2026 欧洲三道数据门槛：CBAM、AI Act 与数字产品护照开始要求企业交出什么

截至 2026 年 9 月 3 日，欧洲市场在不到两个月里连续落下三个执行节点：欧盟数字产品护照登记系统于 7 月 20 日上线，人工智能法第 50 条透明度义务于 8 月 2 日开始适用，欧盟委员会又在 8 月 14 日发布了碳边境调节机制正式期的十份实施指南。1 2 3

我的判断是：三项制度在法律上各自独立，在企业执行层面却开始共享一套底层能力——企业需要说明数据来自哪里、由谁负责、能否机器读取、怎样留痕，以及谁来核验。对准备把智能产品、绿色产品和工业服务卖进欧洲的企业，合规项目的起点正在从“逐条翻译规则”转向“先把产品和供应链的数据证据链建起来”。

一、三个时间点，三种压力

时间点	规则动作	直接受影响的对象	企业眼前要做什么	下一期限
2026 年 7 月 20 日	欧盟数字产品护照登记系统和测试环境上线。登记系统保存产品唯一标识、登记数据和高层元数据，详细产品数据仍由相关经济运营者负责保存。1 4	受 ESPR 或其他欧盟法规覆盖的产品企业，包括部分大型电池、钢铝、纺织、轮胎、家具、ICT 和能源相关产品。1	先确定产品是否落入具体产品组，再把产品身份、供应链数据和访问权限按统一标识整理出来；有条件的企业可以先进入测试环境。	首个实施节点为 2027 年 2 月 18 日，针对部分大型电池。1
2026 年 8 月 2 日	AI Act 第 50 条透明度义务开始适用。部分 AI 系统需要告知用户正在与 AI 交互；AI 生成或操纵内容需要加入机器可读标记，深度伪造、特定生物识别和情绪识别场景也有披露要求。2 5	AI 产品提供者、部署者，以及在欧洲市场提供交互式 AI、生成式 AI 或相关内容服务的企业。具体义务随角色和系统类型变化。5	建立 AI 系统清单，给每个系统绑定提供者、部署者、模型版本、内容类型和人工审核状态；把告知和标记做成产品流程，而不是靠发布前临时检查。	对部分 2026 年 8 月 2 日前已投放市场、涉及合成内容标记的系统，过渡截止日为 2026 年 12 月 2 日。6
2026 年 8 月 14 日	欧盟委员会发布 CBAM 正式期十份指南，覆盖通用概念、非欧盟生产商、嵌入排放计算、免费配额调整，以及水泥、氢、化肥、钢铁、铝和电力六个行业。3	向欧盟出口 CBAM 商品的生产装置、欧盟进口商、申报人和核查机构。	2026 年就开始监测和计算产品嵌入排放，联系核查机构，确保工厂、供应商和进口申报人之间传递同一版本的数据。7	2026 年进口货物的首次 CBAM 申报截止 2027 年 9 月 30 日；申报人需要提交对应生产年度的实际核查排放，缺少 2026 年实际核查值时才使用默认值。7

这张表里的三个对象并不完全重合。产品企业可能只触发其中一项，企业在同一条产品链上也可能同时遇到三项要求。关键变化在于，客户、海关、市场监管机构和用户都开始要求企业交出机器可读、可追溯的数据。

二、三套规则为什么会落到同一套系统上

1. CBAM 要求企业证明“这批货的排放从哪里来”

CBAM 正式期的责任链从进口申报人延伸到境外生产装置。欧盟委员会问答明确，生产商需要在 2026 年立即监测和计算嵌入排放，再寻找获得认可的 CBAM 核查机构完成核验；首次 CBAM 申报对应 2026 年进口，截止日为 2027 年 9 月 30 日。7

这套流程要求企业把产品、生产装置、投入物、能源使用和计算方法连成一条记录。欧盟委员会还明确，申报人对 CBAM 申报内容承担法律责任；第三方提供的数据出现错误时，申报人仍然处在申报责任链上。7

对出口企业来说，最早暴露问题的地方通常是供应商数据。复杂产品的前体材料可能来自另一座工厂，2028 年起相关实际核查排放可以通过 CBAM Registry 交换；在此之前，企业需要在系统外完成信息传递。7

2. DPP 要求企业证明“这件产品是谁、由谁负责”

欧盟数字产品护照登记系统采取了“欧盟统一索引 + 企业分散保存详细数据”的结构。登记系统保存唯一标识、登记数据和高层元数据，产品详细信息由相关经济运营者负责保存，并按照欧盟法律向有权限的对象开放。4

这个结构让产品数据同时具备三种属性：产品可以被唯一识别，数据可以通过 API 和统一语义读取，责任可以回到具体经济运营者。欧盟委员会说明，登记系统提供机器可读的数据模型、定义和词汇，也提供访问管理、验证框架和日志系统；海关可以在产品放行前电子核验产品是否有有效登记的 DPP，以及是否提供商品编码。1 4

企业因此需要把“产品型号”升级成一组可持续维护的身份：产品级唯一标识、批次、工厂、供应商、材料、维修和回收信息，都要能在生命周期内保持关联。具体字段仍要看产品类别对应的授权法规，企业不能用一套固定表格覆盖所有产品。

3. AI Act 要求企业证明“用户看到的内容由谁、怎样生成”

AI Act 第 50 条的要求落在交互和内容两个位置。AI 系统提供者需要让用户明确知道自己正在与 AI 交互，并为 AI 生成或操纵内容加入机器可读标记；部署者需要在深度伪造、情绪识别、生物识别分类，以及缺乏人工审核或编辑控制的公共利益文本等场景履行告知义务。5

这套要求和碳数据、产品数据共享一个管理问题：企业需要保存来源、版本、处理动作和人工介入记录。AI 透明度指南允许企业通过遵循相关行为准则证明合规；企业选择其他方式时，也需要证明替代措施具备同等充分性。5

三项制度的共同底座可以压缩成四个字段：身份、来源、版本、责任人。CBAM 用它们支撑排放核查，DPP 用它们支撑产品生命周期管理，AI Act 用它们支撑内容透明度和用户告知。这个交集是企业的执行推论，欧盟法规并没有把三套制度合并成一项法规。

三、两个企业样本：产品级追溯正在连接供应链

CATL 与 BMW：先做可信数据交换试点

宁德时代与宝马集团于 2026 年 2 月 25 日签署谅解备忘录，计划围绕电池护照场景开展跨境数据传输和去碳化试点，探索可信数据交换、电池碳足迹核算方法和核算工具。双方还提到借助 Catena-X 汽车数据生态推进技术标准对齐。8

这条信息的价值在于组织方式。电池护照需要电池企业、整车企业、供应商和跨境数据基础设施共同参与，单个企业把数据填进一张表并不能完成整个链条。CATL 与 BMW 的披露属于试点合作计划，尚未证明一个覆盖全部供应链的系统已经完成部署；它说明头部企业正在把合规问题转成数据交换和标准协作问题。

Volvo Cars：把电池护照放进具体产品

沃尔沃汽车在 2025 年 11 月披露，EX90 是该公司首款配备基于区块链的电池护照的电动车，电池护照用于追踪关键原材料来源。这个说法来自沃尔沃汽车自身披露，外部读者应把它理解为企业对产品能力的说明，而非欧盟机构对该产品的认证。9

CATL—BMW 的动作偏向跨企业数据协作，Volvo EX90 的动作偏向产品级落地。两者共同指向一个变化：绿色属性、关键材料来源和产品身份开始在销售、供应链和合规环节使用同一组数据。企业如果把这些数据只放在 ESG 报告或一次性客户问卷里，后续仍要重复整理。

四、企业现在应先建什么

下面五项是基于上述规则执行要求得出的准备顺序，适合用来启动一个跨业务项目。它们属于经营准备判断，具体产品的法定义务仍要按照适用法规、产品类别和企业角色核对。

先做产品与系统清单。 逐项列出出口产品、生产装置、关键供应商、面向欧洲的 AI 功能、数据存放位置和当前责任人。清单的最小单位要能回答“哪件产品、哪座工厂、哪家供应商、哪个模型版本”这四个问题。
再做一套贯穿业务的身份规则。 为产品、批次、生产装置、供应商、AI 系统和内容版本建立稳定 ID。CBAM 的排放数据、DPP 的产品登记数据、AI 的交互与内容标记，都要能回到同一个业务对象，而不是只依赖文件名和邮件主题。
把证据链放到日常流程里。 采购系统保存供应商排放数据及其核查状态，制造系统保存生产装置和工艺数据，产品系统维护材料和生命周期信息，AI 平台保存模型版本、生成动作和人工审核记录。每次数据变更都要留下时间、操作者和变更原因。
把接口和权限一起设计。 DPP 登记系统已经提供 API、数据模型和语义定义；企业内部系统需要提前确定哪些数据对海关、客户、核查机构和终端用户开放，哪些数据只保留给授权角色。数据能否被读取，与数据能否被安全地读取，是同一个项目的两面。1 4
最后分配验证责任。 CBAM 申报人、境外生产装置、核查机构、DPP 经济运营者、AI 提供者和部署者承担的责任不同。企业需要为每类数据指定业务负责人和复核人，并把“谁能提交、谁能修改、谁能批准”写进流程。CBAM 申报人承担申报法律责任，AI 透明度义务也按提供者与部署者分别配置，这两项规则已经给出了责任拆分的方向。5 7

企业选工具的顺序也应随之调整：先确认数据对象、责任边界和对外接口，再比较碳管理平台、DPP 服务商或 AI 治理工具。软件可以减少填报工作，软件无法替企业决定一条排放数据究竟对应哪座装置，也无法替企业承担申报责任。

五、把日历变成项目计划

时间窗口	项目动作	应交付的证据
未来 30 天	对出口产品做法规映射；标出 CBAM 商品、可能触发 DPP 的产品组，以及面向欧洲用户的 AI 交互和内容生成场景。	一张产品—工厂—供应商—AI 系统清单；每项记录责任人和数据缺口。
未来 90 天	选一条产品线做联合试点：连接一座生产装置、一组关键供应商、一个欧洲客户流程和一个 AI 功能。	一份从原料到产品、从模型到内容的可追溯样本；包含版本、权限和人工复核记录。
未来 180 天	用真实数据跑一次核查和对外交换演练，提前联系 CBAM 核查机构，测试 DPP Registry 的注册和 API 流程，检查 AI 内容标记在客户界面中的显示。	一套可供客户、核查机构和内部审计复核的证据包；一份失败项和整改责任表。
2026 年 12 月 2 日前	检查适用的 AI Act 第 50 条过渡事项，尤其是 2026 年 8 月 2 日前已投放市场、涉及合成内容标记的相关系统。	系统版本、投放时间、标记方案和人工审核安排的对应记录。6
2027 年 2 月 18 日前	为涉及首批实施范围的大型电池完成 DPP 责任、登记和数据访问准备。	已登记或已通过测试验证的产品身份、访问和数据包。1
2027 年 9 月 30 日前	为 2026 年进口 CBAM 商品准备首次申报和实际核查排放数据。	与生产年度对应的排放计算、核查报告和申报数据。7