Colorado 强制 AI 决策披露、Connecticut AI Profiling 08-01 生效、加州 120 天供应商认证——三州正把 AI 合规从趋势推进到作业单。
欧盟委员会2026年4月15日宣布 EU Age Verification App 完成技术开发进入推广，基于零知识证明让用户不披露出生日期即可证明年满18岁。但开源当天安全顾问 Paul Moore 称两分钟内破解，本地存储未加密、生物识别可被逻辑绕过。
2026年2月起，Lenovo、Temu（PDD）、Google 相继在美国卷入涉华数据传输诉讼。私人原告与州检察机关借助州隐私法、消费者保护法与 ECPA，将 EO 14117 的国家安全议题转化为可主张高额赔偿的民事与州级责任，形成对跨境数据合规的多维围剿。
巴西ANPD认定TikTok在游客浏览和账户注册中违法处理未成年人数据，对ByteDance罚款1.537亿雷亚尔（约2.01亿元人民币），并要求补正或删除部分未成年用户数据。
荷兰数据保护局因Uber自动停用司机账号处以近8.25亿欧元罚款。本文将简要梳理案件事实、AP公布的处罚理由，并分析高影响自动化决定中有效人工复核的判断标准。
Google近日请求法院驳回记者和配音演员依据BIPA提起的AI声纹诉讼。本文结合双方在驳回阶段的争议及相关判例，分析公开录音进入模型训练后构成声纹收集所需的事实联系。
Anthropic近日公布Claude生成内容的文本水印和C2PA来源元数据安排。本文结合欧盟《AI生成内容透明度实践准则》，分析标记、检测、产品覆盖和下游责任等实施要求。
FTC与加利福尼亚州、犹他州相关机构起诉Hims & Hers。本文根据起诉状分析其隐私承诺、客户名单共享、Pixel与Conversions API追踪，以及FTC依据Section 5提出的两项隐私指控。
自2026年8月1日起，加州数据经纪商须开始处理DROP统一删除请求。DROP与CCPA删除权并行适用，并增加持续处理义务。
巴西ANPD认定TikTok在游客浏览和账户注册中违法处理未成年人数据，对ByteDance罚款1.537亿雷亚尔（约2.01亿元人民币），并要求补正或删除部分未成年用户数据。
荷兰数据保护局因Uber自动停用司机账号处以近8.25亿欧元罚款。本文将简要梳理案件事实、AP公布的处罚理由，并分析高影响自动化决定中有效人工复核的判断标准。
2026年2月11日，加州总检察长依 CCPA 对迪士尼流媒体开出创纪录的275万美元罚单，指其数据出售/共享退出机制存在三项技术缺陷：退出仅限当前设备与服务、网页退出未阻断第三方追踪像素、GPC 信号仅在单一设备生效。洛杉矶高等法院录入永久禁令。
Google近日请求法院驳回记者和配音演员依据BIPA提起的AI声纹诉讼。本文结合双方在驳回阶段的争议及相关判例，分析公开录音进入模型训练后构成声纹收集所需的事实联系。
Anthropic近日公布Claude生成内容的文本水印和C2PA来源元数据安排。本文结合欧盟《AI生成内容透明度实践准则》，分析标记、检测、产品覆盖和下游责任等实施要求。
欧盟委员会于2026年7月20日发布AI Act Article 50实施指南。相关透明度义务将于8月2日起适用，涉及人机交互、合成内容、情绪识别与生物特征分类、深度伪造及公共利益文本。
FTC与加利福尼亚州、犹他州相关机构起诉Hims & Hers。本文根据起诉状分析其隐私承诺、客户名单共享、Pixel与Conversions API追踪，以及FTC依据Section 5提出的两项隐私指控。
自2026年8月1日起，加州数据经纪商须开始处理DROP统一删除请求。DROP与CCPA删除权并行适用，并增加持续处理义务。
2026年3月30日，FTC 就 Match Group 及子公司 Humor Rainbow（OkCupid）向德州北区联邦法院提起诉讼，指控其隐私政策虚假陈述——将约300万用户照片及人口统计、地理位置信息提供给创始人投资、无业务往来的 Clarifai，违反15 U.S.C. § 45(a)。
H.R. 7757已获美国众议院通过并转交参议院委员会，但尚未成为法律。本文梳理其对平台默认设置、年龄核验、联网游戏、AI聊天机器人及COPPA 2.0的主要要求。
欧盟委员会2026年4月15日宣布 EU Age Verification App 完成技术开发进入推广，基于零知识证明让用户不披露出生日期即可证明年满18岁。但开源当天安全顾问 Paul Moore 称两分钟内破解，本地存储未加密、生物识别可被逻辑绕过。
2025年9月至2026年1月，FTC 对面向儿童与陪伴型 AI 产品密集执法。深圳玩具商 Apitor 因集成的极光 JPush SDK 未经家长同意收集儿童位置被罚50万美元；FTC 同时依第6(b)条对七大 AI 公司启动陪伴型聊天调查。运营者须对第三方代码承担严格责任。
EO 14117 实施细则生效一周年，DOJ 国家安全司尚未公开重大执法，但两条路径已在收紧：FinCEN 2026年4月1日发布举报人激励拟议规则，把违反数据安全计划列入 TCR 举报表、最高分成30%制裁金；私人原告与州检察长在集体诉讼中援引 EO 14117。
2026年2月起，Lenovo、Temu（PDD）、Google 相继在美国卷入涉华数据传输诉讼。私人原告与州检察机关借助州隐私法、消费者保护法与 ECPA，将 EO 14117 的国家安全议题转化为可主张高额赔偿的民事与州级责任，形成对跨境数据合规的多维围剿。
2025年9月2日，Porcuna v. Xandr 与 Baker v. Index Exchange 两起集体诉讼把 EO 14117 与 ECPA 结合：若拦截行为违反 EO 14117 大宗数据规则，即构成 ECPA 第2511(2)(d)条的犯罪或侵权目的，使 AdTech 无法再援引一方例外抗辩。
欧盟《网络韧性法案》报告义务将于2026年9月11日起适用。本文详解关键术语、经济运营者义务、符合性评定、市场监管、处罚规则及八项附件。
2025年12月19日，奥地利最高法院（OGH）终审裁定 Meta 个性化广告数据处理违法，否定「履行合同所必需」抗辩，认定其无差别抓取第三方敏感数据、未完整履行 GDPR 第15条访问权，判赔500欧元。本文拆解三项违规，并给出跨国企业的三点合规指引。
2025年10月14日，ISO/IEC 27701:2025 正式发布，隐私信息管理体系（PIMS）成为独立标准，不再作为 ISO 27001 的扩展。企业可直接认证隐私合规，无需先行或并行实施 27001。本文梳理三条认证路径与第4–10条核心条款。
2025年9月1日，法国 CNIL 对 SHEIN 爱尔兰子公司开出 1.5 亿欧元 Cookie 罚单。本文拆解四项违规：未经同意即植入广告 Cookie、拒绝按钮缺失、第三方身份未披露、点击“全部拒绝”后仍继续放置 Cookie，并说明为何合规不能只看 GDPR。
Oracle 同意设立 1.15 亿美元的基金，以和解关于其非法收集、使用用户数据的指控。
韩国金融监督院查明 Kakao Pay 在未取得用户同意的情况下，将用户个人信息从韩国跨境传输至中国的支付宝公司，此举或违反韩国《信用信息利用和保护法》。
伊利诺伊州颁布《生物识别信息隐私法》修正案，主要对第10条河第20条作出修订。
德州总检察长曾指控 Meta 在未获得知情同意的情况下非法收集德州居民的生物识别标识符用于商业目的。Meta 同意支付 14 亿美元，以和解该诉讼。
Zellmer 根据伊利诺伊州《生物识别信息隐私法》起诉 Facebook 公司（现更名为 Meta）侵犯其个人隐私权。本文将对该案进行分析。
