摘要： EDPB 與 EDPS 在 2026 年 1 月 21 日通過 1/2026 號聯合意見，肯定簡化 AI Act 的目標，但警告部分措施可能削弱基本權利與問責。兩機構要求敏感個資偏差偵測採嚴格必要標準，並反對取消高風險註冊義務；他們也呼籲維持現行時程。
2026 年 1 月 21 日，歐洲資料保護委員會（EDPB）與歐洲資料保護監督機關（EDPS）就執委會的「數位綜合法案（AI）」草案通過 1/2026 號聯合意見。這份立法意見肯定簡化 AI Act 的目標，同時也設下清楚界線：兩機構警告，若干簡化措施可能損及基本權利保障、削弱問責性，並帶來新的法律不確定性。
事情源自執委會 2025 年 11 月端出的 Digital Omnibus 套案：其 AI 部分準備延後高風險義務、取消部分註冊要求，並放寬處理敏感個資的法律基礎。在 GDPR 體系裡，把關的正是這兩個機構；聯合意見不具拘束力，卻在共同立法過程中向來舉足輕重——議題踩到 AI Act 與 GDPR 交界時尤其如此。
爭點一：特殊類別個資的法律基礎放得太開
草案新增的 Article 4a，將為偵測與修正偏差而處理特殊類別個資的法律基礎，由高風險 AI 系統擴大到所有 AI 系統與模型，適用主體也從提供者延伸到部署者。兩機構原則上樂見——偏差偵測本來就必須接觸敏感資料——但要求這項依據受到「明確圈限」：把較寬鬆的「必要且合比例」拉回更嚴格的「嚴格必要」；只在偏差可能造成嚴重不利影響時才能動用；並釐清該條與 GDPR 第 6、9 條如何銜接。
對開發者來說，這等於提前示警：就算法律基礎真的放寬，涉及敏感個資的偏差偵測在實務上仍會被按高風險對待，DPIA 與 GDPR 分析一樣都省不掉。
爭點二：拿掉高風險註冊義務等於掏空問責
草案讓提供者得以依 Article 6(3) 自行認定 Annex III 系統不屬高風險之後，免掉註冊義務。EDPB 與 EDPS 講得很白：此舉會「顯著降低提供者的問責性」，並製造「不受歡迎的誘因」，變相鼓勵浮濫援用豁免。
意見對其他簡化措施也有話說。SME 優惠一旦擴及中小資本企業（SMC），兩機構提醒：員工數與傷害潛力並不相干。至於 AI 素養，兩機構反對移除雇主義務——組織內部責任不該被取代。
沙盒與監理分工：AI Office 的權限界線得先畫明白
EU 層級沙盒部分，兩機構贊成設置，但點出草案不像國家級沙盒（Article 57(1)）那樣讓資料保護機關有角色，因而建議讓 EDPB 在 AI Board 獲派諮詢角色與觀察員地位。至於 AI Office 監督超大型線上平台 AI 系統（VLOP/VLOSE），意見提醒「積極合作」的要求未必保得住成員國機關獨立行動的能力，並主張畫清哪些通用模型會觸發專屬管轄；歐盟機構自用的系統，管轄權應留在 EDPS（Article 74(9)）。
時程往後挪的隱藏代價
草案打算把高風險義務最多推遲 16 個月，並讓 Article 50(2) 透明義務多拿 6 個月寬限，到 2027 年 2 月 2 日。意見看見一條容易被忽略的連鎖反應：一旦延後，更多系統會透過 Article 111(2) 既有系統例外脫離 AI Act 管轄——該例外的截止日將從 2026 年 8 月 2 日滑向 2027 年 12 月 2 日。兩機構呼籲守住現行時程，透明義務尤其不容延後。
這對在歐盟部署 AI 的團隊代表什麼
三個判斷。其一，別把 Digital Omnibus 當塵埃落定：草案還在強烈質疑聲中協商，合規規劃不該預設延後條款必然生效。其二，偏差偵測會碰到敏感資料的團隊，現在就把「嚴格必要」訂成設計門檻，比日後回頭補救省事。其三，高風險判定的書面分類紀錄（走 Annex III 加 Article 6(3) 路徑）仍是問責核心——註冊義務去留定案之前，把紀錄留全是唯一穩當的策略。