卖出的软件会自己更新，缺陷责任跟着谁走

一家做智能仓储软件的公司，把第三方的视觉模型集成进自家拣选系统，卖给欧洲一家物流企业。上线半年后，模型通过在线学习和两次远程升级“变聪明”了，但一次误判让货架撞坏、仓库数据也被写乱。客户的律师问：缺陷是出厂就有的，还是升级带来的？升级是谁推的？

这是假设场景，但它对应一项即将生效的规则变化：软件和AI被当作产品，交易完成后责任并不随交货结束。

已经发生的事

【事实】欧盟委员会内部市场总司“Liability for defective products”专页说明：新《产品责任指令》于2024年12月8日生效，成员国须在2026年12月9日前转化为国内法；新指令适用于2026年12月9日起投放市场的产品，此前投放的仍适用1985年指令。专页写明，所有类型软件都被覆盖，包括应用、操作系统和AI系统；制造商可能要为软件或AI系统发布时已存在的缺陷负责，包括发布后因更新、升级或机器学习特性才显现的缺陷。

【事实】同一专页还写明：被实质性修改（例如再制造）的产品视为新产品，做出修改的人成为制造商；可赔偿的损害包括人身伤害（含心理伤害）、财产损失，以及数据的毁损或损坏；经营者对缺陷产品的责任期一般为投放市场后10年；在线平台在充当制造商、进口商等经营者角色时也可能承担责任。专页同时说明，该指令不覆盖受害者为企业的情形，但部分成员国对企业有类似规则。

【事实】AI法案服务台展示的《人工智能法案》第25条（截至2026年7月27日合并文本）规定：分销商、进口商、部署者或其他第三方，若在已投放的高风险AI系统上贴自己的名称或商标、对其做实质性修改且仍属高风险，或改变某AI系统（含通用目的AI系统）的预期用途使其成为高风险，即被视为该高风险AI系统的提供者。修订后条文要求原提供者配合新提供者，提供技术文档、已知局限与失效模式及有针对性的测试验证访问；第4款要求高风险AI提供者与提供模型、工具、组件的第三方以书面协议约定必要的信息、能力和技术访问。

变化的机制：交货不再是责任的终点

传统设备买卖里，出厂检验基本锁定了产品状态。软件和AI不同：远程更新、在线学习会让同一个“产品”在客户现场不断变化。新指令把更新、升级和机器学习带来的缺陷纳入制造商责任视野，等于把售后的版本管理变成了交易条款的一部分。

另一条线是“改动即担责”。产品责任指令里，实质性修改者成为制造商；AI法案里，实质性修改或改变用途者成为提供者。集成商、二次开发商如果只把上游模型“拿来就用”，和做了微调、换了用途，法律角色可能完全不同。

对经营的影响

【推演】第一，采购和销售合同会多出“版本条款”：谁有权推送更新、更新前是否通知、客户能否拒绝或回滚、每次更新的测试记录由谁保存。没有这些记录，事后很难证明缺陷出自哪个版本。成立条件是产品投放欧盟市场，或客户主动对标欧盟规则。

【推演】第二，上游模型供应商与集成商之间的议价重点会变化。集成商需要对方提供局限、失效模式和测试访问（第25条对高风险场景已有要求），供应商则可能要求集成商对微调和用途变更承担责任。谁的文档更完整，谁在责任分配谈判中更有利。

【推演】第三，“数据损坏”被列为可赔偿损害，意味着AI功能写坏客户数据不再只是服务质量问题。但专页同时说明指令不覆盖企业受害者，B2B交易里的数据损失主要仍靠合同和各国法律处理。因此企业间合同的赔偿条款反而更重要。这部分是推演，公开资料没有给出判例数据。

建议试验：给一个AI功能建“版本责任档案”

建议试验：选一个已交付给客户、且会更新的AI功能，补建一份档案：上游模型来源与版本、自己做过的修改（微调、提示词、阈值、用途）、每次更新的日期与测试结论、客户是否被通知。投入约为产品、研发、法务各一人一周。判断指标：随机抽一个历史日期，能否在半天内说清当时客户现场运行的是哪个版本、谁批准的。失败条件：说不清，或发现有更新未留测试记录。

边界

本文依据欧盟委员会专页与AI法案服务台合并文本；未直接读取EUR-Lex上的指令全文（核验时该站对抓取返回403），也未核对各成员国转化立法进度。两部法规的“实质性修改”判断标准是否一致，需看原文和后续指南。不构成法律意见。

来源

• 欧盟委员会内部市场总司：Liability for defective products，https://single-market-economy.ec.europa.eu/single-market/goods/free-movement-sectors/liability-defective-products_en ，核验日期 2026-11-03
• AI Act Service Desk：Article 25 Responsibilities along the AI value chain，https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-25 ，核验日期 2026-11-03