科罗拉多 AI 法案 90 天剧变：xAI 联邦诉讼+DOJ 罕见介入+SB 189 重写法案——执法冻结至 2027 年元旦，中资 AI 部署者合规框架重构
引言：从"美国最严 AI 法"到"史上最快缩水"
2026 年 4 月初至 5 月中旬，仅 40 余天内，曾被誉为"美国首部综合性 AI 反算法歧视法"的 Colorado AI Act（SB 24-205，C.R.S. § 6-1-1701 等条款） 接连遭遇三重打击：xAI 4 月 9 日提起宪法诉讼、美国司法部 4 月 24 日"罕见介入"州级 AI 立法挑战、联邦地方法院 4 月 27 日由 Cyrus Y. Chung 治安法官签发暂停执法令；紧接着 5 月 7 日至 12 日，州议会两院迅速通过 SB 26-189（以下简称"SB 189"），整体重写 SB 24-205，由"风险管理 + 影响评估"模式转为"信息披露 + 透明度"模式，并将生效日推迟至 2027 年 1 月 1 日。Polis 州长发言人已公开表示将签署 SB 189。
本文逐条拆解 SB 24-205 已被砍掉的部分、SB 189 新增的强制披露义务、联邦宪法挑战的四项理由（含 DOJ 力主的"平等保护"论点），并就在美中资 AI 开发者与部署者立刻可执行的 5 项合规动作给出建议。
一、法规 / 案件背景
原 Colorado AI Act（SB 24-205）于 2024 年 5 月由 Polis 州长签署，原定 2026 年 2 月 1 日生效，要求 AI 开发者（developer）与部署者（deployer）就"高风险 AI 系统"（high-risk AI system）——即在就业、教育、金融、医疗、住房、保险、政府服务、法律服务、必需性服务等"重大决定"（consequential decision）中起实质作用的 AI——承担"算法歧视的合理注意义务"（duty of care to protect consumers from algorithmic discrimination）。
2025 年 8 月 28 日，Polis 签署 SB 25B-004，将生效日推迟到 2026 年 6 月 30 日，给立法机关额外时间修订。但延期之后，反对声未减反增。
2026 年关键时间线：
4 月 9 日——xAI Corp 在科罗拉多联邦地方法院起诉州司法部长 Phil Weiser，提出四项宪法挑战；
4 月 24 日——美国司法部（DOJ）申请介入诉讼，这是 DOJ 首次介入挑战一部州级 AI 法案的案件；同日 xAI 与 Weiser 提交联合动议，请求暂停执法至 SB 24-205 立法程序与初步禁令裁决完成；
4 月 27 日——治安法官 Cyrus Y. Chung 签发命令，州司法部长在初步禁令裁决后 14 天内不得启动任何执法行动；
5 月 7 日—12 日——州议会两院相继通过 SB 189，废除并重写 SB 24-205；
预期——Polis 即将签署，新法 2027 年 1 月 1 日生效，但执法须等总检察长完成规则制定（rulemaking）。
二、SB 189 砍掉了什么，又新增了什么
被删除（旧法核心义务）：
开发者、部署者对算法歧视的合理注意义务（duty of care）；强制 AI 风险管理项目（risk management program，原可对标 NIST AI RMF 1.0 或 ISO/IEC 42001）；年度 AI 影响评估（annual impact assessment，含数据集、用途、潜在歧视性输出、缓解措施等八项内容）；部署者就重大决定向消费者提供的"实质性原因解释"义务；消费者反对自动化决策（opt-out of profiling）的具体程序要求。
新增 / 保留（披露与透明）：
开发者须向部署者披露：AI 系统的预期用途（intended uses）、已知有害用途（known harmful uses）、训练数据类别（categories of training data）、评估方法与已识别风险；部署者须收到并落实开发者监管指引（developer-provided oversight instructions）；面向消费者的告知义务保留——在与"重大决定"相关的 AI 互动场景应当告知消费者；总检察长独家执法，无私人诉权（保留）；删除"实质动机抗辩"（substantial motivating factor defense）等高度争议条款。
三、联邦诉讼四项宪法争点
xAI 主张 SB 24-205 因下列四项理由违宪：
第一修正案——"被迫言论"（compelled speech），基于内容（content-based）强制披露训练数据与潜在偏见信息；
休眠商业条款（Dormant Commerce Clause）——对州外开发者实质性规制，构成跨州负担；
正当程序之模糊性（due process vagueness）——"算法歧视"、"高风险"、"实质性因素"等核心定义过于模糊；
平等保护（Equal Protection）——法案为"旨在促进多元化的 AI 系统"提供豁免，构成基于种族／受保护特征的不当分类。
DOJ 介入书状（4 月 24 日）将火力集中于平等保护：DOJ 援引最高法院 Students for Fair Admissions v. Harvard（2023）的"色盲宪法"立场，主张该豁免本质上是州政府强制要求私营 AI 开发者实施种族优待，构成违宪。这是 DOJ 首次在 AI 监管议题上对州法采取此种立场，预示着未来对加州、纽约市 AEDT 等"反偏见"条款的潜在联邦挑战。
四、对中资企业的合规要点
1. 暂停但不废弃 SB 24-205 风险评估底稿。 SB 189 仍要求开发者"披露评估方法与已识别风险"，前期投入的 RMP / 影响评估资料可直接转为披露文档的事实基础，不宜全部销毁。
2. 制定"用途披露表"（Use Disclosure Sheet）模板。 列明：预期用途、已知有害用途、训练数据来源类别（如公开网络数据、第三方持牌数据、合成数据、用户上传数据）、模型基础（基座模型与微调来源），便于在 B2B 销售合同附录中直接交付。
3. 训练数据分类台账。 SB 189 对 training data categories 的披露义务需对应到中资模型常见的三大来源：（a）跨境采集数据需与《数据安全法》《个人信息保护法》"出境申报"路径打通；（b）授权采购数据须留存上下游 DPA；（c）用户输入回流数据须明确二次训练的合法依据。
4. 部署者监管说明书（Oversight Instructions）。 中资 AI 厂商（含 SaaS 部署 LLM）需提前起草发给美国客户使用的"部署者监管指南"，载明：人类监督触发点、误判申诉路径、模型版本管理、漂移监控阈值——这类似 EU AI Act Art. 13/14 的 instructions for use，但更轻量。
5. 跨州统一合规视图。 即使 Colorado 暂停执法，加州 CCPA/CPRA ADMT 最终规则（2026 年生效）、纽约市 Local Law 144、德州 TRAIGA、伊利诺伊州 BIPA 等仍在推进；中资企业应建立"多州 AI 合规矩阵"，避免按单一州法做合规反而被其他州拉爆。
五、格知律所如何协助
格知律所（Getech Law Firm）数据合规与 AI 治理团队可就 SB 189 转型期为中资 AI 开发者及部署者提供：（一）AI 治理项目设计（AI Governance Program），覆盖科罗拉多 SB 189 披露义务、加州 CPPA ADMT 风险评估、NIST AI RMF 对标与 ISO/IEC 42001 内审；（二）披露文档与监管说明书起草，包括 Use Disclosure Sheet、Training Data Categories Schedule、Deployer Oversight Instructions 三件套模板的本土化与英中双语版本；（三）多州 AI 合规矩阵搭建，对 CO、CA、NYC、TX、IL、UT 等六大重点辖区义务做交叉映射，避免重复劳动与监管套利失败；（四）联邦宪法诉讼跟踪，及时通报 xAI v. Weiser 案进展、初步禁令裁决与可能的最高法院走向，调整合规节奏；（五）跨境 AI 部署评估，将中国《生成式人工智能服务管理暂行办法》、PIPL 跨境出境流程与美国州法 ADMT 义务做端到端对接，尤其针对训练数据出境与模型权重传递两个高敏感节点提供方案。
六、结语 / Outlook
科罗拉多 AI 法的剧变看似让中资 AI 企业松了一口气，实则带来更复杂的合规情景：联邦层面统一立法仍遥遥无期，州法碎片化和"政治化"（DOJ 介入是显著信号）程度上升，未来 12 个月内加州 ADMT、纽约市 AEDT、德州 TRAIGA、犹他州 SB 149 都将逐步进入执法窗口。中资 AI 开发者与部署者若以"科罗拉多被叫停 = 美国不监管"的心态推迟内部 AI 治理建设，将在加州 CPPA 第一波 ADMT 风险评估检查（预期 2026 年底至 2027 年初）中陷入被动。
真正的合规起点在于现在就完成三件事：（1）一份足够细的"用途 + 训练数据"披露表；（2）一份发给美方客户的部署者监管说明书；（3）一张可视化的多州 AI 合规矩阵。SB 24-205 留下的合规底稿是中资企业的资产，不应在监管退潮中被一并冲走。