財務長看 EU CRA 與 EU AI Act：歐盟營收風險、罰則與預算怎麼編？

哪些日期會影響歐盟營收，要先放進財務規劃？

AI Act 期限依法規 (EU) 2026/1744 修正。

罰則上限多少？年報風險事項要怎麼處理？

• EU CRA 第 64 條：違反基本要求最高 1,500 萬歐元或全球年營業額 2.5%
• EU AI Act 第 99 條：違反禁止規定最高 3,500 萬歐元或 7%；違反其他義務最高 1,500 萬歐元或 3%

均取其高者。罰則之外，客戶要求與市場准入通常更早發生。年報準則第 20 條第六款要分析國內外重要政策及法律變動對公司財務業務的影響及因應措施，歐盟法規屬於這類風險事項。年報準則適用於公開發行公司；非公開發行公司不受此規範，可自願參考。

CRA、AI Act 的罰則或產品無法上市的風險，財報要提列負債準備嗎？

依 IAS 37，負債準備要三個條件同時成立：

1. 因過去事項而負有現時義務（法定或推定）
2. 很有可能需要流出資源以清償該義務
3. 義務金額能可靠估計

不符合就不認列準備。或有負債不在資產負債表認列，但除非資源流出的可能性極低，應在附註揭露。

第一個條件要求義務來自「過去事項」。尚未發生的違規與市場准入風險，先放在年報風險事項分析；已發生的違規或主管機關程序，才進入準備或或有負債的判斷。是否認列、揭露與金額，由簽證會計師依個案判斷。

預算要怎麼拆？哪一塊最常被低估？

CRA 預算分四塊：

1. 內部人力：產品安全、研發、法務投入的時間
2. 顧問輔導費：分類與角色判定、風險評估、技術文件、漏洞處理與通報流程
3. 外部驗證費用：公告機構評估（僅限須第三方評估者）與測試
4. 持續成本：支援期內的漏洞處理與通報，每年都在

最常被低估的是持續成本，支援期原則上至少 5 年。複雜度看產品系列等級與供應鏈身份的組合數，不看產品數量。本頁不列費用。

自有品牌、ODM、OEM：誰是法定製造商？合約責任怎麼分？

同一款產品也以自有品牌在歐盟銷售時，這部分你就是製造商。

產品同時適用 CRA 與 AI Act，哪些投入可以共用？有證書可以代替嗎？

CRA 第 12 條：產品符合 CRA 附件 I 基本要求，並在 CRA 符合性聲明中說明已達 AI Act 第 15 條的資安保護水平，就推定符合 AI Act 第 15 條的網路安全要求；準確性與穩健性不在其內。

• 可共用：同一份風險評估、技術文件與符合性聲明的資安部分
• 要另編：AI 風險分級、資料治理、人類監督與準確性驗證

兩法都沒有獨立證書；ISO 27001 不是 CRA 協調標準，ISO 42001 驗證不產生 AI Act 推定符合效力。服務頁所列 AI Act 時程：高風險 AI 合規通常 6–9 個月，整合 ISO 42001 認證 9–12 個月。

積穗科研怎麼協助財務長處理 EU CRA 與 EU AI Act？

• 副總、董事級顧問全程親自輔導、不外包；積穗是輔導顧問、不做評鑑
• 先判定產品是否在範圍、屬於哪一類、走哪條評估路徑，再建立漏洞處理流程、SBOM、附件 VII 技術文件與第 14 條通報流程
• 可分段委託：分類與差距診斷、SBOM／漏洞證據補強、技術文件與通報作業整合；不含實際修補、測試實驗室或第三方評估費
• 整合 ISO 42001 與 EU AI Act，共用文件與證據

截至 2026-10，EU CRA 網路韌性法合規輔導案件（依保密協議不具名）共 6 家。延伸閱讀：EU CRA 合規輔導、EU AI Act、CRA 預算、AI 治理預算。申請免費機制診斷