一句话总结：Regulation (EU) 2024/1689 第 2 条的连接点不是"公司在哪注册"，而是两个行为——在欧盟投放市场或投入使用，以及输出在欧盟被使用。第 2(1)(a) 条管所有把 AI 系统投放欧盟市场或投放 GPAI 模型的提供者，不论是否在欧盟设立；2(1)(b) 条管在欧盟设立或位于欧盟的部署者；2(1)(c) 条专门兜住第三国的提供者与部署者，条件是系统输出在欧盟被使用。公司不在欧盟、没有欧盟实体，但产品被欧洲客户用了，正落在 (c) 项里。
一、第 2(1) 条七项，逐个对号
| 项 | 适用对象 | 判据 |
|---|---|---|
| (a) | 提供者 | 在欧盟投放市场或投入使用 AI 系统，或在欧盟投放 GPAI 模型；不论是否在欧盟设立或位于欧盟 |
| (b) | 部署者 | 在欧盟设立或位于欧盟 |
| (c) | 提供者与部署者 | 在第三国设立或位于第三国，且 AI 系统的输出在欧盟被使用 |
| (d) | 进口商与分销商 | 参与欧盟市场流通 |
| (e) | 产品制造商 | 以自己名称或商标，将 AI 系统随其产品投放市场或投入使用 |
| (f) | 授权代表 | 未在欧盟设立的提供者的授权代表 |
| (g) | 受影响人 | 位于欧盟 |
这七项里，(a) 与 (c) 是域外效力的两条腿：(a) 抓"投放"这个动作，(c) 抓"输出被使用"这个结果。二者不重叠——你把系统投放到欧盟，走 (a)；你没在欧盟投放，但欧盟用户在调你的接口，走 (c)。
常见的一处误读是把 (b) 说成"第三国但输出在欧盟使用"。不是。(b) 的内容是"在欧盟设立或位于欧盟的部署者"，这是最常规的属地管辖；(c) 才是第三国那一档。
二、六个排除与限缩，别只看第一段
第 2 条后半段有六处"不适用"或"限缩适用"，它们决定了很多边界场景：
| 条款 | 内容 | 边界 |
|---|---|---|
| 2(2) | 依第 6(1) 条并落在附件一 Section B 所列立法覆盖范围内的高风险系统 | 仅适用第 6(1) 条、第 60a 条与第 102112 条；第 5759 条仅在相应要求已并入该联盟立法时适用 |
| 2(3) | 联盟法范围之外的事项；国家安全权限 | 不影响成员国国家安全权限；专为军事、国防或国家安全目的投放、投入使用或使用的系统不适用 |
| 2(4) | 第三国公共机关或国际组织，在国际执法与司法合作框架内使用 | 须提供基本权利与自由的充分保障 |
| 2(6) | 专为科学研究与开发而开发并投入使用的系统或模型（含其输出） | 仅限"sole purpose" |
| 2(8) | 投放或投入使用之前的研发、测试、开发活动 | 真实世界条件测试不在此排除内 |
| 2(10) | 自然人在纯个人非职业活动中使用 AI 系统 | 仅排除该部署者义务，不是整部条例不适用 |
2(10) 这一条最容易被放大使用。"我个人在用，所以不受管"——条文排除的是"作为部署者的义务"，且限于自然人、纯个人非职业活动。它不能把提供者义务一并排掉，也不能被企业用来主张豁免。
三、第 2(5)、2(7)、2(9)、2(11) 条：不改其他法
| 条款 | 内容 |
|---|---|
| 2(5) | 不影响 Regulation (EU) 2022/2065 第二章关于中间服务提供者责任的规定 |
| 2(7) | 与条例权利义务相关的个人数据处理，适用联盟个人数据保护、隐私与通信保密法；除第 4a 条与第 59 条外不影响 (EU) 2016/679、(EU) 2018/1725、2002/58/EC、(EU) 2016/680 |
| 2(9) | 不影响其他联盟法关于消费者保护与产品安全的规定 |
| 2(11) | 不阻止联盟或成员国维持或引入对劳动者更有利的规定，或鼓励适用更有利的集体协议 |
2(5) 这一条对做平台或中间层的主体很关键：它把"中间服务提供者责任"留在 2022/2065 的框架里，本条例不去改写。这也是为什么"网关是不是中立管道"这个问题不能从本条例里找答案——本条例只回答"你是不是 3(3)~(8) 条的某类 operator"。