欧盟《数字公平法》剑指AI购物代理：三档授权、6%罚款

2026年11月11日，欧盟委员会正式拿出《数字公平法》（Digital Fairness Act，下称DFA）。其中一条专门管AI购物代理的条款，很快在技术圈传开：只要企业面向欧盟消费者提供AI购物助手，就得在用户第一次使用时，让对方从三档授权模式里挑一个。违规最高罚全球年营业额的6%。在正式立法层面把"AI代理究竟能替人做多少决定"划出边界，这是头一回。

相关条款落在DFA第26至27条。三档授权是这么分的：第一档叫"全部确认"，AI每次代用户签约购物之前，都得先拿到用户明确同意；第二档叫"条件自动"，用户事先把条件设好，包括金额上限和有效时长，AI在条件范围内可以自己执行，越界才需要确认；第三档叫"完全委托"，用户放弃事前审批权，让AI全权代劳。法律分析机构 Lewis Silkin 报道称，提案要求平台把用户的选择用"持久媒介"（电子邮件或可存档文件）传达给用户，以保证其法律效力。

不过，就算用户选了第三档"完全委托"，法律还是给这种授权留了一条不能碰的例外线：一旦AI购物助手的提供商从交易方手里拿报酬，或者跟卖家存在任何利益冲突，不管用户此前怎么授权，这笔交易都得重新交回用户确认。这条例外盯上的，是眼下AI推荐系统里最难察觉的一类失控风险——代理嘴上替用户做决策，实际是在替另一个付钱的甲方做决策。

落到工程实现上，三档授权本身并不复杂，真正难的是它背后的合规基础设施。代理系统每次发起交易前，都得查一遍用户当下的授权状态，而且这个查询要发生在实际提交订单之前，不是之后。同时，系统得实时判断当前交易有没有触发"利益冲突"例外——哪些推荐是付费植入、哪些不是——一旦触发，就中断自动流程，推送人工确认请求。还有，所有授权记录都要以用户能留存的形式落地，光靠前端状态管理不够，后端得维护完整的授权事件日志。

DFA还留了一处刻意空着的地方：法规并不要求平台把用户设定的金额上限主动告诉卖家。放到跨系统交易场景里，这就成了一个执行缺口——用户端的限额约束能不能在供应链下游真正生效，看的是买方平台怎么实现技术，法律并不强制。对那些依托第三方卖家生态系统运营的AI购物助手（比如嵌在电商平台里的AI代理）来说，这个缺口意味着合规责任边界依旧模糊。

整体看，DFA是对欧盟2005年《不公平商业行为指令》（UCPD）的系统性替代。二十年前的立法框架，预见不到AI代理会以用户身份代替人类签约，也预见不到推荐算法能在消费者毫无感知时植入商业利益。这次DFA把若干"暗模式"明确列为违法，包括虚假库存紧张提示、羞辱式退订设计（比如让用户点"我不喜欢好优惠"才能退订），以及预先勾选的默认选项。AI购物代理之外，提案还规定了订阅服务的简单退出机制、动态定价的全额披露要求，以及针对未成年人的虚拟货币默认关闭规则。委员会估计，这些措施若全面落地，欧盟消费者每年可省下约137亿欧元。

对全球AI代理产品的开发者来说，这份提案的影响不止于欧盟市场。AI购物助手的技术架构一般是全球统一部署的，给欧盟用户加上三档授权选择，就意味着产品在全球范围内都得支持一套授权状态管理机制，否则就得为欧盟单独维护一套并行架构。从以往经验看，企业选前者的概率远高于后者——2018年GDPR出台后，大批科技公司直接把欧盟标准的隐私设置推给了全球用户，《数字公平法》有可能触发类似的"布鲁塞尔效应"。

对消费者组织来说，这份提案给了一个此前从未有过的法律抓手：当AI代理没拿到明确授权就替用户完成了一笔购买，或者在存在付费植入时没提示就自动下单，消费者第一次有了明确的权利依据。在这之前，这类纠纷只能去翻平台服务条款，而条款通常是平台自己定的。

对行业来说，合规成本这个问题绕不开。三档授权在前端实现并不复杂，可要把利益冲突检测逻辑嵌进购物代理的决策链路，就涉及推荐系统架构的深层改造——尤其当推荐模型本身不区分"付费优先"和"相关性优先"时，这条检测线几乎得在系统级重新设计。提案若最终通过，那些AI代理能力还在早期、推荐系统与付费逻辑深度耦合的平台，合规改造代价会远大于架构设计时就做了清晰分层的系统。

立法进程上，提案目前进入欧洲议会和理事会的审议阶段。据 Lewis Silkin 分析，法案文本"很可能在与欧洲议会和理事会的谈判中发生演变"，具体生效时间和细节都还没定。考虑到GDPR从提案到正式生效走了四年，DFA现阶段更像一份设计规范，而不是马上要落地的合规要求。