7
0欢迎收听《AI星辰电台》。今天我们来拆解2026年9月下旬三条全球数据与AI治理动向——加州州长纽森签署SB 923《扩大隐私权利法》：堵上CCPA删除权存在六年多的漏洞，自2027年1月1日起企业从第三方获取的个人信息同样必须应消费者请求删除，并允许以"抑制名单"维持删除状态，仅在线经营的企业还须提供网页表单提交渠道；英国ICO宣布TikTok撤回上诉、接受2023年开出的1270万英镑儿童数据罚单，罚单正式终局，针对13-17岁青少年推荐系统处理的独立调查随之解封；爱尔兰DPC发布《负责任的AI创新》报告，总结2021-2025年约180次AI监督介入——生成式AI占79%、五年增长十倍，透明度出现在72%的建议里，并披露用高等法院紧急禁令阻止X用用户数据训练Grok的案例。三条新闻说的是同一件事：补缺口——立法补权利的缺口，执法补程序的缺口，监督补时间的缺口。
这一期的共同主线是：合规工作正在从"应对新规则"转向"补上老缺口"。加州删掉的漏洞存在了六年，TikTok的罚单悬了三年，DPC用五年数据证明了一种提前补缺口的方法。缺口不会自己消失；补缺口的方式在分层——立法、执法、监督各补一层；而缺口补上之后，真正的考验才开始。
一、加州：SB 923堵上CCPA删除权漏洞——第三方数据从此删得掉
制度背景
CCPA自2020年生效起，删除义务仅覆盖"从消费者处收集"的个人信息；企业从数据经纪商、广告技术、数据增强供应商等处获取的第三方数据不在删除范围内——消费者提交删除请求后，企业数据库中仍可能保留其大量个人信息并暴露于泄露或滥用风险。SB 923（Expanding Privacy Rights Act，参议员Josh Becker提出，CalPrivacy发起支持）于2026-09-27由州长纽森签署，2027-01-01生效。签署后加州与特拉华、印第安纳、马里兰、新泽西执行同一更强的删除标准。
核心进展
项目内容漏洞修补删除义务从"直接收集的信息"扩展到第三方获取的信息——无论来源，均应消费者请求删除抑制名单允许企业维护抑制名单（suppression list）：已删除的消费者信息保持删除状态，即使后续从第三方新购数据也不恢复提交渠道仅在线经营的企业必须提供在线提交方式（如网页表单），不得只给电子邮箱生效时间2027-01-01官方引语CalPrivacy执行董事Tom Kemp："删除权终于能做到人们期望它做的事：删除——不管企业当初是从哪里拿到这些信息的。"；副总监Maureen Mahoney：网页表单让请求更简单，鼓励更多加州人行使其既有权利
企业合规观察
第三方数据流必须接入删除工作流：数据经纪商、增补供应商、广告平台的每一路数据进，都要能回答"这名消费者删过没有"。
抑制名单是义务也是救生圈：没有名单，新购数据会反复带回已删信息，违规将循环发生——名单基础设施要在2027-01-01前建成。
在线提交渠道要升级：仅提供邮箱联系方式的线上企业，须在生效前上线网页表单式请求入口。
二、英国：TikTok撤回上诉接受1270万英镑罚单——儿童数据执法三年终局
制度背景
ICO于2023年对TikTok信息技术英国有限公司及TikTok Inc开出1270万英镑罚单：非法使用儿童个人数据；基于经济分析的估计，2020年最多175万名13岁以下英国儿童使用TikTok（平台规则不允许该年龄段注册）；平台未做足够检查识别与移除低龄用户；未清晰说明数据收集使用共享情况；未获家长同意。TikTok以"艺术目的"（特殊目的）为由上诉，主张ICO开罚前应先获法院批准——2026年8月上级裁判所驳回该主张。2026-09-24，TikTok撤回上诉，罚单终局，同意支付。同时撤回针对独立调查（2025年2月启动，涉13-17岁用户数据在推荐系统中的处理）信息通知的上诉，调查恢复推进。
核心进展
项目内容罚单终局2023年开出的1270万英镑罚单因上诉撤回而正式生效，TikTok同意支付判例意义上级裁判所2026年8月驳回"艺术目的/特殊目的"抗辩——主流平台的用户数据处理不构成特殊目的，ICO开罚无需事先法院批准调查解封2025年2月启动的推荐系统调查（13-17岁用户数据如何被用于画像与内容推送）因信息通知上诉撤回而恢复数字背景2020年最多175万名13岁以下英国儿童使用TikTok；ICO儿童数据工作已帮助保护近500万名儿童用户官方引语ICO副专员Emily Keaney："我们对TikTok的成功执法说明，企业必须有适当的保护措施，包括阻止未达年龄的儿童使用其服务。"
企业合规观察
"特殊目的"抗辩在主流平台已事实上死亡：2026年8月裁判所裁定是判例——社交与视频平台的常规数据处理，不要再指望"艺术目的"挡住罚单。
推荐系统对未成年人的画像推送是下一轮前沿："更难停止滚动"的实证研究已成为监管说理的一部分——年龄保证与推荐逻辑需要证据，不是声明。
程序拖延不再等于免罚：罚单悬置三年最终全额生效——上诉策略的代价是更长的曝光期与终局后更硬的先例。
三、爱尔兰：DPC发布五年AI监督报告——提前介入的"准监管沙盒"
制度背景
爱尔兰DPC是多数大型科技公司欧盟总部的牵头监管机构（LSA）。其监督职能（Supervision Function）独立于投诉与调查，采用自愿、对话驱动的"准监管沙盒"模式：企业在产品上线前与DPC接触，DPC评估DPIA、LIA等文件并给出建议，企业改进后再上线；DPC从不宣布产品"合规"，但提前介入能显著降低后续调查与紧急行动的风险。报告覆盖2021-2025年技术跨国监督组（TMSU）的全部AI介入。
核心进展
项目内容总量与增速五年约180次AI介入，增长十倍：2021年每35次监督介入中1次涉AI → 2025年约每4次中1次构成生成式AI 143次（79%）、非生成式37次；生成式AI介入2023年25次 → 2024年36次 → 2025年82次高频议题建议中最常引用：透明度（出现在72%的建议中）、技术与组织措施、第25条设计及默认保护、数据最小化、合法性基础建议密度2024-2025年在欧盟上线的AI产品**59%**收到建议；单次介入建议中位数3条、最多18条；9次上线因DPC介入推迟或取消，**95%**不受延迟软案例三家控制器拟用用户数据训练AI而未告知用户 → DPC要求隐私通知＋通知期（其间可行使反对权等权利），三家全部照做硬案例2024年7月X用用户数据训练Grok且关键缓解措施缺失 → 拒绝停止处理后，DPC 2024-08-08依2018年数据保护法第134条向爱尔兰高等法院申请紧急令 → X承诺停止处理并删除相关数据集在建调查Google（PaLM 2的DPIA义务）、X（Grok模型训练）、X（平台内Grok功能处理含儿童在内的用户数据）实务提示建议提前至少8周与DPC接触；新AI模型训练通常需要DPIA；用历史数据训练AI须增强透明度（一家企业被要求剔除2014年前收集的数据）
企业合规观察
事前通知与反对窗口是AI训练的前提：三个被点名的控制器无一例外被要求补通知与通知期——没有告知，合法性基础就没有容身之处。
提前8周接触DPC是最小提前量：59%的上线产品收到建议，意味着"被建议"是常态而非例外——把监督接触写进产品上线计划。
软建议背后连着硬权力：要求暂停、高等法院紧急禁令、正式调查是同一本手册——Grok案证明不配合的代价从删除数据集起步。
主编深度洞察
三条新闻放在一起看，最值得注意的不是任何单一规则，而是**"补缺口"正在成为全球数据治理的常态动作**——立法、执法、监督三种工具，在同一个秋天指向同一件事。
第一层是权利的缺口要立法来补。加州的删除权漏洞存在了六年多：纸面上人人有删除权，实际上第三方买来的数据删不掉——权利被数据流通的结构性现实掏空了一半。SB 923的写法值得细看：它不只是把义务扩到第三方数据，还配套给了"抑制名单"这个持续机制。这说明立法者在补缺口时考虑的不再是"删一次"，而是"保持删除状态"——权利正在从动作变成状态。对企业的含义是：删除不再是客服工单里的一个操作，而是一条跨数据源、跨供应商、跨时间的数据工程。
第二层是程序的缺口要执法来补。TikTok的罚单悬了三年，程序就是缺口本身：上诉不结束，处罚就是一张纸。2026年8月上级裁判所对"艺术目的"的驳回，把主流平台最后一条程序性后路也关上了。值得注意的还有那张罚单的"尾巴"：撤回上诉的同一天，推荐系统调查解封——终局不是结束，而是下一轮调查的起点。执法正在把儿童数据保护从"注册年龄"推进到"使用方式"。
第三层是时间的缺口要监督来补。DPC报告最有价值的一句话是：绝大多数介入发生在"上线前不久"，而实质性的介入需要至少8周。时间缺口的意思是：企业找监管太晚，监管就没有时间把建议变成设计。反过来，报告用95%不受延迟、59%收到建议、72%的建议含透明度这些数字证明：提前介入不是负担，是最便宜的合规方式。软建议、暂停请求、高等法院禁令——三种力度共用一套逻辑：越早，越轻。
给企业一句话：2026年9月，萨克拉门托在补权利的缺口，伦敦在补程序的缺口，都柏林在补时间的缺口——三种补法给企业的作业是同一份：把"例外"从你的合规体系里一个一个找出来补掉，因为立法者、执法者和监督者都已经开始这么干了。
延伸阅读
California Privacy Protection Agency — California Expands Privacy Protections by Strengthening Deletion Rights (2026-09-27): privacy.ca.gov
英国信息专员办公室（ICO） — TikTok withdraws two appeals in children's privacy action and accepts £12.7m fine (2026-09-24): ico.org.uk
爱尔兰数据保护委员会（DPC） — Responsible Artificial Intelligence Innovation: Insights from the DPC's Supervision of AI (2021-2025) (September 2026): www.dataprotection.ie
资源领取
欢迎关注我们的公众号"那一片数据星辰"。
