歐盟實體AI：機械規則、AI法案與網路安全如何銜接

確認機械及每項AI功能

本文所稱的實體AI，是指用於感知環境並影響機械實體動作的AI，例如選擇物體、規劃抓取或在倉庫中導航。法律評估從實際產品及其功能開始。AI法案對AI系統有獨立定義；供應商使用「實體AI」標籤，並不能決定適用哪些規則。

記錄機器人、工具、控制器、感測器、軟體版本、預定使用者及運作環境。將生產任務與保護人員的功能區分開。確認誰供應完整機械、整合應用、提供AI以及維護連接軟體。本指南聚焦工業機械；醫療機器人、道路車輛、個人資料處理及工作場所使用可能需要適用額外或不同的規則。

三個架構回答不同問題

分別就每個架構的適用範圍作出結論，再將支持證據連結起來。機械聲明、AI模型說明及滲透測試報告分別回答審查中的不同問題。視情況核查其他適用的產品法規，包括無線電設備或電磁相容規則。

機械安全包括軟體及學習行為

過渡前，《機械指令》2006/42/EC仍是適用的產品法律架構。規則（EU）2023/1230自2027年1月20日起取代該指令。確認每台機械首次投放歐盟市場或投入使用的時間；設計日期或某型號較早的上市日期並不能決定過渡適用情況。

依據該規則，評估自主行為可預見的演變、安全相關軟體與資料的保護，以及控制系統故障。界定任務與運動範圍，說明如何防止學習或設定變化造成危險。審查應涵蓋遠端存取、更新，以及感測器或通訊故障時的回應。

按實際類別選擇符合性程序。附件I的A部分包括某些採用機器學習的安全零組件，以及確保安全功能的嵌入式系統；這些類別需要公告機構參與的評估途徑。普通生產任務中使用AI功能，並不直接使整個機器人歸入該類別。

核查AI法案目前的機械監管途徑

對於第6條(1)的產品途徑，兩個條件都很重要：AI必須是安全零組件或本身就是受涵蓋的產品，且相關產品須因健康與安全要求接受第三方符合性評估。僅用於非安全相關生產最佳化或品質控制的AI與安全零組件有所區別。應分析故障後果：故障會危及健康與安全的功能仍可能符合安全零組件條件。

規則（EU）2026/1744於2026年7月27日生效，將機械移至AI法案的附件I的B節。對於與該機械有關的第6條(1)高風險AI，第2條(2)限制了AI法案的直接適用。相關AI安全要求將透過《機械規則》下的授權法案納入，並最遲於2028年8月2日適用。應按此產業專屬途徑規劃，並在發布前核查適用的授權法案。

其他獨立AI用途應逐項評估。例如，員工管理或生物辨識功能可能產生附件III或禁止行為方面的獨立問題。機械途徑專門針對符合條件的產品相關AI，並非對工廠內所有AI系統作出統一結論。

加入產品網路安全及通報流程

依據CRA篩查機器人、單獨供應的軟體及功能所需的遠端處理。除網際網路連線外，還要核查裝置之間的連接，並審查排除條款。對於受涵蓋產品，準備網路安全風險評估、弱點處理、安全更新及明確的支援期間。如果網路攻擊可能影響運動或保護功能，應將這些記錄與機械評估連結。

製造商的CRA通報義務自2026年9月11日起適用，也包括在主要要求適用前已投放市場的受涵蓋產品。正遭主動利用的弱點與影響產品安全的嚴重事件是不同的通報觸發因素。建立單一通報平台流程：在知悉後24小時內提交預警、72小時內提交通知，且不得無故拖延。弱點與事件的最終報告期限不同。

將不同日期納入發布計畫

截至2026年10月29日審查時，以下日期對應不同義務。AI法案的一般適用日為2026年8月2日，另有特定例外。較晚的高風險適用日期不會推遲現有機械安全義務或CRA通報義務。

範例：計畫於2027年3月供應的AI揀選單元

假設供應商將在2027年3月首次向歐盟市場投放帶圍欄的機器人單元。視覺模型選擇零件，獨立的保護設備控制人員進入與停止，遠端診斷將單元連接到供應商。這個假設範例說明需要解決的問題，並不對特定產品作出分類。

• 機械： 依據《機械規則》審查完整單元，包括工具、整合、安全控制及正確的評估途徑。
• AI功能： 記錄零件選擇是否僅屬於非安全用途，以及故障是否可能危及人員。在依賴該結論前，確認保護系統的獨立性與涵蓋範圍。
• 連接產品： 核查CRA適用範圍及已經要求的通報安排。分別規劃2027年12月11日之後供應的產品個體，以及對較早產品個體的修改。

向供應商索取相互連結的證據資料

將下列內容作為採購審查清單。一些基礎記錄屬於製造商技術文件，而非必須交付客戶的文件包；應商定供應商將提供哪些支持證據。

1. 範圍與角色。 準確組態、預定目的、AI功能、供應日期，以及負責機械、整合、AI及軟體支援的企業。
2. 有依據的法規對照。 適用法規、排除條款、AI安全零組件分析、符合性途徑，以及每項結論採用的日期。
3. 安全證據。 相關風險評估結果、運作限制、驗證結果、說明書，以及感測器、通訊或AI輸出故障時的行為。
4. 網路安全與支援。 遠端存取控制、零組件及軟體識別、弱點聯絡人、更新流程、支援結束日期及事件通報責任。
5. 發布與變更記錄。 與型號及組態相符的適用聲明和證書，以及評估模型更新、新工具或任務變化的責任。

應用變化時重新審查評估

記錄模型、安全功能、有效負載、速度、工具及運作空間的變化。依據《機械規則》，當滿足實質修改的全部判定條件時，進行實體或數位修改的一方可能成為製造商。僅有更新並不足以得出這一結果。重新核查法律定義、受影響風險及所需保護變更，並在部署前記錄結論。

使用Regunow研究實體AI要求

使用Regunow調查機械、AI及網路安全要求，核查來源引用並分析供應商文件。彙整結果，供團隊審查。