2026年11月11日，欧盟委员会正式提出《数字公平法》（Digital Fairness Act，下称DFA），其中一条专管AI购物代理的条款很快在技术圈炸开：凡是向欧盟消费者提供AI购物助手的企业，都必须在用户首次使用时让对方从三档授权模式中选一个。罚款上限是全球年营业额的6%。把"AI代理能替人做决定做到什么程度"写进正式立法，这是人类历史上第一次。
DFA的AI代理条款落在第26至27条。三档授权是这么分的：第一档"全部确认"，AI每次替用户签约购物前都得拿到明确同意；第二档"条件自动"，用户事先设好条件，包括金额上限和有效时长，AI在条件内可自主执行，越界才需确认；第三档"完全委托"，用户放弃事前审批权，授权AI全权代劳。据法律分析机构 Lewis Silkin 报道，提案要求平台用"持久媒介"（电子邮件或可存档文件）把用户的选择传达给用户，保证它有法律效力。
可就算用户挑了第三档"完全委托"，法律还是留了一条硬例外：AI购物助手的提供商从交易方拿报酬，或者跟卖家存在任何利益冲突时，不管用户此前怎么授权，这笔交易都得回到用户手里确认。这条例外盯的正是眼下AI推荐系统里最隐蔽的一种失控——代理替用户做决策，实际是在帮另一个付钱的甲方做决策。
从工程实现看，三档授权本身不复杂，难的是它背后的合规基础设施。代理系统每次发起交易前都得查用户当前的授权状态，而且这个查询必须发生在提交订单之前，不能放到之后。系统还得实时判断当前交易有没有触发"利益冲突"例外——哪些推荐是付费植入的、哪些不是——一旦触发就中断自动流程，推送人工确认请求。再有，所有授权记录都要以用户能留存的形式落地，光靠前端状态管理不够，后端得维护完整的授权事件日志。
DFA还留了一处刻意空白：法规不要求平台把用户设定的金额上限主动告诉卖家。跨系统交易场景里这就留下一个执行缺口——用户端的限额约束能不能在供应链下游真正生效，看的是买方平台的技术实现，法律并不强制。对那些依托第三方卖家生态系统运营的AI购物助手（比如嵌在电商平台里的AI代理）来说，这个缺口意味着合规责任的边界仍旧模糊。
DFA整体上是对欧盟2005年《不公平商业行为指令》（UCPD）的系统性替代。二十年前的立法框架想不到AI代理会以用户身份替人类签约，更想不到推荐算法会在消费者无感知时植入商业利益。这次DFA把若干"暗模式"明确定为违法，包括虚假库存紧张提示、羞辱式退订设计（比如让用户点"我不喜欢好优惠"才能退订），以及预先勾选的默认选项。AI购物代理之外，提案还规定了订阅服务的简单退出机制、动态定价的全额披露要求，以及针对未成年人的虚拟货币默认关闭规则。委员会估计，这些措施全面落地后，欧盟消费者每年能省下约137亿欧元。
对全球AI代理产品的开发者来说，这份提案的影响不止于欧盟市场。AI购物助手的技术架构一般是全球统一部署的，给欧盟用户加三档授权选择，就意味着产品在全球范围都得支持一套授权状态管理机制，不然就得为欧盟单独维护一套并行架构。历史经验摆在那儿，企业选前者的概率远高于后者——2018年GDPR出台后，大量科技公司直接把欧盟标准的隐私设置推给了全球用户，《数字公平法》有可能触发类似的"布鲁塞尔效应"。
消费者组织则拿到了一个此前从未有过的法律抓手：AI代理没经明确授权就替用户完成购买，或者在存在付费植入时不做提示就自动下单，消费者第一次有了明确的权利依据。在这之前，这类纠纷只能去翻平台服务条款，而条款通常是平台自己定的。
行业这边，合规成本绕不开。三档授权在前端实现不难，可要把利益冲突检测逻辑嵌进购物代理的决策链路，就涉及推荐系统架构的深层改造——尤其当推荐模型本身不区分"付费优先"和"相关性优先"时，这条检测线几乎得在系统级重新设计。提案若最终通过，那些AI代理能力还在早期、推荐系统与付费逻辑深度耦合的平台，合规改造代价会远大于架构设计时就做了清晰分层的系统。
立法进程上，提案目前进入欧洲议会和理事会的审议阶段。据 Lewis Silkin 的分析，法案文本"很可能在与欧洲议会和理事会的谈判中发生演变"，具体生效时间和细节都还没定。GDPR从提案到正式生效历经四年，DFA现阶段更像一份设计规范，而不是马上要落地的合规要求。
