近年來(lái)，歐盟、美國(guó)、中國(guó)和英國(guó)相繼出臺(tái)涉及數(shù)據(jù)治理、ESG 披露、網(wǎng)絡(luò)安全等方面的新法規(guī)，對(duì)物聯(lián)網(wǎng)企業(yè)尤其是致力于全球化布局的中國(guó)物聯(lián)網(wǎng)企業(yè)產(chǎn)生了深遠(yuǎn)影響。
首先，法規(guī)合規(guī)已成為市場(chǎng)準(zhǔn)入的前置條件。各國(guó)的數(shù)據(jù)安全法案都對(duì)數(shù)據(jù)跨境流動(dòng)、設(shè)備安全認(rèn)證和個(gè)人隱私保護(hù)提出了更高要求，若企業(yè)未能提前建立合規(guī)機(jī)制，不僅可能面臨高額罰款與禁售風(fēng)險(xiǎn)，還會(huì)直接喪失進(jìn)入關(guān)鍵市場(chǎng)的機(jī)會(huì)；同時(shí)，ESG 與可持續(xù)發(fā)展相關(guān)的新規(guī)正在快速提升企業(yè)的聲譽(yù)與信任門檻；更重要的是，地緣政治背景下的監(jiān)管趨嚴(yán)使合規(guī)成為差異化競(jìng)爭(zhēng)力。提前適配新規(guī)不僅能降低未來(lái)的整改成本，還能在國(guó)際合作、投標(biāo)和供應(yīng)鏈準(zhǔn)入中搶占先機(jī)。
根據(jù) IoT Analytics 發(fā)布的《2025-2030 年數(shù)字和 ESG 法規(guī)展望》（2025 年 8 月發(fā)布），新法規(guī)或修訂法規(guī)的采用正在加速。影響雷達(dá)顯示，有 4 項(xiàng)即將出臺(tái)的法規(guī)影響極高，需要引起企業(yè)緊急關(guān)注——分別是《歐盟網(wǎng)絡(luò)彈性法案》（CRA）、《歐盟數(shù)據(jù)法案》、《歐盟人工智能法案》和《歐盟 CSRD》。
總體而言，密切關(guān)注并積極應(yīng)對(duì)這些新法規(guī)，已經(jīng)不是物聯(lián)網(wǎng)企業(yè)的可選動(dòng)作，而是能否走向全球市場(chǎng)并長(zhǎng)期發(fā)展的關(guān)鍵所在。因此，本文將匯總整理 20 +物聯(lián)網(wǎng)企業(yè)必須關(guān)注的關(guān)鍵法規(guī)，包含以下四種類別：
1. 數(shù)據(jù)法規(guī)
2. 網(wǎng)絡(luò)安全法規(guī)
3. 人工智能法規(guī)
4. 可持續(xù)發(fā)展法規(guī)
數(shù)據(jù)法規(guī)
在數(shù)據(jù)法規(guī)方面，毫無(wú)疑問(wèn)，歐盟擁有最嚴(yán)格、最成熟的數(shù)據(jù)法律，其《通用數(shù)據(jù)保護(hù)條例》（GDPR）仍然是個(gè)人數(shù)據(jù)保護(hù)的全球基準(zhǔn)，擁有強(qiáng)大的用戶權(quán)利、違規(guī)報(bào)告要求和嚴(yán)厲的處罰措施，甚至像加州這樣的美國(guó)州也制定了與 GDPR 緊密相關(guān)的隱私法案。與此同時(shí)，中國(guó)的嚴(yán)格數(shù)據(jù)法案主要側(cè)重于國(guó)家安全，同時(shí)也允許用戶同意跨境數(shù)據(jù)傳輸。
通用數(shù)據(jù)保護(hù)條例（GDPR）
-GDPR 已于2018 年 5 月 25 日生效
-GDPR 適用于在歐盟成立的所有組織，以及處理歐盟人士個(gè)人數(shù)據(jù)的組織（不論這些組織是否是在歐盟成立的），這些數(shù)據(jù)與向歐盟數(shù)據(jù)主體提供商品或服務(wù)或者監(jiān)控在歐盟發(fā)生的行為有關(guān)。個(gè)人數(shù)據(jù)指的是與已確定或可確定的自然人相關(guān)的所有信息，包括姓名、電子郵件地址和電話號(hào)碼。
-GDPR 規(guī)定企業(yè)組織必須從技術(shù)層面和組織結(jié)構(gòu)層面采取適當(dāng)?shù)臄?shù)據(jù)安全保護(hù)措施，并且“在適當(dāng)?shù)那闆r下”采用 GDPR 所給出的具體措施。GDPR 還規(guī)定在任何情況下，企業(yè)組織都必須在 72 小時(shí)內(nèi)毫不拖延地向監(jiān)督機(jī)構(gòu)匯報(bào)數(shù)據(jù)泄露事故，并將可能產(chǎn)生高風(fēng)險(xiǎn)的泄露事故信息通知受到影響的個(gè)人。有鑒于此，企業(yè)有必要對(duì)所需采用的數(shù)據(jù)安全保護(hù)措施進(jìn)行深入了解，并在必要時(shí)對(duì)數(shù)據(jù)泄露管理流程進(jìn)行修改以符合 GDPR 的要求 。
-GDPR 中規(guī)定了一項(xiàng)新的問(wèn)責(zé)要求，即公司必須證明其遵守 GDPR。在某些情況下，企業(yè)有必要任命一名數(shù)據(jù)保護(hù)官，而一套由適當(dāng)?shù)囊?guī)章制度、員工培訓(xùn)及數(shù)據(jù)隱私意識(shí)所支持的公司治理結(jié)構(gòu)是履行企業(yè)職責(zé)并證明其合規(guī)性的關(guān)鍵所在。企業(yè)必須在充分理解問(wèn)責(zé)制要求的基礎(chǔ)上對(duì)現(xiàn)有的規(guī)章制度進(jìn)行審查、修改和補(bǔ)充以長(zhǎng)期遵守。
《數(shù)據(jù)法案》（The Data Act）
-該法案將于 2025 年 9 月 12 日全面實(shí)施。
-在歐洲提供以下聯(lián)網(wǎng)產(chǎn)品及相關(guān)服務(wù)的企業(yè)均需履行數(shù)據(jù)共享義務(wù)：
·智能聯(lián)網(wǎng)汽車設(shè)備，如智能汽車、智能充電樁等
·智能家居設(shè)備，如智能冰箱、智能電視、掃地機(jī)器人、智能攝像頭等
·智能娛樂(lè)設(shè)備，如游戲機(jī)、手機(jī)、平板等
·智能網(wǎng)絡(luò)設(shè)備，如路由器、防火墻等
·可穿戴設(shè)備，如健康手環(huán)、智能手表等
·醫(yī)療健康設(shè)備，如智能血壓計(jì)、智能血糖儀、影像設(shè)備等
·工業(yè)自動(dòng)化設(shè)備，如智能農(nóng)業(yè)、智慧交通、智能制造、智能物流等
·其他聯(lián)網(wǎng)產(chǎn)品，如儲(chǔ)能設(shè)備等
-歐盟《數(shù)據(jù)法案》的實(shí)施分為多個(gè)階段，需注意以下兩個(gè)關(guān)鍵時(shí)間節(jié)點(diǎn)：①2025 年 9 月 12 日（法案正式適用，需提供間接數(shù)據(jù)訪問(wèn)方式）
用戶申請(qǐng)?jiān)L問(wèn)：數(shù)據(jù)持有者（如智能設(shè)備制造商）需在用戶申請(qǐng)時(shí)，免費(fèi)、無(wú)延遲地提供現(xiàn)成可用的數(shù)據(jù)及相關(guān)元數(shù)據(jù)
用戶授權(quán)第三方訪問(wèn)：用戶可授權(quán)第三方（如維修服務(wù)商）訪問(wèn)數(shù)據(jù)，數(shù)據(jù)持有者需在收到申請(qǐng)后以同等質(zhì)量向第三方提供數(shù)據(jù)
②2026 年 9 月 12 日（在這之后向歐盟市場(chǎng)投放的聯(lián)網(wǎng)產(chǎn)品，需提供直接數(shù)據(jù)訪問(wèn)方式）
默認(rèn)直接訪問(wèn)：在技術(shù)可行的前提下，產(chǎn)品需默認(rèn)允許用戶直接、免費(fèi)、安全地訪問(wèn)其生成的數(shù)據(jù)（包括元數(shù)據(jù)），無(wú)需額外申請(qǐng)。
實(shí)時(shí)連續(xù)性：數(shù)據(jù)需以連續(xù)、實(shí)時(shí)的方式提供，確保用戶和第三方能夠動(dòng)態(tài)利用數(shù)據(jù)
數(shù)字市場(chǎng)法案（DMA）
-DMA 于 2024 年 3 月 6 日起正式生效。
-所有被認(rèn)定為「守門人」的實(shí)體，均符合以下標(biāo)準(zhǔn)：年?duì)I業(yè)額超過(guò) 75 億歐元、在至少 3 個(gè)歐盟成員國(guó)開(kāi)展業(yè)務(wù)、每月活躍終端用戶超過(guò) 4500 萬(wàn)、每年商業(yè)用戶超過(guò) 10000 名
-DMA 禁止 IT 企業(yè)采取以下措施：優(yōu)待自有品牌商品和服務(wù)、捆綁銷售自有軟件、非法利用和圈占個(gè)人信息。以谷歌的檢索服務(wù)為例，研發(fā)安卓智能手機(jī)的制造商，被強(qiáng)行要求默認(rèn)使用谷歌的搜索服務(wù)，這在很早以前就被歐盟委員會(huì)視為壟斷行為，DMA 實(shí)施后，此類行為將被禁止。
《數(shù)字服務(wù)法案》（DSA）
-DSA 于 2024 年 2 月 17 日起全面適用。
-DSA 構(gòu)建了全球最為嚴(yán)格的在線平臺(tái)監(jiān)管框架之一，重點(diǎn)規(guī)制非法內(nèi)容、廣告透明度及虛假信息等問(wèn)題，適用于中介服務(wù)提供商、托管服務(wù)提供商、在線平臺(tái)和在線搜索引擎。
-在內(nèi)容審核方面，DSA 設(shè)定了數(shù)字服務(wù)提供者的監(jiān)督義務(wù)。第一，平臺(tái)必須為用戶提供選擇或拒絕接受個(gè)性化推薦的選項(xiàng)以及非法內(nèi)容舉報(bào)的渠道，使用戶能夠了解系統(tǒng)規(guī)則并標(biāo)記“可信任”標(biāo)簽。第二，數(shù)字平臺(tái)一旦收到用戶舉報(bào)信息應(yīng)立刻刪除相關(guān)內(nèi)容和產(chǎn)品，且及時(shí)并充分地告知數(shù)字服務(wù)提供者應(yīng)采取的相關(guān)措施。若未及時(shí)刪除，平臺(tái)將被處以其全球營(yíng)業(yè)額 6% 的罰款。第三，若平臺(tái)未遵守盡職調(diào)查義務(wù)，數(shù)字服務(wù)接受者及其代表組織可就其未履行責(zé)任所造成的任何損失尋求補(bǔ)償。
-在算法數(shù)據(jù)方面，DSA 為數(shù)字服務(wù)提供者規(guī)定了新的透明義務(wù)。第一，數(shù)字平臺(tái)應(yīng)采取科學(xué)算法，授權(quán)研究人員訪問(wèn)其算法機(jī)制和數(shù)據(jù)系統(tǒng)，以提高其內(nèi)部運(yùn)營(yíng)的透明程度。第二，數(shù)字平臺(tái)有義務(wù)評(píng)估和減輕系統(tǒng)性風(fēng)險(xiǎn)，并每年接受獨(dú)立審計(jì)，發(fā)布年度報(bào)告解釋其進(jìn)行的內(nèi)容審核，防止其系統(tǒng)被濫用，從而有效減少虛假信息的傳播。第三，科技公司需要向數(shù)據(jù)監(jiān)管機(jī)構(gòu)和研究人員支付全球營(yíng)業(yè)額的 0.05% 作為監(jiān)管費(fèi)。
-在定向廣告方面，DSA 為超大型在線服務(wù)平臺(tái)規(guī)定了更嚴(yán)格的責(zé)任。DSA 禁止基于宗教信仰、性取向、種族或政治派別投放在線廣告。并且，為了保護(hù)未成年人，DSA 明確規(guī)定平臺(tái)不允許向未成年人投放定向廣告。同時(shí)，平臺(tái)用戶有權(quán)選擇“基于無(wú)跟蹤廣告”的方式進(jìn)行訪問(wèn)。
中華人民共和國(guó)數(shù)據(jù)安全法（DSL）
-DSL 已于 2021 年 9 月 1 日正式施行。
-DSL 闡明并擴(kuò)展了“核心”和“重要”數(shù)據(jù)以及某些類型的數(shù)據(jù)處理程序的數(shù)據(jù)本地化和數(shù)據(jù)傳輸要求。例如，處理與信息網(wǎng)絡(luò)、基礎(chǔ)設(shè)施和自然資源有關(guān)的數(shù)據(jù)的關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)商（“CIIO”）必須確保在中國(guó)生成的數(shù)據(jù)存儲(chǔ)在中國(guó)，并確保在源自中國(guó)之前進(jìn)行安全自我評(píng)估數(shù)據(jù)發(fā)送到國(guó)外。此外，DSL 指示為非 CIIO 制定額外的規(guī)則和條例。
-CIIO 和非 CIIO 不得在未經(jīng)相關(guān)中華人民共和國(guó)事先批準(zhǔn)的情況下，向任何外國(guó)司法或執(zhí)法機(jī)構(gòu)提供任何存儲(chǔ)在中國(guó)的數(shù)據(jù)，無(wú)論數(shù)據(jù)的敏感程度如何，也無(wú)論數(shù)據(jù)最初是否在中國(guó)收集當(dāng)局。
-DSL 要求在中國(guó)開(kāi)展業(yè)務(wù)的公司建立和完善其數(shù)據(jù)安全系統(tǒng)，在發(fā)現(xiàn)數(shù)據(jù)安全缺陷時(shí)采取補(bǔ)救措施，并及時(shí)將任何數(shù)據(jù)泄露情況通知用戶和主管部門。
個(gè)人信息保護(hù)法（PIPL）
-PIPL 于 2021 年 11 月 1 日生效。
-PIPL 規(guī)范所有在規(guī)范所有在中國(guó)運(yùn)營(yíng)、與中國(guó)有業(yè)務(wù)往來(lái)或處理中國(guó)居民個(gè)人數(shù)據(jù)的企業(yè)，無(wú)論該企業(yè)是否位于中國(guó)?！皞€(gè)人信息”被廣泛定義為涵蓋“以電子或任何其他格式存儲(chǔ)的與已識(shí)別或可識(shí)別自然人相關(guān)的任何信息”。只要該信息“與已識(shí)別或可識(shí)別的自然人有關(guān)”，即使該信息不足以識(shí)別特定個(gè)人，PIPL 仍然適用，但不可逆匿名化處理的個(gè)人信息不包括在內(nèi)。
-PIPL 規(guī)定，如果數(shù)據(jù)處理者處理的個(gè)人信息量達(dá)到一定閾值，可能會(huì)觸發(fā)數(shù)據(jù)本地化要求，同時(shí)數(shù)據(jù)處理者還需要指定一名信息保護(hù)官來(lái)監(jiān)督正確處理和保護(hù)所收集的個(gè)人資料。
-數(shù)據(jù)處理者向境內(nèi)外第三方傳輸個(gè)人信息前，必須先征得數(shù)據(jù)主體的知情同意，并確保數(shù)據(jù)接收者對(duì)數(shù)據(jù)的使用和數(shù)據(jù)處理方式遵守?cái)?shù)據(jù)條款對(duì)象的同意。對(duì)于跨境傳輸，數(shù)據(jù)處理者還必須確保數(shù)據(jù)的外國(guó)接收者制定的數(shù)據(jù)保護(hù)要求不低于 PIPL 規(guī)定的要求。根據(jù)數(shù)據(jù)處理者基于其擁有的數(shù)據(jù)的敏感性和數(shù)量的分類，可能適用額外的要求。例如，擁有大量個(gè)人數(shù)據(jù)的 CIIO 和公司必須在向海外傳輸任何數(shù)據(jù)之前完成由國(guó)家互聯(lián)網(wǎng)信息辦公室牽頭的強(qiáng)制性安全審查。
加州隱私權(quán)法案（CPRA）
-CPRA 于 2023 年 1 月 1 日生效。
-從事收集、處理或共享加州居民數(shù)據(jù)的營(yíng)利性企業(yè)。要納入范圍，企業(yè)必須至少滿足以下標(biāo)準(zhǔn)之一：
·年收入至少 2500 萬(wàn)美元
·處理 10 萬(wàn)或更多消費(fèi)者或家庭的數(shù)據(jù)
·50% 或更多收入來(lái)自出售或共享個(gè)人信息
-相比 CCPA 最顯著的一個(gè)變化是設(shè)立新的執(zhí)法機(jī)構(gòu) - 加州隱私保護(hù)機(jī)構(gòu) (CPPA)，CPPA 有權(quán)受理并調(diào)查投訴案件，開(kāi)具罰款單并制定法規(guī)條例。
-另一個(gè)重大修正是，擴(kuò)大了 CCPA 的個(gè)人訴訟覆蓋范圍。CCPA 規(guī)定，只有因企業(yè)違規(guī)而導(dǎo)致未加密或未編輯的個(gè)人信息遭到非法訪問(wèn)、泄露、盜竊或披露的消費(fèi)者才能以個(gè)人名義提起訴訟。CPRA 將個(gè)人訴訟范圍擴(kuò)大到包括任何違反 CCPA 的行為，無(wú)論是否有實(shí)質(zhì)性的損害風(fēng)險(xiǎn)。此舉意味著，將有更多消費(fèi)者對(duì)違反 CCPA 規(guī)定的企業(yè)提起訴訟，企業(yè)將面臨更大的潛在損失。
-最后，CPRA 進(jìn)一步強(qiáng)化了 CCPA 的退出要求。CCPA 規(guī)定企業(yè)必須在主頁(yè)上放置“勿出售我的個(gè)人信息”鏈接。CPRA 更進(jìn)一步，要求企業(yè)在其隱私政策中明確表示自己是否出售消費(fèi)者的個(gè)人信息，以及出售何種類型的個(gè)人信息。如果企業(yè)出售個(gè)人信息，則還必須在每個(gè)收集個(gè)人信息的頁(yè)面上提供退出收集的按鈕。
網(wǎng)絡(luò)安全法規(guī)
網(wǎng)絡(luò)安全法的范圍正在全球范圍內(nèi)不斷擴(kuò)大。歐盟、美國(guó)、英國(guó)和中國(guó)要么正在收緊現(xiàn)有的網(wǎng)絡(luò)安全法，要么正在出臺(tái)新的法律，不遵守法規(guī)將面臨巨額罰款和負(fù)面運(yùn)營(yíng)處罰。除了避免罰款之外，滿足網(wǎng)絡(luò)安全要求對(duì)于企業(yè)經(jīng)營(yíng)也日益重要。對(duì)于數(shù)字和互聯(lián)產(chǎn)品而言，不遵守規(guī)定可能意味著被排除在整個(gè)市場(chǎng)之外。
《關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)事件報(bào)告法案》（CIRCIA）
-2022 年 3 月 15 日簽署。
-適用于總統(tǒng)政策指令 21 (PPD-21)定義的關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的所有私營(yíng)和公共實(shí)體，包括在能源、醫(yī)療保健、金融服務(wù)、交通運(yùn)輸和通信領(lǐng)域運(yùn)營(yíng)的實(shí)體。
-2024 年 3 月，美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局 (CISA) 發(fā)布了關(guān)鍵基礎(chǔ)設(shè)施企業(yè)如何向政府報(bào)告網(wǎng)絡(luò)攻擊的規(guī)定草案，新規(guī)基于此前簽署的 CIRCIA。根據(jù)新規(guī)，擁有和運(yùn)營(yíng)關(guān)鍵基礎(chǔ)設(shè)施的公司需要在 72 小時(shí)內(nèi)報(bào)告重大網(wǎng)絡(luò)攻擊，并在 24 小時(shí)內(nèi)報(bào)告勒索軟件支付情況。
《物聯(lián)網(wǎng)網(wǎng)絡(luò)安全改進(jìn)法》
-《物聯(lián)網(wǎng)網(wǎng)絡(luò)安全改進(jìn)法》于 2020 年 12 月正式簽署。
-適用所有采購(gòu)或管理物聯(lián)網(wǎng)設(shè)備的聯(lián)邦機(jī)構(gòu)、向美國(guó)聯(lián)邦機(jī)構(gòu)供應(yīng)物聯(lián)網(wǎng)設(shè)備的物聯(lián)網(wǎng)設(shè)備制造商或供應(yīng)商以及美國(guó)聯(lián)邦機(jī)構(gòu)的物聯(lián)網(wǎng)服務(wù)提供商。
-禁止機(jī)構(gòu)在 2022 年 12 月 4 日之后采購(gòu)或使用物聯(lián)網(wǎng)設(shè)備，如果該設(shè)備被認(rèn)為“不符合”美國(guó)國(guó)家標(biāo)準(zhǔn)和技術(shù)研究所(NIST)制定的標(biāo)準(zhǔn)。
-在此基礎(chǔ)上，2021年，美國(guó)總統(tǒng)拜登簽發(fā)了《關(guān)于改善國(guó)家網(wǎng)絡(luò)安全行政令》，該行政令中強(qiáng)調(diào)了改善物聯(lián)網(wǎng)安全的必要性，并要求啟動(dòng)消費(fèi)物聯(lián)網(wǎng)標(biāo)簽計(jì)劃。這一行政命令代表了美國(guó)對(duì)于改善全國(guó)物聯(lián)網(wǎng)網(wǎng)絡(luò)安全更廣泛的舉措，為物聯(lián)網(wǎng)產(chǎn)品設(shè)定了安全標(biāo)準(zhǔn)、明確了機(jī)構(gòu)責(zé)任。
-2022 年 10 月，白宮召集了來(lái)自于物聯(lián)網(wǎng)企業(yè)、高校、第三方協(xié)會(huì)和多個(gè)政府部門就物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃召開(kāi)會(huì)議，其中提出了參考“能源之星（Energy Star）”計(jì)劃來(lái)推動(dòng)物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃。2023 年 7 月，美國(guó)宣布“U.S. Cyber Trust Mark”計(jì)劃將于 2024 年正式啟動(dòng)。
《中華人民共和國(guó)網(wǎng)絡(luò)安全法》
-《網(wǎng)絡(luò)安全法》于 2017 年 6 月 1 日正式施行。
-2025 年 3 月，網(wǎng)信辦發(fā)布了關(guān)于公開(kāi)征求《中華人民共和國(guó)網(wǎng)絡(luò)安全法（修正草案再次征求意見(jiàn)稿）》意見(jiàn)的通知
-結(jié)合實(shí)踐中危害網(wǎng)絡(luò)安全后果的情況，增加造成大量數(shù)據(jù)泄露、關(guān)鍵信息基礎(chǔ)設(shè)施喪失局部功能等嚴(yán)重危害網(wǎng)絡(luò)安全后果的和造成關(guān)鍵信息基礎(chǔ)設(shè)施喪失主要功能等特別嚴(yán)重危害網(wǎng)絡(luò)安全后果的情形，并參照《數(shù)據(jù)安全法》調(diào)整了現(xiàn)行《網(wǎng)絡(luò)安全法》第五十九條罰款幅度，增加相應(yīng)處罰規(guī)定；新增銷售或者提供未經(jīng)安全認(rèn)證、安全檢測(cè)或者安全認(rèn)證不合格、安全檢測(cè)不符合要求的網(wǎng)絡(luò)關(guān)鍵設(shè)備和網(wǎng)絡(luò)安全專用產(chǎn)品的法律責(zé)任；明確關(guān)鍵信息基礎(chǔ)設(shè)施運(yùn)營(yíng)者使用未經(jīng)安全審查或者安全審查未通過(guò)的網(wǎng)絡(luò)產(chǎn)品或者服務(wù)行為的處置處罰措施。
-統(tǒng)籌考慮《網(wǎng)絡(luò)安全法》和《行政處罰法》的適用關(guān)系，專門新增一條銜接規(guī)定，明確網(wǎng)絡(luò)運(yùn)營(yíng)者存在主動(dòng)消除或者減輕違法行為危害后果、違法行為輕微并及時(shí)改正且沒(méi)有造成危害后果或者初次違法且危害后果輕微并及時(shí)改正等情形的，依法從輕、減輕或者不予處罰；明確有關(guān)主管部門依據(jù)職責(zé)制定相應(yīng)的行政處罰裁量基準(zhǔn)。
《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》
-《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》自 2025 年 1 月 1 日起施行。
-《數(shù)安條例》是在 2017 年施行的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》以及 2021 年先后施行的《中華人民共和國(guó)數(shù)據(jù)安全法》和《中華人民共和國(guó)個(gè)人信息保護(hù)法》基礎(chǔ)上制定的，這三部法律共同構(gòu)建了中國(guó)網(wǎng)絡(luò)信息安全保護(hù)領(lǐng)域的基礎(chǔ)性法律框架。
-《數(shù)安條例》首次將 1000 萬(wàn)人這個(gè)個(gè)人信息的數(shù)量級(jí)與重要數(shù)據(jù)聯(lián)系在一起，即處理1000萬(wàn)人以上個(gè)人信息的網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)比照履行處理重要數(shù)據(jù)的網(wǎng)絡(luò)數(shù)據(jù)處理者的義務(wù)（除了風(fēng)險(xiǎn)評(píng)估以外）。
-《條例》對(duì)個(gè)人信息處理規(guī)則的發(fā)布和披露要求進(jìn)行了補(bǔ)充和完善。特別的，要求個(gè)人信息處理規(guī)則在說(shuō)明個(gè)人信息保存期限時(shí)，如果“保存期限難以確定的，應(yīng)當(dāng)明確保存期限的確定方法”。網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)以清單等形式予以列明收集和向其他網(wǎng)絡(luò)數(shù)據(jù)處理者提供個(gè)人信息的目的、方式、種類以及網(wǎng)絡(luò)數(shù)據(jù)接收方信息。
-根據(jù)《條例》規(guī)定，因使用自動(dòng)化采集技術(shù)等無(wú)法避免采集到非必要個(gè)人信息或者未依法取得個(gè)人同意的個(gè)人信息，網(wǎng)絡(luò)數(shù)據(jù)處理者應(yīng)當(dāng)刪除個(gè)人信息或者進(jìn)行匿名化處理。
-《條例》強(qiáng)化了數(shù)據(jù)跨境流動(dòng)中的安全管理要求，規(guī)定國(guó)家采取措施防范、處置數(shù)據(jù)跨境風(fēng)險(xiǎn)和威脅，禁止提供專門用于破壞、避開(kāi)技術(shù)措施的程序、工具等，為數(shù)據(jù)跨境流動(dòng)提供安全保障。
《歐盟網(wǎng)絡(luò)彈性法案》（CRA）
-CRA 已于 2024 年 12 月 10 日正式生效。
-CRA 適用于廣泛的數(shù)字產(chǎn)品。這包括智能手機(jī)和筆記本電腦等消費(fèi)電子產(chǎn)品、智能手表和聯(lián)網(wǎng)家用電器等物聯(lián)網(wǎng) （IoT） 設(shè)備、路由器和調(diào)制解調(diào)器等網(wǎng)絡(luò)設(shè)備以及包括操作系統(tǒng)和應(yīng)用程序在內(nèi)的各種軟件產(chǎn)品?，F(xiàn)行法案涵蓋在歐盟銷售或提供的帶有數(shù)字元素硬件或軟件的產(chǎn)品。
-CRA 提出了四個(gè)具體目標(biāo)：
1. 確保制造商從設(shè)計(jì)和開(kāi)發(fā)階段到整個(gè)生命周期中提高帶有數(shù)字元素的產(chǎn)品的安全性;
2. 確保連貫的網(wǎng)絡(luò)安全框架，促進(jìn)硬件和軟件生產(chǎn)商的合規(guī)性;
3. 提高具有數(shù)字元素的產(chǎn)品安全屬性的透明度；
4. 使企業(yè)和消費(fèi)者能夠安全地使用帶有數(shù)字元素的產(chǎn)品。
-《網(wǎng)絡(luò)彈性法案》規(guī)定，具有數(shù)字元素的產(chǎn)品只有在滿足 CRA-Annex I 中規(guī)定的特定基本網(wǎng)絡(luò)安全要求的情況下才能在歐盟市場(chǎng)上銷售。
《產(chǎn)品安全和電信基礎(chǔ)設(shè)施法案》（PSTI）
-PSTI 于 2024 年 4 月 29 日強(qiáng)制實(shí)施。
-適用于任何英國(guó)消費(fèi)智能產(chǎn)品的制造商、以另一實(shí)體的名稱或商標(biāo)銷售該實(shí)體生產(chǎn)的產(chǎn)品的實(shí)體、英國(guó)消費(fèi)智能產(chǎn)品的進(jìn)口商以及英國(guó)消費(fèi)智能產(chǎn)品的分銷商
-PSTI 法案的最低要求是產(chǎn)品滿足通用弱密碼、軟件維護(hù)周期和漏洞報(bào)告這三個(gè)要求，并提供評(píng)估報(bào)告等技術(shù)文件，在產(chǎn)品中附帶符合性聲明。
1. 密碼強(qiáng)度——不再使用通用默認(rèn)密碼或容易猜到的默認(rèn)密碼。
2. 加強(qiáng)問(wèn)責(zé)制——制造商必須設(shè)立一個(gè)公開(kāi)的聯(lián)絡(luò)點(diǎn)，方便消費(fèi)者報(bào)告漏洞。
3. 提高透明度——制造商必須向消費(fèi)者明確說(shuō)明安全更新的最短時(shí)限。
人工智能法規(guī)
如今，人工智能技術(shù)發(fā)展速度超越全球監(jiān)管發(fā)展。人工智能是技術(shù)發(fā)展速度超過(guò)立法步伐的典型例子，導(dǎo)致許多司法管轄區(qū)缺乏監(jiān)管或缺乏明確的合規(guī)要求。各國(guó)政府仍處于人工智能治理的早期階段，依賴指導(dǎo)方針而非法規(guī)。與此同時(shí)，世界許多國(guó)家正在向歐盟、美國(guó)和中國(guó)尋求監(jiān)管方向。許多政府推遲了本國(guó)人工智能監(jiān)管工作，以觀察這些領(lǐng)先經(jīng)濟(jì)體如何構(gòu)建治理結(jié)構(gòu)?？傮w而言，歐盟正在推進(jìn)嚴(yán)格的、基于規(guī)則的人工智能監(jiān)管；而美國(guó)則傾向于采取更注重創(chuàng)新的方式；相比之下，中國(guó)則優(yōu)先通過(guò)國(guó)家主導(dǎo)的安全和執(zhí)法框架進(jìn)行管控。
《生成式人工智能服務(wù)管理暫行辦法》
-《暫行辦法》于 2023 年 8 月 15 日正式生效
-適用于開(kāi)發(fā)、部署或提供 GenAI 服務(wù)（例如 LLM、圖像生成器和自動(dòng)內(nèi)容創(chuàng)建工具）的 GenAI 服務(wù)提供商，以及 AI 基礎(chǔ)設(shè)施和平臺(tái)運(yùn)營(yíng)商，例如為生成 AI 服務(wù)提供基礎(chǔ)設(shè)施的云計(jì)算平臺(tái)、數(shù)據(jù)中心和算法市場(chǎng)。未向境內(nèi)公眾提供生成式人工智能服務(wù)的，不適用本辦法的規(guī)定。
-生成式人工智能若想盡可能提高產(chǎn)出結(jié)果的準(zhǔn)確性，不可避免地需要進(jìn)行大量的數(shù)據(jù)訓(xùn)練?！稌盒修k法》就生成式人工智能數(shù)據(jù)訓(xùn)練提出了具體的合規(guī)要求，第四條第三款要求提供者“尊重知識(shí)產(chǎn)權(quán)、商業(yè)道德，保守商業(yè)秘密……”，第七條要求提供者“依法開(kāi)展預(yù)訓(xùn)練、優(yōu)化訓(xùn)練等訓(xùn)練數(shù)據(jù)處理活動(dòng)，遵守以下規(guī)定：使用具有合法來(lái)源的數(shù)據(jù)和基礎(chǔ)模型”、“涉及知識(shí)產(chǎn)權(quán)的，不得侵害他人依法享有的知識(shí)產(chǎn)權(quán)”、“涉及個(gè)人信息的，應(yīng)當(dāng)取得個(gè)人同意或者符合法律、行政法規(guī)規(guī)定的其他情形”“采取有效措施提高訓(xùn)練數(shù)據(jù)質(zhì)量，增強(qiáng)訓(xùn)練數(shù)據(jù)的真實(shí)性、準(zhǔn)確性、客觀性、多樣性”以及“遵守其他有關(guān)規(guī)定和有關(guān)主管部門的相關(guān)監(jiān)管要求”。
-《暫行辦法》對(duì)數(shù)據(jù)訓(xùn)練作出了更為細(xì)化的規(guī)定，包括訓(xùn)練數(shù)據(jù)標(biāo)注規(guī)則和標(biāo)注人員的要求，即生成式人工智能服務(wù)提供者應(yīng)“制定符合本辦法要求的清晰、具體、可操作的標(biāo)注規(guī)則；開(kāi)展數(shù)據(jù)標(biāo)注質(zhì)量評(píng)估，抽樣核驗(yàn)標(biāo)注內(nèi)容的準(zhǔn)確性；對(duì)標(biāo)注人員進(jìn)行必要培訓(xùn)，提升尊法守法意識(shí)，監(jiān)督指導(dǎo)標(biāo)注人員規(guī)范開(kāi)展標(biāo)注工作”。
《人工智能法案》
-歐盟 AI 法案自 2024 年 8 月 1 日起生效，該法案的大部分條款自 2026 年 8 月 2 日起適用。
-風(fēng)險(xiǎn)分為四類，風(fēng)險(xiǎn)等級(jí)越高，管控越嚴(yán)格。其中，風(fēng)險(xiǎn)最高的情況包括：為唆使犯罪而利用人工智能技術(shù)操縱人的潛意識(shí)；使用高級(jí)監(jiān)控?cái)z像機(jī)等，將人臉識(shí)別等生物識(shí)別技術(shù)實(shí)時(shí)應(yīng)用于犯罪搜查等。這些情況是被“禁止”的。第二高風(fēng)險(xiǎn)的情況包括：基于犯罪心理畫像的犯罪預(yù)測(cè)、在入學(xué)考試和錄用考試測(cè)評(píng)中應(yīng)用人工智能。人類有義務(wù)保存和管理使用人工智能技術(shù)的歷史記錄。
-法案規(guī)定，聊天機(jī)器人等人工智能系統(tǒng)必須明確告知用戶他們?cè)谂c機(jī)器互動(dòng)，人工智能技術(shù)提供商必須確保合成的音頻、視頻、文本和圖像內(nèi)容能夠被檢測(cè)為人工智能生成的內(nèi)容。此外，該法案規(guī)定，禁止使用被認(rèn)為對(duì)用戶基本權(quán)利構(gòu)成明顯威脅的人工智能系統(tǒng)。
第 14141 號(hào)行政命令
-該行政令要求美國(guó)國(guó)防部和能源部租賃聯(lián)邦場(chǎng)地，以便私營(yíng)部門可以快速、大規(guī)模地建設(shè)人工智能基礎(chǔ)設(shè)施，旨在確保美國(guó)能夠快速大規(guī)模地建設(shè)下一代人工智能運(yùn)營(yíng)所需的基礎(chǔ)設(shè)施。
-不過(guò)，特朗普政府在 2025 年 7 月 23 日發(fā)布的行政命令與事實(shí)說(shuō)明書(shū)，表示為全面推動(dòng)人工智能發(fā)展，并確保美國(guó)在全球 AI 領(lǐng)域的領(lǐng)導(dǎo)地位，已簽署多項(xiàng)關(guān)鍵行政命令。為提高效率，該命令撤銷前任政府于 2025 年 1 月 14 日發(fā)布的第 14141 號(hào)行政命令。
-該命令曾對(duì)聯(lián)邦土地上的AI數(shù)據(jù)中心開(kāi)發(fā)施加了多元、公平與包容（DEI）及氣候相關(guān)要求。新政策指示各機(jī)構(gòu)在10天內(nèi)識(shí)別并利用現(xiàn)有“類別排除”（categorical exclusions），以加速合格項(xiàng)目的建設(shè)。同時(shí)，環(huán)境質(zhì)量委員會(huì)（CEQ）將協(xié)調(diào)設(shè)立新的類別排除，適用于對(duì)人類環(huán)境影響不大的合格項(xiàng)目相關(guān)活動(dòng)。
可持續(xù)發(fā)展法規(guī)
可持續(xù)發(fā)展和 ESG 法規(guī)正在重塑全球企業(yè)的經(jīng)營(yíng)邏輯與競(jìng)爭(zhēng)格局。隨著歐盟《企業(yè)可持續(xù)發(fā)展報(bào)告指令》（CSRD）、美國(guó) SEC 氣候信息披露規(guī)則、中國(guó)“雙碳”政策等相繼落地，企業(yè)必須更加系統(tǒng)地管理碳排放、資源利用、勞工權(quán)益和治理結(jié)構(gòu)，否則不僅面臨合規(guī)風(fēng)險(xiǎn)和高額罰款，還可能失去跨國(guó)客戶、資本市場(chǎng)和公眾的信任。與此同時(shí)，這些法規(guī)也在推動(dòng)企業(yè)將綠色低碳、社會(huì)責(zé)任和透明治理轉(zhuǎn)化為新的競(jìng)爭(zhēng)力，促使它們加快技術(shù)創(chuàng)新、優(yōu)化供應(yīng)鏈管理、提升品牌價(jià)值。
碳邊境調(diào)節(jié)機(jī)制（CBMA）
-CBAM 于 2023 年 10 月開(kāi)始試運(yùn)行，過(guò)渡期至 2025 年底。
從 2023 年 10 月 1 日至 2025 年 12 月 31 日為過(guò)渡期 ，此期間進(jìn)口商只需按季度報(bào)告相關(guān)產(chǎn)品在國(guó)內(nèi)外生產(chǎn)過(guò)程中排放的溫室氣體情況，無(wú)需實(shí)際支付費(fèi)用。
自 2026 年 1 月 1 日起，進(jìn)入正式實(shí)施階段，進(jìn)口商要開(kāi)始購(gòu)買排放證書(shū)，其價(jià)格依據(jù)歐盟境內(nèi)生產(chǎn)同類商品所需支付的碳價(jià)制定。到 2034 年間將逐步全面實(shí)施 ，覆蓋范圍和執(zhí)行力度會(huì)不斷擴(kuò)大與加強(qiáng)。
-首批受 CBAM 影響的主要是碳密集型且易發(fā)生碳泄漏的行業(yè)產(chǎn)品，包括水泥、鋼鐵、鋁、化肥、電力、氫氣 等。長(zhǎng)遠(yuǎn)來(lái)看，未來(lái)可能會(huì)逐步擴(kuò)大到更多高碳排放的行業(yè)和產(chǎn)品，只要是在生產(chǎn)過(guò)程中排放溫室氣體的進(jìn)口商品，都有可能被納入 CBAM 的管控范圍。對(duì)企業(yè)而言，無(wú)論規(guī)模大小，只要涉及這些產(chǎn)品向歐盟的出口，都需密切關(guān)注 CBAM 動(dòng)態(tài)并積極應(yīng)對(duì)。歐盟碳邊境調(diào)節(jié)機(jī)制規(guī)定 “碳關(guān)稅” 征收的行業(yè)覆蓋范圍包括鋼鐵、水泥、鋁、化肥、電力及氫 。
-該協(xié)議還確定了削減歐盟企業(yè)免費(fèi)配額的時(shí)間表，從 2026 年開(kāi)始削減，逐步到 2034 年實(shí)現(xiàn)全部取消。具體來(lái)看，到 2026 年，這些行業(yè)的免費(fèi)配額將取消 2.5%，2027 年取消 5%， 2028 年取消 10%， 2029 年取消 22.5%， 2030 年取消 48.5%， 2031 年取消 61%， 2032 年取消 73.5%， 2033 年取消 86%， 2034 年取消 100%。
《企業(yè)可持續(xù)發(fā)展報(bào)告指令》（CSRD）
-CSRD 于 2023 年 1 月 5 日起正式生效，并于 2024 年至 2029 年分階段實(shí)施。
-適用所有滿足以下任一標(biāo)準(zhǔn)的公司：大型歐盟公司（滿足收入標(biāo)準(zhǔn)）、在歐盟監(jiān)管市場(chǎng)上市、歐盟銀行或保險(xiǎn)公司、非歐盟公司（滿足收入標(biāo)準(zhǔn)）
-CSRD 報(bào)告基于雙重重要性的概念。組織必須披露其業(yè)務(wù)活動(dòng)對(duì)地球和人類的影響，以及其可持續(xù)發(fā)展目標(biāo)、措施和風(fēng)險(xiǎn)對(duì)企業(yè)財(cái)務(wù)健康狀況所造成影響的相關(guān)信息。例如，除了要求組織報(bào)告其能源使用和成本外，CSRD 還要求它們報(bào)告排放指標(biāo)，詳細(xì)說(shuō)明能源使用如何影響環(huán)境、減少影響的目標(biāo)以及實(shí)現(xiàn)這些目標(biāo)對(duì)組織財(cái)務(wù)的影響相關(guān)信息。所有 CSRD 披露信息均須公開(kāi)，并且 CSRD 要求對(duì)所有披露信息進(jìn)行第三方審計(jì)，以確保其準(zhǔn)確性和完整性。
《可持續(xù)產(chǎn)品生態(tài)設(shè)計(jì)條例》 (ESPR)
-ESPR 于 2024 年 7 月 18 日生效。
-適用于所有在歐盟市場(chǎng)上銷售實(shí)體商品的制造商，包括零部件和中間產(chǎn)品（食品和飼料、醫(yī)療產(chǎn)品、生物體、車輛和建筑行業(yè)的某些產(chǎn)品除外）、實(shí)體商品的進(jìn)口商和分銷商，以及在線市場(chǎng)和在線搜索引擎。
-產(chǎn)品必須同時(shí)滿足定量和定性要求，即“生態(tài)設(shè)計(jì)要求”和“性能要求”，以達(dá)到指定的可持續(xù)性水平。只有這樣，產(chǎn)品才能獲準(zhǔn)在歐盟市場(chǎng)上制造、進(jìn)口和銷售。
-《可持續(xù)產(chǎn)品生態(tài)設(shè)計(jì)法規(guī)》將為所有范圍內(nèi)的產(chǎn)品引入數(shù)字產(chǎn)品護(hù)照，以便消費(fèi)者和當(dāng)局獲取可持續(xù)性信息。與生態(tài)設(shè)計(jì)和性能要求類似，數(shù)字產(chǎn)品護(hù)照將遵循產(chǎn)品類別方法。歐盟委員會(huì)將在授權(quán)法案中規(guī)定每個(gè)產(chǎn)品組必須在 數(shù)字產(chǎn)品護(hù)照中披露哪些信息。數(shù)字產(chǎn)品護(hù)照中的信息可包括唯一產(chǎn)品標(biāo)識(shí)符、唯一運(yùn)營(yíng)者標(biāo)識(shí)符（例如制造商）、唯一設(shè)施標(biāo)識(shí)符（例如工廠）、全球貿(mào)易項(xiàng)目代碼、用戶手冊(cè)、歐盟符合性聲明、技術(shù)文件以及為消費(fèi)者和其他運(yùn)營(yíng)者提供的產(chǎn)品維護(hù)和維修信息。這將使與該產(chǎn)品相關(guān)的行為者和生產(chǎn)設(shè)施得到追蹤。
《企業(yè)可持續(xù)發(fā)展與盡職調(diào)查指令》（CSDDD）
-CSDDD 于 2024 年7 月25 日起正式生效。
-適用于所有員工超過(guò) 1000 人且上一財(cái)年全球收入至少為 4.5 億歐元的公司。
-CSDDD 對(duì)企業(yè)的供應(yīng)鏈盡職管理提出了新要求。企業(yè)應(yīng)通過(guò)搭建完善的管理體系加強(qiáng)對(duì)供應(yīng)鏈的盡職管理，實(shí)現(xiàn)數(shù)據(jù)統(tǒng)一、盡調(diào)充分、風(fēng)險(xiǎn)可控，來(lái)應(yīng)對(duì) CSDDD 的新挑戰(zhàn)。
《凈零工業(yè)法案》（NZIA）
-NZIA 于 2024 年 6 月 28 日公告并次日生效。
-適用于所有制造、開(kāi)發(fā)或運(yùn)營(yíng)凈零技術(shù)的公司。
-法案設(shè)定了具體指標(biāo)：到 2030 年，歐盟本土凈零技術(shù)的制造產(chǎn)能至少達(dá)到歐盟部署需求的 40%；到 2040 年，歐盟在關(guān)鍵低碳技術(shù)領(lǐng)域的全球市場(chǎng)份額至少達(dá)到 15%。
-法案特別明確了以下八種技術(shù)作為戰(zhàn)略凈零技術(shù)的范疇：太陽(yáng)能光伏和太陽(yáng)熱能技術(shù)；陸上和海上可再生技術(shù)；電池和儲(chǔ)能技術(shù)；熱泵和地?zé)崮芗夹g(shù)；電解槽和燃料電池；沼氣和生物甲烷；碳捕獲和存儲(chǔ)技術(shù)；電網(wǎng)技術(shù)。這些技術(shù)因其在推動(dòng)歐盟能源轉(zhuǎn)型和實(shí)現(xiàn)氣候目標(biāo)中的關(guān)鍵作用，將獲得政策上的特別扶持和資源配置。
參考資料：
Regulatory landscape digital esg laws to have on radar，iot-analytics
歐盟《數(shù)據(jù)法案》實(shí)施倒計(jì)時(shí)，企業(yè)應(yīng)如何破局？，Deloitte
中國(guó)新的數(shù)據(jù)安全和個(gè)人信息保護(hù)法：對(duì)跨國(guó)公司的意義，知乎
數(shù)字市場(chǎng)法案及其對(duì)廣告主的影響，Appsflyer
《數(shù)字服務(wù)法》正式發(fā)布：內(nèi)容、影響及啟示，武大國(guó)際問(wèn)題研究院
了解《加州消費(fèi)者隱私法案》，veritas
關(guān)于公開(kāi)征求《中華人民共和國(guó)網(wǎng)絡(luò)安全法（修正草案再次征求意見(jiàn)稿）》意見(jiàn)的通知，網(wǎng)信
72小時(shí)內(nèi)報(bào)告！美國(guó)發(fā)布關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)攻擊通報(bào)新規(guī)草案，網(wǎng)絡(luò)安全應(yīng)急技術(shù)國(guó)家工程中心
美國(guó)物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃正式啟動(dòng)，中國(guó)物聯(lián)網(wǎng)出海面臨新挑戰(zhàn)，物聯(lián)網(wǎng)智庫(kù)
《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例》合規(guī)義務(wù)重點(diǎn)綜述，君合
《生成式人工智能服務(wù)管理暫行辦法》四大亮點(diǎn)解析，君合
全球首部《人工智能法案》正式生效，新華
歐盟達(dá)成碳關(guān)稅協(xié)議：2026年起征，8年后取消免費(fèi)配額，澎湃新聞
什么是CSRD，IBM
