简要回答
MiCA、DORA、《AI Act》和 NIS2 各自都有合理之处。但合在一起就是固定成本：银行只需支付一次便可继续运营，而一家十人公司要从全部预算中承担。结果是欧盟新公司更少，更多创始人选择在其他地区注册；且任何一个成员国都无法单独改变欧盟法规。
我以欧盟监管为生。客户来找我们，是因为 MiCA、反洗钱规则及欧洲其他规则体系过于复杂，无法独自应对，而我们替他们处理。因此，这并非来自一个因布鲁塞尔出台新法而受损者的抱怨。恰恰相反，我从中获益。
尽管如此，看到近年落在中小企业（SMEs）身上的负担后，我认为欧洲正在犯错。问题不在某一部起草不佳的法案，而在于所有法案的累积、欧盟自我纠正的速度，以及成本最终落在最无力承担的公司身上。我们对AI 监管的立场已在另一篇文章中专门阐明；本文讨论的是整个规则体系中的模式。
层层叠加的规则
以下是欧盟监管如今根据业务类型对欧洲公司提出的要求。
- 任何持有个人数据者均适用 GDPR。
- 在线平台和市场适用《Digital Services Act》和《Digital Markets Act》。
- 互联设备和云服务合同适用《Data Act》。
- 网络安全及内置软件产品适用NIS2 和《Cyber Resilience Act》。
- 加密资产服务适用MiCA。
- 银行、支付及加密企业，以及为其提供服务的 IT 供应商适用DORA。
- 构建 AI 系统或在业务中使用其的任何主体适用《AI Act》。
- 设有欧盟级监管机构 AMLA 的新 AML Regulation。
- 配备数字身份钱包的eIDAS 2.0。
- 关于加密资产转账（travel rule）、加密税务数据（DAC8）、可持续发展（CSRD）和供应链（CSDDD）的申报义务。
这些没有一项是轻微要求。每项都有自己的定义、表格、监管机构和罚款。一家拥有十二名员工的金融科技公司可能同时受其中五或六项约束。
每部法律都合理，堆叠起来则不然
单独来看，这些法律各自回应了真实问题。客户资金不应在加密交易所倒闭时消失；银行不应因其云服务提供商出问题而停止运作；也没有人希望软件在无人能够核查结果的情况下决定谁能获得贷款。单独反对其中任何一部法律，您都会败诉，而且本应如此。
问题在于总量，也在于时间表。委员会于2021年4月提出《AI Act》，欧盟于2024年通过。其针对高风险 AI 的主要规则，例如用于招聘、信用评分或教育的系统，原定自2026年8月2日起适用。2026年7月，即该日期前数周，欧盟通过了一项名为 AI Digital Omnibus 的修正案。它将规则推迟至2027年12月；对于嵌入受监管产品的 AI，则推迟至2028年8月。官方理由是技术标准和国家监管机构尚未准备就绪。提案五年后，用于执行该法律的机制尚不存在。为8月做了两年准备的公司，所准备的日期已经变动。
这就是“缓慢”在实践中的含义。法律到来。两三年后，在所有人都已看见问题时，修正案以又一部法规的形式到来。
同样的规则为何对小企业成本更高
这是最令我困扰的部分。合规成本几乎不取决于公司规模。政策手册、IT 供应商登记册、事件报告程序、外部审计、牌照申请：无论服务50名客户还是500万名客户，成本大致相同。
DORA是最清楚的例子。Deloitte 于2025年3月发布的、覆盖28个欧洲国家金融机构的调查显示，约三分之二受访者预计将花费 €2 million 至 €5 million 进行合规，只有十分之一预计能控制在 €2 million 以下。大型银行可以吸收这笔成本；拥有二十名员工的支付机构不能，对于最小型企业，合规账单甚至可能超过欧盟市场对其本身的价值。
MiCA 的数字讲述了同样的故事。MiCA 之前，按行业统计，欧盟有逾千家公司持有国家级加密注册。过渡期于2026年7月1日结束，到2026年10月，ESMA 登记册中约有370家获授权服务提供商。一些消失的公司本就应当退出。其他许多公司规模小、服务本地且合法，却因 MiCA 牌照（CASP 授权）需要六位数的顾问费用、资本及管理时间而退出，这是一个仅有两位创始人的交易所无法承担的。我已单独讨论MiCA 对欧洲加密初创企业的影响；在此，它只是更广泛模式的一个例子。
大型企业很少抱怨。对资金充足的既有参与者而言，每一部新法都是护城河：合规团队已经存在，律师已有常年聘用合同，每项新规则都提高了竞争者的入场门槛。本为保护消费者制定的监管，最终保护了市场份额。
创始人去往何处
初创企业的流动性不同于银行。拥有一个想法和一台笔记本电脑的创始人比较国家，就像我们其他人比较航班。2024年，Apple 和 Meta 决定不向欧盟用户推出新的 AI 功能，理由是《Digital Markets Act》和“不可预测”的监管环境，新闻焦点是两家巨头。更安静的影响则落在每一位希望基于这些模型开发的欧洲开发者身上：他们现在必须等待，或迁移。
在我自己的工作中，这一模式不那么戏剧化，却同样稳定。创始人的问题已从“我们能否在 Estonia 获得牌照”转变为“与 Dubai、Singapore 或美国某州相比，欧洲牌照究竟是否值得”。数年前，第二个问题还很罕见。如今已成常态，而我并不总能说服他们留下。
数据说明了一切。欧洲投资银行于2026年1月发布的一项研究发现，2008年至2021年间，近30%的欧洲独角兽企业——估值超过10亿美元的初创企业——将总部迁出EU。多数迁往美国，数字技术、AI和生物技术居于前列。马里奥·德拉吉在其2024年9月发布的欧洲竞争力报告中道出了其余问题：监管负担对创新施加过多限制，使初创企业难以成长。两年后，据欧洲政策创新委员会德拉吉观察站统计，其追踪的措施中仅16%已得到全面实施。诊断已获认可，治疗却进展缓慢。
Tallinn 为何无法修正 Brussels 所写的规则
Estonia 是观察此事的好地方。它规模小、数字化程度高，通常对企业很理性。在此问题上，它也几乎无能为力。
MiCA、DORA 和《AI Act》是条例而非指令。指令设定目标，并允许各国自行制定法律；条例则在每个成员国逐字适用，Tallinn、Vilnius 或 Lisbon 的任何议会都无法放宽一个条款。国家裁量空间只朝一个方向：一国始终可以比 Brussels 更严格，却不能更宽松。
因此，当创始人告诉我 Estonia 应该“直接解决这个问题”时，我必须解释，解决方案取决于27个政府、一个委员会、一个议会，以及以年计算的立法周期。自2025年初以来，委员会已提出十二个“omnibus”方案，每个同时修订多部法律，并承诺在其任期结束前将行政负担至少减少25%，对 SMEs 减少35%。商业协会称，目前成果远未达到这些数字。我相信他们，因为我读过文本。
欧洲正在为自身去风险化
近几年与银行打过交道的人都知道“去风险化”一词。客户看起来稍有异常，监控他的成本超过他支付的费用，于是账户被关闭。没有欺诈，没有违规，只是银行作出了更便宜的决定。客户去寻找另一家银行，往往在另一个国家，而银行的风险报告看起来比以前更好。
我日益认为，European Union 对整个行业采取了同样做法。加密资产看似有风险，因此欧洲制定 MiCA，并看着大多数国家注册企业退出。AI 看似有风险，因此欧洲在尚未拥有足够庞大的 AI 行业来反驳之前，便制定了全球首部全面 AI 法律。每次风险都降低，每次承载风险的活动也随之减少。若资产负债表只计算规避的风险，这是一项成功；若计算成立的公司和创造的就业岗位，则不是。
其下还有一种更隐蔽的机制。产出以法规衡量的机构会持续产出法规。每部法案都需要指南、技术标准和 Q&As，继而需要监管机构适用它们，再由 omnibus 修复指南造成的问题。每一步都会增加下一部法案所需的人员。这条链上没有人恶意行事。该过程只是没有内在理由停止，而其中没有人承担那家从未成立的初创企业的成本。
欧洲初创企业的三种情景
具体而言，以下是我认为欧洲经济中初创企业领域的发展方向。基准数据来自Dealroom：EU每年约有14,800家初创企业成立，其中约4,400家获得外部融资，EU约有450家独角兽企业。包括UK在内的整个欧洲在2023年获得创纪录的全球风险投资19%，2024年为16%，而美国为57%。
关于数字的说明
以下三种情景是我个人的推演，并非预测模型。它们展示五年期内的变化方向和大致数量级，每个数字均应被理解为区间，而非预测。
| 情景 | 规则将如何变化 | 欧盟每年获融资的初创企业 | 欧洲占全球风险资本的份额 | 将 HQ 迁出欧盟的独角兽企业 |
|---|---|---|---|---|
| 可能情况：规则体系维持不变 | Omnibus 方案削减文书工作但不缩小范围。《AI Act》高风险规则在新日期适用，AML Regulation 再增加一层，且没有法案为小公司设定真正门槛。 | 降至约3,500–3,800（下降15–20%） | 滑向12–13% | 升向35–40%，金融科技、AI 和加密创始人从第一天起便在欧盟外注册 |
| 并非最糟：Brussels 履行承诺 | Omnibus 为小公司设定真正门槛，EU Inc. 获通过并有效运作，标准在适用日期之前而非之后发布。 | 约维持在4,200–4,600 | 保持在15–16% | 维持在30%左右 |
| 如果法案从一开始就对 SMEs 友好 | 员工人数或营收门槛以下义务更轻，执法前先设沙盒，每个行业一个监管机构，每部法案设失效日期。 | 升至约5,200–5,800（增长20–30%） | 回到此前峰值19–20% | 低于25% |
为何第一种情景是下降而非崩溃？因为规则体系在决策时点打击创始人，而非既有公司。Frankfurt 的银行不会因 DORA 而离开。一家位于 Tartu、仅三人的 AI 初创企业则直接改在 Delaware 注册，并暂时将开发人员留在本地。欧盟失去总部、税基和退出收益，同时暂时保留工资单。
第三种情景为何不是幻想？因为其中数字接近欧洲最佳时期已处的位置：全球风险资本19–20%的份额，是数年前、当前这层规则开始适用之前达到的水平。制定欧盟监管时考虑小企业，并不会让欧洲失去消费者保护，只会多花几段起草文字。
另一方的理由
如果我假装规则体系没有好处，就不值得被认真对待，所以这里说明一下。一张 MiCA 牌照让公司可服务全部30个 EU 和 EEA 国家客户；此前，加密企业需与27个监管机构分别沟通。GDPR 已成为隐私法的全球模板。理论上，统一 AML 条例应终结一个客户在某成员国被接受、却在下一国被拒绝的局面。协调统一确有益处，我每天都从中受益。
真实的取舍是：欧洲规模的协调统一，是以速度为代价换来的，其成本结构对最小主体最为沉重。欧洲主要默认选择了安全市场而非快速市场。这是合法选择。我只是认为，应公开作出这一选择并附上价格，而不是每次通过一个 omnibus 才发现它。
欧洲应当改做什么
我的立场并非欧洲应停止监管，而是应停止将三人初创企业按银行方式监管。小团队无法运营合规部门，悄然假定其存在的法律不是安全规则，而是准入壁垒。六项改变可消除大部分损害，且无一激进：每项在欧盟法律中都已有先例。
- 将真正的规模门槛写入法案。低于欧盟自身小型企业定义（员工少于50人且营业额低于 €10 million）的企业，重型义务根本不应适用，或应以简短固定形式适用。GDPR 已在第30(5)条记录保存方面如此规定，豁免大多数员工少于250人的组织；委员会在2025年提议扩大该豁免。同样逻辑应纳入 DORA、NIS2 和《AI Act》。
- 法律适用前先出台标准。在技术标准存在且每个成员国至少有一个监管机构准备好适用前，任何义务均不应生效。《AI Act》的延期以艰难方式证明了这一点。该规则应被写明，以便下一部法案无需 omnibus 来补救。
- 先设沙盒，后行执法。新行业应获得受监管的测试期，在要求全面牌照前，公司可在监管机构观察下运营。《AI Act》承诺此类沙盒，但其被推迟到2027年8月，晚于部分义务。顺序应当相反。
- 每家公司一个监管机构。如今，一家十二人金融科技公司可能须分别向金融监管机构、FIU、数据保护机构以及即将出现的 AI 机构回应。GDPR 的一站式机制，即一家主导机构处理一家公司，展示了这一模式。它应扩展至整个规则体系。
- 每部法案设失效日期。若法规在对其成本进行真正审查后未获再次确认便失效，修正将成为强制要求，而非政治恩惠。Omnibus 将成为规则，而非救援。
- 计算从未成立的公司。每项欧盟影响评估都衡量现有企业的成本，却没有一项衡量那些改选 Delaware、Dubai 或 Singapore 的初创企业。在该数字被摆上台面前，起草下一部法案的人将继续低估其成本。
这并不意味着复制 United States——其仍没有全面的联邦 AI 法律，只有各州规则的拼凑——或 UK——其迄今选择不通过单一 AI 法案，而要求现有监管机构适用一套原则。这意味着承认，这些地方正是欧洲创始人如今拿欧洲作比较的对象。再加上委员会于2026年3月提出的欧洲统一公司形式 EU Inc.，按委员会承诺可在48小时内以低于 €100 注册且无需最低资本，欧洲便会提供一项小团队真正能够采用的方案。
我对创始人的建议
我给创始人的建议已变得乏味而实用。请将合规成本视为商品成本中的一项，而非一次性法律费用。请根据监管机构的质量和登记册的速度选择欧盟国家，因为规则本身各地相同。请利用过渡窗口和 omnibus 延期作为建设时间，而非忽视法律的许可；《AI Act》的高风险规则被推迟，而非取消。若您的商业模式仅能在欧盟规则体系外运作，请尽早承认，在提交牌照申请之前，而不是之后。
尽管有规则体系，仍在欧洲建立公司
欧洲仍是经营公司的好地方，我每周都这样告诉客户。本文目的不是劝任何人放弃 Estonia 或欧盟，而是说明欧盟监管是真实成本，应从第一天起计入。合适的架构、合适的牌照路径和欧盟内合适的国家，如今比五年前带来更大差异。若您正在权衡新公司或现有公司的这些选择，Eesti Firma 团队可带您了解规则对您个案的实际含义，从公司注册到牌照申请。
