「139 天，罚则按人头计」：科罗拉多总检察长 8月11日提交 ADMT 规则草案（SB 26-189，2027年1月1日生效）——「转移责任的赔偿条款一律无效」如何击穿中资企业的供应商合同防线
距 2027 年 1 月 1 日只剩 139 天。2026 年 8 月 11 日，科罗拉多州总检察长办公室（Colorado Department of Law）向州务卿正式提交了《自动化决策技术与对话式人工智能服务规则》草案（下称"ADMT 规则草案"），连同规则制定通知与依据、权限及目的说明书一并公告，并即日启动正式公众评议程序。评议窗口为 2026 年 8 月 11 日至 10 月 26 日；若希望自己的意见被纳入听证会前的修订稿，必须在 10 月 5 日前提交。正式规则制定听证会定于 2026 年 10 月 26 日举行。
这套规则要落地的，是 2026 年 5 月 14 日由波利斯州长签署的参议院第 26-189 号法案（SB 26-189，2026 年会期法第 131 章），即《自动化决策技术法》（Automated Decision-Making Technology Act，ADMTA）。该法自 2027 年 1 月 1 日起施行——前提是总检察长在该日前完成规则制定。对任何在教育、就业、住房、金融借贷、保险、医疗或政府服务领域使用算法工具的中资在美实体而言，这是一条必须在今年内闭环的合规线。
一、从 CAIA 到 ADMTA：一部法律的两次重写
2024 年 5 月，科罗拉多以 SB 24-205 成为全美第一个通过综合性人工智能法的州，即《科罗拉多人工智能法》（CAIA），编入《科罗拉多修订法典》第 6-1-1701 条及以下。CAIA 对"高风险"AI 系统的开发者和部署者同时施加了防止算法歧视的合理注意义务，并要求建立风险管理程序、开展影响评估。这套接近欧盟路径的框架旋即遭到产业界质疑。
2025 年 8 月，CAIA 生效日先从 2026 年 2 月 1 日推迟至 6 月 30 日。2026 年 4 月 9 日，xAI 在科罗拉多联邦地区法院起诉总检察长 Phil Weiser，主张 CAIA 违宪；同月，美国司法部新设的"AI 诉讼工作组"申请介入——这是联邦司法部首次加入对州级 AI 立法的挑战。4 月 27 日，法院应双方共同申请中止执行。5 月 14 日，SB 26-189 签署，直接废止并重新制定了 CAIA 全部条文。
ADMTA 的框架明显收窄：删去了强制风险管理程序、影响评估、合理注意义务与大部分消费者告知义务，把监管重心整体挪到"不利结果发生后的透明与解释"。此外，州议会 2026 年 5 月通过、州长于 7 月 1 日签署的《聊天机器人安全法》（HB 26-1263）同样于 2027 年 1 月 1 日生效，对对话式 AI 服务提出年龄估算、AI 身份披露、未成年人保护、自杀与自伤响应协议以及向总检察长年度报告等要求。本次规则草案是两法合并制定的。
二、谁被管住：三层"套娃"定义
ADMTA 的适用范围由三个环环相扣的定义决定，中资企业务必逐层比对，不要停在第一层就下结论。
第一层，ADMT。指处理个人数据并通过计算生成输出（预测、推荐、分类、排名、评分或其他信息）以作出、指引或辅助针对个人的决定的技术。该定义明确排除数据库、反恶意软件与垃圾邮件过滤技术，以及仅用于整理或呈现信息供人工审阅、行政处理的工具。值得注意的是，聊天机器人本身被排除在 ADMT 之外——条件是它未被呈现或意图用于重要决定，且受一份禁止将生成内容用于重要决定的可接受使用政策约束。这句话实际上把一份合同文件变成了法定豁免要件。
第二层，受管辖 ADMT（Covered ADMT）。指被用于"实质影响"重要决定的 ADMT，即该输出属于决策中的非微量因素（non-de minimis factor）且实际影响了结果，包括通过约束、排名、评分、推荐、分类或以其他方式实质改变决策过程。"人工最终拍板"并不当然使系统脱离监管——只要算法输出对结果有实质影响即可。
第三层，重要决定（consequential decision）。指关于消费者在"受管辖领域"的获取、资格、录用或报酬的决定，或以合理可能实质限制、延迟或根本改变其获取资格的方式确定的差别化价格、费用分担与其他重要条款。受管辖领域包括：教育、就业、住宅房地产、金融与借贷服务、保险、医疗服务、基本政府服务。
该定义同时列出九类排除情形：低风险或常规决定与业务流程；广告、营销、搜索与内容审核；需人工分析且不使用机器学习、基础模型或大语言模型的电子表格；用于摘要或整理信息供人工审阅的工具；不作出预测或推断的狭窄程序性任务；网络安全、垃圾邮件过滤与反洗钱/反恐怖融资控制；经济制裁合规技术；反欺诈技术；常规学务管理与学生支持。
但范围变化是双向的：虽然新增了上述豁免，触发门槛实际降低了——受管辖技术只需与消费者权利"相关"（relates to），而不再需要对其产生"重大法律或类似重大影响"。
三、两张清单：开发者与部署者
开发者义务。当开发者的受管辖 ADMT 被意图、记载、营销、宣传、配置或约定用于作出重要决定，或开发者知悉其产品正被按预期用途用于重要决定时，自 2027 年 1 月 1 日起须向每一部署者提供：（1）说明预期用途及已知有害或不当用途的一般性声明；（2）用于训练该 ADMT 的数据类别（含个人数据）说明；（3）已知局限，包括已知风险与不应使用的情形；（4）关于适当使用、监控与有意义人工审查的操作指引；（5）部署者履行自身义务所必需的信息。开发者还须披露任何重大更新、修改或变更；可以采用公开发布的方式，但须直接通知每一部署者。
部署者义务。其一，在将受管辖 ADMT 用于重要决定之前，须向受影响消费者提供"清晰且显著"（clear and conspicuous）的告知，说明正在使用该技术并给出获取更多信息的途径；显著的公开告示可以满足要求，但须在消费者交互节点可及，并在交互处附近设置链接或张贴。其二，若使用受管辖 ADMT 导致消费者遭遇不利结果，须在 30 日内发出告知，内容包含：该重要决定与 ADMT 在其中所起作用的通俗语言描述；索取该 ADMT 及其输入项进一步信息的操作指引；消费者权利及行使方式的说明。8 月 11 日的规则草案在此基础上进一步要求：该书面披露须通过至少两种通信方式送达。
消费者权利。遭遇不利结果的消费者可要求，且部署者必须提供：（1）索取个人数据、更正决定所用不准确信息的操作指引；（2）在商业上合理的范围内，获得有意义的人工审查与重新考量的机会。
记录保存。开发者与部署者均须保存证明合规的记录至少三年，开发者一侧包括系统版本、变更日志与重大更新文档。
四、被低估的一条：免责与赔偿条款一律无效
ADMTA 未创设新的私人诉权，但它改写了既有反歧视诉讼中的责任分配规则：开发者与部署者可因受管辖 ADMT 实质影响的重要决定，在州反歧视法下承担责任；该责任不是连带责任，而是按相对过错在开发者与部署者之间分摊。开发者对其 ADMT 按预期用途、营销方式或配置使用所生损害负责；部署者对其独立作为或不作为负责，包括以非预期方式使用。
关键在于最后一句：为维持这一责任结构，该法明文规定，任何将责任从开发者或部署者身上转移出去的赔偿（indemnification）条款，因违反公共政策而无效。这意味着中资企业在美国采购 AI 招聘筛选、信贷评分、保险核保等 SaaS 服务时，主协议里那条"供应商全额赔偿"的兜底条款，在科罗拉多的算法歧视案件中不产生效力。企业无法用合同把风险外包出去，只能靠自身的选型尽调、使用方式与人工审查记录来降低相对过错份额。
五、执法与罚则
ADMTA 由科罗拉多总检察长独家执法，路径是《科罗拉多消费者保护法》（CCPA，第 6-1 条）：违反 ADMTA 即构成欺骗性交易行为。依《科罗拉多修订法典》第 6-1-112 条，欺骗性交易行为的民事罚款上限为每次违法 20,000 美元，且明确规定"就每一名消费者或每一笔交易构成一次单独违法"——罚则按人头累计，无总额上限；若受害人为老年人，上限升至 50,000 美元。
缓冲机制是有的，但有期限。在 2030 年 1 月 1 日之前提起诉讼的，总检察长须先发出违法通知并给予 60 日整改期（以整改被认为可行为限）；若在执法过程中发现违法，法院可将 60 日内完成整改作为量罚的减轻情节。但明知的或重复的违法不享有整改权。自 2028 年 1 月起，总检察长须每年就执法行动与整改期的适用情况发布报告。整改权于 2030 年 1 月 1 日日落。
六、对中资企业的合规要点
第一，先做一次算法台账，而不是先做政策。把所有处理个人数据并生成预测、评分、排名、分类的工具逐一登记，标注：是否用于七个受管辖领域之一；输出在决策中是否属于非微量因素；是否落入九类排除情形。此前判断自己不属于 CAIA "高风险 AI 系统"的企业，必须重做这道题——ADMTA 的入口门槛更低，判断结论很可能已经改变。
第二，把"聊天机器人豁免"落到纸面。若企业依赖客服或销售机器人不构成 ADMT 的结论，须确保：该机器人未被呈现或意图用于重要决定；且已有一份书面的可接受使用政策，明确禁止将其生成内容用于重要决定。没有这份政策，豁免不成立。
第三，重做供应商合同评估，不要依赖赔偿条款。向每一 AI 供应商索取 ADMTA 第（1）至（5）项技术文档；在合同中约定重大更新的直接通知义务与响应时限；同时清醒认识到，转移责任的赔偿条款在科罗拉多算法歧视案件中无效——真正的抗辩资产是选型尽调记录、使用方式文档与人工审查证据。
第四，建立 30 日不利结果告知流水线，并按"两种通信方式"设计。这不是一份模板，而是一条流程：不利结果触发点识别 → 通俗语言的决定与 ADMT 作用描述 → 信息索取与更正指引 → 人工复核受理。规则草案要求至少两种送达方式（例如电邮加站内信、或电邮加纸质函件），系统须能留痕。
第五，把三年留存写进 IT 策略。模型版本、变更日志、告知发送记录、人工复核记录、数据更正请求处理记录——全部按三年设计保留期。执法时，无法证明合规与实际违规的后果是相同的。
第六，用足评议窗口。10 月 5 日与 10 月 26 日是两个真实的、可以影响最终规则文本的节点。对"非微量因素"边界、"两种通信方式"的具体形态、跨州统一披露格式等问题有实操顾虑的企业，此刻提交书面意见的成本，远低于 2027 年后逐案争辩的成本。
七、格知律所如何协助
格知律师事务所在美国数据合规与人工智能治理方面为中资企业提供全链条服务。就本文议题，我们可以承接：算法台账与受管辖 ADMT 识别（逐系统比对三层定义与九类排除，出具可用于执法应答的书面判断备忘）；供应商技术文档审查与 DPA/AI 附录谈判（对照 ADMTA 五项文档要求逐条核验，重构因免责条款无效而失效的风险分配安排）；不利结果告知模板与 30 日流水线设计（含通俗语言描述范式、双通道送达与留痕方案）；有意义人工审查程序搭建（审查人资质、独立性与记录标准）；三年合规记录体系与执法应答预案；聊天机器人可接受使用政策起草与《聊天机器人安全法》下的年龄估算、未成年人保护与年度报告准备；以及规则制定评议意见的撰写与提交。对同时受加州 CCPA/CPRA 自动化决策技术规则、纽约市 Local Law 144 与欧盟《人工智能法》约束的企业，我们可以做一次跨法域义务映射，避免多套并行体系造成重复投入与相互矛盾的披露口径。
八、结语
科罗拉多这轮立法反复的表面故事是"从欧盟模式后撤"，但对企业而言，真正改变的不是义务的多少，而是义务的可执行性：风险管理程序与影响评估是内部文件，监管者很难逐份核查；而"是否在 30 日内、通过两种方式、以通俗语言告知了消费者"是一个二值问题，一封投诉信就能验证，一次执法调取就能落实——罚则还按人头计算。
更值得中资企业注意的是与《个人信息保护法》第 24 条的结构相似性：自动化决策的透明度、拒绝权与说明义务，在中美两地已经从原则走向具体程序。差别在于，科罗拉多把说明义务压缩成了一个 30 日的硬时限，并用消费者保护法的罚则为其背书。距 2027 年 1 月 1 日还有 139 天，距可以影响规则文本的评议截止还有 51 天。两个数字都在缩短。
本文仅供一般参考，不构成针对具体事项的法律意见。如需就贵司的自动化决策系统开展 ADMTA 合规评估，欢迎联系格知律师事务所：info@getechlaw.com ｜ +1-312-888-6633 ｜ 203 N LaSalle St, Ste 2100, Chicago, IL 60601。