「距 2027 年 1 月 1 日还有 106 天」：加州 CCPA 自动化决策技术（ADMT）规则全面适用（11 CCR §§ 7200、7220–7222）——五类「重大决定」、退出权与中资企业 AI 招聘、授信系统的改造清单

距 2027 年 1 月 1 日还有 106 天

加州隐私保护局（California Privacy Protection Agency，CPPA）关于自动化决策技术（Automated Decisionmaking Technology，ADMT）的规则，将于 2027 年 1 月 1 日对已经在使用此类技术的企业全面适用。从今天算起，还有 106 天。

规则本身并非新事。加州行政法办公室（Office of Administrative Law）已于 2025 年 9 月 23 日核准 CPPA 于同年 7 月 24 日提交的最终规则，自 2026 年 1 月 1 日生效，只是各项义务分阶段落地：风险评估义务自 2026 年 1 月 1 日起承担，ADMT 的告知、退出与访问机制以 2027 年 1 月 1 日为限，网络安全审计的首份认证按上一年度营业额分三档，分别于 2028 年、2029 年、2030 年 4 月 1 日前提交。

2027 年 1 月 1 日这个日期，只是对「此前已在使用」的系统而言的宽限终点。企业如果在该日之后才开始将 ADMT 用于重大决定，义务自使用之日起即发生，并无过渡期可言。

定义落在「人工参与」四个字上

规则将 ADMT 定义为「任何处理个人信息、并以计算替代或者实质性替代人工决策的技术」。所谓实质性替代，系指在无人工参与的情况下使用该技术的输出作出决定。

「人工参与」并非泛泛而言，11 CCR § 7001 对其载明三项要求：审核人知道如何解读并运用该技术的输出；审核并分析该输出以及其他相关信息，据以作出或者变更决定；且有权基于该分析作出或者变更该决定。三者缺一，人工审核即被认定为形式审核，该系统仍属 ADMT。

这一点在实务中的分量远超其字数。企业内部大量所谓「人工复核」的岗位，实际上只是点击确认模型输出，既无推翻权限，也未获得足以重新判断的材料。CPPA 的立场很明确：无人能够推翻模型结论的，就不存在有意义的人工参与。纯技术工具不受波及，网页托管、拼写检查、计算器、防病毒软件只要未替代决策，均不在规则射程之内。

五类「重大决定」

ADMT 义务并非对所有自动化处理一体适用，而是以「重大决定」（significant decision）为触发点，即导致下列事项获得或者被拒绝的决定：金融或者信贷服务；住房；教育入学或者教育机会；就业或者独立承包机会及报酬；医疗服务。

这份清单决定了合规工作的归属部门。它不落在隐私政策上，而落在人力资源、授信风控、招生录取、住房租赁与医疗服务的业务流程里。自动化的简历筛选、评分、排序、路由、标记与资格判定，只要其输出被当作决定而非参考，都可能落入其中。

三项义务：预先告知、退出、访问

其一，预先告知（11 CCR § 7220）。在为 ADMT 用途收集个人信息之前，或者将既有数据转用于该用途之前，企业须以显著方式提供告知，内容包括：使用 ADMT 的具体目的；退出权及其行使方式；访问权；该技术如何运作，即哪些类别的个人信息影响其输出、产生何种输出、该输出如何被用于作出决定；消费者退出后所适用的替代决策流程；以及不得因行使权利而实施报复的声明。该告知可以并入企业既有的 CCPA 收集时告知，多个 ADMT 用途亦可合并告知。

其二，退出权（§ 7221）。企业须提供至少两种提交退出请求的途径，其中一种应当反映企业与消费者互动的主要方式；途径须简便易用、步骤最少，且不得藏在通用 Cookie 横幅之后。例外情形有限：企业若提供由有权推翻决定的人工审核人主持的上诉程序，可以免于提供退出权；招聘、录取与工作分配的部分场景亦有豁免，但以该技术仅用于评估履职能力、经证明确能实现其既定用途且不构成非法歧视为前提。

其三，访问权（§ 7222）。企业回应访问请求时，须以通俗语言说明使用 ADMT 的具体目的、影响其输出的参数等逻辑信息、决定结果及该输出在决定中的作用，以及是否计划将该输出继续用于重大决定。商业秘密，以及披露后会危及安全、便利欺诈或者危及人身安全的信息，可以不予提供。

风险评估：另一条已经在跑的时间线

将 ADMT 用于重大决定，同时触发 11 CCR §§ 7150 以下的强制风险评估义务。该义务的其他触发情形还包括出售或者共享个人信息、处理敏感个人信息、以自动化方式推断智力、健康、经济状况、偏好、可靠性或者行踪等个人特征，以及为训练 ADMT、人脸识别、生物识别或者身份验证技术而处理个人信息。

风险评估须在启动相关处理活动之前完成，至少每三年复核更新一次，发生重大变更的应当尽快更新且不得迟于 45 个日历日，并在处理持续期间或者评估完成后五年内留存。2026 年与 2027 年完成的评估，须在 2028 年 4 月 1 日前向 CPPA 提交，提交人须为对合规负责的执行管理层成员。换言之，企业在 2026 年新上线或者扩展一项自动化决策用途的，评估应当在上线之前做完，而不是等到 2028 年的提交窗口再补。

规则另有一项容易被忽略的连带要求：企业须修订与服务商的协议，要求其协助完成网络安全审计、风险评估并配合履行 ADMT 义务。

加州已经在为「退出机制不好用」开罚单

2026 年 2 月 11 日，加州总检察长 Rob Bonta 宣布与 The Walt Disney Company 达成 275 万美元和解，为 CCPA 生效以来金额最高的一起。起因并非拒绝处理退出请求，而是退出机制未能贯通：用户在一处提交退出后，其在 Disney+、Hulu、ESPN+ 等服务与多台设备上的定向广告数据流并未随之停止。和解要求 Disney 实现账户级、跨服务、跨设备的一次性退出，在每一个流媒体应用内设置清晰的「Do Not Sell or Share」入口，并向用户回执退出处理结果。CPPA 自身在 2025 年 9 月亦以 135 万美元与 Tractor Supply 结案。

这两起案件针对的都是既有的出售／共享退出义务。ADMT 退出权在结构上更复杂，因为它背后必须有一条真实可用的替代决策路径。以现有执法节奏推断，2027 年上半年的检查重点，大概率是退出入口是否存在、点击之后是否真的改变了决策方式。

对中资企业的合规要点

第一，先做用例清单，而不是先改隐私政策。需要识别的是同时满足两个条件的系统：不具备 § 7001 意义上的人工参与，且其决定落入五类重大决定。跨境电商平台的卖家封号与结算冻结、人力系统的简历筛选与面试排序、消费金融与先买后付业务的授信评分、留学与教育服务的录取推荐，都可能落进来。这份清单即是合规边界，列不出来就无从判断工作量。

第二，把「退出之后怎么办」落到流程上。退出权不是一个链接。企业应当先行确定替代路径：由谁审核、审核哪些材料、多长时间出结果、如何升级，并将这些内容写入岗位职责。这条路径未定的，退出按钮上线之后也无法稳定运行。

第三，提前压力测试供应商能力。多数在美中资企业的 ADMT 并非自研，而是采购或者由集团总部统一部署。合同应当要求供应商提供预先告知所需的模型说明、可追溯到单次决定的记录、退出后抑制自动化决策的技术能力，以及可审计的上诉日志。供应商做不到的，合规负担将全部回落到企业自身，或者该用例本身需要重新设计。

第四，注意雇员数据的重叠。加州自 2023 年 1 月 1 日起已将雇员与求职者纳入 CCPA 保护范围。在美子公司的招聘与绩效系统由境内总部运营的，运营地并不改变义务归属，判断标准是决定所针对的对象是否为加州居民。

第五，与《个人信息保护法》的评估工作合并推进。《个人信息保护法》第二十四条对自动化决策的透明度、结果公平以及拒绝权已有规定，第五十五条要求就自动化决策事前开展个人信息保护影响评估。两套制度在事实描述、数据流梳理与风险识别上高度重合，可以共用一套底稿，但结论与保存、提交要求须分别满足。

格知律所如何协助

格知律师事务所的数据合规团队在这一领域的服务，基本按上述顺序展开：ADMT 用例盘点与「重大决定」射程判定，就适用性出具书面意见；按 11 CCR § 7220 起草预先告知文本，并嵌入企业既有的收集时告知与隐私政策；设计退出与人工上诉流程，包括替代决策路径的岗位分工、时限与记录留存标准；按 §§ 7150 以下完成风险评估报告，并准备 2028 年 4 月 1 日的提交材料；审阅并改写与模型供应商、人力资源系统服务商的数据处理协议；对同时受《个人信息保护法》约束的集团，出具中美两法并行的自动化决策治理方案。企业已收到 CPPA 或者加州总检察长问询函的，本所亦承办应询答复、整改方案与和解谈判。

结语

ADMT 规则的实质，并不在于新增了几项消费者权利，而在于它要求企业就每一个重大决定说清楚三件事：这套系统在做什么、为什么用它、以及决定如何被挑战。规则把责任明确留在企业一侧，而非模型供应商一侧。

106 天这个数字，对已经在使用自动化决策的企业而言并不宽裕。用例盘点通常需要两到三周，替代决策路径的设计与试运行需要一个季度，供应商合同的重新谈判往往更久。真正紧张的不是告知文本的起草，而是退出之后那条路径能否在 2027 年 1 月 1 日当天跑通。