欢迎收听《AI星辰电台》。本期节目关注四个治理信号：美国德州把未成年人保护推到应用下载入口，斯洛文尼亚信息专员把美国市场网站的数据传输问题拆成一张跨境合规清单，G7 数字与技术部长宣言把 AI 治理扩展到安全、采用、能源和儿童保护，新加坡 PDPC 则为生成式 AI 个人数据使用提出生命周期式指南草案。 这一期的共同主线是：数字治理正在从“事后合规说明”走向“入口控制、链条拆解和生命周期问责”。 节目导航 1. 德州应用商店年龄验证法获得第五巡回程序性支持 核心进展 德州总检察长办公室在 2026 年 6 月 1 日发布新闻稿称，第五巡回上诉法院暂停了联邦地区法院对德州 Senate Bill 2420 的禁令。SB 2420 于 2025 年春季通过，并在 2025 年 5 月 27 日由州长 Abbott 签署；2025 年 12 月被联邦地区法院阻止实施，德州总检察长随后上诉。 规则要点 * 主要应用商店需要使用商业上合理的方法识别个人年龄。 * 未成年人账户必须关联父母或监护人账户。 * 未成年人下载应用前，父母或监护人需要收到应用年龄评级通知，并作出批准。 * 德州总检察长办公室强调，SB 2420 只适用于未成年人的应用下载和购买。 为什么重要 这类规则把未成年人在线保护从内容平台、社交平台、游戏和成人内容服务，进一步推到应用分发入口。应用商店不再只是交易和分发渠道，而可能成为年龄识别、家长控制、评级通知和下载授权的基础设施。 企业合规观察 * 年龄验证不能只看“能不能识别年龄”，还要看是否符合数据最小化。 * 家长同意流程需要避免暗黑模式，尤其是默认同意、误导性按钮和过度授权。 * 平台、开发者、设备系统之间需要明确谁负责通知、记录、撤回、更新和争议处理。 * 如果年龄验证引入身份证明、生物识别或第三方验证服务，还会触发新的隐私与安全风险。 2. 斯洛文尼亚 IP：“美国市场网站”仍可能触发 GDPR 第五章传输审查 核心进展 斯洛文尼亚信息专员在 2026 年 6 月 3 日发布“向美国传输数据”意见，编号 07121-1/2026/528。提问方是一家在斯洛文尼亚成立的公司，计划建立多个专门面向美国市场的网站，并询问美国 hosting、Google 服务、newsletter、cookie consent、DPF、SCC、Article 49 例外，以及 SLO d.o.o. -> US LLC -> U.S. hosting 结构下的数据传输问题。 IP 回答的第一层：是否构成第三国传输 IP 采用 EDPB Guidelines 5/2021 的三项累计标准： * 出口方控制者或处理者在该项处理中受 GDPR 约束。 * 出口方通过披露或其他方式，使另一个控制者、共同控制者或处理者能够获得个人数据。 * 进口方位于第三国，或属于国际组织；无论该进口方本身是否也因特定处理受 GDPR 约束。 如果三个条件同时满足，就属于 GDPR 第五章意义上的传输。也就是说，网站面向美国市场，并不当然排除 GDPR 第五章的适用。关键仍然是斯洛文尼亚公司是否作为出口方受 GDPR 约束，以及是否把个人数据交给美国实体。 IP 回答的第二层：DPF、SCC 与 Article 28 不能混为一谈 IP 重申，向第三国传输不得降低 GDPR 提供的保护水平。传输路径主要有三类： * 充分性决定。对美国而言，欧盟委员会的充分性决定只覆盖参加 EU-U.S. Data Privacy Framework 的美国公司。 * 适当保障措施。实践中最常见的是欧盟委员会标准合同条款 SCC。 * Article 49 特殊情形例外。只有在不能基于充分性决定或适当保障措施传输，并且满足严格条件时，才可能使用。 IP 特别强调，与处理者，包括第三国处理者，需要签 GDPR Article 28 处理协议。但从欧盟控制者向第三国处理者传输时，出口方需要同时具备：第五章下的传输依据，以及 Article 28 下的处理协议。数据中心认证和处理协议不能单独替代 SCC 或其他传输机制。 IP 回答的第三层：集团结构与角色认定 同一集团内部的实体也可能是不同的控制者、共同控制者或处理者。SLO d.o.o.、US LLC 和美国 hosting 之间，不能因为同属一个集团就跳过角色判断。US LLC 是共同控制者、独立控制者还是处理者，会影响合同、通知、责任分配和跨境传输路径。 IP 回答的第四层：cookie 与隐私通知 根据 ZEKom-2 第 225 条，在用户终端设备上设置 cookie 或类似追踪技术，原则上需要用户在清楚、充分了解后同意。无需事前同意的例外主要是必要 cookie 和通信传输 cookie，而且要严格解释。 同时，GDPR Article 13 的告知义务仍然适用。隐私通知应说明是否计划向第三国传输个人数据，是否存在欧盟委员会充分性决定；如果没有，使用了哪些适当或合适保障措施，以及个人如何获取这些保障措施副本。 企业合规观察 * “只面向美国用户”不等于没有欧盟跨境传输问题。 * DPF 需要逐个供应商核验，不能用 Google 的 DPF 状态覆盖非 DPF hosting 服务商。 * Article 28 处理协议解决的是控制者与处理者关系，不是第三国传输依据。 * Cookie banner 和隐私政策不能只写“可能传输到美国”，还要说明具体传输依据和保障措施。 * 出海网站合规清单至少应包括：供应商 DPF 状态、SCC 模块、补充措施、cookie 分类、Article 13 告知、集团角色图、处理者/子处理者清单。 3. G7 发布 2026 数字与技术部长宣言 核心进展 G7 数字与技术部长 2026 年 5 月 29 日在巴黎举行会议，宣言于 2026 年 6 月 1 日由 GOV.UK 发布。宣言围绕四个优先事项展开：安全 AI、促进 AI 采用和经济增长、数字部门韧性与资源效率、未成年人在线安全。 安全 AI G7 继续承接 Hiroshima AI Process，并认可修订后的 Hiroshima AI Process Reporting Framework。宣言强调需要提升 AI 风险评估、报告和缓解评估方法之间的可比性，也提到合成内容检测的重要性。法国主席国推动的 Meta-detector 被作为一个方向：通过聚合多个合成内容检测器，帮助交叉评估 AI 生成内容。 AI 采用与中小企业 宣言承认，AI 采用在不同经济体之间和内部都不均衡，中小微企业面临的障碍因地区、行业、规模和数字成熟度而不同。G7 与 OECD 合作开发 SME AI Readiness Tool，帮助企业评估数字与 AI 准备度，并计划通过 G7 AI Training Hub 提供。 能源、资源与数字基础设施韧性 G7 明确把 AI 采用增长与电网压力、能源供应、自然资源和数字基础设施韧性联系起来。宣言强调，需要加强关于 AI 模型和硬件能源、资源需求的测量、监测、报告和最佳实践分享。 未成年人在线安全 G7 支持一套共同原则，用于定义安全可靠的未成年人数字空间。宣言列举的风险包括过度屏幕时间、注意力和互动最大化设计、骚扰、诱导、儿童性剥削和虐待、非自愿亲密影像，以及生成式 AI 带来的深度伪造、AI 生成儿童性虐待材料、操纵性模拟互动等。 企业合规观察 * AI 治理议题正在从模型安全扩展到能源、采购、内容来源、未成年人保护和数字素养。 * 中小企业 AI 采用会成为政策支持重点，但也会带来更可操作的成熟度评估工具。 * 合成内容检测和来源标识会继续进入平台治理、广告、新闻、教育和未成年人保护场景。 * AI 基础设施团队需要更早参与合规讨论，因为能源、资源效率和韧性已经成为政策议题。 4. 新加坡 PDPC 发布生成式 AI 个人数据指南草案 核心进展 新加坡个人资料保护委员会 PDPC 在 2026 年 6 月 2 日发布《生成式 AI 中个人数据使用拟议咨询指南》。这份文件是咨询性质，不具有法律约束力，但它系统梳理了生成式 AI 在开发、部署和部署后阶段如何适用 PDPA。 公开可得数据与 digital barriers PDPC 承认，生成式 AI 模型开发可能依赖大规模网络数据。如果数据属于 PDPA 下的 publicly available data，组织可能考虑依赖公开可得例外。但 PDPC 没有把“网上能看到”直接等同于“可以任意抓取”。 指南草案特别讨论 digital barriers，包括： * 付费墙、订阅和注册要求。 * 密码、API key、一次性验证码。 * Bot blockers、CAPTCHA 等反爬或访问控制机制。 PDPC 建议结合多个因素判断：数字障碍目的是什么，效果上数据是否仍面向公众，访问步骤是否复杂，是否可以从其他无限制来源获得相同个人数据。对于抓取其他组织设置了数字障碍的数据，PDPC 认为最佳实践是先通知对方。 用户数据与 AI-specific notification 如果个人向组织提供的数据，或个人使用产品服务过程中产生的数据，要用于生成式 AI 模型开发，除非有视为同意或相关例外，原则上需要同意。PDPC 明确表示，笼统写“用于新产品开发”不足以支持大规模 AI 模型训练或微调。 组织应提供 AI-specific notification，说明： * 哪些类型的个人数据会用于模型训练或微调。 * 这些数据如何被使用。 * 模型具有什么功能。 * 个人如何理解、拒绝或撤回相关同意，视具体机制而定。 模型提供者、系统提供者、系统部署者 PDPC 把生成式 AI 生态中的责任拆成三类角色： * 模型提供者：需要关注训练、部署、推理过程中的个人数据保护，记录访问控制、数据驻留和留存政策。 * 系统提供者：如果开发定制化或商业现成系统，需要向下游分享系统级安全措施、数据泄漏测试指标、输入输出过滤、加密等信息。 * 系统部署者：即采购和使用生成式 AI 系统的企业，仍对所选系统是否满足 PDPA 义务承担主要责任。 部署者特别要做什么 部署者需要明确系统处理个人数据的目的和必要范围，管理 end-user prompts、输入、输出、agent/tool activity data、内部企业数据等新型数据源，并教育内部或外部用户哪些数据可以输入系统、系统如何处理这些数据。 企业合规观察 * 生成式 AI 合规不能只审训练数据，还要审部署、推理、留存、访问控制和下游说明。 * “公开可得”要结合访问障碍、来源预期和合同/服务条款风险一起判断。 * 使用 SaaS 或 API 并不转移部署者责任，采购方仍需要拿到足够信息做整体评估。 * 供应商安全白皮书、数据驻留说明、保留政策、泄漏测试指标，会越来越像生成式 AI 采购中的标准材料。 主编深度洞察：从“单点合规”到“责任图” 今天四组材料可以放在一张责任图里看。 第一，治理正在前置到入口。 德州把未成年人保护前置到应用商店下载入口；新加坡 PDPC 把训练数据、用户通知和数字障碍判断前置到数据进入模型之前；斯洛文尼亚 IP 则提醒企业，在美国市场网站上线之前，就要先核验 hosting、分析、广告和 newsletter 工具的传输路径。 第二，治理正在拆成链条。 跨境传输不是一个“是否出境”的标签，而是出口方、进口方、控制者、处理者、DPF、SCC、Article 28、cookie、Article 13 告知共同组成的链条。生成式 AI 也不是一个“训练数据合规吗”的问题，而是模型提供者、系统提供者、部署者、终端用户之间的信息和责任链。 第三，治理正在生命周期化。 G7 关注 AI 从研发、采用、能源消耗、合成内容到未成年人影响的完整政策面；PDPC 则把生成式 AI 分成开发、部署、部署后阶段。企业如果仍然只在上线前写一份隐私政策，很难覆盖这些新要求。 本期给企业的三张清单 未成年人保护清单 * 是否存在年龄识别、年龄分层或家长同意场景。 * 年龄验证是否符合数据最小化。 * 家长同意是否有清楚通知、可撤回机制和记录留存。 * 应用评级、下载授权、内容推荐和广告投放是否打通。 美国传输清单 * 欧盟实体是否作为出口方受 GDPR 约束。 * 美国供应商是否在 DPF 名单上。 * 非 DPF 供应商是否配置 SCC 和必要补充措施。 * Article 28 处理协议是否覆盖处理者和子处理者。 * Cookie banner、隐私通知和 Article 13 第三国传输告知是否一致。 * 集团内 SLO d.o.o.、US LLC、hosting、Google、newsletter 工具的角色是否画清楚。 生成式 AI 个人数据清单 * 训练数据是否包含个人数据。 * 公开数据是否存在 digital barriers。 * 用户数据是否有 AI-specific notification。 * 模型提供者是否说明数据驻留、留存、访问控制和泄漏风险。 * 系统提供者是否提供安全措施和测试指标。 * 部署者是否限定输入数据类型、使用目的和内部用户规则。 延伸阅读 * Texas Attorney General: Attorney General Ken Paxton Secures Major Victory Protecting Children Online By Requiring Age Verification and Parental Approval for Minors' App Downloads * Informacijski pooblaščenec: Prenos podatkov v ZDA * GOV.UK: G7 Digital and Technology Ministerial Declaration: 29 May 2026 * Singapore PDPC: Proposed Advisory Guidelines on Use of Personal Data in Generative AI 资源领取 欢迎关注我们的公众号"那一片数据星辰" #AI治理 #数据合规 #未成年人保护 #跨境传输 #G7 #生成式AI #新加坡PDPC #AI星辰电台

欢迎收听《AI星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目关注三个信号：企业 AI 使用正在从试点走向日常业务，美国把高级 AI 能力纳入网络安全与关键基础设施防护，韩国则把 Privacy by Design 推向产品认证和市场选择。 节目导航 * 加拿大 OPC 发布企业隐私问题调查 * 核心进展：加拿大隐私专员办公室发布 2025-2026 年企业隐私相关问题调查，基于 2026 年初对 800 家加拿大企业代表的电话调查。 * AI 使用情况：16% 的受访企业表示在业务运营中使用 AI，高于上一轮的 6%；最常见用途是研究和文档起草、营销、文本或数据分析、客户服务或聊天机器人。 * 个人信息训练仍少：只有 2% 的企业表示使用客户个人信息训练 AI 系统。 * 人类监督：在使用 AI 同时提升效率并支持决策的企业中，97% 表示公司采取行动前会有人类员工审查 AI 驱动的决定。 * 企业启示：合规团队应优先建立 AI 使用清单、数据输入清单和决策影响清单，把治理落到具体流程。 * 美国白宫发布高级 AI 创新与安全行政令 * 核心进展：白宫于 2026 年 6 月 2 日发布行政令，推动高级 AI 创新与安全，重点包括网络安全、关键基础设施和国家安全。 * 网络防御优先级：行政令要求相关机构优先加强国家安全系统、国防系统和民用联邦政府信息系统的网络防御。 * AI 网络安全清算机制：行政令要求建立 AI cybersecurity clearinghouse，与 AI 行业和关键基础设施运营者自愿协作，协调漏洞扫描、验证、修复优先级和补丁分发。 * 前沿模型框架：行政令要求建立分类基准评估流程，并设计与 AI 开发者合作的自愿框架，支持联邦政府在保密和知识产权保护下获得有限早期访问。 * 边界声明：行政令明确不授权建立强制性的模型许可、预审或准入制度。 * 企业启示：前沿模型企业和关键基础设施运营者都需要准备更复杂的政府协作、能力验证和安全访问安排。 * 韩国 PIPC 征集 2026 年 PbD 认证参与产品 * 核心进展：韩国个人信息保护委员会于 2026 年 6 月 1 日公开征集 2026 年 Privacy by Design 认证参与产品和解决方案。 * 认证对象扩展：韩国自 2023 年起试点 PbD 认证，目前已有 7 个产品获得认证；今年计划从家用 CCTV、机器人清洁器等日常 IT 产品，扩展到卖家工具、客户管理软件、安全解决方案等中小企业业务软件。 * 申请安排：制造商和开发商需在 2026 年 6 月 22 日前提交申请，PIPC 将在 6 月底前初步选定参与对象，再进行评估、测试和漏洞补救。 * 支持措施：试点将提供专家咨询、顾问支持，并全额支持认证手续费；若未来 PbD 转为法定认证，试点认证效力有望继续维持。 * 企业启示：隐私保护正在从内部制度变成产品认证和市场竞争力，尤其影响 SaaS、IoT、AI 工具和客户管理系统。 主编深度洞察：AI与隐私治理进入“操作化工具”阶段 * 从原则到清单：加拿大调查说明，企业 AI 治理的第一步不是写宏大原则，而是弄清楚谁在用 AI、输入了什么数据、输出是否影响个人权益。AI 使用比例上升，但客户数据训练和自动化决策并没有同步普及，这正是建立分层治理的窗口期。 * 从模型监管到安全协作：美国行政令把高级 AI 放进网络安全基础设施建设中，关注漏洞发现、补丁修复、前沿模型能力评估和关键基础设施防护。它释放的信号不是单纯“监管模型”，而是通过政府与产业协作，把 AI 能力转化为防御能力。 * 从合规文件到产品认证：韩国 PbD 认证体现了隐私治理的产品化趋势。未来客户采购软件和设备时，可能不只看功能和价格，也会看产品是否在设计阶段完成隐私保护、漏洞修复和默认配置评估。 延伸阅读 * 加拿大隐私专员办公室：2025-2026 Survey of Canadian businesses on privacy-related issues * 美国白宫：Promoting Advanced Artificial Intelligence Innovation and Security * 美国白宫：Fact Sheet: President Donald J. Trump Promotes Advanced Artificial Intelligence Innovation and Security * 韩国个人信息保护委员会：안심하고 쓸 수 있는 개인정보보호 중심 설계(PbD) 인증 참여제품을 공모합니다 资源领取 欢迎关注我们的公众号"那一片数据星辰" #AI治理 #数据合规 #加拿大OPC #美国AI政策 #网络安全 #韩国PIPC #PbD #AI星辰电台

欢迎收听《AI星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目关注三个信号：AI 正在进入网络防御实务，个人信息保护正在前移到事故发生前，AI 产品的安全承诺也正在受到州级消费者保护执法审视。 节目导航 * 澳大利亚发布《AI 在网络防御中的机会》指南 * 核心进展：澳大利亚网络安全中心于 2026 年 5 月 27 日发布指南，说明组织如何将 AI 用于网络防御，同时管理 AI 引入的新风险。 * 六类安全功能：指南将 AI 用例放入治理、识别、保护、检测、响应、恢复六个网络安全功能中，强调 AI 应增强既有安全实践，而不是替代安全基础能力。 * 代理型 AI 风险：对能够自主计划和执行动作的 agentic AI，指南强调人类监督、沙箱、最小权限、可审计和高影响操作审批。 * 企业启示：安全团队应明确 AI 工具能访问什么、能执行什么、如何回滚；合规团队应关注日志、身份、网络遥测和安全事件数据的处理边界。 * 韩国就《个人信息保护法实施令》修正案征求意见 * 核心进展：韩国个人信息保护委员会于 2026 年 6 月 2 日宣布，对《个人信息保护法实施令》部分修正案公开征求意见，期限至 2026 年 7 月 13 日。 * CPO 治理升级：部分大型或高影响个人信息处理者在指定、变更或解除 CPO 时，需要经过董事会决议并向监管机构申报。 * ISMS-P 认证义务：部分公共系统运营机构、移动通信服务提供者、本人确认机构及超大规模信息通信服务提供者，需在 2028 年 12 月 31 日前取得 ISMS-P 认证。 * 泄露可能性通知：在知道个人信息处理系统遭非法访问，或个人信息被非法交易、流通时，需在 72 小时内通知信息主体。 * 企业启示：韩国合规重点正在从事后报告转向事前预防；企业需要提前打通安全监测、法律判断、CPO 汇报和用户通知机制。 * 佛罗里达州总检察长对 OpenAI 及其 CEO 提起诉讼 * 核心进展：佛罗里达州总检察长 James Uthmeier 于 2026 年 6 月 1 日宣布，对 OpenAI 及其 CEO Sam Altman 提起民事诉讼。 * 主要指控：州方新闻稿称，OpenAI 在向公众及儿童推广 ChatGPT 时，隐瞒严重风险、压制内部安全警告，并就产品安全性误导佛罗里达居民。 * 法律抓手：佛罗里达州以不公平和欺骗性贸易行为为核心路径，寻求损害赔偿并要求停止相关做法。相关指控仍需经过法院程序确认。 * 企业启示：AI 公司不应只关注专门 AI 法。消费者保护、儿童保护、数据收集、营销表述和产品安全，都可能成为执法入口。 主编深度洞察：AI 治理进入“责任链”阶段 * 从效率工具到安全基础设施：澳大利亚指南的价值在于，它没有把 AI 简化为“提效插件”，而是要求组织把 AI 放入网络安全治理闭环。对企业来说，AI 安全工具越接近日志、身份、漏洞和响应动作，越需要权限、审计、人工审批和回滚机制。真正的问题不是 AI 能不能帮安全团队更快，而是它在加速时有没有被组织制度接住。 * 从泄露响应到泄露预防：韩国实施令修正案延续了一个清晰趋势：隐私治理正在前移。CPO 的董事会决议与申报、ISMS-P 强制认证、泄露可能性通知，都是把责任嵌入事故发生前。对跨境企业而言，未来的数据合规不只是“出事后 72 小时报告”，而是要证明自己有能力及早发现、判断和通知。 * 从模型风险到市场承诺风险：佛罗里达州诉讼提醒我们，AI 产品风险不只来自模型输出，也来自企业如何对外描述产品。如果企业一边知道存在重大风险，一边对用户、家长或公众作出过度安全承诺，就可能被放入消费者保护法框架审查。AI 治理因此不只是研发和法务问题，也包括市场、公关、客服和儿童场景设计。 延伸阅读 * 澳大利亚网络安全中心：Opportunities for AI in cyber defence * 韩国个人信息保护委员会：个人信息泄露事前预防强化的《个人信息保护法实施令》修正案征求意见 * 佛罗里达州总检察长办公室：Attorney General James Uthmeier Files First-in-the-Nation State-Led Lawsuit Against OpenAI, CEO Sam Altman 资源领取 欢迎关注我们的公众号"那一片数据星辰" #AI治理 #数据合规 #网络安全 #个人信息保护 #韩国PIPC #OpenAI #消费者保护 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的10分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦职场 AI 情绪分析的监管红线、自主 AI 代理的网络安全挑战，以及监管机构为 AI 治理建立清晰框架的努力。 🕒 节目导航 * 第一条 意大利数据保护局对 Myndoor 职场情绪分析系统发出警告 * 核心进展：2026年5月14日，意大利数据保护局针对 Myndoor 公司开发的职场情绪分析插件发布警告决定，要求公司确保雇主无法通过任何方式获取员工情绪信息。 * 系统功能与设计：Myndoor 插件可集成到 Slack 和 Teams，通过分析员工聊天语言评估心理压力水平。当至少10名员工使用时，可向雇主提供聚合压力水平报告，但不含个人身份信息。 * 三大法律风险：一是违反意大利劳动法禁止雇主收集与工作无关的员工情绪信息；二是“预防医学”目的只能由法定职业健康医生执行；三是与欧盟 AI 法案禁止在职场推断员工情绪的规定存在潜在冲突。 * 监管机构立场：虽未发现实际数据泄露，但系统设计存在未来违规风险，必须从源头防范。强调即使是聚合数据，也可能违反职场数据保护规定。 * 隐私设计原则的应用：监管机构要求在产品设计阶段就应考虑数据保护，包括正确界定数据控制者角色，并实施技术措施防止未授权数据访问。 * 企业启示： * 职场情绪分析工具即使技术上实现匿名化和聚合，只要设计目的是推断员工情绪，就可能违反欧盟 AI 法案和各国劳动法 * 在产品设计阶段就应咨询法律专家，确保不越过监管红线 * 必须清晰界定数据控制者角色，确保雇主无法访问员工敏感信息 * 聚合报告的最小样本量（如10人）是重要的隐私保护措施，但不能完全消除法律风险 * 第二条 新加坡网络安全局发布 OpenClaw 自主 AI 代理安全风险警告 * 核心进展：2026年5月，新加坡网络安全局发布关于 OpenClaw 的网络安全风险警告，指出自主 AI 代理虽能提升生产力，但引入了严重的网络安全风险。 * 自主 AI 代理的特性：与传统 AI 工具不同，OpenClaw 能理解上下文、制定计划并独立采取行动，可使用网页浏览器、代码执行器和 API 等外部工具代表用户执行操作。 * 五大核心风险：未修补的漏洞、弱访问控制、敏感数据暴露、恶意第三方技能插件、记忆投毒攻击，可能导致代理被劫持、未经授权的操作和数据访问。 * 个人用户防护建议：避免在敏感设备上安装开源版本、使用最低权限账户、隔离敏感数据、仅安装可信技能插件、为高风险操作设置人工审批、及时更新并轮换凭证。 * 组织级防护措施：应用零信任原则、避免在关键环境部署开源版本、使用多个狭窄范围代理而非单一通用代理、使用专用凭证和短期令牌、通过策略代理路由出站连接、确保所有操作可记录和归因、为高风险操作要求人工批准、部署前测试安全控制、发生妥协时从已知良好基线重建环境。 * 变体与成熟度：NanoClaw 和 Nvidia 的 NemoClaw 等变体已出现，但代理 AI 的保障措施仍在成熟中，组织需评估这些变体是否满足性能和安全要求。 * 企业启示： * 自主 AI 代理是双刃剑，在提升生产力的同时可能成为网络攻击新入口 * 必须建立严格的安全控制，包括最低权限访问、持续监控、人工审批关键操作、完善的日志记录和事件响应机制 * 不能因追求效率而忽视安全风险，应将安全作为代理部署的前置条件 * “接受风险应是有意识的决定，而非被忽视的默认配置” * 第三条 英国信息专员办公室概述2026-2027年 AI 工作计划 * 核心进展：2026年5月27日，英国信息专员办公室首席执行官 Paul Arnold 向国务卿提交信函，概述该机构在 AI 使用和采用方面的工作计划。 * 两大总体目标：一是确保英国公众有信心了解 AI 系统如何处理个人数据，并拥有适当的代理权、选择权和控制权；二是确保 ICO 明确数据保护法对 AI 系统部署的要求，企业和公共部门组织理解这些要求，ICO 能展示高度遵守。 * 七大行动承诺：开发 AI 和自动化决策法定实践守则、倾听公众对 AI 服务个性化的疑问并与科技公司合作、制作“绿十字守则”式公众指南、发布透明度资源支持组织采购 AI 工具、发布代理系统 GDPR 合规指南、简化和重新品牌化创新和沙盒服务。 * 监管沙盒与创新服务：支持组织通过快速、灵活的方式获得复杂合规问题的答案，负责任地使用 AI 进行创新。 * 监管机构自身实践：ICO 内部也在采用 AI，所有员工可访问 Copilot，并分享了 AI 使用政策以展示以道德、透明方式利用 AI 的承诺。 * 三大监管原则：最大化清晰度、减少摩擦、建立公众对负责任数据使用的信任，这些对支持 AI 创新和采用至关重要。 * 企业启示： * 密切关注即将发布的 AI 和自动化决策实践守则，以及代理系统的 GDPR 合规指南 * “透明度”和“用户控制权”将成为 AI 产品设计的核心要求 * 主动利用 ICO 的创新服务和监管沙盒，在产品开发早期阶段获得合规指导 * 避免后期的合规成本和风险，将合规作为创新的推动力而非阻碍 💡 主编深度洞察：AI 治理的三重边界正在清晰化 * 职场 AI 的“情绪推断禁区”：从技术可行到法律禁止 意大利 Myndoor 案揭示了职场 AI 应用的一个核心矛盾：技术上可以做到的，法律上未必允许。Myndoor 的设计看似周全——员工自愿使用、雇主无法访问个人数据、仅提供聚合报告且设置了10人最小样本量。但意大利数据保护局的警告传递了一个明确信号：在职场环境中，即使是聚合的情绪数据，只要雇主能够接触，就触碰了监管红线。这不仅是数据保护问题，更是劳动法和职业健康法的交叉地带。欧盟 AI 法案第5条明确禁止在职场使用 AI 推断员工情绪，这一禁令的背后是对员工尊严和自主权的保护。企业在开发职场 AI 工具时，必须认识到：技术的边界不等于法律的边界，合规不是事后补救，而是设计阶段的前置约束。更深层的启示是，AI 系统的“可解释性”和“透明度”在职场环境中具有特殊意义——不仅要向员工解释系统如何工作，更要向监管机构证明系统不会被滥用于监控和控制。 * 自主 AI 代理的“安全悖论”：能力越强，风险越大 新加坡网络安全局对 OpenClaw 的警告揭示了自主 AI 代理的根本安全悖论：代理的价值在于其自主性和广泛能力，但这恰恰是最大的安全风险来源。传统 AI 工具是“被动响应”的，而自主代理是“主动执行”的——它能调用 API、执行代码、访问系统，这意味着一旦被劫持，攻击者获得的不仅是数据访问权，而是系统操作权。新加坡网络安全局提出的“使用多个狭窄范围代理而非单一通用代理”建议，实际上是在重新定义 AI 代理的架构范式：从“一个代理做所有事”转向“多个专用代理协作”。这类似于微服务架构在软件工程中的应用——通过限制单个组件的权限和能力，降低整体系统的攻击面。更重要的是，“人工审批关键操作”不应仅停留在提示层面，而必须通过系统级控制（如审批工作流、权限门）来强制执行。这要求企业在部署 AI 代理时，不能简单地“开箱即用”，而必须构建一整套安全治理框架，包括零信任架构、持续监控、事件响应和灾难恢复。自主 AI 代理的安全不是一个技术问题，而是一个系统工程问题。 * 监管框架的“清晰化竞赛”：从观望到主动引导 英国 ICO 的 AI 工作计划标志着监管机构从“观望”到“主动引导”的转变。过去，监管机构往往在技术应用出现问题后才介入，而现在，ICO 正在通过法定实践守则、公众指南、透明度资源和代理系统 GDPR 合规指南，主动为 AI 治理建立清晰框架。这种转变的背后是监管机构对 AI 技术特性的深刻理解：AI 系统的复杂性、不透明性和快速迭代性，使得传统的“事后监管”模式难以奏效。ICO 提出的“最大化清晰度、减少摩擦、建立公众信任”三大原则，实际上是在重新定义监管与创新的关系——监管不是阻碍创新，而是为创新提供可预测的法律环境。监管沙盒和创新服务的强化，表明监管机构正在从“守门人”转变为“引导者”。更值得关注的是，ICO 自身也在内部采用 AI（如 Copilot），并公开分享 AI 使用政策，这是监管机构“以身作则”的体现——只有监管机构自己理解 AI 的能力和局限，才能制定出既保护公众权益又支持创新的规则。全球范围内，监管机构正在展开一场“清晰化竞赛”，谁能更快、更准确地为 AI 治理建立框架，谁就能在 AI 时代的国际竞争中占据先机。 * AI 治理的“三角平衡”：技术能力、法律边界与伦理底线 本期三条新闻共同揭示了 AI 治理的“三角平衡”挑战。意大利案例代表法律边界——即使技术上可行，也可能因触犯劳动法、数据保护法和 AI 法案而被禁止。新加坡案例代表技术能力——自主 AI 代理的强大能力带来了前所未有的安全风险，技术的进步必须伴随安全措施的同步升级。英国案例代表监管框架——监管机构正在努力为 AI 应用建立清晰、可预测的规则，平衡创新与保护。这三者之间的张力是当前 AI 治理的核心挑战：技术能力的边界在不断扩展，法律边界需要动态调整以应对新技术，而伦理底线（如员工尊严、用户自主权、系统安全）则是不可突破的红线。企业在 AI 创新中，必须同时考虑这三个维度，不能仅从技术可行性出发，而忽视法律合规性和伦理正当性。AI 治理不是单一维度的问题，而是一个需要技术、法律、伦理、商业多方协同的系统工程。 📚 延伸阅读 * 意大利数据保护局：Myndoor 职场情绪分析系统警告决定 * 新加坡网络安全局：OpenClaw 网络安全风险警告 * 新加坡资讯通信媒体发展局：OpenClaw 负责任部署案例研究 * 英国信息专员办公室：2026-2027年 AI 工作计划信函 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #职场情绪分析 #Myndoor #新加坡网络安全 #OpenClaw #自主AI代理 #英国ICO #GDPR #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的10分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦云服务责任界定、儿童隐私保护的国际实践，以及基因数据安全的执法追责。 🕒 节目导航 * 第一条 法国 CNIL 发布云计算服务提供商角色认定指南 * 核心进展：法国数据保护局 CNIL 于2026年5月发布重要指南，针对云计算生态系统中数据控制者、联合控制者和数据处理者的角色认定提供明确框架。 * 三大场景框架：指南从服务提供、服务改进和安全保障三个核心场景切入，为云服务提供商和客户提供角色认定的分析路径。 * “云的安全”vs“云中的安全”:CNIL 创新性地区分了提供商负责的基础设施安全（云的安全）和客户负责的数据保护措施（云中的安全），明确了责任边界。 * 联合控制的触发条件：当云平台部署追踪器同时为客户和自身目的收集数据，或双方共同决定数据分析的目的和方式时，可能构成联合控制关系。 * 企业启示： * 在签订云服务合同前，必须仔细分析具体服务场景，准确界定各方角色 * 在合同中清晰记录角色认定过程和依据，避免模糊地带 * 建立定期审查机制，因为角色可能随服务演进而变化 * 为不同角色配置相应的合规流程和责任分配机制 * 第二条 加拿大隐私专员在 IAPP 研讨会上聚焦 AI 治理与儿童隐私 * 核心进展：加拿大隐私专员 Philippe Dufresne 于2026年5月4日在多伦多 IAPP 研讨会上发表演讲，宣布即将公布 OpenAI 和 X Corp/xAI 的调查结果，并发布年龄验证指南和儿童信息保护规范。 * OpenAI 调查即将公布：与魁北克、BC 省和阿尔伯塔省联合调查 OpenAI 在开发 ChatGPT 过程中的个人信息收集、使用和披露行为，结果将于5月7日公布，为 AI 开发者提供合规预期。 * 深度伪造内容调查：针对 Grok 聊天机器人生成包括儿童在内的明确深度伪造内容，对 X Corp 和 xAI 展开扩大调查，已加速进行。 * 年龄验证指南发布：发布面向网站/服务提供商和开发者的两份年龄验证指南，目标是在保护儿童的同时不过度侵犯隐私权。 * 青年咨询委员会成立：成立由7名14-17岁青少年组成的咨询委员会，参与儿童信息保护规范的制定，确保规范反映年轻人的真实观点和经验。 * 令人担忧的研究发现：加拿大青年调查显示，许多青少年在14岁时就“放弃了个人数据保护”，认为数据提取已超出抗争能力，凸显当前隐私保护机制在年轻用户中的系统性失效。 * 企业启示： * AI 产品开发者应主动与监管机构沟通，了解合规预期，避免事后补救 * 深度伪造技术的开发和部署必须内置防护机制，防止被滥用于生成有害内容 * 年龄验证应采用隐私友好的技术方案，避免过度收集儿童信息 * 儿童产品设计应真正倾听年轻用户的声音，而非仅从成人视角出发 * 第三条 明尼苏达州签署未成年人社交媒体保护法 * 核心进展：2026年5月26日，明尼苏达州州长签署众议院4138号法案，将于2027年7月1日生效，建立针对社交媒体平台保护未成年人的全面监管框架。 * 适用范围：适用于拥有至少1万名账户持有人或过去三年任一年全球收入达10亿美元以上、向明尼苏达州未成年人提供服务的社交媒体平台。 * 八大核心要求：年龄估算义务、家长同意要求、隐私保护默认设置、家长监控工具、禁止成瘾性界面功能、禁止定向广告、数据使用限制、账户终止机制。 * 禁止成瘾性设计：儿童账户不得使用无限滚动、自动播放、推送通知和参与度指标等成瘾性界面功能，从产品设计层面保护儿童。 * 私人诉讼权：儿童或家长可针对违规行为提起诉讼，故意或鲁莽违规可追回实际损害赔偿或最高1万美元法定赔偿（取较高者），并可追讨惩罚性赔偿。 * 州总检察长执法权：故意或鲁莽违规构成欺骗性贸易行为，州总检察长有权执法。 * 企业启示： * 社交媒体平台需为儿童用户开发完全不同的产品体验，不能简单套用成人版本 * 年龄估算技术必须达到法律规定的置信度阈值，并定期重新评估 * 产品设计团队需深刻理解“成瘾性功能”的定义，避免踩红线 * 建立完善的家长同意和监控工具，确保家长能够有效参与儿童的在线活动管理 * 第四条 加州总检察长起诉 Chrome Holding（原23andMe）基因数据泄露案 * 核心进展：2026年5月28日，加州总检察长在旧金山高等法院起诉 Chrome Holding 公司，指控其在2023年数据泄露事件中未能保护近700万用户的敏感个人和基因信息。 * 泄露规模：攻击者在5个月内访问约1.4万个账户，通过系统漏洞获取近700万客户数据，包括85.5万名加州居民的祖源报告、健康倾向和生物学亲属信息。 * 四大安全失误：未能防止凭证填充攻击、忽视“DNA 亲属”功能编码漏洞、忽略多次警告和持续未授权访问、在谈判赎金时误导公众淡化泄露严重性。 * 法律违规：违反《加州消费者隐私法》(CCPA)、《基因信息隐私法》(GIPA）和《合理数据安全法》。 * 总检察长诉求：寻求法院命令，要求公司对未能维持足够安全措施和发表欺骗性声明的行为负责。 * 企业启示： * 基因数据属于最敏感的个人信息，一旦泄露无法更改，必须采取最高级别安全措施 * 凭证填充攻击虽常见但可预防，必须实施多因素认证和异常登录检测 * 产品功能设计中的编码漏洞可能成为数据泄露放大器，开发阶段就需严格安全审查 * 数据泄露后必须诚实透明披露真实范围和严重性，任何淡化或误导都会导致额外法律责任 💡 主编深度洞察：儿童数字权利保护的全球共识正在形成 * 从“同意疲劳”到“放弃保护”：儿童隐私机制的系统性失效 加拿大青年调查揭示的“14岁放弃数据保护”现象，不是个案，而是全球性危机的缩影。当前的隐私保护机制——冗长的隐私政策、形式化的同意弹窗、晦涩的使用条款——在设计之初就没有考虑儿童的认知能力和心理特点。“同意疲劳”(consent fatigue）和“披露疲劳”(disclosure fatigue）让儿童在数字世界中处于无力状态，他们既无法理解自己在同意什么，也无法有效行使拒绝权。更严重的是，这种无力感内化为“放弃”，让儿童过早地接受了“隐私已死”的虚假叙事。加拿大隐私专员成立青年咨询委员会、直接倾听14-17岁青少年的声音，是对这一问题的正面回应：保护儿童隐私，必须让儿童参与规则制定，而非由成人代为想象儿童的需求。 * 从“年龄门槛”到“产品重构”：明尼苏达州法案的范式转变 明尼苏达州的未成年人社交媒体保护法标志着监管思路的重大转变。传统的儿童保护立法往往止步于“设置年龄门槛+家长同意”，但明尼苏达州法案走得更远：它要求平台为儿童用户提供一个在产品逻辑上完全不同的体验。禁止无限滚动、自动播放、推送通知和参与度指标，实际上是在挑战社交媒体平台的核心商业模式——这些“成瘾性功能”正是平台用来最大化用户停留时长、提升广告收入的关键设计。法案传递的信号很明确：儿童不是“小号成人用户”，他们需要的不是成人版产品的“青少年模式”，而是从底层逻辑上重新设计的、不以成瘾和数据榨取为目标的产品。这对社交媒体平台是巨大挑战，但也是重新思考“什么是负责任的产品设计”的契机。 * 从“事后追责”到“设计问责”:23andMe 案的安全治理启示 加州总检察长对 Chrome Holding（原23andMe）的起诉，不仅是对一次数据泄露的追责，更是对“安全作为事后补救”思维的否定。总检察长明确指出的四大失误——未防止凭证填充、忽视编码漏洞、忽略警告、误导公众——揭示了一个系统性问题：许多企业将安全视为成本中心而非价值核心，在产品设计和运营阶段缺乏主动的安全思维。基因数据的特殊性在于其不可更改性：密码泄露可以重置，但基因信息一旦泄露，个人将终身暴露在风险之中。这要求基因检测企业必须在产品设计之初就内置最高级别的安全措施，而非等到泄露发生后再补救。更重要的是，企业在危机沟通中的诚实和透明，不仅是法律义务，也是维护用户信任的底线。23andMe 在与攻击者谈判赎金的同时淡化泄露严重性，是对用户信任的二次伤害，也是监管机构从严处罚的重要原因。 * 云服务责任界定的“灰色地带”正在被照亮 法国 CNIL 的云计算角色认定指南，是对 GDPR 实施以来云服务责任界定争议的系统性回应。“云的安全”与“云中的安全”的区分框架，不仅澄清了提供商和客户的责任边界，也为未来的责任纠纷提供了分析工具。更重要的是，CNIL 明确指出：角色认定不是一劳永逸的，而是需要根据具体服务场景、随着服务演进而动态调整的。这对云服务提供商和客户都提出了更高要求：合同不能再是“一签了之”的法律文本，而必须成为持续沟通、动态调整的协作框架。联合控制关系的触发条件——双方共同决定处理目的和方式——也提醒企业：在追求“数据驱动”的商业模式时，必须警惕与合作伙伴之间模糊的责任界定可能带来的合规风险。 📚 延伸阅读 * 法国 CNIL：云计算服务提供商角色认定指南 * 加拿大隐私专员办公室：Philippe Dufresne 专员在 IAPP 加拿大隐私研讨会2026上的演讲 * DataGuidance：明尼苏达州未成年人社交媒体保护法案签署生效 * DataGuidance：加州总检察长起诉 Chrome Holding 基因数据保护失败案 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #法国CNIL #数据控制者 #加拿大隐私 #儿童隐私保护 #社交媒体监管 #加州 #23andMe #基因数据安全 #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦从立法创新到执法实践的全链条治理——从西班牙 AI 治理组织法草案，到 Amadeus 数据画像巨额罚款，再到弗吉尼亚州禁售精准地理位置数据，展现数据保护从制度设计到严格执法的完整图景。 🕒 节目导航 第一条 西班牙政府批准《人工智能良好使用与治理组织法》草案 * 核心进展：西班牙政府于2026年5月批准了《人工智能良好使用与治理组织法》草案并提交国会审议，这部法律将欧盟 AI 法案（自2024年8月起生效）转化为西班牙国内法，为 AI 的人类监督和可信使用提供法律保障 * 治理框架：法律建立了完整的 AI 治理框架，指定通报机构和市场监督机构负责监督法规执行；对于已有行业法规监管的产品（机械、玩具、车辆、医疗产品等）维持原有监管机构，对于就业、生物识别、教育等未受产品法规监管的 AI 系统，主要由 AI 监督局（AESIA）、西班牙数据保护局（AEPD）和司法总委员会（CGPJ）负责监管 * 禁止系统扩展：在欧盟 AI 法案原有8类禁止系统基础上，西班牙主导推动增加了两类新的禁止系统；2026年5月7日，在西班牙和法国推动下，欧盟同意在全境禁止生成性深度伪造内容（deepfakes）的 AI 系统，这是针对 X 平台助手 Grok 生成女性和未成年人裸照事件的直接回应 * 其他禁止系统：包括使用潜意识技术（不可感知的图像或声音）在未经同意的情况下操纵决策并造成重大损害；利用年龄、残疾或社会经济状况等脆弱性实质性改变行为并造成或可能造成重大损害；基于生物特征对人进行种族、政治倾向、宗教或性取向分类；基于社会行为或个人特征对个人或群体进行评分以拒绝提供补贴或贷款等 * 处罚机制：法律遵循比例性和有效性原则，将违规行为分为非常严重、严重和轻微三类；最严重的违规行为可处以最高3500万欧元或年营业额7%的罚款，最轻微的违规行为可处以最高50万欧元或年营业额0.5%的罚款；法律为监管机构提供灵活性，可根据违规的严重程度、故意性或累犯情况调整处罚，并引入优先纠正而非惩罚的机制（快速支付减免罚款、采取纠正措施）以及对中小企业和初创企业的特别考虑 * 公共部门应用：法律要求建立行政程序中使用的 AI 系统清单（不仅限于高风险系统），加强透明度；设立 AI 代表职位，负责协调法规应用并在项目和公共采购中提供建议；推动公职人员在 AI 领域的培训和意识提升 * 沙盒机制：法律明确了 AI 沙盒（受控测试环境）的治理机制；西班牙数字化转型与公共职能部已提前建立了受控测试环境，法律将其纳入欧盟 AI 法案要求的国家级沙盒，由 AESIA 运营；允许市场监督机构或通报机构创建与其监管领域相关的额外沙盒，所有沙盒必须有相关政策制定机构和基本权利机构参与 * 企业启示： * 在欧盟市场运营 AI 系统的企业需密切关注各成员国的国内法转化进程 * 西班牙的立法为其他成员国提供了参考模板，特别是在禁止系统、处罚机制和公共部门应用方面 * 企业需提前评估 AI 系统是否属于禁止类别，建立完善的合规体系 * 生成式 AI 开发者需特别关注深度伪造内容的禁令，建立有效的内容审核机制 第二条 西班牙数据保护局对 Amadeus IT Group 处以巨额罚款 * 核心进展：西班牙数据保护局（AEPD）对全球分销系统（GDS）巨头 Amadeus IT Group 处以巨额罚款，原因是其在未经用户同意和未充分告知的情况下，通过其酒店推荐平台对超过120亿条旅客数据进行了非法画像分析；这是欧洲数据保护执法史上针对旅游行业的最大规模处罚之一 * 案件背景：2023年9月26日，AEPD 收到匿名举报，指控 Amadeus 及其合作航空公司在其酒店推荐平台上对全球旅客数据进行了未经授权的画像分析；举报称涉及超过120亿条数据，包括数百万西班牙旅客的信息，且在任何情况下都未征得客户同意，也未由 GDS 在其作为数据控制者时告知客户 * Amadeus 的双重身份：作为全球分销系统，Amadeus 在不同场景下扮演数据控制者和数据处理者的双重角色；当旅客通过旅行社预订机票时，Amadeus 是数据处理者，为旅行社提供技术服务；当旅客直接通过航空公司预订时，Amadeus 成为数据控制者，直接处理旅客的个人数据；这种双重身份使得责任界定变得复杂 * 违规行为一：未经同意的数据画像：Amadeus 通过其酒店推荐平台，整合了旅客在不同航空公司和旅行社的历史旅行记录，建立了详细的旅客画像，用于向酒店推荐潜在客户；这一过程涉及超过120亿条数据，但 Amadeus 既没有征得旅客同意，也没有充分告知旅客数据的使用方式 * 违规行为二：违反 GDPR 第14条信息义务：根据 GDPR 第14条，当个人数据不是直接从数据主体处获取时，数据控制者必须在合理期限内向数据主体提供一系列信息，包括数据来源、处理目的、接收方类别、保留期限、数据主体权利等；但 Amadeus 在整合旅客数据用于酒店推荐时，并未履行这一告知义务 * 合法利益依据不成立：Amadeus 声称其处理数据的法律依据是“合法利益”，但 AEPD 认为这一依据不成立；Amadeus 未能证明其商业利益优先于旅客的隐私权，也未进行充分的数据保护影响评估（DPIA）；此外，Amadeus 保留旅客数据的期限也不符合 GDPR 的最小化原则 * 跨境执法协作：由于 Amadeus 的业务涉及多个欧盟成员国，AEPD 通过内部市场信息系统（IMI）与荷兰、瑞典、爱沙尼亚、奥地利、挪威、立陶宛、法国、意大利、匈牙利、比利时、丹麦、爱尔兰、波兰、斯洛伐克、芬兰以及德国多个州的数据保护机构进行了协调；作为 Amadeus 主要营业地所在国，西班牙担任主导监管机构 * 企业启示： * 数据画像必须建立在明确的法律依据之上，不能仅凭“合法利益”随意整合跨平台数据 * 当数据不是直接从用户处获取时，必须履行 GDPR 第14条的告知义务，这是很多企业容易忽视的合规要点 * 全球分销系统等中介平台需清晰界定自己在不同场景下的角色，建立相应的合规流程 * 数据保护影响评估不是形式主义，必须真实评估处理活动对个人权利的影响并采取缓解措施 * 旅游行业企业需重新审视自己的数据整合和画像实践，确保符合 GDPR 要求 第三条 美国弗吉尼亚州禁止销售精准地理位置数据 * 核心进展：弗吉尼亚州于2026年4月13日通过了《消费者数据保护法》(CDPA）修正案，新增了对精准地理位置数据的销售禁令；这是美国首个州级层面明确禁止销售精准地理位置数据的立法，标志着美国隐私保护立法从“选择退出”向“直接禁止”的重要转变 * 修正案核心内容：在数据控制者责任条款（§ 59.1-578）中新增第6款，明确规定数据控制者不得销售或提供销售涉及消费者的精准地理位置数据；这里的“精准地理位置”是指能够识别个人具体位置的数据，通常精度在几米到几十米范围内，远比城市或邮政编码级别的粗略位置更敏感 * 立法背景：精准地理位置数据的滥用问题日益严重；移动应用、智能设备和车联网系统持续收集用户的实时位置信息，这些数据被打包出售给数据经纪商，进而流向广告商、保险公司甚至执法机构；精准地理位置数据可以揭示个人的日常行踪、工作地点、就医记录、宗教信仰、政治倾向等高度敏感信息 * 对未成年人的特别保护：修正案特别强化了对未成年人（known child）的保护；数据控制者在收集已知未成年人的精准地理位置数据时，必须满足两个条件：一是该数据的收集对于提供在线服务、产品或功能是合理必要的，且仅在必要时间内收集；二是在整个收集期间向未成年人提供明显的信号，表明正在收集其精准地理位置数据 * 未成年人数据处理限制：数据控制者不得将从已知未成年人处收集的个人数据用于定向广告、销售或画像分析（用于产生法律或类似重大影响的决策），除非获得未成年人父母或法定监护人的同意（符合联邦《儿童在线隐私保护法》COPPA 要求）；数据处理必须是提供在线服务、产品或功能所合理必要的，且不得用于超出收集时披露目的的其他处理 * 与其他州立法的对比：弗吉尼亚州的这一禁令比加州、科罗拉多州等其他州的隐私法更为严格；大多数州的隐私法允许消费者选择退出地理位置数据的销售，但弗吉尼亚州直接禁止销售行为，无论用户是否选择退出；这标志着美国州级隐私立法从“选择退出”模式向“直接禁止”模式的转变 * 企业启示： * 任何在弗吉尼亚州运营的企业，如果收集和处理精准地理位置数据，都必须立即停止销售行为 * 企业需重新审视商业模式，如果依赖地理位置数据变现，必须寻找替代方案（如转向聚合数据或匿名化数据） * 涉及未成年人的应用和服务需建立更严格的数据收集和使用机制，包括父母同意流程和实时收集信号 * 企业需关注其他州是否会跟进类似立法，提前做好全美范围的合规准备 * 数据经纪商行业将面临重大冲击，需要重新评估业务模式的可持续性 📚 延伸阅读 * 西班牙数字化转型与公共职能部： El Gobierno aprueba el proyecto de ley que garantizará una supervisión humana y un uso confiable de la IA * 西班牙数据保护局（AEPD）: Resolución de terminación del procedimiento por pago voluntario - Amadeus IT Group * 弗吉尼亚州立法： Virginia Acts of Assembly 2026 - Chapter 820 (Senate Bill 338) * 欧盟 AI 法案： Regulation (EU) 2024/1689 on Artificial Intelligence 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI 治理 #数据隐私 #西班牙AI法案 #地理位置数据 #GDPR #弗吉尼亚CDPA #深度伪造 #未成年人保护 #Privacy_by_Design

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦从透明度义务到执法实践的全链条治理——从澳大利亚自动化决策透明度新规，到欧盟《数字市场法》首年执法成果，再到香港 AI 合规检查报告，展现 AI 治理从制度设计到落地实践的完整图景。 🕒 节目导航 第一条 澳大利亚隐私法修正案：自动化决策透明度新规将于2026年12月生效 * 核心进展：澳大利亚隐私法修正案将在2026年12月正式生效，届时所有使用自动化决策系统（ADM）的机构都必须在隐私政策中披露三项关键信息：系统使用了哪些类型的个人信息、系统做出了哪些类型的决策、哪些与决策实质相关的事项是由计算机程序完成的 * 覆盖范围：“计算机程序”概念作广义理解，从简单的计算器到机器学习模型，从预设规则到生成式 AI 工具，包括聊天机器人、文本生成工具、图像视频合成工具等各类生成式 AI 应用，只要涉及自动化决策，都需要披露 * 协同效应：这项透明度义务与反歧视法、行政法以及信息自由法（FOI Act）形成协同效应，帮助消费者了解何时以及如何行使信息访问或审查选项 * 现状审查：澳大利亚信息专员办公室（OAIC）在2025年10月对23家有法定授权使用自动化决策的政府机构进行了桌面审查，发现仅17%的机构在信息公开计划（IPS）中披露了 ADM 的使用情况，9%的机构通过外部来源被识别为“可能使用 ADM”但未在 IPS 中披露，74%的机构完全无法被识别是否使用了相关系统 * 四项建议：OAIC 提出所有授权使用 ADM 的机构应在 IPS 中发布：授权使用 ADM 的法律依据及是否实际使用、使用的 ADM 类型（不仅限于 AI，包括简单计算器到机器学习）、使用 ADM 做出的决策清单及易懂示例、使用 ADM 的原则和政策 * 企业启示： * 提前梳理清楚系统的决策逻辑、数据来源和影响范围 * 在隐私政策中明确告知用户，这不仅是合规要求，也是建立用户信任的基础 * 无论是推荐算法、风控模型还是客服机器人，只要涉及自动化决策都需要披露 第二条 欧盟委员会发布《数字市场法》2025年度执法报告 * 核心进展：欧盟委员会发布《数字市场法》(DMA)2025年度执法报告，总结这部法律生效第一年的执法成果，通过监管对话和正式执法程序推动多家守门人平台在数据使用、移动生态开放和互操作性等领域做出重大改变 * 数据使用与用户同意：微软和谷歌已推出征求用户同意的界面，允许用户选择是否同意平台跨服务合并个人数据，相当比例的用户选择了拒绝授权；委员会认定 Meta 的“同意或付费”广告模式违反 DMA，因为这种模式没有给用户提供使用更少个人数据但功能等同的服务选项，也没有让用户真正自由地表达同意，Meta 因此被罚款2亿欧元 * Meta 的整改：2025年12月 Meta 宣布将从2026年起为欧盟用户提供个性化程度较低的广告选项，用户可以选择分享所有数据并看到完全个性化的广告，或选择分享更少个人数据以获得个性化程度有限的广告体验 * 数据可携带性：监管对话推动守门人改进数据可携带性合规方案，谷歌提供了前瞻性数据访问功能（用户可以单次请求按日/周/月接收未来数据）和历史数据期间设置功能；Meta 在2025年8月将 DYI（下载你的信息）和 TYI（转移你的信息）工具整合为单一的 EYI（导出你的信息）工具，提升数据转移的用户体验 * 移动生态开放：委员会与苹果的监管对话取得积极成果，苹果改进了浏览器选择屏幕的用户体验，让用户更容易更改默认设置（通话、消息、密码管理器、翻译服务等），并允许卸载 Safari 和 App Store 等预装应用；委员会在2025年4月关闭了针对苹果的调查程序，没有作出不合规决定，但会继续监督苹果的措施是否得到有效执行 * 互操作性突破：委员会在2025年3月通过了两项具体化决定，要求苹果向第三方开发者和设备制造商提供对 iOS 连接功能的有效访问，包括智能手表、耳机等可穿戴设备常用的功能；这是 DMA 首次使用具体化程序，为守门人提供明确的合规指引，而非施加罚款 * 跨设备数据可携带性：委员会、谷歌和苹果的监管对话促成了设备可携带性解决方案的开发，允许用户轻松地将数据从安卓设备转移到 iPhone 或反向转移，开发者和设备制造商也将从中受益 * 企业启示： * 如果在欧盟市场运营平台服务，尤其是涉及数据合并、默认设置或生态封闭的业务模式，需认真评估是否符合 DMA 要求 * 监管机构更倾向于通过对话推动合规，但如果不积极配合，罚款和正式执法程序随时可能启动 * 主动参与监管对话、及时响应监管关切，可以避免正式执法程序和高额罚款 第三条 香港个人资料私隐专员公署发布2026年度 AI 合规检查报告 * 核心进展：香港个人资料私隐专员公署（PCPD）发布2026年度 AI 合规检查报告，对60家机构的 AI 使用情况进行点检，结果显示95%的受访机构在日常运营中使用了 AI，比2025年提高了15个百分点，其中79%的机构使用 AI 已超过一年，说明 AI 正在逐步成为运营的必要组成部分 * AI 应用现状：57家使用 AI 的机构中，29家（约51%）使用三个或以上 AI 系统，主要应用于行政支持、客户服务、研发、市场营销和合规/风险管理等领域；42%的机构（24家）通过 AI 系统收集或使用了个人资料，涉及银行金融、教育、政府部门、医疗服务、物业管理、公用事业、零售、社会服务、电信和运输等行业 * 个人资料收集与使用：24家收集或使用个人资料的机构中，11家（约46%）既收集又使用个人资料，13家（约54%）仅使用个人资料；相关 AI 系统包括聊天机器人、光学字符识别、文本/图像/视频/演示文稿生成工具以及数据分析工具等 * 透明度与告知：所有收集或使用个人资料的机构都在收集资料时或之前向资料当事人提供了个人资料收集声明，说明资料的使用目的和可能转移的对象类别；其中7家机构（约29%）在声明中明确提及了使用 AI 工具处理个人资料 * 数据保留与安全：7家机构（约29%）保留通过 AI 系统收集的个人资料，这些机构明确了个人资料的保留期限，并在原始收集目的达成后删除资料，其余17家机构（约71%）不保留相关个人资料；所有机构都实施了适当的安全措施保护个人资料，包括访问控制（24家）、数据加密（17家）、渗透测试（11家）、资料匿名化（9家）、AI 相关安全警报（5家）和红队演练（5家） * 数据最小化与私隐增强技术：15家机构（约63%）在使用 AI 系统时采用了匿名化或假名化数据以实现数据最小化；8家机构（约33%）还采用了合成数据和联邦学习等私隐增强技术以加强数据安全 * 私隐政策与指引参考：所有收集或使用个人资料的机构都制定了私隐政策声明，阐述机构在收集、使用和处理个人资料方面的政策和做法；其中7家机构（约29%）在私隐政策声明中涵盖了 AI 的应用；15家机构（约63%）在收集、使用和处理个人资料时参考了 PCPD 发布的 AI 相关指引或建议，另有7家机构（约29%）计划参考这些指引 * AI 系统实施与管理：23家机构（约96%）在实施 AI 系统前进行了测试以确保可靠性、稳健性和公平性；19家机构（约79%）在实施 AI 系统前进行了私隐影响评估；所有机构都在采购、使用和管理 AI 系统时进行了风险评估，考虑的因素包括法律要求（包括 PDPO）、资料安全、资料的数量/敏感度/质量、AI 系统对个人/机构/社区的潜在影响、相关影响的可能性/严重性/持续时间以及缓解措施等 * 人类监督模式：19家机构（约79%）采用了“人机协同”(human-in-the-loop）模式进行人类监督，确保人类行为者保留对决策过程的控制权，以防止或减轻 AI 系统可能产生的错误或不当决策；其余5家机构（约21%）采用了“人类指挥”(human-in-command）模式，由人类审查 AI 系统的输出并在必要时进行干预；所有参考了 PCPD 发布的《人工智能：个人资料保护示范框架》的机构都采用了“人机协同”模式，比2025年提高了约17个百分点 * 企业启示： * AI 合规不是一次性的工作，而是需要贯穿系统全生命周期的持续管理 * 采购前进行风险评估，实施前进行私隐影响评估，运行中落实人类监督和安全措施 * “人机协同”模式已成为 AI 治理的最佳实践，值得所有使用 AI 系统处理个人资料的机构借鉴 * 参考监管机构发布的指引和框架，可以有效提升合规水平和风险管理能力 📚 延伸阅读 * 澳大利亚 OAIC: Automated decision-making and public reporting under the Freedom of Information Act * 澳大利亚 OAIC: ADM Issues Paper * 欧盟委员会： Digital Markets Act Annual Report 2025 * 欧盟委员会： DMA Compliance Reports * 香港 PCPD: Compliance Checks on the Use of AI by Organisations * 香港 PCPD: Artificial Intelligence: Model Personal Data Protection Framework 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #数据隐私 #自动化决策 #数字市场法 #人机协同 #澳大利亚OAIC #欧盟DMA #香港PCPD #透明度义务 #Privacy_by_Design

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦从虚假技术承诺到可穿戴设备监管的执法前沿——从美国 FTC 对“主动监听”营销欺诈的重拳出击，到韩国预防体系的落地实施，再到德州对 Meta 智能眼镜的隐私调查，展现 AI 时代隐私保护从技术真实性到设备规范性的完整链条。 🕒 节目导航 第一条 美国 FTC 要求 Cox Media Group 等公司支付近百万美元和解虚假“主动监听”营销服务指控 * 核心进展：美国联邦贸易委员会（FTC）于2026年5月宣布，要求 Cox Media Group(CMG）及其合作伙伴 MindSift 和1010 Digital Works 支付总计93万美元，和解他们欺骗客户声称提供 AI 驱动的“主动监听”服务的指控 * 虚假技术承诺：三家公司声称其“Active Listening”品牌营销服务可以通过智能设备实时监听消费者对话，使用特殊算法检测相关对话内容，从而向特定地理区域的消费者投放精准广告 * 真相揭露：FTC 调查发现，该服务根本不监听对话或使用任何语音数据，实际上只是从其他数据经纪商那里购买电子邮件列表并以高价转售；服务也无法准确地将广告投放到客户期望的地理位置 * 虚假同意声明：公司声称消费者已“选择加入”该服务，但实际上从未征求或获得消费者同意；所谓的“选择加入”仅指消费者在下载应用时点击了强制性服务条款。FTC 明确指出：点击强制性服务条款不构成对如此侵入性服务的“选择加入同意” * 和解条款：CMG 支付88万美元，MindSift 和1010 Digital Works 各支付2.5万美元，用于向受影响客户提供赔偿；三家被告被禁止对广告/营销服务的质量或功能、语音数据的收集和使用及消费者同意情况、地理定位能力做出任何虚假陈述 * FTC 声明：消费者保护局局长 Christopher Mufarrige 表示：“这些公司营销的产品不仅没有做到他们声称的那样，而且他们还误导潜在客户，声称消费者已经选择加入这项服务，但事实显然并非如此。诚实对待客户是商业的基本规则。” * 企业启示： * 数字营销服务提供商不得夸大或虚构技术能力，特别是涉及 AI 和数据分析的声明必须有实际技术支撑 * 涉及语音数据或其他敏感个人信息的服务必须获得明确、知情、具体的同意，不能依赖强制性服务条款中的笼统授权 * 地理定位等核心功能承诺必须准确，不能误导客户对服务效果的预期 * 数据经纪商转售邮件列表等传统服务不能包装成“AI 监听”等高科技服务欺骗客户 第二条 韩国个人信息保护委员会从6月开始正式实施基于风险的实态点检 * 核心进展：韩国个人信息保护委员会于2026年5月22日在经济长官会议上发布《预防中心个人信息管理体系转型计划》后续措施，宣布从2026年6月开始正式实施基于风险的个人信息处理实态点检 * 政策背景：这是5月12日向国务会议报告转型计划后的具体落地行动，旨在应对 AI、平台、云服务扩散导致的个人信息处理规模和方式快速变化，以及黑客攻击等风险扩大为产业全局风险的挑战 * 风险分级管理体系： 高风险领域： * 根据个人信息处理规模、敏感度、产业特性分为高、中、低三个风险等级 * 高风险领域提前公开点检领域，通过定期和不定期点检重点检查内部控制运营实态 * 2026年重点：平台、金融机构、公共机构、教育科技（Edutech）、养老医院等处理大规模或敏感信息的领域 非高风险领域： * 引导实施个人信息影响评估、遵守 Privacy by Design(PbD）原则 * 提供自主点检工具和咨询服务，帮助确保基本保护水平 * 必要时由相关部门和个人信息保护委员会进行联合点检 * 风险地图与预警机制： * 分析个人信息处理现状和风险因素，制作基础风险地图用于选择点检对象 * 运营民间和政府的个人信息威胁早期预警联络体系 * 2026年9月起实施个人信息保护责任者（CPO）指定申报制度 * 通过 CPO 协会等组织运营热线，快速传播最新威胁信息，引导企业对类似事故进行事前应对 * 新技术领域前瞻管理：对物联网（IoT）设备、代理 AI(Agent AI）等新技术领域选制点检侵害担忧事项，避免个人信息保护盲区；中长期将修订安全性确保措施标准，从一律适用转向基于风险分析由处理者自主决定安全措施适用与否及适用水平 * Privacy by Design 制度化： * 将 PbD 原则从服务企划、设计、开发阶段就作为默认选项反映 * 过去仅对 IP 摄像头、扫地机器人等部分产品运营 PbD 认证，适用范围有限 * 计划修订《个人信息保护法》，制作企划设计参考指南和优秀案例，将 PbD 原则反映到 ISMS-P 认证等现有评估认证标准 * 激励投资机制： * 通过信息保护公示引导企业超越法定最低标准，扩大实质性保护投资 * 在现有公示项目中增加额外保护措施内容、CPO 内部控制流程等 * 确认企业有效实施和运营额外保护措施后，给予罚款减免等激励 * 对中小、小微企业的轻微违法通过技术支援等方式改正时减轻处分 * 生态系统强化：加强对 SaaS、云服务、专业受托者等供应链全环节管理；推进预防型个人信息保护增强技术（PET）研发；培养专业人才；扩大儿童青少年及脆弱群体教育；点检和改善暗黑模式（Dark Pattern）等损害信任的惯例 * 委员会主席表态：宋庆熙主席表示：“我们将与相关部门合作，持续点检重点领域的个人信息处理实态和脆弱因素，建立与风险相称的预防中心管理体系。” * 企业启示： * 高风险领域企业需在6月前做好定期点检准备，重点完善内部控制运营体系 * 所有企业应从产品/服务设计阶段嵌入 PbD 原则，参考即将发布的指南和优秀案例 * 9月前完成 CPO 指定申报，建立与行业协会和监管机构的威胁信息共享机制 * 主动进行超越法定要求的保护投资，通过信息保护公示展示，争取罚款减免激励 * 供应链企业（SaaS、云服务商、受托方）需提升自身合规水平，满足客户的供应链管理要求 第三条 德州总检察长 Ken Paxton 启动对 Meta 智能眼镜的隐私调查 * 核心进展：德州总检察长 Ken Paxton 于2026年5月20日宣布启动对 Meta AI 智能眼镜（Meta Glasses）的调查，关注其隐私声明以及这款眼镜暴露德州居民私人数据、录音和面部几何信息的能力 * 设备功能与隐私风险： * Meta 智能眼镜配备摄像头、扬声器和其他通信工具，佩戴者可以捕获和分享周围的音频和视频数据 * 具有“始终启用”(always enabled）模式，允许设备持续处理视频数据以用于 Meta AI 产品 * 配备小型 LED 指示灯，设置为在录制音频和视频时激活，但该指示灯容易被隐藏 * 关键问题：在“始终启用”模式下，LED 指示灯并不会激活 * 数据处理不透明性： * 虽然 Meta 宣传其眼镜“为隐私而设计”并声称保护私人和关键可识别信息，但严重担忧已出现 * Meta 的分包商 Sama 位于肯尼亚，其数据标注员可以访问消费者私人信息，尽管 Meta 做出了隐私承诺 * Sama 员工声称可以访问用户私密时刻的视频材料（如上厕所和其他亲密时刻） * 虽然声称标注数据中的面孔会自动模糊，但员工指出情况并非总是如此 * 面部识别计划：《纽约时报》报道显示，Meta 计划将面部识别技术引入 Meta 智能眼镜；内部代号“Name Tag”的功能将允许 Meta 通过智能眼镜内置的不显眼摄像头收集毫无戒备的个人的面部几何信息 * 执法背景：2024年7月，Paxton 总检察长就 Meta（前身为 Facebook）在其应用程序中未经授权使用面部识别技术软件，与 Meta 达成了14亿美元的和解协议 * 调查行动：Paxton 已向 Meta 发出民事调查要求（CID），调查并确定 Meta 是否违反德州法律，欺骗性地歪曲其使用消费者私人数据的程度 * 总检察长声明：“我将继续坚定地对抗任何威胁德州居民隐私和安全的公司。Meta 的眼镜引发了严重担忧，我的办公室将彻底调查这些设备，以确保没有人被非法录制、追踪或未经授权收集其数据。” * 企业启示： * 可穿戴设备制造商必须确保录制指示灯在所有数据处理模式下都能正常工作，不能在“始终启用”等模式下关闭指示 * 涉及面部识别等生物特征技术的产品功能必须获得明确的用户同意和监管批准，不能秘密开发或部署 * 数据处理外包给第三方（特别是海外分包商）时，必须确保分包商遵守同等的隐私保护标准，不能让分包商访问用户私密时刻 * “为隐私而设计”等营销声明必须有实际技术和流程支撑，不能仅是营销话术 * 有面部识别违规历史的公司在推出新的生物特征产品时将面临更严格的监管审查 💡 主编深度洞察：从技术真实性到设备规范性的隐私保护全链条 虚假技术承诺的“AI 洗白”陷阱 FTC 对“主动监听”营销服务的执法揭示了数字营销行业的一个危险趋势：AI 洗白（AI-washing）。在 AI 和大数据的光环下，一些公司会夸大甚至完全虚构技术能力，利用客户对新技术的不了解来牟利。这个案例中，所谓的“AI 驱动的实时语音监听服务”实际上只是从数据经纪商那里购买邮件列表——这是最传统、最低技术含量的营销方式，却被包装成最前沿的 AI 技术。这种欺诈不仅损害了购买服务的小企业客户，也加剧了公众对智能设备监听的焦虑。更深层的问题在于“同意”的虚假化：点击强制性服务条款不能被视为对侵入性数据收集的真正同意。真正的同意应该是明确的、知情的、具体的——用户必须清楚地知道自己同意了什么，为什么同意，以及如何撤回同意。 韩国预防体系的“过程指标”创新 韩国从“事后处罚”转向“事故预防”的体系转型面临一个根本性挑战：如何证明预防措施有效？成功的预防意味着“什么都没发生”，这很难量化和展示。韩国的解决方案是建立多维度的过程指标评估体系：不仅看是否发生事故（结果指标），还看企业的安全投资额、保护措施的先进性、安全管理体系的有效性、高管的重视程度等（过程指标）。风险分级管理体系的核心逻辑是：不同规模、不同行业的企业面临的风险不同，应该采取差异化的监管策略。高风险领域（平台、金融、公共机构、教育科技、养老医院）接受定期点检和重点监管；非高风险领域通过自主点检工具、咨询服务和影响评估来确保基本保护水平。激励与威慑并重的机制设计试图改变企业的行为动机：从“如何避免被罚”转向“如何做得更好”。通过信息保护公示、罚款减免等激励，让企业看到保护投资的正面回报。 可穿戴设备的“隐蔽监控”困境 德州对 Meta 智能眼镜的调查触及了可穿戴 AI 设备的核心隐私问题：隐蔽性、持续性、未经同意的数据收集。与手机相比，智能眼镜的摄像头更加隐蔽，被拍摄者往往不知道自己正在被录制。即使有 LED 指示灯，也很容易被遮挡或在“始终启用”模式下不亮。“始终启用”模式意味着设备可能一直在处理视频数据，即使没有主动录制。这种持续的数据收集远远超出了传统摄像头的范围。如果智能眼镜配备面部识别功能（Meta 内部代号“Name Tag”），佩戴者就能在街上识别陌生人的身份。这不仅侵犯个人隐私，还可能被用于跟踪和监视。Meta 将数据发送给肯尼亚的分包商 Sama 进行标注，这些标注员可以看到用户的私密时刻（上厕所、亲密时刻等）。这条数据处理链条对用户来说是完全不透明的。最根本的问题是：被智能眼镜拍摄的路人从未同意被录制或被面部识别。与社交媒体上传照片不同，这里没有任何同意机制。 从“合规剧场”到“实质保护”的转变 这三条新闻共同指向一个趋势：监管机构正在从形式合规转向实质保护。FTC 不仅关注公司是否声称获得了同意，更关注这种同意是否真实有效；韩国不仅要求企业满足法定最低标准，更鼓励企业进行超越法定要求的实质性保护投资；德州不仅审查 Meta 的隐私政策文本，更调查其实际的数据处理实践（分包商访问私密视频、计划中的面部识别功能）。这种转变要求企业不能仅仅做“合规剧场”——在表面上满足所有形式要求，但实际的保护水平并未提升。企业必须建立真正有效的隐私保护机制，从产品设计、数据收集、处理流程、第三方管理到用户权利保障，每个环节都要经得起实质性审查。 AI 时代隐私保护的“三重验证” 综合这三条新闻，我们可以看到 AI 时代隐私保护需要“三重验证”：技术真实性验证（声称的技术能力是否真实存在）、同意有效性验证（用户同意是否明确、知情、具体）、实践一致性验证（隐私政策声明与实际数据处理实践是否一致）。FTC 案例是技术真实性验证的失败——声称的 AI 监听技术根本不存在。韩国体系是同意有效性验证的强化——从形式同意转向实质同意，从事后追责转向事前预防。德州调查是实践一致性验证的体现——Meta 声称“为隐私而设计”，但实际上分包商可以访问私密视频，计划中的面部识别功能未经充分披露。这三重验证构成了 AI 时代隐私保护的完整链条。 📚 延伸阅读 * 美国联邦贸易委员会： FTC to Require Cox Media Group, Two Other Firms to Pay Nearly $1 Million to Settle Charges They Deceived Customers About "Active Listening" AI-Powered Marketing Service * FTC: Cox Media Group 投诉书（PDF） | 和解决定和命令（PDF） * FTC: MindSift 投诉书（PDF） | 和解决定和命令（PDF） * FTC: 1010 Digital Works 投诉书（PDF） | 和解决定和命令（PDF） * 韩国个人信息保护委员会： 개인정보위， 올해 6월부터 위험 기반 실태점검 본격 실시 * 德州总检察长办公室： Attorney General Ken Paxton Launches Investigation Into Meta Glasses to Protect Texans' Privacy From Unlawful Monitoring and Collection of Facial Data * 德州总检察长办公室： Attorney General Ken Paxton Secures $1.4 Billion Settlement with Meta Over Its Unauthorized Capture of Texans‘ Biometric Data(2024年7月） 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #数据隐私 #FTC #韩国PIPC #AI虚假营销 #主动监听 #风险点检 #Meta智能眼镜 #面部识别 #可穿戴设备 #Privacy_by_Design

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦从网络安全到算法问责的全链条治理——从英国 AI 威胁防护与广告监管改革，到美国算法问责立法，再到韩国预防体系转型，展现隐私保护从技术防御到制度创新的完整图景。 🕒 节目导航 第一条 英国 ICO 发布 AI 网络威胁防护五步指南 * 核心进展：英国信息专员办公室（ICO）于2026年5月发布《保护组织免受 AI 驱动网络威胁的五步指南》，针对 AI 降低网络攻击技术门槛、攻击从人工操作转向机器学习驱动的自适应模式提出应对框架 * 威胁本质变化：AI 使普通人借助生成式 AI 即可制作专业级钓鱼邮件和社会工程攻击，攻击可大规模自动化，防御方面临“攻防不对称”困境——攻击者边际成本趋近于零，防御成本持续攀升 * 五步防护框架： 1. 理解 AI 威胁本质——认识到攻击性质的根本改变 2. 评估自身脆弱性——审视传统安全措施在 AI 攻击面前的有效性 3. 加强员工培训——提升识别 AI 生成攻击的能力 4. 采用 AI 驱动防御技术——以 AI 对抗 AI，用机器学习检测异常行为 5. 建立事件响应机制——假设攻击会发生，提前制定应急预案 * 治理维度强调：高层管理者必须将 AI 安全纳入战略议程，配置相应资源和问责机制，而非简单交给 IT 部门处理 * 企业启示： * 将 AI 安全纳入董事会战略议程，建立企业风险管理框架 * 部署 AI 驱动的威胁检测与事件响应系统，建立自适应防御能力 * 加强员工识别 AI 生成钓鱼邮件和社会工程攻击的培训 * 重新评估现有安全措施在 AI 攻击面前的有效性，及时升级防护体系 第二条 英国 ICO 向政府提交在线广告规则改革建议 * 核心进展：英国信息专员办公室（ICO）于2026年5月向政府提交在线广告规则改革建议，呼吁对广告技术供应链进行系统性监管，保护用户隐私 * 系统性隐私威胁：程序化广告和实时竞价系统涉及大规模个人数据收集、共享和处理，过程缺乏透明度，用户无法追踪数据流向；数据经纪商在监管视线外将不同来源数据拼接成详细用户画像，形成“影子数据市场” * 商业模式挑战：在线广告将用户从“服务消费者”变成“数据生产者”，这种生产往往是不知情、不自愿、不对等的，建立在大规模监控基础上的商业模式长期不可持续 * 改革建议四要素： 1. 提高透明度——要求广告技术平台清楚告知数据收集者、用途和分享对象 2. 加强中间商监管——将数据经纪商纳入监管范围 3. 强化用户控制权——提供精细化数据用途控制，而非简单的同意/拒绝二元选择 4. 建立问责机制——确保数据泄露或滥用时能清晰追溯责任链条 * 政策立场：不是扼杀在线广告，而是让行业在尊重隐私前提下可持续发展，推动从“默认收集、选择退出”转向“明确同意、精细控制” * 企业启示： * 广告技术平台需提高数据处理透明度，建立供应链问责机制 * 赋予用户精细化数据控制权，为监管收紧做好准备 * 探索隐私友好的广告技术方案，在尊重隐私前提下实现商业价值 * 数据经纪商需关注监管趋势，建立合规的数据收集和处理流程 第三条 美国科罗拉多州签署自动化决策技术法案 * 核心进展：科罗拉多州州长于2026年5月14日签署参议院第189号法案（Senate Bill 189），这是美国首部专门针对自动化决策技术（ADMT）的综合性立法，将于2027年1月1日生效 * 适用范围：覆盖教育、就业、住房、金融与贷款服务、保险、医疗服务、政府公共服务与公共福利七大领域，适用于在科罗拉多州开展业务的 ADMT 开发者和部署者 * 核心定义：ADMT 指处理个人数据并使用计算生成输出（预测、推荐、分类、排名、评分等）以做出、指导或辅助关于个人的重要决策的技术 * 双层问责机制： * 开发者义务：提供技术文档（预期用途、已知局限、训练数据类别、有害使用方式、人工审查指南）；通知部署者重大更新；保留合规记录至少三年 * 部署者义务：使用前提供清晰显著告知；对不利结果30天内提供通俗解释（决策内容、ADMT 角色、数据访问与纠正指引、权利行使方式） * 消费者权利：要求访问和纠正决策中使用的事实性错误数据（不包括意见、预测、评分）；要求“有意义的人工审查”（审查者有权批准/修改/推翻决策，接受过培训，不默认系统输出，掌握充分信息） * 责任分配：按相对过错分配开发者和部署者的歧视责任；开发者责任限于系统按预期方式使用的情况；部署者对违反开发者预期用途的独立行为承担全部责任 * 执法机制：科罗拉多州总检察长独家执法权，违规视为欺骗性商业行为；无消费者私人诉讼权；2030年前提供60天改正期（明知或重复违规除外） * 企业启示： * 开发者需建立完整技术文档体系，追踪系统更新并及时通知部署者 * 部署者需建立清晰告知与解释机制，确保“有意义的人工审查”到位 * 算法系统需从设计阶段考虑可解释性，平衡性能与透明度 * 利用2027年1月前的准备期和2030年前的改正期，建立合规流程 第四条 韩国推动预防中心个人信息管理体系转型 * 核心进展：韩国个人信息保护委员会于2026年5月12日向总统主持的国务会议报告《预防中心个人信息管理体系转型计划》，推动从“事后处罚”转向“事故预防”的根本性转型 * 转型背景：AI 数字化转型和平台经济扩张导致个人信息使用范围和规模快速增长，传统“事后处罚”模式难以应对大规模泄露的不可逆损害，需要提升全社会个人信息保护水平 * 三维推进策略： 维度一：强化威慑 * 重大/反复违规罚款上限提至年营业额10%（接近 GDPR 水平） * 罚款基准从“三年平均营业额”改为“上一年度营业额”和“三年平均营业额”中较高者 * 引入履行强制金制度，对不配合调查或隐匿证据持续施压 * 建立举报奖励制度，鼓励内部揭发 * 对小微企业轻微违规给予改正机会，体现比例原则 维度二：激励投资 * 建立全面激励机制：超出法定要求的保护措施、积极安全投资、有效安全管理体系可获罚款减免 * 2026年9月起要求企业公开披露个人信息保护活动，利用市场机制和声誉压力推动自我改进 * 强化企业高管个人信息保护责任 维度三：风险分级管理 * 高风险领域（387个主要公共系统、教育/福利等敏感领域）由委员会直接集中管理和定期检查 * 监管范围扩展至供应链（云服务商、专业数据处理商、系统供应商） * 推广 Privacy by Design 原则制度化，纳入个人信息影响评估标准和 ISMS-P 认证标准 * 充实公共部门专职人员队伍，提高待遇，建立专业人才培养体系 * 用户权益保护：激活法定损害赔偿制度（泄露事故中企业原则上承担责任，举证责任主要由企业承担）；打击“暗黑模式”；敏感信息泄露时监控社交媒体非法传播并与执法机关合作追踪惩处 * 委员会主席表态：“我们将建立一个不仅追究事后责任，更重视事前预防的体系，更安全地保护国民的信息，创造一个国民可以信赖的个人信息使用环境。” * 企业启示： * 主动超越法定要求进行安全投资，争取罚款减免等激励 * 2026年9月前准备个人信息保护活动公开披露，将隐私保护转化为信任资产 * 从产品设计阶段嵌入 Privacy by Design 原则，建立全生命周期保护体系 * 关注供应链安全，确保云服务商、数据处理商等合作方的合规水平 💡 主编深度洞察：从技术防御到制度创新的治理闭环 AI 威胁的“攻防不对称”与战略升级 英国 ICO 的指南揭示了一个严峻现实：AI 正在打破网络安全的攻防平衡。传统上，发起有效网络攻击需要专业技能、时间投入和资源支持，这构成了天然门槛。但生成式 AI 的普及彻底改变了这一局面——攻击者的边际成本趋近于零，而防御方的成本却在持续攀升。更深层的问题在于威胁的自适应性：AI 驱动的攻击不再是静态的、可预测的模式，而是能够根据目标的防御措施实时调整策略。ICO 将 AI 安全定位为“治理问题”而非单纯的“技术问题”，意味着董事会需要像关注财务风险、法律风险一样关注 AI 安全风险，将其纳入企业风险管理框架，配置相应的资源和问责机制。 在线广告生态的“监控资本主义”重构 ICO 对在线广告规则的改革建议，本质上是在挑战监控资本主义的商业模式。程序化广告和实时竞价系统的核心逻辑是：将用户行为数据化、将数据商品化、将商品交易化。在这个过程中，用户从“服务的消费者”变成了“数据的生产者”，而这种生产往往是不知情、不自愿、不对等的。数据经纪商的存在进一步放大了这个问题，他们像“数据的批发商”，从各个渠道收集碎片化的用户信息，拼接成完整的用户画像，然后转售给广告主。这个过程完全绕过了用户的知情和同意，形成了一个用户无法触及的“影子数据市场”。ICO 的建议指向一个根本性转变：从“默认收集、选择退出”转向“明确同意、精细控制”。这不仅仅是技术调整，更是商业模式的重构。 算法问责的“可解释性悖论”与双层机制 科罗拉多州的 ADMT 法案试图解决一个核心问题：当算法做出影响个人的重要决策时，谁来负责？法案的创新在于建立了双层问责机制：开发者对系统的设计和文档负责，部署者对系统的使用和决策负责。这种分层责任避免了“踢皮球”——开发者不能说“我只是提供工具，怎么用不归我管”，部署者也不能说“算法说的，我也不知道为什么”。但法案也暴露了一个深层矛盾：可解释性与性能的权衡。要求算法提供“通俗易懂的解释”，意味着系统必须具备一定的可解释性。但最先进的机器学习模型（如深度神经网络）往往是“黑箱”。法案对“有意义的人工审查”的定义试图缓解这个矛盾：我们接受算法的复杂性，但不接受算法的不可问责性。 韩国模式的“预防悖论”与多维评估 韩国的转型计划提出了一个雄心勃勃的目标：从事后处罚转向事故预防。但这里存在一个根本性的“预防悖论”：如何证明预防措施有效？在传统的“事后处罚”模式下，监管效果是可测量的——违规次数、罚款金额、整改率等都是明确的指标。但在“事故预防”模式下，成功的预防意味着“什么都没发生”，这很难量化和展示。韩国的解决方案是建立多维度的评估体系：不仅看是否发生事故，还看企业的安全投资额、保护措施的先进性、安全管理体系的有效性、高管的重视程度等。这些“过程指标”可以在一定程度上反映预防能力。韩国模式的另一个亮点是激励与威慑并重，试图将企业的关注点从“如何避免被罚”转向“如何做得更好”。 从“合规成本”到“信任资产”的范式转变 这四条新闻共同指向一个趋势：隐私保护和数据治理正在从“合规成本”转变为“信任资产”。在过去，企业往往将数据保护视为监管压力下的被动支出。但在 AI 和数字化时代，用户对隐私的关注度空前提高，数据泄露对品牌声誉的损害可能远超罚款本身。做得比法律要求更好的企业，将获得用户信任、投资者青睐、监管优待和竞争优势。从“合规成本”到“信任资产”的转变，本质上是企业战略视野的转变——从短期的成本最小化，转向长期的价值最大化。 📚 延伸阅读 * 英国 ICO: Five steps to protect your organisation from AI-powered cyber threats * 英国 ICO: Our advice to government on potential changes to online advertising rules * 科罗拉多州政府： Senate Bill 189 法案全文 | SB26-189立法历史 * 韩国个人信息保护委员会： 预防中心个人信息管理体系转型计划新闻稿 * DataGuidance: Colorado: Bill on ADMT signed by Governor 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #数据隐私 #网络安全 #算法问责 #合规管理 #英国 ICO #科罗拉多州ADMT #韩国PIPC #在线广告 #Privacy_by_Design

欢迎收听《AI 星辰电台》。在通勤的10分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦从智能家居到可穿戴设备的隐私治理：德州对智能电视同意机制的强制要求、美国建立 AI 安全评估国家能力、法国对智能眼镜普遍监控风险的警示、以及欧盟完善 GDPR 认证体系的技术细节。 🕒 节目导航 第一条 德州与 LG 电子达成智能电视隐私和解 * 核心进展： 德州总检察长 Ken Paxton 与 LG 电子美国公司达成和解协议，要求 LG 在收集智能电视观看数据前必须获得消费者的“明确表示同意”(Affirmative Express Consent)。和解协议有效期5年 * 观看数据定义： 通过智能电视的自动内容识别（ACR）技术收集的家庭层面观看行为信息，包括观看内容、时间和时长 * 关键时间节点： 30天内更新2025年款智能电视入门同意界面，加入清晰显眼的 ACR 使用说明；180天内停止未经同意收集和处理观看数据；2027年及后续型号必须在入门过程中以弹窗形式自动显示观看信息协议通知 * 同意要求细节： 必须是自由给予的、具体的、知情的、明确的意愿表示；必须通过肯定性行动表达；必须在清晰显眼的披露后获得；必须提供简单易找的撤回同意方式 * 地缘政治条款： LG 明确承诺从美国消费者收集的观看数据不会以任何形式传输到中国 * 德州认可： 德州承认 LG 主动实施了超出行业规范的强有力数据隐私实践，双方同意合作而非长期诉讼最符合消费者利益和电视制造业透明数据隐私实践的推进 * 企业启示： * 默认收集用户行为数据的时代已结束，必须在收集前获得明确、具体、知情的同意 * 同意界面必须清晰显眼，不能藏在冗长的用户协议中，要让普通消费者一眼看懂 * 如果涉及跨境数据传输，尤其是传输到地缘政治敏感国家，需在隐私政策中明确说明或承诺不传输 * 主动实施超出行业规范的隐私实践可在监管调查中获得认可，有助于达成更有利的和解条件 * 智能电视、智能音箱等物联网设备制造商应全面审查数据收集同意机制，确保符合“明确表示同意”标准 第二条 NIST 成立 AI 标准与创新中心（CAISI） * 核心进展： 美国国家标准与技术研究院（NIST）于2025年6月宣布成立 AI 标准与创新中心（CAISI），作为美国政府内部行业与政府对接 AI 测试和协作研究的主要联络点 * 核心职能： 与 NIST 组织合作开发 AI 系统安全测量指南和最佳实践，协助行业制定自愿标准；与私营部门 AI 开发者和评估者建立自愿协议，主导对可能构成国家安全风险的 AI 能力进行非机密评估（重点关注网络安全、生物安全、化学武器等可证明风险）；评估美国和对手 AI 系统能力、外国 AI 系统采用情况及国际 AI 竞争状态；评估使用对手 AI 系统可能带来的安全漏洞和恶意外国影响（包括后门和隐蔽恶意行为）；与国防部、能源部、国土安全部、科技政策办公室和情报界等联邦机构协调开发评估方法并进行评估；在国际上代表美国利益，防止外国政府对美国技术施加繁重和不必要的监管，并与 NIST 员工合作确保美国在国际 AI 标准中的主导地位 * 最新动态： 2026年4月，CAISI 评估了开源权重 AI 模型 DeepSeek V4 Pro；与非营利组织 OpenMined 签署了协作研发协议（CRADA）；与总务管理局（GSA）签署谅解备忘录，支持联邦采购阶段的 AI 评估（USAi 项目）；发布 NIST AI 800-4，组织从业者研讨会和系统文献综述的关键发现，识别后市场监控的当前实践和挑战 * 研究博客主题： AI 安全红队竞赛、AI 模型如何在代理评估中作弊、构建黄金标准 AI 系统需要黄金标准 AI 测量科学、AI 评估的设计和使用 * 企业启示： * 美国政府正在建立系统性 AI 安全评估机制，进入政府采购或关键基础设施领域的 AI 系统可能需要通过 CAISI 评估 * “自愿标准”和“自愿协议”是美国监管 AI 的主要方式，但不参与可能在市场竞争中处于劣势 * 国际 AI 标准制定正成为大国博弈新战场，企业需关注 NIST 和 CAISI 在国际标准组织（如 ISO、IEC）中的动向 * AI 开发者应主动参与 CAISI 的自愿协议和评估项目，建立与政府的信任关系 * 对于涉及国家安全敏感领域（网络安全、生物安全、化学武器）的 AI 应用，需提前进行风险评估并准备接受政府审查 第三条 法国 CNIL 对智能眼镜发出隐私警示 * 核心进展： 法国国家信息与自由委员会（CNIL）发布智能眼镜隐私警示，基于2026年1月22-29日对2128名18岁以上法国人的在线调查。67%受访者认为智能眼镜对隐私构成风险，主要担忧包括图像权利和同意、可能的滥用（尤其结合 AI 技术如深度伪造）、以及数据去向 * 智能眼镜定义： 外观类似普通眼镜（近视或太阳镜），但在镜框中嵌入传感器（麦克风和摄像头），通过专用应用连接到用户手机。可使用手机功能（打电话、听音乐、拍照录像），部分功能可通过语音命令触发。通常连接到 AI 系统，允许用户向聊天机器人提问（一般问题或环境相关问题如“描述我看到的东西”或“翻译对面人说的话”） * 关键隐私风险： 几乎不可见地捕获第三方图像和声音——智能眼镜与普通眼镜难以区分，周围人很难知道是否被录制；录制指示灯等技术措施效果有限且某些使用场景下缺失；从固定、有标识、受监管的监控转变为移动、几乎不可见、无处不在的监控——任何人都可能在任何公共或私人空间佩戴带摄像头的眼镜；设备成本相对较低可能导致社会空间被传感器饱和；长期可能导致人们不断怀疑自己一举一动被记录，产生持续被观察感觉，逐渐形成自我审查，直接威胁个人自由（言论自由、集会自由、示威自由）；在高度私密场所（医疗诊所、更衣室、卫生间）使用引发新的伦理和法律问题 * 法律框架： 法国民法典第9条保障所有场所（私人和公共）的隐私权，违反可受制裁；刑法典第226-1条规定，未经同意在私人场所固定、记录或传输他人图像，可处1年监禁和45000欧元罚款；智能眼镜用户必须尊重可能被捕获图像或声音的人的隐私权，并在必要时获得其同意 * CNIL 行动计划： 启动智能眼镜 GDPR 合规工作；在欧盟数据保护委员会（EDPB）层面开展国际合作，因设备在国际层面发展；与其他主管公共机构就超出数据保护范围的问题进行交流；在未来活动中讨论智能眼镜主题以充实思考和提高认识 * 6条用户最佳实践： 使用智能眼镜时告知附近的人；一旦不再需要就关闭捕获功能；在被要求关闭手机的所有场合也关闭智能眼镜；避免在人们不期望被录制的地方使用；如果想使用有他人出现的照片或视频（如发布到社交媒体），必须获得他们的同意并尊重图像权利；发布前三思，即使看似无害的发布也可能对相关人员产生持久影响 * 企业启示： * 智能眼镜制造商需在产品设计阶段考虑如何让周围人能识别出这是智能眼镜，如录制时有明显指示灯 * 开发更有效的隐私保护机制，如自动检测私密场所并禁用录制功能 * 在用户入门和使用过程中强化隐私教育，明确告知用户的法律责任 * 可穿戴设备开发者应关注 CNIL 和 EDPB 的后续指南，提前准备合规措施 * 用户需意识到佩戴智能眼镜不仅是个人选择，会影响周围所有人的隐私，有责任负责任地使用 第四条 欧盟数据保护委员会对芬兰 GDPR 认证机构认证要求发表意见 * 核心进展： 2026年5月12日，欧盟数据保护委员会（EDPB）通过第13/2026号意见，针对芬兰数据保护监察员（Ombudsman）关于 GDPR 第43(3）条下认证机构认证要求的草案决定 * 背景机制： 根据 GDPR 一致性机制，监管机构在批准认证机构认证要求前必须征求 EDPB 意见；芬兰监察员于2026年4月1日提交草案；芬兰的认证工作由芬兰国家认证服务机构（FINAS）执行，应用 EN-ISO/IEC 17065:2012标准以及监管机构设定的 GDPR 特定附加要求 * EDPB 评估重点： 认证机构的独立性和公正性；利益冲突和防止不当影响的保障措施；认证机构人员的专业知识和资格；颁发、审查、暂停或撤销认证的程序；投诉和上诉的透明处理 * 主要建议： 将仅限于监察员的表述改为“任何主管监管机构”，以反映 GDPR 下的跨境监管；明确术语（如统一使用“评估对象”）并删除重复或不清晰的条款；完善人员资格要求，包括更清楚地区分欧洲经济区内外的大学；确保义务由认证机构而非认证机构承担；删除可能导致认证机构评估超出认证处理活动范围的 GDPR 违规或数据泄露的条款 * 后续步骤： 芬兰监管机构必须在收到意见后两周内告知 EDPB 是否会修改或维持其草案认证要求，并提供最终决定以纳入 EDPB 公开登记册 * 企业启示： * GDPR 认证体系正在逐步完善，各成员国的认证要求需经 EDPB 审查以确保欧洲经济区的一致性 * 认证机构的独立性、公正性、专业知识和程序都会受到严格审查 * 企业想通过认证证明合规，需选择已获得正式认证的认证机构，而非自称能做 GDPR 认证的咨询公司 * 关注 EDPB 公开登记册中各成员国认证机构认证要求的最终版本，了解不同国家的具体要求 * GDPR 认证可作为合规证明，在监管调查或客户尽职调查中提供有力支持，但需确保认证范围覆盖实际处理活动 💡 主编深度洞察：从设备到标准的全链条隐私治理 物联网隐私的“同意困境” 德州与 LG 的和解协议揭示了物联网设备隐私治理的核心困境：如何在用户体验和隐私保护之间找到平衡。智能电视的自动内容识别（ACR）技术本质上是一种持续的、被动的数据收集——用户不需要主动操作，设备就在后台记录观看行为。这种“默认开启”的数据收集模式与 GDPR 和美国各州隐私法要求的“明确表示同意”原则存在根本冲突。和解协议的180天实施期限看似宽松，实则反映了技术改造的复杂性：LG 需要重新设计入门流程、更新固件、测试用户体验、培训客服团队。更深层的启示是，物联网设备制造商必须从“隐私合规是法务部门的事”转变为“隐私保护是产品设计的核心要素”。地缘政治条款的加入则标志着数据主权已从抽象的政策概念变成具体的合规要求——即使是消费电子产品，也无法回避大国博弈的影响。 AI 治理的“标准战争” NIST 成立 CAISI 的战略意图远超技术评估本身。从职能设计看，CAISI 既是技术机构（开发测量方法、进行安全评估），也是外交机构（代表美国利益、主导国际标准）。这种“双重身份”揭示了 AI 治理的本质：谁掌握了标准制定权，谁就掌握了市场准入的钥匙。CAISI 与 OpenMined 的合作、与 GSA 的谅解备忘录、对 DeepSeek V4的评估——这些看似独立的行动背后是一套完整的 AI 治理生态：通过自愿协议吸纳头部企业、通过政府采购设置市场门槛、通过国际标准输出美国规则。对于中国 AI 企业，CAISI 的成立意味着进入美国市场的难度将显著增加；对于欧洲企业，则面临在美国标准和欧盟 AI 法案之间寻找平衡的挑战。更值得关注的是，CAISI 明确将“评估对手 AI 系统”作为核心职能，这意味着 AI 安全评估已从纯技术问题上升为国家安全议题。 可穿戴设备的“监控悖论” 法国 CNIL 对智能眼镜的警示揭示了可穿戴设备带来的“监控悖论”：技术越便携，隐私风险越高。智能眼镜与智能手机的根本区别在于“可见性”——手机需要掏出来、举起来，周围人能清楚看到你在拍照；眼镜则是“永远在线、永远隐藏”。CNIL 提出的“从固定监控到移动监控”的转变，实质上是监控权力的民主化——不再是政府或企业垄断监控能力，而是每个人都可能成为监控者。这种转变的社会影响可能是深远的：当人们不确定自己是否正在被录制时，公共空间的自由表达会受到抑制，私人空间的亲密互动会变得谨慎。CNIL 的6条最佳实践建议看似简单，实则触及了技术伦理的核心：技术创新不应以牺牲社会信任为代价。对于智能眼镜制造商，挑战在于如何设计出既能提供便利又能保护他人隐私的产品——这可能需要从硬件层面（如强制指示灯）、软件层面（如自动检测私密场所）、社会层面（如用户教育和社会规范）三管齐下。 GDPR 认证体系的“质量保证” EDPB 对芬兰认证要求的意见看似技术性细节，实则关乎 GDPR 认证体系的可信度。GDPR 第42条引入认证机制的初衷是降低合规成本、提高透明度，但如果认证机构本身缺乏独立性、专业性和一致性，认证就会沦为“花钱买证书”的形式主义。EDPB 的建议——从术语统一到人员资格、从跨境监管到义务分配——每一条都在强化认证体系的严肃性。特别值得注意的是“删除可能导致认证机构评估超出认证范围的 GDPR 违规”这一建议，它明确了认证的边界：认证机构只能评估特定处理活动的合规性，不能越俎代庖成为“准监管机构”。对于企业，这意味着 GDPR 认证不是“一劳永逸”的合规证明，而是“特定范围、特定时点”的合规快照。随着 EDPB 逐步完善各成员国的认证要求，GDPR 认证有望成为跨境数据流动的“通行证”——但前提是企业选择真正合格的认证机构，并持续维护认证有效性。 📚 延伸阅读 * 德州总检察长办公室： 德州与 LG 电子和解协议全文（PDF） * 美国国家标准与技术研究院： Center for AI Standards and Innovation (CAISI) * 美国商务部： 商务部长 Howard Lutnick 关于 CAISI 的声明 * 法国国家信息与自由委员会： 智能眼镜：CNIL 呼吁保持警惕 * 法国 CNIL LINC 实验室： 智能眼镜调查完整结果 * DataGuidance: EU: EDPB issues opinion on Finnish Ombudsman's draft accreditation requirements for GDPR certification bodies * 欧盟数据保护委员会： Opinion 13/2026全文 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #智能电视隐私 #LG隐私侵权 #NIST #AI标准 #智能眼镜隐私 #可穿戴设备隐私 #GDPR 认证 #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的10分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦三个层面的合规执法：美国 FTC 对平台内容审核的主动监管、英国 ICO 对数据安全失败的重罚、以及欧盟委员会对成员国立法义务的严格追责。 🕒 节目导航 第一条 FTC 提醒企业遵守《Take It Down 法案》 * 核心进展： 2026年5月，美国联邦贸易委员会主席 Andrew Ferguson 向十多家科技巨头发出正式信函，提醒其必须在5月19日前完全遵守《Take It Down 法案》(TIDA)。该法案由特朗普总统签署，第一夫人梅拉尼娅·特朗普大力支持 * 法案核心要求： 覆盖平台必须建立流程，允许受害者（包括儿童）请求删除未经同意分享的私密照片或视频；平台必须提供清晰显眼的通知说明删除流程；收到有效请求后必须在48小时内删除非自愿分享的图像及所有相同副本 * 覆盖平台范围： 包括社交媒体、消息应用、图片或视频分享平台、游戏平台等各类网站、应用和在线服务 * 收信企业名单： Amazon、Alphabet、Apple、Automattic、Bumble、Discord、Match Group、Meta、Microsoft、Pinterest、Reddit、SmugMug、Snapchat、TikTok、X 等 * FTC 主席表态： “我们随时准备监控合规情况、调查违规行为并执行《Take It Down 法案》。保护弱势群体——尤其是儿童——免受这种有害虐待是本机构和本届政府的首要任务” * 企业启示： * 5月19日是硬性截止日期，属于覆盖范围的平台必须确保删除流程已上线且足够显眼 * 48小时删除时限要求建立自动化或半自动化审核机制，人工处理难以满足时效要求 * FTC 已明确表态会主动监控和执法，这不是可以拖延或观望的合规要求 * 建议参考 FTC 发布的合规指南，确保流程设计符合法案要求 第二条 英国 ICO 对南斯塔福德郡水务公司罚款近百万英镑 * 核心进展： 英国信息专员办公室（ICO）对南斯塔福德郡水务公司（South Staffordshire Plc and South Staffordshire Water Plc）罚款96.39万英镑，原因是2022年遭受重大网络攻击，导致63.3万名客户和员工个人数据泄露并被发布到暗网 * 攻击时间线： 2020年9月，员工打开钓鱼邮件附件，黑客植入恶意软件；恶意软件在系统中潜伏20个月未被发现；2022年5月，黑客横向移动并获取域管理员权限；2022年7月15日，因 IT 性能问题才启动调查并发现泄露；2022年8月至11月，超过4.1TB 数据被发布到暗网 * 泄露数据类型： 客户的姓名、地址、邮箱、出生日期、电话号码、在线服务用户名和密码、银行账号和分类代码；员工的国民保险号等 HR 信息；优先服务登记客户的残疾相关信息 * 关键安全失败： 仅5%的 IT 环境被监控，恶意活动无法被检测；部分设备使用 Windows Server 2003等已停止支持的过时软件；漏洞管理严重不足，关键系统未打补丁，缺乏定期内部或外部安全扫描；有限的访问控制使攻击者能够从初始立足点升级到管理员权限 * ICO 临时执行主任 Ian Hulme 表态： “等到性能问题或勒索信才发现数据泄露是不可接受的。主动安全是法律要求，不是可选项。客户没有选择水务公司的权利，他们必须分享个人信息并信任供应商，因此水务公司必须认真对待数据保护责任” * 自愿和解： 公司及早承认责任并同意不上诉，ICO 给予40%减免，最终罚款从原本的160万英镑降至96.39万英镑 * 企业启示： * 钓鱼邮件仍是最常见攻击入口，员工安全意识培训必须持续且有效，不能流于形式 * 5%的监控覆盖率远远不够，需要对 IT 环境有全面可见性，建议至少覆盖80%以上关键系统 * 使用过时软件就是给黑客留后门，所有系统必须及时更新和打补丁，建立漏洞管理流程 * 实施最小权限原则，防止攻击者从初始入侵点轻易升级到管理员权限 * 如果发生数据泄露，及早承认责任、积极配合调查可显著降低最终处罚金额 * 关键基础设施运营商面临更高的合规期望，ICO 明确表示这类组织必须有成熟的安全控制 第三条 欧盟委员会对成员国采取法律行动 * 核心进展： 2026年4月29日，欧盟委员会公布4月违规一揽子措施，对多个成员国采取法律行动，原因是未能履行欧盟法律规定的义务 * 克罗地亚 DSA 合规问题： 欧盟委员会向克罗地亚发出第二次正式通知（第一次为2024年7月）。虽然克罗地亚在2025年4月通过了实施立法，但未充分授权其数字服务协调员（DSC），削弱了 DSA 执行力度和法律确定性；错误转置 DSA 处罚规则，包括未遵守最高罚款上限、不允许对提供不正确或不完整信息或不配合检查的个人进行罚款 * 克罗地亚应对时限： 有两个月时间回应并纠正问题，如回应不满意，欧盟委员会可能升级到发出“理由意见”（进一步法律程序） * 七国 CER 指令转置失败： 保加利亚、西班牙、法国、卢森堡、荷兰、波兰和瑞典因未在截止日期（2024年10月17日）前转置《关键实体韧性指令》(CER Directive）而被提交至欧盟法院。截至2026年4月，这些国家均未通知实施措施，已错过截止日期超过半年 * CER 指令背景： 该指令旨在提高关键实体（如能源、交通、银行、数字基础设施、公共管理、太空等领域）的韧性，要求成员国建立监管框架、风险评估和应急措施 * 企业启示： * 即使成员国政府不遵守欧盟法律转置义务，也会被委员会起诉到法院，说明欧盟法律执行机制非常严肃 * 对于 CER 指令等涉及关键基础设施保护的法规，即使成员国尚未完成转置，企业也应提前研究指令要求并做好准备 * 一旦转置完成，合规要求会立即生效，不会给企业额外缓冲期 * 在欧盟运营的关键实体应主动对照 CER 指令要求进行差距分析，识别需要改进的领域 * 数字服务提供商应关注各成员国 DSC 的授权情况和执法能力，这直接影响 DSA 的实际执行力度 💡 主编深度洞察：从内容审核到基础设施安全的全链条执法 平台内容治理的新边界 FTC 对《Take It Down 法案》的强力推进标志着平台内容治理进入了新阶段。与传统的版权或仇恨言论审核不同，非自愿私密内容（NCII）的删除涉及更复杂的受害者保护机制。48小时的删除时限看似简单，实则要求平台建立端到端的快速响应流程：从受害者身份验证、内容哈希匹配、跨平台副本检测，到删除执行和反馈通知，每个环节都需要技术能力和人工审核的精密配合。更重要的是，这个法案将儿童保护从“平台自愿行动”提升为“联邦强制要求”,FTC 主席的表态清晰传递了一个信号：这不是 CSR 项目，而是合规红线。对于在美国运营的平台，无论规模大小，都需要在5月19日前完成系统改造，否则面临的不仅是罚款，还有声誉风险和用户信任危机。 关键基础设施的“零容忍”安全标准 南斯塔福德郡水务公司案例揭示了关键基础设施运营商面临的“零容忍”安全标准。ICO 临时执行主任 Ian Hulme 的表态非常明确：“客户没有选择水务公司的权利”——这句话道出了关键基础设施的本质：垄断性、强制性和公共性。正因如此，监管机构对这类组织的数据安全要求远高于一般企业。5%的监控覆盖率、Windows Server 2003的使用、20个月的潜伏期未被发现——这些失误在普通企业可能只是“管理不善”，但在关键基础设施领域就是“严重违法”。更值得关注的是，ICO 在罚款决定中特别强调了“主动安全”的概念：企业不能等到系统崩溃或收到勒索信才启动调查，而必须通过持续监控、定期扫描、漏洞管理等主动措施来预防攻击。这种从“被动响应”到“主动防御”的范式转变，正在成为全球数据保护监管的共识。 欧盟法律执行的多层问责机制 欧盟委员会对成员国的法律行动展示了欧盟法律执行的多层问责机制。一方面，委员会对克罗地亚 DSA 转置不力发出第二次正式通知，显示出“渐进式施压”的策略：从正式通知到理由意见，再到提交法院，每一步都给成员国纠正的机会。另一方面，对七国 CER 指令转置失败直接诉诸法院，显示出对关键基础设施保护的“零容忍”态度。这种差异化处理背后的逻辑很清晰：DSA 涉及数字服务监管，可以给成员国更多协商空间；但 CER 指令涉及国家安全和公共安全，截止日期已过半年仍未转置，必须立即采取最严厉措施。对于在欧盟运营的企业，这个案例的启示是：不要等成员国完成转置才开始准备，而应该直接对照欧盟指令要求进行合规建设。因为一旦转置完成，执法会立即启动，不会有“适应期”。 📚 延伸阅读 * 美国联邦贸易委员会： FTC Chairman Ferguson Advises Companies to Comply with the Take It Down Act * 美国联邦贸易委员会： FTC 致平台企业的信函（PDF） * 美国联邦贸易委员会： 《Take It Down 法案》合规指南 * 英国信息专员办公室： Fine of nearly £1m issued against South Staffordshire Plc following major cyber attack * 英国信息专员办公室： South Staffordshire 案件详情 * 英国信息专员办公室： 勒索软件与数据保护合规指南 * DataGuidance: EU: Commission takes legal action against Member States for failing to transpose CER Directive and comply with DSA * 欧盟委员会： 2026年4月违规一揽子措施新闻稿 * 欧盟委员会： CER 指令转置失败新闻稿 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #美国 #英国 #欧盟 #FTC #ICO #TakeItDown法案 #数据泄露 #关键基础设施 #DSA #CER指令 #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦全球监管的多维实践——从越南电商立法到阿联酋主权 AI 验证，从加州执法行动到德国行业指南，展现完整的治理生态。 🕒 节目导航 第一条 越南通过《电子商务法》 * 核心进展：越南国民议会于2025年12月10日通过第122/2025/QH15号法律，将于2026年7月1日生效，全面规范电子商务活动、平台责任和跨境电商合规要求 * 平台分类监管：明确区分直销平台、中介平台、社交电商平台和集成平台，实施差异化监管；中介平台必须验证卖家身份、审核商品信息、接受不合格商品退货，并对未履行义务造成的损害承担责任 * 外资平台强制代表：外国平台如使用越南语、.vn 域名或达到交易门槛，必须在越南设立授权代表或法律实体，体现属地管辖要求 * 直播带货全流程监管：要求平台验证主播身份、审核广告内容、建立实时监控和紧急中断机制，禁止提供虚假误导信息或使用违背社会伦理的语言、图像或行为 * 大型平台特别义务：必须建立在线投诉解决系统、实施自动化内容监控和移除系统，并向主管部门提供交易数据和算法描述 * 执法机制：违规行为可导致行政处罚、访问封锁、账户暂停或终止、从注册名单中移除、强制整改、赔偿或刑事起诉 * 企业启示： * 外资电商平台需在2026年7月1日前完成越南代表或实体设立，确保合规运营 * 中介平台和社交电商平台需建立卖家身份验证、商品信息审核和退货处理机制 * 直播带货业务需建立主播身份验证、内容审核和实时监控系统，培训主播合规要求 第二条 阿联酋建立国家 AI 测试与验证实验室 * 核心进展：阿联酋网络安全委员会、Open Innovation AI 和 Cisco 于2026年5月4日宣布建立全球首个国家级 AI 测试与验证实验室，为政府机构和私营部门提供 AI 模型、代理和应用的安全性、安全性和可信度测试、验证和认证服务 * 主权能力定位：*阿联酋网络安全政府负责人 Mohamed Al-Kuwaiti 博士强调，这是国家主权能力，确保每个部署在经济中的 AI 模型和代理都是安全、可信且符合国家战略和政策的 * 全面评估体系：涵盖模型安全（鲁棒性和安全性测试）、威胁防御（识别提示注入和越狱攻击等漏洞）、数据完整性（监控数据泄漏和隐私风险）、供应链安全（验证模型和权重的完整性）、代理自主性（评估代理工具使用风险）、监管合规（确保符合阿联酋 AI、云和网络安全要求） * 国际标准对齐：评估模型是否符合 ISO 42001、MITRE ATLAS、NIST AI RMF 以及 OWASP LLM 和 AI 代理框架等国际标准 * 国家认证标志：通过评估的系统将获得国家认证标志，为监管机构、运营商和公民提供明确的安全和验证保证 * 企业启示： * 在阿联酋部署 AI 系统的企业需关注实验室的认证要求和流程，提前准备模型安全评估 * AI 开发者应参考 ISO 42001、NIST AI RMF 等国际标准，在设计阶段嵌入安全性和可信度要求 * 跨国企业可借鉴阿联酋模式，在其他市场推动 AI 安全验证和认证机制 第三条 加州总检察长与通用汽车达成隐私和解 * 核心进展：加州总检察长 Rob Bonta 于2026年5月宣布与通用汽车达成140万美元和解协议，解决 GM 在2015-2024年间未经车主明确同意收集、使用和披露驾驶员行为数据的指控 * 数据收集隐蔽性： *GM 在 OnStar Smart Driver 和 Smart Driver Challenge 项目中，未经车主明确同意收集驾驶行为数据（包括加速、制动、转弯、速度和里程） * 数据流转链条： GM 将这些数据披露给 LexisNexis Risk Solutions 和 Verisk Analytics 等数据经纪商，后者生成驾驶员行为评分并出售给保险公司，直接影响车主保费 * 和解条款： 140万美元民事罚款（其中100万美元分配给加州隐私保护基金）；删除2015年1月1日至2024年7月29日期间收集的加州车主驾驶行为数据；通知所有受影响车主并提供数据经纪商联系方式；承诺未来收集数据前必须获得车主明确、知情的同意 * 总检察长声明： “当涉及数据隐私时，消费者必须坐在驾驶座上。你的车不应该是间谍，你的数据不应该在未经你同意的情况下被出售给数据经纪商。” * 企业启示： * 联网汽车、智能设备制造商需审查数据收集的同意机制，确保“明确、知情、具体”的同意标准 * 数据共享给第三方（尤其是数据经纪商）前，必须获得单独的明确同意，不能隐藏在冗长的隐私政策中 * 建立数据删除和用户通知机制，为历史合规问题留出补救空间 * 物联网产品设计阶段需考虑“隐私 by design”，避免默认开启数据收集功能 第四条 德国发布 AI 医疗器械路线图 * 核心进展：德国联邦数据保护和信息自由专员（BfDI）与巴伐利亚、柏林、汉堡、黑森和北莱茵-威斯特法伦州数据保护机构于2026年5月联合发布 AI 医疗器械路线图，为医疗器械制造商提供欧盟 AI 法案合规指南 * 高风险 AI 系统识别：路线图帮助制造商识别哪些 AI 医疗器械属于 AI 法案定义的高风险 AI 系统，明确合规义务范围 * 合规要求清单：*详细列出高风险 AI 医疗器械必须满足的技术、文档和透明度要求，包括数据治理（训练、验证和测试数据集的质量、相关性、代表性和完整性）、透明度和可解释性（提供 AI 系统功能、限制和预期用途的清晰说明）、人类监督机制（确保医疗专业人员能够理解和干预 AI 决策） * 时间窗口管理：在 AI 法案高风险系统条款2026年8月2日生效前3个月发布，为行业留出准备时间 * 多机构协作：联邦和州级数据保护机构联合发布，确保全国一致性 * 企业启示： * AI 医疗器械制造商需在2026年8月2日前完成高风险系统识别和合规准备 * 建立数据治理流程，确保训练数据的质量、代表性和完整性，避免算法偏见 * 设计人类监督机制，确保医疗专业人员能够理解 AI 决策逻辑并在必要时干预 * 其他垂直行业（金融、教育、交通等）可借鉴德国模式，推动行业特定的 AI 法案实施指南 💡 主编深度洞察：从立法到执法的全球 AI 治理闭环 地缘监管的差异化路径 本期四条新闻展现了全球 AI 治理的地域差异化路径：越南采取“平台分类+强制代表”模式，强调对外资平台的属地管辖和直播带货的实时监控；阿联酋建立“主权 AI 验证能力”，通过国家实验室确保 AI 部署的安全性和可信度；美国（加州）通过执法行动强化“事后问责”，要求企业删除历史数据并通知受影响用户；欧盟（德国）发布“行业路线图”，帮助医疗器械制造商理解和实施 AI 法案高风险系统要求。这四种路径代表了全球 AI 治理的四种典型模式：立法先行（越南）、技术验证（阿联酋）、执法震慑（加州）、行业指导（德国）。 物联网隐私的隐蔽数据流 通用汽车和解案揭示了联网设备隐私的核心挑战：数据收集的隐蔽性（车主在不知情的情况下，驾驶行为数据被持续收集）、数据流转的复杂性（数据从汽车制造商流向数据经纪商，再流向保险公司，形成完整的数据供应链）、实际影响的严重性（数据被用于生成驾驶员评分，直接影响保险费率，部分车主面临保费上涨或拒保）。这个案例为所有物联网设备制造商敲响警钟：联网设备不仅是产品，更是数据收集终端，必须在设计阶段嵌入“隐私 by design”原则，确保用户对数据流向有充分的知情权和控制权。 垂直行业 AI 治理的精细化路径 德国 AI 医疗器械路线图展示了垂直行业 AI 治理的精细化路径：从抽象到具体（将 AI 法案的抽象要求转化为医疗器械行业的具体实施步骤）、多机构协作（联邦和州级数据保护机构联合发布，确保全国一致性）、时间窗口管理（在 AI 法案高风险系统条款生效前3个月发布，为行业留出准备时间）。这种“法案+行业指南”的模式值得其他垂直行业借鉴：金融、教育、交通等高风险 AI 应用领域都需要类似的实施路线图，帮助企业从“知道要合规”到“知道怎么合规”。 📚 延伸阅读 * DataGuidance: Vietnam: National Assembly passes Law on Electronic Commerce * 越南政府： Law No. 122/2025/QH15 （越南语原文） * 阿联酋通讯社（WAM）: UAE Cyber Security Council, Cisco, Open Innovation AI establish national AI test, validation lab * 加州总检察长办公室： When It Comes to Data Privacy, Consumers Must Be in the Driver's Seat: $12.75 Million General Motors Privacy Settlement * 德国联邦数据保护专员： BfDI 发布 AI 医疗器械路线图（德语） | 路线图 PDF（德语） 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #越南 #阿联酋 #加州 #德国 #电子商务法 #AI 验证 #联网汽车隐私 #AI医疗器械 #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦儿童在线保护的全球共识：从加拿大的隐私优先指南，到巴西的监管权力界定，再到欧盟的技术蓝图，年龄验证正在从可选变成必选。 🕒 节目导航 第一条 加拿大隐私专员发布年龄保障指南 * 核心进展：2026年5月4日，加拿大隐私专员 Philippe Dufresne 在隐私意识周启动仪式上发布年龄保障全新指南，经广泛公开咨询后推出。 * 指南对象与内容： * 面向网站和在线服务运营者，以及年龄保障技术开发者 * 帮助组织评估何时应该或必须使用年龄保障技术 * 指导在使用和设计系统时应考虑的隐私保护措施 * 核心理念：为儿童创造更安全、更适合的在线体验，同时减轻对隐私的潜在负面影响，两者必须兼顾。 * 配套工作： * 儿童隐私守则开发：发布咨询反馈报告，关注私营部门如何为儿童个人信息实施强保障措施和透明实践 * 儿童隐私研究：发布焦点小组研究报告，了解加拿大青少年数据隐私在线体验；发布青少年峰会初步报告（2025年11月与渥太华大学、麦吉尔大学合作举办） * 企业隐私调查：91%企业已采取措施确保符合加拿大隐私法，84%有隐私政策，90%至少中等程度准备好应对数据泄露 * 企业启示： * 年龄保障是隐私保护和儿童安全的平衡问题，非单纯技术问题 * 面向儿童或可能被儿童使用的服务需评估：是否需要年龄保障？何种技术方案既有效又最小化隐私侵入？ * 强调多方参与，包括儿童和青少年的声音，儿童保护政策必须真正了解儿童需求和体验 第二条 巴西 ANPD 发布儿童保护法技术说明 * 核心进展：巴西国家数据保护局（ANPD）发布技术说明，回应众议院关于《数字儿童和青少年法》(ECA Digital，法律15.211/2025）及其实施法令（法令12.880/2026）的系列质询。 * ANPD 权力界定： * 众议院质疑 ANPD 权力是否扩大（技术解决方案认证、施加额外措施、定义强制性技术要求） * ANPD 回应：无权力扩大，均为法律已赋予职责；ECA Digital 明确授权 ANPD 作为自主行政机构监管执行 * 2026年 ANPD 通过法律正式升级为监管机构，拥有更强技术独立性和行政自主权 * 年龄验证技术原则： * 法律和法令未指定具体技术，强调技术中立原则，避免法律文本因技术进步而过时 * 解决方案必须与服务风险成比例，满足准确性、稳健性和可靠性要求 * ANPD 职责：基于监管技术发布建议和指导，监管年龄验证技术解决方案 * 权力限制机制： * 受合法性原则和规范从属原则约束，监管权力严格服务于法律目的 * 法律明确禁止：大规模、普遍或无差别监控机制；损害言论自由和隐私等基本权利 * 必须采取响应式监管方法，尊重监管不对称性和风险比例原则 * 外部监督体系： * ANPD 行动和决策完全受外部控制、问责和监督机制约束 * 包括监管机构法规定机制，以及司法控制、立法监督、检察院监督等传统控制机制 * 企业启示： * 展现新兴监管机构如何清晰界定权力边界和行动原则 * 在巴西开展业务特别是涉及儿童和青少年的平台，需关注风险比例原则、技术中立原则和隐私保护底线 * 合规不仅是满足具体技术要求，更是理解监管哲学和原则 第三条 欧盟委员会发布年龄验证技术共同方法 * 核心进展：欧盟委员会发布建议，为全欧盟范围年龄验证技术设定共同方法，要求成员国在2026年12月31日前确保所有欧盟公民获得强大且保护隐私的年龄验证服务。 * 成员国建议行动： * 使用欧盟年龄验证蓝图，可根据各成员国需求定制，并与欧洲数字身份钱包集成 * 制定实施计划，确保快速采用年龄验证解决方案 * 与数字服务协调员、其他成员国、委员会、研究人员和民间社会合作推出国家解决方案 * 通过独立第三方审查，确保符合所有相关网络安全标准 * 欧盟委员会配套措施： * 建立欧盟年龄验证方案，为年龄证明提供者和年龄验证解决方案设定要求，概述如何检查提供者可信度 * 提供符合隐私和安全标准的年龄验证解决方案清单 * 建立可信的年龄证明提供者清单 * 欧盟年龄验证蓝图特点： * 使用最先进技术防止追踪，提供最高隐私标准 * 只确认用户是否超过某个年龄（如15岁、18岁、65岁），不透露确切年龄或任何其他用户信息 * 通过在整个验证过程中保护用户身份保证完全匿名 * 与欧盟数字钱包框架完全一致 * 政策背景： * 《数字服务法》(DSA）执法：2025年7月委员会发布未成年人保护指南，建议使用准确、可靠、稳健、非侵入性和非歧视性的年龄保障方法 * 数据驱动：目前在6个欧盟国家，24%的14-17岁青少年每周至少看到一次色情内容，需通过 DSA 执法和有效年龄验证解决 * 企业启示： * 年龄验证正从自愿措施变成强制要求，特别是成人内容、赌博、酒类销售等领域 * 隐私保护和年龄验证不是对立而是必须同时实现的目标，欧盟蓝图展示技术实现路径 * 跨境互认和标准化正在推进，服务覆盖多个欧盟国家的企业未来可能依赖统一欧盟方案 💡 主编深度洞察：儿童在线保护的全球共识与技术平衡 从边缘到中心：年龄验证的监管升级 三条新闻的共同主题揭示了一个清晰的全球趋势：年龄验证正在从“可选的增值功能”变成“强制的合规要求”。加拿大发布正式指南、巴西将年龄验证纳入儿童保护法、欧盟设定2026年底的强制时间表——这不是巧合，而是全球监管机构在儿童在线保护议题上达成的共识。背后的驱动力是触目惊心的数据：欧盟24%的14-17岁青少年每周接触色情内容，社交媒体成瘾、网络欺凌、隐私侵犯等问题日益严重。对企业来说，这意味着年龄验证不再是“做了更好”的选项，而是“不做就违规”的红线。现在就投入资源研究和部署年龄验证方案，将是未来12-18个月内所有面向消费者的数字服务必须完成的任务。 隐私悖论：保护儿童还是监控儿童？ 年龄验证的核心挑战是一个看似无解的悖论：为了保护儿童隐私，我们需要收集更多儿童数据。生物识别、面部识别、身份证验证——每一种技术都在隐私和有效性之间艰难权衡。加拿大的指南强调“减轻对隐私的影响”，欧盟的蓝图承诺“完全匿名”，巴西的技术说明明确禁止“大规模监控”——这些表述背后，是监管机构对技术滥用的深刻警惕。欧盟的技术蓝图提供了一个可能的解决方案：零知识证明技术，只确认“是否超过某个年龄”而不透露确切年龄或身份。但技术永远不是万能的，真正的平衡点在于制度设计：谁来运营年龄验证系统？数据如何存储和销毁？用户如何行使权利？合规从业者需要思考的不仅是“用什么技术”，更是“如何建立可信的治理框架”。 儿童声音：从被保护者到参与者 加拿大隐私专员办公室举办青少年峰会，让儿童和青少年直接参与政策制定，这是一个值得所有监管机构和企业学习的做法。长期以来，儿童在线保护政策都是成年人的想象：我们认为什么对儿童好，我们认为儿童需要什么保护。但儿童和青少年是数字原住民，他们对技术的理解、对隐私的认知、对风险的感受，往往与成年人截然不同。忽视儿童的声音，不仅是不尊重，更是低效——政策可能无法真正解决儿童面临的问题，甚至可能制造新的问题。对企业来说，这意味着在设计儿童产品和服务时，必须真正与儿童对话，而不是关起门来自己想象。用户研究、焦点小组、青少年咨询委员会——这些不是形式，而是确保产品真正服务于儿童最佳利益的必要手段。 📚 延伸阅读 * 加拿大隐私专员办公室：Privacy Commissioner of Canada launches new age assurance guidance * 加拿大隐私专员办公室：Age Assurance – Policy Note * 加拿大隐私专员办公室：Assessing whether and how to use age assurance – Guidance for websites and online services * 巴西 ANPD:Nota Técnica nº 2/2026 - ECA Digital * 欧盟委员会：Commission sets out a common approach for EU-wide Age Verification technologies * 欧盟委员会：Blueprint for Age Verification Solution 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #加拿大 #巴西 #欧盟 #年龄验证 #儿童保护 #隐私保护 #ANPD #DSA #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦越南的 AI 风险分级框架、欧盟对性深度伪造的全面禁令，以及 AI 透明度义务的实施细则。 🕒 节目导航 第一条 越南发布 AI 系统风险分类与合规评估规定 * 核心进展：越南政府发布《人工智能法》配套法令，建立基于风险的 AI 系统分类机制，要求供应商在系统投入使用前完成分类。 * 三级风险分类体系： * 高风险：可能对生命、健康、财产、人权、国家利益或公共安全造成损害；部署在关键基础设施或公共利益领域；用户规模大或与关键技术基础设施连接 * 中等风险：不属于高风险但符合特定条件的系统 * 低风险：不属于上述两类的系统 * 动态分类机制：部署方在修改、集成或改变系统功能时，如产生新风险或更高风险，需配合供应商重新分类。 * 基础设施建设：建立 AI 一站式电子门户和国家 AI 系统数据库，由科技部管理运营，但不增加企业行政负担；涉及国家机密或国防安全的系统无需公开注册。 * 生态系统发展：鼓励企业、科研机构和高校合作，推动 AI 产品商业化；政府优先在公共部门采购本土 AI 产品和服务。 * 企业启示： * 在越南开展 AI 业务的企业需立即评估系统风险等级 * 高风险系统需提前准备合规评估文件 * 越南 AI 治理框架借鉴欧盟风险分级思路，但强调国家数据库和生态建设 * 东南亚市场的 AI 企业应密切关注越南规则的演进 第二条 欧盟同意西班牙提案，禁止性深度伪造 AI 系统 * 核心进展：2026年5月7日凌晨，欧盟三方谈判达成协议，同意将西班牙提出的禁止性深度伪造提案纳入《欧盟人工智能法》修订版。 * 提案背景：西班牙于2026年1月提出该提案，起因是社交平台 X 的虚拟助手 Grok 生成女性和未成年人裸体图像引发争议；法国支持该提案，3月中旬获欧盟初步认可。 * 禁止内容： * 未经明确同意，生成或操纵展示私密部位或将人物置于性活动中的逼真图像、视频或音频（性深度伪造） * 生成或操纵儿童色情内容 * 配套立法：西班牙正在推进《数字环境未成年人保护组织法》，计划修改刑法，将性深度伪造和网络诱骗未成年人纳入刑事处罚范围，是欧洲先锋立法。 * 简化 AI 法争议：欧洲议会原计划将 AI 法义务转移到现有行业法规（医疗器械、玩具等），西班牙反对以防去监管化和市场碎片化；最终仅工业机械领域转移，且设保障机制。 * 批准流程：政治协议需欧洲议会全体会议和理事会部长正式批准，预计夏季休会前完成。 * 企业启示： * 深度伪造技术，尤其是性内容相关，已成欧盟监管红线 * 涉及图像、视频或音频生成的产品需确保有足够技术手段和流程防止滥用 * 这不仅是合规要求，更是社会责任 * 欧盟立场可能影响其他地区立法方向 第三条 欧盟委员会发布 AI 法第50条透明度义务实施指南草案 * 核心进展：2026年5月8日，欧盟委员会发布《欧盟人工智能法》第50条透明度义务实施指南草案，开启公开征询至6月3日。 * 生效时间与适用范围：2026年8月2日生效，涵盖交互式系统、合成内容生成器、情绪识别、生物特征分类、深度伪造及涉及公共利益的 AI 生成文本。 * 责任主体区分： * 供应商：开发 AI 系统或将其投放到欧盟市场的主体（包括欧盟以外供应商，只要输出在欧盟使用） * 部署方：在其权限下使用 AI 系统的主体（不包括纯个人非专业用途） * 四项主要透明度义务： * 第50(1）条 - 交互式 AI：供应商必须确保用户被告知正在与 AI 交互（除非显而易见或有执法豁免） * 第50(2）条 - 合成内容标记：供应商必须确保 AI 生成或操纵的音频、图像、视频或文本是机器可读且可检测的 * 第50(3）条 - 情绪识别和生物特征分类：部署方必须告知个人正在被这些系统处理（有限豁免） * 第50(4）条 - 深度伪造和公共利益文本：部署方必须披露深度伪造内容是 AI 生成/操纵的，以及涉及公共利益的 AI 生成文本（艺术作品有特殊规定，编辑责任和执法有豁免） * 披露要求：必须清晰、可区分，不晚于首次交互或接触时提供，满足可访问性要求；一次性披露可能不足以应对持续交互；隐藏在条款中的披露不充分。 * 执法与处罚：违反第50条可能导致最高1500万欧元或全球年营业额3%的罚款（以较高者为准）。 * 企业启示： * 涉及用户交互、内容生成、情绪识别或生物特征分类的 AI 系统需立即准备透明度披露机制 * 确保披露在用户首次接触系统时清晰可见，而非藏在用户协议深处 * 透明度是 AI 可信赖性的基础，也是长期竞争力的来源 * 建议在6月3日前参与公开征询，影响最终指南内容 💡 主编深度洞察：全球 AI 治理的三重奏 越南样本：新兴市场的 AI 治理雄心 越南的 AI 风险分类规定展现了新兴市场在 AI 治理上的雄心和务实。与欧盟 AI 法相比，越南的框架更加简洁，三级风险分类清晰明了，避免了过度复杂的规则体系。更值得注意的是，越南将 AI 治理与产业发展结合，通过建立国家数据库、推动政府采购本土 AI 产品等措施，试图在监管与创新之间找到平衡点。对于跨国企业来说，越南代表的不仅是一个单一市场，更是东南亚 AI 治理的风向标。随着东盟各国逐步建立自己的 AI 规则，区域性的协调和互认机制将成为企业合规的关键挑战。现在就投入资源理解越南规则，将为未来在整个东南亚的布局打下基础。 欧盟红线：从技术中立到价值先行 欧盟对性深度伪造的全面禁令标志着 AI 监管哲学的重要转变：从技术中立走向价值先行。过去，欧盟强调的是基于风险的分级管理，技术本身是中性的，关键在于如何使用。但性深度伪造的禁令打破了这一逻辑——无论风险评估结果如何，这类应用本身就是被禁止的。这背后反映的是欧盟对尊严、隐私和未成年人保护等核心价值的坚守。对企业来说，这意味着合规不再只是填表和评估，而是要真正理解欧盟的价值底线在哪里。技术可行性不等于商业可行性，更不等于合规可行性。在设计 AI 产品时，必须从一开始就将价值考量嵌入产品架构，而不是等到上市前再做合规修补。 透明度革命：从黑箱到玻璃房 欧盟 AI 法第50条透明度指南的发布，标志着 AI 从“黑箱”走向“玻璃房”的时代正式到来。这不是简单的标签要求，而是对 AI 产业商业模式的深层挑战。当用户必须被明确告知他们正在与 AI 交互、他们的内容是 AI 生成的、他们的情绪正在被识别时，AI 的“隐形优势”将不复存在。对于那些依赖信息不对称建立竞争优势的企业，透明度要求将是一次洗牌。但对于那些真正以用户信任为核心的企业，透明度反而是机会——它将劣币驱逐出市场，让好的产品和服务脱颖而出。合规从业者需要思考的不仅是如何满足披露要求，更是如何将透明度转化为品牌资产，让用户在知情的前提下主动选择你的产品。 📚 延伸阅读 * 越南政府门户网站：Nguyên tắc phân loại và đánh giá sự phù hợp hệ thống trí tuệ nhân tạo * 西班牙政府：La Unión Europea acuerda la propuesta de España de prohibir los "deepfakes" sexuales * 欧盟委员会：Draft Guidelines on Transparency Obligations under Article 50 of the EU AI Act * DataGuidance:EU: Commission opens consultation on draft AI Act transparency guidelines 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #越南 #欧盟 #AIAct #深度伪造 #透明度 #风险分类 #未成年人保护 #数据合规 #AI星辰电台

欢迎收听《AI 星辰电台》。在通勤的 10 分钟里，我们带你快速浏览全球 AI 治理与数据合规的最新图景。本期节目聚焦代理式 AI 的网络安全挑战、跨境数据传输的监管升级，以及位置数据经纪行业的执法风暴。 🕒 节目导航 第一条 CISA 与 ASD ACSC 发布代理式 AI 安全指南 * 核心进展：2026年5月1日，美国网络安全与基础设施安全局（CISA）联合澳大利亚信号局网络安全中心（ASD ACSC）及国际合作伙伴，发布《代理式人工智能服务的谨慎采用》指南。 * 代理式 AI 的定义：能够自主决策、执行任务、调用其他工具的 AI 系统，如自动订票助手、邮件处理系统或企业流程自动化工具。 * 四大网络安全风险： * 攻击面扩大：AI 需接入更多系统和数据 * 权限蔓延：AI 可能获得超出必要范围的访问权限 * 行为不对齐：AI 决策可能偏离人类预期 * 事件记录模糊：AI 操作轨迹难以追溯和审计 * 适用对象：关键基础设施和国防部门，以及所有部署代理式 AI 的组织 * 企业启示： * 对照指南检查现有 AI 系统的安全架构 * 确保实施最小权限原则 * 完善行为日志记录和异常检测机制 * 合规团队与技术团队需联合评估 AI 系统的安全性 第二条 爱尔兰 DPC 对 SHEIN 启动数据跨境传输调查 * 核心进展：2026年4月30日，爱尔兰数据保护委员会（DPC）宣布对 SHEIN 爱尔兰公司（Infinite Styles Services Co. Ltd.）启动正式调查，聚焦其向中国传输欧盟/欧洲经济区用户个人数据的合规性。 * 调查焦点：审查 SHEIN 是否遵守 GDPR 第五章关于数据跨境传输的义务，包括是否确保数据在中国获得与欧盟境内基本相同的保护水平。 * 监管信号：DPC 副专员 Graham Doyle 强调，数据传输到中国已成为欧洲监管机构的重点关注领域，此次调查是 DPC 的重要战略优先事项。 * 法律背景： * 中国未获得欧盟委员会的充分性认定（Adequacy Decision） * 企业需使用标准合同条款（SCCs）等替代机制 * 必须进行传输影响评估（TIA），证明目标国法律和实践能提供充分保护 * 企业启示： * 涉及中欧数据流动的企业应密切关注此案进展 * 立即检查数据传输协议、传输影响评估的完备性 * 确保数据在中国的存储和处理有足够安全措施 * 不要等监管机构找上门再补救，预防性合规成本更低 第三条 FTC 禁止 Kochava 销售敏感位置数据 * 核心进展：美国联邦贸易委员会（FTC）宣布将禁止数据经纪商 Kochava 及其子公司 Collective Data Solutions(CDS）销售敏感位置数据，以和解2022年8月的起诉。 * 案件背景：FTC 指控 Kochava 销售来自数亿台移动设备的位置数据，可追踪个人对医疗机构、宗教场所等敏感地点的访问，且消费者并不知情也未同意。 * 和解令核心要求： * 禁止销售、转让、共享敏感位置数据，除非获得消费者明确同意且仅用于消费者直接请求的服务 * 建立敏感位置数据保护计划，制定敏感地点清单 * 实施供应商评估计划，确认所有位置数据均经消费者同意 * 向 FTC 提交违规事件报告 * 允许消费者查询数据销售去向并提供便捷的撤回同意方式 * 制定数据留存时间表，按时删除数据 * 执法力度：和解令已获 FTC 委员会2-0投票通过，提交爱达荷州联邦地区法院，法官签署后具有法律效力。 * 企业启示： * 位置数据，尤其是关联敏感地点的精确位置数据，已成为 FTC 执法重点 * 重新审视位置数据的收集、使用和共享实践 * 确保获得用户明确同意，数据使用范围与用户合理预期一致 * 建立用户查询和删除请求的响应机制 💡 主编深度洞察：技术风险、跨境博弈与数据经纪终局 代理式 AI：从“工具”到“代理人”的安全鸿沟 CISA 指南的发布标志着监管机构对 AI 技术风险的认知进入了新阶段。传统 AI 系统是被动的工具，而代理式 AI 具备主动性和自主性，这带来了质的变化。当 AI 能够自主调用 API、访问数据库、执行交易时，它不再是简单的“算法”，而是具有行动能力的“代理人”。这种转变带来的安全挑战是多维度的：技术层面的权限管理、行为层面的可解释性、以及组织层面的责任归属。对于企业来说，部署代理式 AI 不仅是技术决策，更是风险管理决策。合规团队需要从“事后审计”转向“事前设计”，在系统架构阶段就嵌入安全和合规要求。 SHEIN 案：中欧数据流动的试金石 SHEIN 案可能成为 GDPR 实施以来，关于中国数据传输的标志性案例。这不仅是一个合规问题，更是一个地缘政治问题。欧盟对中国数据传输的审查日益严格，背后是对数据主权和国家安全的深层关切。对于跨境电商、云服务、SaaS 平台等涉及中欧数据流动的企业，SHEIN 案的结果将直接影响其业务模式的可持续性。企业需要思考的不仅是“如何合规”，更是“如何在合规的前提下保持业务灵活性”。数据本地化、数据最小化、加密传输、定期审计——这些都是可能的解决方案，但每一种都有成本和权衡。合规从业者需要具备的，是在法律、技术和商业之间找到平衡点的能力。 位置数据经纪：从灰色地带到全面禁令 Kochava 案标志着位置数据经纪行业的终局时刻。过去十年，这个行业在法律的灰色地带野蛮生长，通过收集和销售数百万人的行动轨迹牟利。但随着隐私意识的觉醒和监管的收紧，这种商业模式已经难以为继。FTC 的和解令不仅是对 Kochava 的处罚，更是对整个行业的警告：未经明确同意的位置数据交易，将面临严厉的法律后果。对于移动应用开发者、广告技术公司、以及任何涉及位置数据的企业，这是一个重新审视数据实践的时刻。用户信任是脆弱的，一旦失去就很难挽回。与其在法律的边缘试探，不如主动建立透明、可控、尊重用户的数据实践，这才是长期可持续的商业策略。 📚 延伸阅读 * CISA:CISA, U. S. and International Partners Release Guide for Secure Adoption of Agentic AI * ASD ACSC:Careful Adoption of Agentic AI Services (PDF) * 爱尔兰 DPC:DPC opens inquiry into Infinite Styles Services Co. Ltd. (SHEIN Ireland) * FTC:FTC to Ban Kochava and Subsidiary from Selling Sensitive Location Data 📥 资源领取 欢迎关注我们的公众号“那一片数据星辰” #AI治理 #代理式AI #CISA #SHEIN #GDPR #数据跨境 #FTC #位置数据 #数据经纪 #数据合规 #AI星辰电台