2026年9月11日起，欧盟《网络弹性法案》（CRA）规定的漏洞及严重安全事件报告义务正式生效。根据该法案，将AI模型集成至自有产品并以自身名义投放市场的企业，即被视为CRA下的制造商，须履行同等义务。一旦发现被积极利用的漏洞或严重安全事件，制造商须在24小时内发出预警，72小时内提交详细通知，14天内提交最终报告。CRA的主要合规义务（风险评估、安全设计、漏洞管理、技术文档、SBOM及CE标记等）将于2027年12月11日全面适用。