人工智能法治通讯（第38期）

国内治理动态

01 政策立法动态

1.中央网信办发布《个人信息保护政策法规问答（2026年8月）》

8月12日，国家互联网信息办公室发布个人信息保护政策法规问答（2026年8月），就处理已公开个人信息的要求和个人信息泄露的常见原因作出说明。

关于处理已公开个人信息的要求，问答引述《个人信息保护法》第二十七条规定，个人信息处理者可以在合理范围内处理个人自行公开或合法公开的个人信息，但个人明确拒绝的除外；对个人权益有重大影响的，应依法取得个人同意。《个人信息保护合规审计办法》附件进一步细化了违法违规情形，包括向已公开个人信息中的电子邮箱、手机号发送无关商业信息、利用已公开信息从事网络暴力或传播谣言、处理个人明确拒绝的信息、收集留存或使用超出合理范围等。

关于个人信息泄露的常见原因，问答指出主要包括四类：个人信息明文存储或传输未加密；信息系统使用弱口令或无登录验证措施；数据接口未采取有效身份验证；网站页面暴露系统登录账号口令等。问答同时引述《个人信息保护法》第五十一条，要求个人信息处理者采取内部制度建设、分类管理、加密去标识化、权限管控、安全教育、应急预案等措施确保安全。

2.全国网安标委发布《关于个人信息保护标准应用实践案例入选建议名单的公示》

8月12日，全国网安标委发布《关于个人信息保护标准应用实践案例入选建议名单的公示》。按照《关于征集个人信息保护标准应用实践案例的通知》（网安秘字〔2026〕30号），经案例征集、形式审查、技术评审环节，评选出入选网络安全国家标准应用实践案例库（个人信息保护主题）的9项案例建议名单。

3.上海市经济和信息化委员会发布《上海市软件和信息服务业发展“十五五”规划》

8月11日，上海市经济和信息化委员会发布《上海市软件和信息服务业发展“十五五”规划》（以下简称为《规划》）。《规划》提出，到2030年，上海软件和信息服务业产业规模力争达到4万亿元，产业增加值突破1.1万亿元，营收超百亿元企业增至35家，营收超千亿元产业基地增至6个；着力将该产业打造为经济增长“动力源”、人工智能赋能应用“主阵地”和参与全球竞争“桥头堡”。

《规划》部署三方面主要任务：一是发挥人工智能引领作用，推进互联网、软件、数字内容、网络安全、智算云、金融科技及工业数智化转型；二是布局智能体经济、人工智能游戏、新型终端软件、扩展现实、原生安全和物理仿真等新兴赛道；三是完善以人工智能技术攻关、关键软件、开源生态、市场主体培育和平台体系为重点的产业支撑体系，同步构建“一环两极三射”产业空间布局，建设综合型、特色型产业基地。

4.上海通信管理局印发《上海信息通信业加速赋能工业智能体建设 助力新型工业化的指导意见》

8月12日，上海市通信管理局编制印发《上海信息通信业加速赋能工业智能体建设 助力新型工业化的指导意见》（以下简称《意见》），旨在引导信息通信业发挥在算网设施、算力调度、数据流通、安全保障、生态集聚等方面优势，加快培育新质生产力，推动工业智能体赋能新型工业化。

《意见》坚持“创新驱动、场景牵引、算网筑基、数据赋能、安全可控、生态协同”六大原则，提出到“十五五”末，基本建成以工业智能体为核心引擎的信息通信业赋能新型工业化的完整体系，形成“网络支撑有力、算力供给充沛、数据流通顺畅、模型应用丰富、安全保障可靠”的发展格局。《意见》部署三大重点任务：一是夯实技术融合底座，统筹多层次算力设施布局，加快算网一体化进程，搭建大模型与小模型协同发展体系，研发多模态感知工业具身智能技术，突破多智能体协同关键技术；二是深化模数共振行动，推动工业数据汇聚治理、高质量数据集建设，打通数据与模型、智能体的协同链路；三是拓展全域场景赋能，推动工业智能体技术深度嵌入研发设计、生产制造、经营管理、客户服务、产业协同五大核心环节。

5.国内首部面向GEO领域的可信传播团体标准正式发布

8月11日，中国新闻技术工作者联合会新闻信息标准化分会组织批准的《生成式引擎优化（GEO）可信信息传播与信息生态治理规范》（T/CAPT 026—2026）正式发布。《规范》由新华网数字经济事业中心融媒体未来研究院、新华社媒体融合生产技术与系统国家重点实验室第三研究部牵头编制。

《生成式引擎优化（GEO）可信信息传播与信息生态治理规范》将治理重心前移至信息源头，提出品牌知识库“事实库、观点库、营销表达库”三区分治，要求营销表达中的事实主张以事实库版本为准；明确白帽GEO和黑帽GEO边界，禁止语料投毒、答案霸权、伪共识制造和提示词注入攻击等行为，建立来源可信度A/B/C/D四级体系和全链路追溯机制，并设置L1基础、L2专业、L3综合治理的组织能力分级，为行业合规操作和监管施策提供参考。

6.广州海珠发布全国首个“Token贷”金融产品

8月14日，广东省首个词元经济专项金融产品“Token贷”在广州海珠正式发布，同步落地《海珠区促进词元经济发展若干措施》（“词元八条”）。“Token贷”是全国首个专门针对词元经济的金融产品，中国银行海珠分行完成首单授信2800万元；“词元八条”覆盖词元生产、流通、应用、金融到出海全链条，单项扶持最高500万元，银行风控从“看资产”转向综合看Token消耗、平台资质等经营指标。

02执法司法动态

1.公安部网安局公布打击侵犯公民个人信息犯罪10起典型案例

8月11日，公安部网安局公布打击侵犯公民个人信息犯罪10起典型案例。这10起典型案例揭露了不法分子通过利诱、黑客攻击、内外勾结等手段，非法获取大量公民个人信息并牟利的黑灰产业链。例如，以崔某伟为首的犯罪团伙以“闲置账号高价变现”的名义，大量收购各类实名网络账号，并层层转卖至境外诈骗团伙；刘某沅等人利用黑客技术挖掘系统漏洞，搭建数据查询接口，通过收费查档方式，为不同群体非法提供公民个人信息查询服务。

国际治理动态

01政策立法动态

1.欧盟《人工智能法》配套实施条例进入适用节点

8月10日，欧盟《人工智能法》（AI Act）配套实施规则出现新的适用节点。欧盟委员会第2026/1755号实施条例（Commission Implementing Regulation 2026/1755）围绕《人工智能法》下通用人工智能模型监管程序作出安排，内容涉及欧盟委员会在评估通用人工智能模型、开展调查、要求提供信息、采取程序性措施以及罚款程序中的具体规则。该实施条例为《人工智能法》落地执行层面的程序性配套文件，重点为委员会行使通用人工智能模型监管权限提供操作程序依据。

2.美国科罗拉多州《心理治疗人工智能限制法》生效

8月12日，美国科罗拉多州 HB26-1195《心理治疗人工智能限制法》（Psychotherapy Artificial Intelligence Restrictions）生效。该法聚焦人工智能在心理治疗、心理健康服务中的使用边界，要求人工智能不得在缺少合格专业人员实时、同步参与和监督的情况下，与个人进行治疗性沟通。对于由人工智能生成的治疗建议、治疗方案或相关心理健康服务内容，法律要求由相应专业人员审查并批准后方可使用。该法还对治疗场景中的录音、转录等人工智能辅助功能设置告知和书面知情同意要求，规定人工智能只能作为专业服务辅助工具，不能替代法定资质人员履行心理治疗职责。

3.美国科罗拉多州《对话式人工智能服务运营者要求法》生效

8月12日，美国科罗拉多州 HB26-1263《对话式人工智能服务运营者要求法》（Conversational Artificial Intelligence Service Operator Requirements）生效，主要义务将自2027年1月1日起适用。该法面向向公众提供的对话式人工智能服务运营者，要求其向用户披露正在与人工智能系统互动；在涉及未成年人用户时，还设置更具体的保护规则，包括限制通过奖励机制诱导持续使用、防止生成或传播露骨性内容、避免作出可能强化情感依赖的表述，并要求在识别到自杀、自残等风险迹象时采取相应处理措施。法律还要求运营者向州检察长提交年度报告，反映其未成年人保护和风险治理情况。

4.法国电话商业营销新规正式实施，原则上须事先取得消费者同意

8月11日，法国电话商业营销新规正式实施。根据法国国家信息与自由委员会（CNIL）发布的规则说明，自当日起，企业原则上不得再仅以消费者未提出反对为依据开展电话商业营销，而应在拨打营销电话前取得消费者的事先同意。此前，法国电话营销主要实行“告知+退出”机制，消费者在获知其电话号码将被用于营销并能够便捷、免费提出反对的情况下，企业可以开展相关营销活动；新规实施后，面向个人消费者的电话营销转为以“事先同意”为原则。

CNIL明确，消费者同意应当符合《通用数据保护条例》（GDPR）规定的自由、具体、知情和明确要求，并通过积极行为作出，例如主动勾选专门设置且未预先勾选的选项；仅接受企业一般条款不足以构成有效同意，消费者还可以随时撤回同意。新制度同时设置例外：如果电话与消费者正在履行的合同直接相关，例如涉及合同执行、相关补充产品或服务以及改善现有服务的方案，企业可以在无需事先同意的情况下联系消费者；非商业性质的电话活动也不属于该项商业营销禁令的适用范围。

新规还将影响企业之间的客户和潜在客户数据流转。企业如果将电话号码等个人数据提供给合作伙伴用于电话商业营销，应确保相关数据处理满足告知和同意要求；合作伙伴在实际开展需要取得同意的营销活动前，也须确保获得有效同意。CNIL强调，无论数据由企业自行收集还是从第三方取得，均应确保相关个人知悉其电话号码可能被用于营销。

5.美国参议院委员会推进《健康信息隐私改革法案》

8月14日，美国参议院卫生、教育、劳工和养老金委员会（Senate Committee on Health, Education, Labor, and Pensions，HELP Committee）表决支持推进《健康信息隐私改革法案》（Health Information Privacy Reform Act）。法案拟将健康隐私保护范围扩大至现行《健康保险流通与责任法案》（Health Insurance Portability and Accountability Act，HIPAA）未覆盖的智能手表、健康戒指、健康应用程序等消费健康技术，要求相关企业披露消费者健康信息的收集和共享方式，使用户能够了解哪些主体获得其健康数据以及数据如何被使用。法案同时涉及消费者自愿将健康数据用于研究的机制，并讨论在此类数据贡献中给予消费者补偿的可能安排。

6.巴西国家数据保护局明确未成年人数字平台半年度透明度报告义务

8月11日，巴西国家数据保护局（Agência Nacional de Proteção de Dados，ANPD）明确《儿童和青少年数字法典》（Estatuto Digital da Criança e do Adolescente，ECA Digital）下数字平台半年度透明度报告的首次提交安排。面向儿童和青少年、或者未成年人较可能访问，且登记的18岁以下用户超过100万的平台，应于9月17日前发布首次报告。报告须披露举报和调查处理机制、举报数量及处理结果、内容和账户审核措施、识别违法行为及未成年人社交账户的措施，以及儿童和青少年个人数据、隐私和家长同意机制的技术改进情况；平台还应说明所采用的风险评估方法以及对未成年人安全和健康风险的识别、评估和管理结果。此后相关报告将按半年周期定期发布。

6.韩国个人信息保护委员会开启第三轮本人数据传输代理事前协商申报

8月11日，韩国个人信息保护委员会（PIPC）发布公告，配合8月20日生效的《个人信息保护法实施令》（公共部门本人数据传输要求权），开启第三轮本人信息传输代理人事前协商申报窗口（申报期为8月11日至31日）。针对企业使用爬取等自动化工具获取公共数据带来的安全隐患，官方提供申报表、安全合规承诺书及FAQ等指引，引导企业与公共机构达成事前协议并向合规传输过渡。

6.韩国个人信息保护委员会就《跨境个人信息保护规则认证制度运营指引》修订草案公开征集意见

8月13日，韩国个人信息保护委员会发布第2026-100号行政预告，就《跨境个人信息保护规则（CBPR）认证制度运营指引》部分修订草案向社会公开征求意见。公告依据韩国《行政程序法》第46条说明了修订背景与要点，并同步公开了修订草案及新旧条文对照表供公众查阅反馈。

02执法司法动态

1.巴西国家数据保护局要求Discord暂停直播功能并整改未成年人保护措施

8月12日，巴西国家数据保护局对Discord公司（Discord Inc.）采取预防性监管措施，要求其在三个工作日内暂停巴西境内“Go Live”直播及其他具有同等功能的视频传输和共享服务，并采取技术措施防止用户规避限制。ANPD认定，现有证据显示Discord未采取合理措施防止和降低未成年人接触、被推荐或被引导至涉及暴力、骚扰、自残和自杀等严重侵害内容的风险；今年3月Discord对“Go Live”采用的技术调整还降低了平台在直播过程中识别违规视听内容的能力，现有自动化机制和用户举报主要在损害发生后发挥作用。直播功能须持续暂停，直至Discord证明已经建立与相关风险相适应的技术、安全和治理措施，并获得ANPD事先明确批准后方可恢复。监管程序还将审查平台年龄核验、违法内容删除和向主管机关报告等义务的履行情况。

2.美国第九巡回上诉法院驳回Meta第230条上诉并允许未成年人平台治理诉讼继续推进

8月10日，美国第九巡回上诉法院驳回Meta针对未成年人社交媒体诉讼提出的中间上诉，并拒绝暂停案件审理。由多州总检察长提起的诉讼指控Meta通过Facebook和Instagram的产品设计提高儿童和青少年的持续使用程度，并对相关安全风险作出误导性表述，同时涉及违反《儿童在线隐私保护法》（Children's Online Privacy Protection Act，COPPA）等数据保护规则。Meta主张《通信规范法》第230条（Section 230 of the Communications Decency Act）应使其免受相关诉讼，但法院认为第230条属于实体责任抗辩，并不赋予平台免于进入诉讼程序的司法豁免，因此现阶段不能据此提前终止案件。

3.美国多州起诉联邦机构阻止获取数百万商业驾驶员个人数据

8月13日，加利福尼亚州等多个州针对美国联邦机动车运输安全管理局（Federal Motor Carrier Safety Administration，FMCSA）和美国国土安全部（Department of Homeland Security，DHS）分别提起诉讼，挑战两部门要求取得商业驾驶执照信息系统（Commercial Driver's License Information System，CDLIS）中数百万驾驶员数据的做法。相关数据包括驾驶员姓名、驾照号码、发证州等个人信息。各州称，联邦政府过去主要针对特定个人查询该数据库，但此次FMCSA以停止资金和合作协议相威胁，要求大规模提供系统记录，DHS亦通过传票寻求取得相关数据；诉讼主张这些要求超越联邦机构法定权限，并违反《驾驶员隐私保护法》（Driver's Privacy Protection Act，DPPA）和联邦《隐私法》（Privacy Act）对个人信息使用和披露的限制。

4.美国联邦法院要求RentGrow支付225万美元并整改租户背景数据处理规则

8月12日，美国联邦法院批准美国司法部与消费者报告公司RentGrow达成的命令，要求其支付225万美元民事罚款，并整改租户背景调查数据处理流程。本案由美国联邦贸易委员会（Federal Trade Commission，FTC）调查后移交司法部处理。政府指控RentGrow违反《公平信用报告法》（Fair Credit Reporting Act，FCRA），未采取合理程序确保向房东和物业管理者提供的租户背景报告达到最大程度的准确性，未按照要求向消费者披露报告中的信息及其来源，并在消费者对报告准确性提出争议后未履行相应处理义务；同时，RentGrow还被指对纠正后的数据是否已通知房东或物业管理者作出误导性陈述。法院命令除罚款外，还禁止相关行为，并要求公司建立持续的合规报告、监督和记录保存机制。

5.美国联邦法院要求亚马逊支付225万美元并完善身份盗用交易记录披露机制

8月14日，美国联邦法院批准针对亚马逊（Amazon.com Inc.）的和解命令，解决其涉嫌违反《公平信用报告法》（Fair Credit Reporting Act，FCRA）的案件。该案由美国联邦贸易委员会调查后移交司法部。政府指控，部分身份盗用受害者要求亚马逊提供涉嫌冒用其身份进行交易的记录时，公司未能提供相关材料，或者未在法律规定的30日内提供。法院命令亚马逊支付225万美元民事罚款，并要求其在核实申请人的身份及身份盗用主张后，于30日内免费向受害者提供相关交易记录，同时在网站上公布身份盗用受害者申请记录的具体方式。

03国际合作动态

1.新加坡和澳大利亚发布加强人工智能与网络安全的合作公告

8月11日，澳大利亚工业、科学与资源部发布新加坡和澳大利亚关于加强人工智能与网络安全合作的公告。公告指出，基于两国人工智能合作谅解备忘录、网络安全合作谅解备忘录和全面战略伙伴关系承诺，双方开展首届澳新网络与数字高级官员对话，就网络与数字政策优先事项、加强国家人工智能生态系统、构建有韧性的数字基础设施和人工智能产业增长、推进双边网络合作、多边和区域发展与合作展开讨论。对话中，双方达成四项共识：一是加强新加坡与澳大利亚人工智能生态系统之间的联系；二是识别在人工智能应用、数字基础设施、投资、创新生态系统和海底电缆韧性方面合作的新机会；三是共享信息，协作开展人工智能安全、保障和治理，支持可信、负责的人工智能发展；四是加强网络安全合作和协调区域参与，以增强网络韧性和能力建设。

2.韩国与乌兹别克斯坦加强人工智能等领域合作

8月11日，韩国副总理兼财政经济部部长在首尔会见了乌兹别克斯坦副总理。会议期间，韩方强调，需进一步推动K-AI方案应用于乌兹别克斯坦的经济发展合作基金项目，整合行业特定AI解决方案，改善投资环境，提供激励措施，使韩国企业能够在乌兹别克斯坦找到更大的商业机会。乌方同意两国应继续扩大和深化双边经济合作，如人工智能数据中心和关键矿产领域。双方还同意加强人工智能、供应链、可再生能源、生物技术和先进基础设施等领域的前瞻性合作，旨在大幅扩大双边贸易，促进互利经济发展。

3.AI发展中国家论坛峰会在日内瓦举办

8月12日至14日，AI发展中国家论坛（AI for Developing Countries Forum, AIFOD）在瑞士日内瓦联合国日内瓦办事处万国宫大会厅举办。论坛以“小者引领未来（Small Takes the Lead）”为主题，聚焦全球南方国家在人工智能发展中的参与权、数字主权和技术公平问题。峰会认为，当前全球AI发展资源高度集中于少数科技企业和国家，发展中国家面临算力不足、数据价值流失、本土语言支持不足等挑战。论坛倡议通过开放模型、共享算力、本地数据治理和多语言AI发展，推动人工智能更加普惠。

4.ISO/IEC联合发布智慧城市数据利用顶层框架国际标准，我国专家担任项目负责人

8月16日，国际标准化组织（ISO）和国际电工委员会（IEC）联合发布国际标准《信息技术 智慧城市数据利用 第1部分：框架》（ISO/IEC 25005—1:2026）。该国际标准由我国专家担任项目负责人，联合韩国、加拿大、日本等11国专家共同制定完成，是我国在智慧城市国际标准化领域取得的又一项标志性成果。标准首次构建起智慧城市数据利用的统一框架，从数据可用、数据有用、数据易用、数据善用和数据赋能五大方面，系统界定了智慧城市数据利用的核心特征及内涵，为构建全球智慧城市数据利用共识提供了顶层框架。

5.美洲国家组织开展区域网络犯罪司法培训并讨论跨境电子证据合作

8月10日至12日，美洲国家组织（Organization of American States，OAS）与美国司法部、美国国务院国际麻醉品和执法事务局共同举办“美洲国家组织/美洲司法部长会议网络犯罪法官和司法官员培训研讨会”（OAS/REMJA Cybercrime Training Workshop for Judges and Magistrates of the Americas），来自美洲地区的40余名法官和司法官员参加。研讨内容包括人工智能生成证据真实性判断、数字证据保全及证据链、互联网服务商和云平台保存数据的调取、加密通信、数字货币追踪与扣押，以及跨境网络犯罪调查中的司法协助。会议还讨论《网络犯罪公约》（Convention on Cybercrime，Budapest Convention）等国际合作机制在取得境外电子证据中的适用，并比较大陆法系与普通法系对数字监控、平台数据请求、电子证据真实性及隐私权与犯罪调查之间关系的处理规则。

04研究动态

1.澳大利亚人工智能安全研究所发布《多智能体系统的风险与控制》

8月10日，澳大利亚人工智能安全研究所发布《多智能体系统的风险与控制》（Risks and controls for multi-agent systems）。报告主要展示了六项结论：其一，多智能体系统会引入超出单个智能体本身的故障模式，因为即使各个智能体本身都是安全的，它们组合在一起时也不一定能构成一个安全的系统；其二，归属、授权、监督以及评估都是相关的治理实践；其三，由多个组织参与的系统会加剧各种类型的故障情况；其四，对于在开放环境中运营的代理来说，无法假设存在交易对手关系；其五，标准、法规以及研究工作所涉及的范畴远远超出了单纯的技术应用层面；其六，对于负责代理部署的组织来说，他们所处的层级取决于部署决策，而非能力提升。

2.联合国发布《儿童、青年与信息完整性》议题简报

8月10日，联合国发布《议题简报3：儿童、青年与信息完整性》（Issue Brief 3: Children, Youth and Information Integrity），分析人工智能和数字平台的信息环境对儿童和青年的影响。文件将平台设计、算法推荐、生成式人工智能、广告以及个人数据驱动的内容分发纳入分析，讨论虚假和误导性信息、有害内容、商业化推荐及人工智能生成内容对未成年用户产生的风险。简报提出，应在数字服务和人工智能产品设计阶段纳入儿童权利与安全要求，提高平台和技术企业在推荐系统及内容治理方面的透明度，为儿童和青年提供安全的投诉、救济和参与渠道，并支持青年参与有关信息完整性和数字技术治理的政策制定。

3.国际电信联盟研究内容审核经验对人工智能监督机制的适用

8月10日，国际电信联盟（International Telecommunication Union，ITU）人工智能向善平台发布《内容审核能否为人工智能监督提供一种模式？》（Can Content Moderation Offer a Model for AI Oversight?），总结数字平台内容治理经验对人工智能监督制度的参考。文章提出，人工智能治理可以借鉴平台内容审核中形成的内部问责、风险和影响评估、利益相关方参与、公开透明及独立监督机制；企业应明确人工智能在内容治理中的具体用途，包括系统是仅向人工审核人员标记内容还是直接自动删除，并为自动化决定建立有效申诉和救济机制。文章还涉及合成私密影像、选举和危机期间虚假信息以及低资源语言内容审核等问题，并提出将企业内部治理、国际人权标准、技术标准、监管规则、透明度和人工复核结合起来。

本文内容转载自中国政法大学人工智能法研究院，本文章仅限学习交流使用，版权归原作者所有。

⚖️

Serving national strategies, focusing on university research and the transformation of scientific and technological achievements