新加坡金管局发布约束性 AI 指引,第三方供应商不能免除金融机构风险责任
新加坡金管局(MAS)于 2026 年 10 月 7 日发布《人工智能风险管理指引》(AIRG),将自愿性 FEAT 框架转为强制合规,明确使用第三方 AI 系统不减轻金融机构自身的风险责任。
新加坡金管局(MAS)于 2026 年 10 月 7 日发布《人工智能风险管理指引》(AIRG),将自愿性 FEAT 框架转为强制合规,明确使用第三方 AI 系统不减轻金融机构自身的风险责任。
挪威数据保护局对 Xandr 开出 9200 万挪威克朗罚单,称这是其迄今最高罚款,原因是 Xandr 在 2018 年 7 月至 2020 年 4 月间未经有效法律依据接收并转传 Grindr 用户数据,而 Grindr 用户身份属于 GDPR 第 9 条特殊类别数据。该局认定 Xandr 与 Grindr 为共同控制者,且未核实用户是否给出明确同意,Xandr 有三周时间上诉。
TC String 是 IAB Europe TCF 框架下记录用户数据同意选择的编码文本,只有注册 CMP 可用其 CMP ID 创建。自 TCF v2.3 起,核心串后必须附带 Disclosed Vendors 段,2026 年 3 月 1 日起创建的字符串须符合该规范,Google 届时将对不合规广告请求默认投放受限广告或直接丢弃。
巴西国家数据保护局(ANPD)发布人工智能与数据保护监管沙盒第二轮监测报告,参与者 Synapse AI 在满分 100 分的 UNESCO 框架中得 45 分,低于 50 分的继续测试门槛,仍获附条件继续参加。
形象权赋予个人控制其姓名、肖像、声音等身份特征商业使用的权利,在美国由各州法律分别界定。加州民法典第3344条与纽约民权法第50、51条构成主要诉讼依据,2020年已有35个州承认该权利。生成式 AI 让未经本人参与即可合成逼真声音或面孔,田纳西 ELVIS 法案、加州 AB 2602 与 AB 1836 相继将数字复刻纳入规制。
欧盟委员会执行副主席 Henna Virkkunen 表示,欧盟现有 AI 法规足以应对日益强大的 AI 系统风险。欧盟委员会 8 月下旬向 30 多家 AI 公司发出信息请求,要求说明安全与安保措施,后续问询涉及透明度和版权义务,违规企业最高可面临全球年营业额 7% 的罚款。由 60 名专家组成的科学小组建议也将纳入评估流程。
Coreper 是欧盟成员国常驻代表委员会,由各国大使在布鲁塞尔筹备欧盟理事会所有决策。它分 Coreper II 和 Coreper I 两种组成,实际敲定理事会约一半欧盟法律,包括管理欧洲广告 cookie、同意、定向和 AI 的规则。Coreper 大使曾于 2022 年 6 月 15 日批准《数字服务法》最终文本,并于 2024 年 2 月 2 日批准《AI 法案》妥协方案。
丹麦文化部长 Zenia Stampe 于 2026 年 10 月 8 日向议会提出法案 L 49,拟修订《著作权法》,禁止未经同意向公众提供对自然人外貌、声音或动作的逼真数字生成模仿,并规定由发布者承担已取得同意的举证责任。
全方同意是一项要求对话所有参与方均同意才能录制或截取内容的法律规则,存在于约十余个美国州的窃听与窃录法规中,多数制定于 1960 年代末至 1970 年代。加州隐私侵入法 CIPA 第 631 条、第 632 条是最常被援引的条款,第 637.2 条允许受害方就每次违规索赔 5000 美元或三倍实际损失,无需证明损害。
Avalara 在 CRUSH Europe 大会上发布 agent hub Avalara Aviator 与集成工具 Versori by Avalara,Aviator 当日正式可用,可将数天人工工作压缩为分钟级审核并保留可审计记录。
加泰罗尼亚数据保护局(APDCAT)发布 1.0.0 版桌面软件,引导机构对其 AI 系统完成基本权利影响评估,提供 Windows、macOS 和 Linux 版本并附 12 页用户手册。
英国政府确认采纳国家 AI 医疗监管委员会全部 44 项建议,MHRA 将于 2026 年 12 月前发布 AI 医疗器械变更管理指南草案,并于明年就资质认定与分类启动咨询。MHRA 同日开放 AI Airlock 第三期申请,聚焦上市后监测与全生命周期监管,本期获资助至 2029 年 4 月,首批入选者将于 2026 年 11 月确定。
马来西亚个人数据保护部门(JPDP)就《人工智能与个人数据保护框架》草案启动公开征求意见,截止日期为2026年10月23日。草案共10部分43条,适用于企业自建、外购或通过SaaS、云服务与API接入的AI系统,供应商尽职调查、跨境传输和撤回同意后的AI处理均有专门条款。
OpenAI 于 2026 年 10 月 5 日公布其依据欧盟 AI 法案推出的文本水印方案,面向全球 API 客户开放选择性启用水印,并将在未来数周内对欧盟地区的 ChatGPT 和 Codex 合规文本输出加入不可见水印,该设置默认关闭,暂不设为全球默认。
OpenAI 阐述了其在欧盟规则下推进文本水印的思路:说明水印在哪些场景适用、检测如何实现,并强调访问权限首先向研究人员开放。
CHEMTREC 发布全新 SDS 管理平台,面向制造商,集中管理安全数据表的访问、整理、维护与分发。平台提供集中访问、快速搜索、二维码与移动端能力、员工自助服务及 AI 辅助工具,并支持多场所使用。用户还可搜索 CHEMTREC 的 Master SDS Library,并将可用文件直接关联至公司库。
意大利数据保护机构认定 IQVIA Solutions Italy 的"匿名"患者数据库实际可重识别,对其处以 700 万欧元罚款。该机构指出,固定 22 位患者识别码会保留唯一性,因而无法构成匿名化;IQVIA 还涉及无法律依据处理健康数据、未告知患者、缺乏删除政策及未做影响评估等问题,并被要求 120 天内补正。
美国联邦贸易委员会 2026 年 9 月 30 日对 OpenAI、Anthropic 和 AI 安全评估机构 METR 启动正式消费者保护调查,并起草要求三家公司提交文件和高管证词的民事调查令。
美国参议员 Josh Hawley 与 Chris Murphy 于 2026 年 10 月 1 日提出两党法案《AI Agent Accountability Act》,将 1986 年《计算机欺诈与滥用法》CFAA 扩展至 AI 代理:部署或开发具备浏览、访问数据库或执行代码能力的 AI 代理的企业,若知情却未落实“合理防黑客保障”,高管可能承担刑事责任。
Kintsugi 宣布通过 BDO Alliance USA 商业资源网络的供应商营销计划,向该联盟客户及独立成员提供 AI 驱动的销售税、VAT 和 GST 合规服务。服务包括实时关联监控、多州税务自动计算及申报缴款,全程有人工复核,并提供免费实时风险敞口监控和 Kintsugi Portfolio 统一管理平台。
Anderson Process 采用 Avalara 的税务合规平台(含 Avalara AvaTax)后,税务相关行政工作减少逾 50%。该平台与其现有 ERP 系统集成,自动完成税额判定、豁免证书管理及申报缴纳,提升准确性并降低合规风险。Avalara 每年处理超 540 亿次 AvaTax API 调用,支持全球数百万家企业。
加州州长 Gavin Newsom 于 2026 年 9 月 30 日签署 Senate Bill 947(即《No Robo Bosses Act》),使加州成为美国首个要求职场 AI 决策须有人工监督的州。
法国国家频率管理局ANFR发文解读欧盟《网络韧性法案》(CRA)。自2027年12月11日起,所有投放欧盟市场的新数字产品,包括软件,都必须从设计阶段就纳入网络安全要求,CRA还要求漏洞管理、软件透明度、事件通告,并将网络安全纳入CE标志认证范围,覆盖智能手机、物联网设备、医疗传感器、照明及供电方案等广泛品类。
推荐理由:欧盟CRA把网络安全纳入CE标志,2027年底起智能硬件与软件新品都要合规,可作为卖家提前布局欧洲市场的参考。
MPS Limited 的人工智能管理体系(AIMS)通过 ISO/IEC 42001:2023 认证,由 DNV Business Assurance 依据荷兰认可委员会(RvA)认可完成多阶段审计,覆盖风险评估、人工监督、数据治理、透明度与问责。
欧盟理事会、欧洲议会与欧盟委员会在布鲁塞尔就《儿童性虐待法规》举行第六轮政治三方谈判,理事会力推授权当局对即时通讯服务“部分服务”进行扫描的“搜索计划”,可覆盖未知素材和“诱导儿童”内容。理事会法律服务机构2023年意见曾警告,此类扫描“极可能”被欧盟法院认定为“普遍且不加区分”的监控而违法。欧洲议会坚持仅限司法怀疑对象、排除客户端扫描。
谷歌搜索负责人 Nick Fox 在 9 月 25 日发布的 YouTube 访谈中称,为遵守欧盟 DMA 第 6(5) 条,谷歌在欧洲移除了实时航班价格、按日期搜索行程并削弱了部分反垃圾保护,是搜索史上最大退化。
欧盟委员会就技术(含人工智能)对版权保护的影响征集反馈,涵盖AI使用受版权保护内容、打击直播等在线盗版、音乐表演者与制作者单一公平报酬权适用、科研版权四方面。咨询面向版权权利人、生成式AI提供商、中介、集体管理组织、体育赛事组织者、研究机构等利益相关方,开放至2026年11月3日。
佛罗里达州总检察长 James Uthmeier 于 2026 年 9 月 28 日向佛州第十司法巡回法院提交临时禁令申请,请求在诉讼期间禁止 OpenAI 在缺乏独立第三方护栏和批准的情况下开发 AI 模型,并禁止在佛州向未成年人提供 ChatGPT。
欧盟 AI Office 是欧盟委员会执行 AI Act 的专责机构,负责监管通用 AI 模型提供者,可要求其提交文档、测试模型,并最高处以全球年营业额 3% 的罚款。
奥地利IAB与act legal Austria律所于2026年9月16日发布一份五页德语指南,解读欧盟AI法案第50条自2026年8月2日起适用的广告AI标识义务,指出实际操作AI工具的代理商通常是被视为部署者的责任方,付费品牌一般不承担义务。
生成式 AI 让深度伪造与注入攻击绕过第一代活体检测,推动身份验证从注册时的一次性勾选变为结合证件鉴伪、人脸比对、活体检测与设备会话数据的持续风险信号。欧盟反洗钱法规 AMLR 将于 2027 年 7 月 10 日在 27 个成员国直接适用,监管要求从“有无管控”转向“能否证明有效”。
德国科隆地区法院 2026 年 9 月 17 日就 33 O 120/24 案作出判决,禁止 Snap Group Limited 在无法律依据的情况下将 My AI 聊天机器人收集的个人数据用于广告,同时禁止以预勾选框获取广告同意,以及为未成年人账户默认勾选酒精和赌博广告主题。
推荐理由:科隆法院认定用聊天内容选广告即构成处理敏感数据,直接影响平台靠对话做定向的商业模式。
Privacy International 于 9 月 25 日向英国 DSIT 提交证据,认为五类 AI 处理风险过高应被禁止,其中包括情感分析,并指 AI 动摇了数据保护法赖以成立的前提。该组织称,数据保护法假设控制者清楚自己持有哪些个人数据,而 AI 在训练、处理和输出三个阶段都让这一假设失效。政府尚未修法,正在权衡发布指南、定向修补还是更根本的改革。
欧洲数据保护委员会 5 月 5 日致欧盟委员会一封七页意见信近日公开,就谷歌按《数字市场法》第 6(11) 条向竞对搜索引擎共享搜索数据前如何匿名化提出 33 条意见。
Centric Software 宣布面向品牌、零售商和制造商全球推出独立数字产品护照解决方案 Centric DPP。该方案连接企业现有 PLM、ERP 等系统中分散的产品数据,支持规模化创建、注册、发布和维护数字产品护照,并通过二维码、NFC 等数据载体访问。
Avalara 发布 Versori by Avalara,一款通过 Avalara 开发者门户提供的 agentic 集成工具,用四个核心 AI agent(Plan、Connect、Build、Deploy)完成集成全流程,可在数天内交付生产级连接器。
Avalara 在 CRUSH 客户与合作伙伴大会上发布 Avalara Aviator,这是一个面向税务与合规的智能代理中心,用户通过编排代理 Avi 以自然语言调度研究、证书、申报等领域的牵头代理。
爱尔兰数据保护委员会于2026年9月21日对谷歌爱尔兰有限公司罚款4.03亿欧元,并要求其在六个月内整改位置数据处理方式,处罚覆盖2018年5月25日至2020年2月4日期间。
推荐理由:爱尔兰对谷歌开出4.03亿欧元罚单,同时欧盟理事会文本拟放宽AI训练的合法利益基础,两条时间线叠出同一套数据规则的松紧差。
Comarch 在 IDC MarketScape 2026 全球兼容电子发票解决方案供应商评估中被评为领导者(文档编号 EUR154882626,2026年9月)。IDC MarketScape 报告面向大型跨国企业推荐 Comarch,其电子发票方案通过单一 ERP 集成支持在 70 多个市场自动化格式化、验证与路由,并可统一处理合规与商业文档交换。
Comarch 在 IDC MarketScape《2026 全球合规电子发票解决方案》评估中被评为领导者。其 Comarch E-Invoicing 通过一次 ERP 集成,帮助跨国企业按 70 多个市场的法规要求自动完成文档格式化、校验与传输。IDC 建议多国经营、使用多套 ERP 且文档量大的零售、FMCG、制造或物流企业考虑该方案。