在歐盟的產品法規裡，台灣企業最熟悉的場景是：法規的義務人是歐洲客戶，但客戶要做到，就得往上游要資料。AI Act 也一樣，而且寫得更直接。第 25 條第 4 項要求高風險 AI 的提供者，跟供應 AI 系統、模型、工具、服務、元件或流程的第三方以書面約定彼此要提供什麼。Digital Omnibus 再把違反這項約定義務列入罰則。本文說明台灣供應商會被要求什麼，以及怎麼判斷這個要求有沒有法律依據。
本文重點
- 第 25 條第 4 項：高風險 AI 提供者與其第三方供應商，要以書面約定必要的資訊、能力、技術存取與其他協助，讓提供者能完全符合 AI Act。
- Omnibus 在供應項目中明文加入「AI 模型」，並在第 99 條第 4 項新增 (da) 款，違反第 25 條第 2 項與第 4 項，罰鍰上限 1,500 萬歐元或全球年營業額 3%。
- 以免費開源授權公開的工具、服務、流程或元件不適用，但通用目的 AI 模型除外。
- 條文要求的是「必要」的資訊與協助，「要給資訊」不等於「要交出原始碼」；營業秘密仍受歐盟與會員國法律保護。
一、第 25 條第 4 項在規定什麼？
條文的意思可以拆成四個部分：
| 部分 | 內容 |
|---|---|
| 誰跟誰 | 高風險 AI 系統的提供者，與供應用於或整合進該系統之 AI 系統、AI 模型、工具、服務、元件或流程的第三方 |
| 做什麼 | 以書面約定載明必要的資訊、能力、技術存取與其他協助 |
| 標準 | 依一般公認的技術水準 (state of the art) |
| 目的 | 讓提供者能完全履行 AI Act 的義務 |
執委會的 AI 辦公室可以研擬並推薦自願性的契約範本條款，公開免費提供。
這條的範圍很廣。「服務」與「流程」包括資料標註、模型訓練、測試驗證等外包服務；「元件」包括內建模型的感測器、影像模組、邊緣運算板。
二、Omnibus 改了什麼？
| 修正 | 條文 | 影響 |
|---|---|---|
| 供應項目加入「AI 模型」 | 第 25 條第 4 項 | 提供模型（不只是完整系統）的供應商明確在範圍內 |
| 違反列入罰則 | 第 99 條第 4 項 (da) 款 | 書面約定義務從「契約問題」變成「可罰的法定義務」 |
| 原提供者的合作義務具體化 | 第 25 條第 2 項 | 角色轉換時，原提供者要提供技術文件、已知限制與失效模式、測試驗證所需的技術存取 |
罰則上限與第 16 條提供者義務相同；中小企業取金額與比例較低者（第 99 條第 6 項），小型中型市值企業 (SMC) 也取較低者（第 6a 項）。
您是這種供應商嗎？
- 賣內建 AI 模型的影像、語音或感測模組給歐洲設備商
- 提供 AI 軟體函式庫、SDK 或演算法授權
- 替歐洲客戶做資料標註、模型訓練或測試驗證
- ODM 開發含 AI 功能的整機，以客戶品牌出貨
客戶的高風險義務 2027 年 12 月 2 日（附件 III）或 2028 年 8 月 2 日（附件 I）適用，問卷通常提早一到兩年出現。
三、客戶會跟您要哪些東西？
提供者要履行的義務，決定了它會往上游要什麼。以高風險 AI 的要求來看，常見的資訊需求會對應到以下幾類：
| 提供者的義務 | 可能向供應商要的資訊類型 |
|---|---|
| 風險管理（第 9 條） | 已知限制、可預見的誤用情境、失效模式 |
| 資料與資料治理（第 10 條） | 訓練、驗證、測試資料的來源與特性說明 |
| 技術文件（第 11 條、附件 IV） | 模型或元件的設計規格、效能指標、版本資訊 |
| 紀錄保存（第 12 條） | 元件是否支援自動事件紀錄、紀錄格式 |
| 準確性、穩健性與資安（第 15 條） | 測試結果、已知弱點、更新與修補機制 |
| 上市後監測與事件通報（第 72、73 條） | 問題通報窗口、更新通知的承諾 |
客戶寄來的問卷往往比這張表更長，也有不少題目跟 AI Act 無關。分辨哪些是法定需求、哪些是客戶自己的政策，是回覆前最重要的一步。
四、哪些可以不給？
範圍以「必要」為限。 第 4 項要求的是「讓提供者能完全符合規定」的必要資訊、能力、技術存取與協助，並以一般公認的技術水準為基準，不是無條件交出原始碼或完整訓練資料。第 25 條第 5 項另外明訂，角色轉換時的合作義務（第 2 項）與產品製造商的規定（第 3 項），不影響智慧財產權、商業機密與營業秘密的保護；營業秘密本身也受歐盟營業秘密指令 (EU) 2016/943 與各國法律保護。哪些資訊揭露、以什麼形式揭露，正是書面約定要談的內容。
系統不是高風險，就不是這條的義務。 第 25 條第 4 項的前提是「高風險 AI 系統」。客戶的最終產品如果不屬於高風險，這條就沒有適用，剩下的是雙方契約怎麼約定。
開源例外有限。 以免費開源授權公開的工具、服務、流程或元件不適用；但通用目的 AI 模型即使開源，仍不在例外內。
五、供應商最常犯的錯
- 把問卷當成一次性的表單：書面約定涵蓋的是持續的協助，包括版本更新、問題通報與上市後監測。
- 答應給「所有技術文件」：寫進合約的範圍，之後就是可被追究的承諾。
- 沒確認客戶的最終用途：同一個影像模組，用在消費性相機與用在人員安全偵測，客戶的義務完全不同，您的責任範圍也不同。
回覆客戶前，先確認三件事
客戶的系統是不是高風險、您在供應鏈裡是哪個角色、哪些資訊屬於營業秘密。條款怎麼寫、資訊揭露到什麼程度，有幾種做法，要看您的產品與合作模式。
常見問題
歐洲客戶要求我們簽 AI Act 合規聲明，一定要簽嗎？
AI Act 沒有要求元件供應商出具「AI Act 合規聲明」。第 25 條第 4 項要求的是載明資訊、能力、技術存取與協助的書面約定，而且前提是客戶的系統屬於高風險。聲明的內容與範圍，屬於雙方契約安排。
我們只賣硬體模組，模型是客戶自己訓練的，也在範圍內嗎？
如果模組被用於或整合進高風險 AI 系統，「元件」供應商就在第 25 條第 4 項的範圍內，但要約定的資訊範圍會對應您實際提供的東西。
違反第 25 條第 4 項，罰的是誰？
第 99 條第 4 項 (da) 款寫的是「提供者與經營者依第 25 條第 2 項與第 4 項的義務」，罰則由各會員國訂定。雙方都可能被檢視是否履行了書面約定的義務。
執委會有契約範本嗎？
第 25 條第 4 項授權 AI 辦公室研擬並推薦自願性的契約範本條款，公開免費提供。使用前仍要對照自己的產品與交易結構調整。
下一篇預告
需要協助？
ZC Zeelandia Consulting 在阿姆斯特丹設有實體據點，也以年度服務擔任台灣供應商回覆歐洲客戶合規要求的窗口，可協助確認 AI Act 適用性與回覆範圍。
- 預約 30 分鐘線上諮詢：calendly.com/zc-meeting/30min
- 歐盟法規雷達：AI Act 專區
- 加入 ZC LINE 官方帳號：lin.ee/QKV5RTE
法源與參考資料
- Regulation (EU) 2024/1689 (Artificial Intelligence Act) 第 9 至 15 條、第 25 條、第 72、73、99 條：EUR-Lex
- Regulation (EU) 2026/1744 (Digital Omnibus on AI)：EUR-Lex
- AI Act 整合版條文（2026 年 7 月 27 日）：EUR-Lex
本文為一般性資訊整理，資訊更新至 2026 年 11 月，不構成法律意見。個別產品之適用情形，請依實際事實與最新公報內容判斷。
下一步：您考慮過這三種做法嗎？
法規來源 · Regulation (EU) 2024/1689 (Artificial Intelligence Act) · Regulation (EU) 2026/1744 (Digital Omnibus on AI) · AI Act 整合版條文（2026 年 7 月 27 日）. 本文整理自 EUR-Lex 法規原文與歐盟執委會官方資料，為一般性資訊，不構成個案法律意見；實際義務以歐盟官方公報為準。
