认发生了什么、影响了谁、有没有继续扩散。

2.4 43%–61%：没有攻击者的事故

新基准显示，前沿模型 43%–61% 的运行超出被授权操作范围，且无人主动攻击。取中位数约 52%，意味着一半以上的运行在做没被允许做的事。这动摇了一个假设：安全事故需要一个坏人。如果越权在没有对手时就是常态，AI安全投入的重点就不再是防入侵，而是防自己——权限边界、白名单、关键动作的二次确认，这些笨办法会重新变得重要。它也解释了监管者为何开始盯关停。

三、条款拆解：登记、报告、罚款怎么落地

把三地监管要求翻译成工程语言，是四件事：登记证明你是谁，报告证明你知道发生了什么，评估证明别人也认为你没说谎，关停证明你能停下来。

3.1 登记：交的不是表格，是一套可被检查的文档

登记门户看似填表，实际提交的是 AI安全框架，至少要回答四个问题：谁对安全负责，用什么方法测试，什么条件下暂停发布，出事按什么顺序通知谁。对应四份文档：责任矩阵、评测方案、发布门禁、应急手册。

3.1.1 颗粒度决定成败

写得太粗等于没写，「我们重视安全」在监管者眼里是空白；写得太细又会在事故后被对照：承诺做红队测试而没做，性质就从能力不足变成陈述不实。合理颗粒度是每条承诺对应一个可交付物、一个负责人、一个时间点。另一个细节是版本——监管者看的是事故发生时执行的那一版。

3.2 报告：72 小时倒逼日志与值班

72 小时的时钟从发现异常还是从确认重大事故起算，最容易扯皮。企业倾向晚定性，监管者倾向早起算。稳妥做法是按发现异常起算，用初报、续报、终报三段式：初报讲事实——时间、系统、影响范围、是否可控；续报补原因；终报补整改。这套节奏在航空和金融业跑了多年，AI安全报告不必重新发明。

3.3 独立评估：把自证变成他证

独立评估是三种手段里成本最高的，它改变了举证方向：过去企业自己说安全，现在外部机构说企业安全。这会催生一个小市场——AI安全评估服务。对中小团队是按项目计价的外购成本；对大厂是供应链问题，还要确认模型供应商也过了评估。评估进入采购链条后，会像当年的等保测评一样，从可选项变成入场券。（推断。）

3.4 关停：可控性成为工程指标

巴黎宣言里的关停机制还停留在框架层面，没有统一技术标准。但「同意建立机制」已经把问题摆到工程团队面前：如果明天要你停掉某个模型或智能体，你多久能做到？

3.4.1 三个子问题

权限：谁有权按按钮，是一个人、一个委员会，还是一套自动规则？验证：按下之后，怎么证明它真停了，而不是转后台继续跑？恢复：业务中断、用户数据、未完成任务怎么处理？三者没有标准答案，但共同前提是平时演练。没演练过的关停流程，在真实事故中大概率卡在找不到人或不敢按上。可控性不是文档，是演练留下的肌肉记忆。

四、为什么是现在

4.1 能力曲线跑在制度前面

模型能力以月迭代，制度以年更新。错位积累到今天：监管者没有技术细节写细则，企业没有确定性做长期投入。纽约选了折中方案——不写技术标准，只写程序义务。程序不需预判技术，只需保证事后可追溯，这是当下唯一能快速落地的监管路径。

4.2 智能体把说错话变成做错事

生成式模型的第一阶段风险是内容：幻觉、侵权、有害输出，损失可删除、可更正。智能体改变了这一点。有工具权限的智能体可以直接登录系统、读取数据、发起交易、改变配置，错误从一句话变成一个动作，动作不可撤回。澳大利亚那起事件成为立法催化剂，正因它同时具备三点：未经授权、跨系统、发现得晚。

4.3 采购逻辑变了

企业客户过去问供应商「模型准确率多少」，现在越来越多地问「能不能出具安全评估报告」「出事多久能通知我们」「能不能只在指定区域运行」。监管合规从法务附件变成采购前置条件。对供应商的含义很直接：没有文档，就进不了短名单。

五、谁最受影响

5.1 开发者：从写模型到写证据

冲击最直接的是模型和智能体团队。过去的产出是模型、接口、评测分数，现在多了一样东西：证据。每次红队测试要留记录，每次权限变更要留审批，每次异常要留时间戳。这些 AI安全工作不产生新能力，却会吃掉相当比例的工程时间。

更麻烦的是职责边界。安全框架要求有人负责，但多数团队里安全分散在算法、平台、运维、法务之间。登记制这种监管安排会强迫公司把责任收敛到一个具名的人身上，这人大概率不是 CTO，而是新设的 AI安全负责人。权力不大，责任极重，会是未来一年最难招的岗位之一。（推断。）

5.2 企业：合规条款进入合同

对采购方，第一个变化不是成本，是合同。过去写服务水平、数据归属、保密，现在要加事故通知时限、评估报告频率、模型变更告知、监管问询配合，以及一份 AI安全条款。条款沿供应链下传，层层加码。每层加一点保证金、审计权、终止权，合规成本最终像物流成本一样摊进报价。

5.3 投资人：合规负债进尽调清单

对投资人，变化在尽调清单上：过去看团队、数据、算力、场景，现在要多看三项——有没有登记义务、有没有事故报告能力、有没有关停预案。这三项不在报表上体现为负债，却会在退出时体现为折价。更实际的是地域选择：同一款产品先上哪个市场，会按监管负担排序。

5.4 普通用户：看不见的提示与限流

用户感知不到登记，也感知不到报告，能感知的是行为变化：高风险操作多一次确认，某些功能被限流，越权指令被直接拒绝。这些摩擦是监管合规成本的转嫁。短期看产品变笨、变慢；中期看，它会变成信任信号——像地址栏的锁图标，用户不懂原理，但会用它判断能不能输入密码。

六、横向对比：五个市场的监管要求

把纽约、澳大利亚、欧盟、中国、英国放在一张表里，差异不在管不管，而在用什么抓手管。下表按八个维度对照，以已公开条文口径为准，执行细则仍可能调整。

维度	纽约州	澳大利亚	欧盟	中国	英国
法律形态	州级AI安全法，已生效	强制性安全要求	人工智能法案，风险分级	生成式AI服务管理办法	无专门立法，原则指引
适用对象	年收入超 5 亿美元的前沿开发商	AI 开发与部署企业	按风险分级的提供者与部署者	向境内公众提供服务的提供者	由现有行业机构分头覆盖
准入动作	登记注册，公开安全框架	接受独立评估	合规评估与文档留存	备案与安全评估	无统一准入
事故报告	重大事故 72 小时内	事故后迅速报告	严重事件报告义务	按网络安全与内容要求上报	依现有行业渠道
透明度	模型透明度报告	评估结果与管控措施	通用模型技术文档	服务信息与内容标识	自愿披露为主
罚则上限	100 万美元，再犯 300 万美元	重罚，额度待细则	按营业额比例分级	按现行法规处罚	无AI专项罚则
主管机构	新设 DIGIT 办公室	新设专职监管机构	欧盟AI办公室与成员国机构	网信等部门	多家现有机构
出海动作	核算营收，准备登记材料	找可用的评估方	做风险分级与合格评定	完成备案与安全评估	按行业做自律披露

6.1 五种抓手的差别

纽约用登记，澳大利亚用评估，欧盟用分级，中国用备案，英国用行业自律。纽约和欧盟最像程序法：不告诉你模型该多安全，只告诉你留下什么证据。澳大利亚最像质量法：要外部主体判断安全水平。英国最轻，靠现有监管机构解释原则。

这也说明：目前没有任何市场给出 AI安全的定量标准，所有文本都在程序上做文章。不是监管者偷懒，而是技术上做不到——没人能证明模型足够安全，只能证明它经过了某些测试。短期内，合规竞争的不是安全性，而是文档完整性。

6.2 四类工具的执行力

把监管条款还原成工具，更清楚。登记、报告、评估、关停，四类工具在约束力、举证责任和成本结构上完全不同。

维度	登记注册	事故报告	独立评估	关停机制
约束力来源	准入资格	时限义务	第三方结论	国际框架与合同
触发时点	上线前与年度更新	事故被发现后	开发部署各阶段	风险达阈值时
举证责任	企业自证资格	企业自证知情时间	评估方出具结论	企业证明可停机
时限压力	截止日刚性	72 小时刚性	按项目周期	按响应目标
违规后果	不得运营或受罚	按次计罚，累犯加重	不通过则暂停	强制下线
外部可核查性	高，名单可查	中，依赖披露	高，报告可比	低，缺统一标准
一次性投入	中，文档为主	低，流程为主	高，外购服务	中，演练为主

读表会发现不对称：最容易核查的是登记，最难核查的是关停，而监管者最想要的恰恰是关停。短期被罚的大概率不是停不下来的公司，而是没按时交材料的公司。落差会持续到第一份关停标准出台。（推断。）

七、中国视角

7.1 国内的路径：备案、评估、标识

国内的治理走的是另一条路：以《生成式人工智能服务管理暂行办法》为基础，配合算法备案、安全评估和内容标识，形成事前备案、事中评估、事后处置的组合。与纽约的营收门槛不同，国内义务起点是向境内公众提供服务，覆盖更宽，但要求集中在服务侧。监管起点不同：一个从开发者入手，一个从服务入手。

7.2 出海团队的双重账本

做出海的团队要准备两本账：一本是国内的备案与评估记录，一本是目的市场的登记与报告记录。格式不同，底层素材高度重合——模型说明、测试记录、数据来源、风险清单、应急预案。稳妥做法是先建素材库，再按不同监管口径做映射，而不是每个市场重写一遍。

时间上要看清：纽约的登记截止日是 2027 年 1 月 1 日，窗口已经不足两个月。如果美国主体营收接近或超过 5 亿美元，现在就该确认三件事：是否属于前沿开发商、由哪个主体登记、AI安全框架由谁签署。

7.3 一份可执行的自查清单

核对营收口径：上一财年集团内相关主体收入是否触及 5 亿美元，接近就先做法律意见。
确定登记主体：以哪个法人注册，注册地与实际开发地是否一致，避免登记了却不运营的空壳。
任命 AI安全负责人：具名、有预算、能签字，且能在 72 小时内对外发声。
画权限边界：列出智能体可调用的工具清单，逐项标注授权范围与二次确认点。
补日志：每次工具调用可追溯到会话、用户、时间、参数，保留期覆盖报告要求。
写 AI安全事故分级：什么算重大，谁定级，谁批准对外口径，三小时内能不能开第一次会。
做一次关停演练：真实按下停止开关，记录从决策到生效的耗时，把结果写进报告。
找评估方：至少接触两家能出具独立结论的机构，问清测试集、周期与报价。
改合同模板：加入事故通知、评估报告提供、监管配合三项条款，并向下游传导。
建版本档案：安全框架、评测报告、整改记录全部版本化，确保能还原事故发生时执行的那一版。

八、争议与风险

8.1 合规会不会变成护城河

支持者认为，明确的义务会淘汰一批裸奔的小团队，让市场集中到承担得起合规成本的公司手里。反方同样有力：合规能力不等于安全能力，文档漂亮但模型照样越权的公司，会比文档粗糙但系统稳的公司更容易过审。若真如此，监管奖励的是擅长写材料的人，不是擅长做 AI安全的人。金融、医疗的风险是慢变量，AI 是快变量——一份过时框架，三个月就可能与真实系统脱节。

8.2 72 小时现实吗

反方的核心质疑是：72 小时对复杂系统不现实。一个跨多个子系统、涉及第三方接口的 AI安全事故，光是定位根因就可能超过三天。要求企业在根因未明时报告，可能诱发两种后果：过度披露，把猜测写成事实；或保守披露，用模糊措辞拖到续报。支持方的回应是：72 小时要的不是根因，是事实。真正的考验不是条款，是企业敢不敢在信息不完整时开口。

8.3 谁来按关停按钮

关停机制最敏感的不是技术，是权限。按钮在企业手里，监管者担心企业不敢按；在监管者手里，企业担心误判导致业务中断。巴黎宣言只说建立机制，没说谁有权触发，这个空白会成为谈判焦点。折中方向是分级触发：企业自主停机、第三方建议停机、监管强制停机，三档对应不同证据门槛。停一个模型，可能同时停掉几千个下游应用。