「算法说了不，30 天内必须告诉他为什么」：科罗拉多 SB 26-189《自动化决策技术法》（C.R.S. § 6-1-1701 及以下，2027年1月1日施行）与总检察长 9 月 23 日修订草案——不利结果告知、有意义人工复核与中资企业的 ADMT 清点

科罗拉多州总检察长办公室已于 2026 年 8 月 11 日向州务卿提交《自动化决策技术与对话式人工智能服务规则》草案，同时公布了听证通知与规则依据说明（statement of basis, authority, and purpose）。按该办公室在 coag.gov/ai 上公布的时间表，2026 年 9 月 4 日前收到的书面意见将纳入修订稿，修订稿最迟于 9 月 23 日流转；10 月 26 日举行正式立法听证，意见征集在当日 23:59（山地时间）截止。规则的母法 SB 26-189 与 HB 26-1263 均自 2027 年 1 月 1 日起施行，总检察长也必须在同一日前完成规则制定。距该日仅余一百零二天，而修订稿本周即将出台，届时的文本大概率就是企业最终要对照执行的版本。

从 SB 24-205 到 SB 26-189：两年之内的整体转向

2024 年 5 月 17 日，波利斯州长签署 SB 24-205，即《科罗拉多人工智能法》（Colorado Artificial Intelligence Act, CAIA），成为全美第一部综合性 AI 立法。该法围绕「高风险人工智能系统」构建，要求开发者与部署者承担合理注意义务以防止算法歧视，并须开展风险评估、影响评估、年度复核，以及向总检察长报告。签署后该法随即遭到两头夹击：本州企业界认为义务过宽、抑制创新，消费者团体则认为保护力度不足。该法还被诉至法院，美国司法部介入该案，主张其违反宪法第十四修正案的平等保护条款。

波利斯州长为此召集科罗拉多人工智能政策工作组。工作组于 2026 年 3 月 17 日提交新框架，州议会随后提出 SB 26-189，文本与工作组建议高度一致。2026 年 5 月 14 日签署后，CAIA 被整体废止并重新制定，编入《科罗拉多修订法典》第 6 编第 1 章第 17 部分（C.R.S. § 6-1-1701 及以下）。原先的注意义务、风险管理方案、影响评估与歧视报告义务一并取消，代之以围绕告知与留档展开的透明度框架。

什么算「受规制的 ADMT」：三道门要同时过

其一，何为「自动化决策技术」。该法将其定义为处理个人数据并通过计算生成输出的技术，输出形式包括预测、推荐、分类、排序、评分，或其他用于作出、引导、协助有关某一个人的决定、判断或裁量的信息。反恶意软件、计算器等被明文排除。定义并未要求系统使用机器学习，传统的规则型评分模型同样落入其中。

其二，输出须「实质影响」（materially influence）某项重大决定。法条要求 ADMT 输出既是作出该重大决定时的非微小因素，又通过约束、排序、评分、推荐、分类或其他方式实质改变了该决定的作出过程。这一限定词表面上收窄了范围，实际的定义却相当宽泛。总检察长获得授权（但并非必须）以规则澄清其含义，包括设定推定、示例与客观指标。

其三，该决定须属「重大决定」（consequential decision），即涉及消费者在教育、就业、不动产、金融与信贷服务、保险、医疗健康、基本政府服务与公共福利这七个领域内的获取、资格或报酬。因差别定价而实质限制或延迟消费者进入上述领域的决定，同样计入。客服分流、工作流管理等低风险常规业务流程被明确排除。

「消费者」一词的外延，中资雇主尤其需要核对。SB 26-189 以《科罗拉多隐私法》的定义为基础，把身为科州居民的雇员与求职者一并纳入，还涵盖任何由在科州经营的主体就其在科州的获取、资格或机会作出重大决定的个人。简历筛选工具、绩效排序系统与晋升推荐模型因此直接落入适用范围。

开发者的披露义务

开发者的义务集中在向部署者披露。当开发者制作的受规制 ADMT 被营销、宣传、配置或约定用于作出重大决定，或者开发者知悉该技术正被按既定用途用于重大决定时，须向部署者提供：预期用途与已知有害或不当用途的概括说明；训练该 ADMT 所使用的数据类别（含个人数据）的描述，以知悉范围为限；已知的局限，包括已知风险与不应使用的情形；供部署者正确使用、监测并开展有意义人工复核的指引；以及部署者履行自身义务所合理必需的信息，若有信息保留不予提供，须一并告知。发生重大更新、有意且实质的修改，或预期用途、局限、风险缓释措施变更的，开发者应在合理期间内通知部署者。

部署者的两次告知

使用前告知。在以 ADMT 实质影响某项重大决定之前，部署者须清晰显著地告知消费者这一情形，并说明获取进一步信息的途径。在消费者接触点维持一份显著且易于访问的公开声明即可满足要求，例如在可能作出重大决定的交互位置附近设置链接或张贴。

不利结果告知。受规制 ADMT 实质影响的重大决定对消费者产生不利结果的，部署者须在 30 日内以通俗语言说明该决定以及 ADMT 在其中的作用，告知索取该 ADMT 及其输入项进一步信息的方式，并说明消费者享有的相关权利。「不利结果」的定义有二：其一，拒绝、终止、撤销，或实质减损、限制消费者获得某项机会或服务的资格、准入、录用、报酬或提供；其二，作出与同类消费者相比实质更为不利的差别价格、成本、报酬或其他重要条件，且该条件合理可能实质限制、延迟、实际剥夺或根本改变其获取。法案并且明确，决定结果若施加了实质更不利的差别定价或条件，即构成对价格、成本分担、报酬或重要条件的实质影响。

消费者权利与「有意义人工复核」

出现不利结果后，消费者可以要求部署者提供两项内容：索取该重大决定所用个人数据、并更正其中事实性或实质性不准确之处的指引；以及一次商业上合理的「有意义人工复核」与重新考虑的机会。该法对「有意义人工复核」的界定相当具体。复核人须由部署者指定，有权批准、修改或推翻该重大决定，须审阅相关的可得原始证据，须受过复核培训，不得径行采信系统输出，且须掌握足以理解输出的预期用途、重大局限、输入类别，以及生成该输出所依据主要因素的信息，但不要求披露专有源代码、模型权重或其他商业秘密。

与加州 CCPA 的 ADMT 规则不同，科州并未赋予消费者退出 ADMT 的权利。

执法、责任分配与三年留档

执法权集中于州总检察长，法案不设私人诉权。违反 SB 26-189 依《科罗拉多消费者保护法》处理，视为欺骗性交易行为，可依 C.R.S. § 6-1-112 处以每次违法最高 2 万美元的民事罚款，针对老年人实施的违法行为上限为 5 万美元，且每一消费者、每一笔交易各自构成一次违法。总检察长提起诉讼前须给予 60 日通知与补正机会，明知违法或反复违法者除外。

责任分配上，SB 26-189 在民事歧视诉讼中按过错比例在开发者与部署者之间分摊责任。开发者仅在 ADMT 系按其预期、记载、营销、宣传、配置或约定的方式使用，且该 ADMT 实质影响了引发违法的那项重大决定的范围内承担责任；部署者则对自身的独立决定负责，包括以开发者未曾预期或未经授权的方式使用 AI。除现行法另有允许外不适用连带责任，责任转嫁条款原则上因违反公共政策而无效。

留档义务是 CAIA 中所没有的。开发者与部署者均须保存证明合规的记录与文档至少三年，包括 ADMT 版本标识、变更日志以及重大更新的记录。

受其他法律约束的部分主体，在遵守该等义务的范围内可获豁免，包括部分 HIPAA 涵盖实体、科州保险人、部分 FDA 监管实体、债权人与学校。

同日施行的 HB 26-1263《聊天机器人安全法》

与 SB 26-189 同日施行的还有 HB 26-1263《聊天机器人安全法》，该法于 2026 年 7 月 1 日签署，同样编入第 17 部分。对话式 AI 服务的运营者须估算用户年龄，须告知用户正在与 AI 而非真人交互，须防止未成年用户接触色情内容与形成模拟性情感依赖，须为未成年用户提供隐私与账户管理工具，须建立自杀与自伤应对协议，并且不得将聊天机器人输出表述为等同于持照专业人士的服务。运营者还须向总检察长办公室提交年度报告，而法条对报告内容只写到「总检察长认定的、为判断已实施防护措施或检测、移除、响应协议之有效性与可靠性所必需的其他指标」。该法本身并未要求立规，总检察长仍主动将其纳入本次规则制定，原因正在于此。

对中资企业的合规要点

其一，先做 ADMT 清点。把所有处理个人数据并生成评分、排序、推荐或分类的系统列入台账，逐项标注其输出是否进入七个重大决定领域，是否构成非微小因素。招聘筛选、信用评估、保险核保、租户审核、动态定价这五类系统最容易被漏掉。清点范围应覆盖第三方 SaaS 工具，部署者的义务并不因技术来自供应商而转移。

其二，向供应商索取开发者披露文件。合同应载明供应商须提供预期用途说明、训练数据类别、已知局限与人工复核指引，并在重大更新时通知。现有合同中的责任转嫁条款需要重新审阅，科州已将该类条款认定为原则上无效。

其三，搭建两套告知模板。使用前告知可以并入现有隐私政策与招聘页面，工作量不大；30 日不利结果告知则需要与拒信流程、拒贷流程、核保拒保流程打通，由业务系统自动触发，仅靠人工排期难以在期限内完成。

其四，指定并培训人工复核人。法条对复核人的授权、培训与信息可得性均有具体要求，不能由原决策人兼任走过场。复核记录应纳入三年留档。

其五，把科州要求与加州 CCPA 的 ADMT 规则、中国《个人信息保护法》第 24 条的自动化决策条款一并设计。三者在「说明」与「人工介入」上的要求方向一致，重复建设并无必要，但触发条件与期限各不相同，模板须能按辖区分流。

格知律所如何协助

格知律师事务所的数据合规团队可就上述工作提供全流程支持：开展 ADMT 系统清点与「实质影响」判定，出具落入受规制范围与否的书面评估；审阅并重谈与 AI 供应商之间的数据处理协议及责任分配条款，补足开发者披露要求；起草使用前告知与 30 日不利结果告知的中英文模板，配合 HR 与风控部门嵌入既有决策流程；设计人工复核的岗位职责、培训材料与三年期留档机制；就 HB 26-1263 项下的年龄估算、未成年人保护与年度报告义务，为面向消费者的 AI 产品提供专项审查。对已在加州、得州、犹他州等地设有主体的客户，我们亦可将科州要求与各州 ADMT 规则、中国《个人信息保护法》的自动化决策条款统一映射为一套治理清单，避免逐州重复建设。企业如拟就修订稿提交意见，10 月 26 日前仍有窗口。

结语

科罗拉多这两年的反复，说明美国州级 AI 立法远未定型。CAIA 那套以风险评估与影响评估为中心的欧盟式框架，在本州只存续了两年便被废止，取而代之的是以告知和留档为中心的轻量方案。欧盟方面同样在退，2026 年 5 月 7 日欧盟立法机构已就修订《人工智能法》达成政治共识。对中资企业而言，眼下可以确定的有几件事：告知义务和人工复核会长期存在，留档要求只会越来越细，而州总检察长手中的《消费者保护法》欺骗性交易条款，是不依赖任何 AI 专门立法也能启动的执法工具。9 月 23 日的修订稿出来之后，文本离最终版本已经很近；现在开始清点系统，时间还够。