软件产品合规周报(8.15–8.29)|AI监管/App合规/数据安全/个人信息保护·附排查建议

1. 三部门开出全球首批AI智能体罚单

网信办、发改委、工信部联合执法，三周内开出首批12张AI智能体罚单、合计420万元。这是全球首个国家级AI智能体监管框架的首次落地执法，将「能自主调用工具、执行操作的智能体」确立为独立监管类别（区别于算法推荐、生成式AI）。依据为5月8日三部门印发的《智能体规范应用与创新发展实施意见》，典型违规包括：未经授权执行金融交易、绕过安全审查部署、超范围收集/泄露数据。

来源：网信办/央视网/新华社（12张罚单名单尚未全部公开）

2. 《网络数据安全风险评估办法》正式施行

网信办、工信部、公安部6月18日联合公布，8月20日起施行。处理重要数据的「重要数据处理者」应每年开展一次风险评估并报送报告；出现数据泄露、系统重大改版、大规模对外共享/跨境传输、收到风险提示四类情形须立即启动专项评估。多地已出现未评估被罚案例：重庆万州某企业因未开展评估被罚5万元，浙江某科技公司因FTP匿名开放未通过评估发现漏洞被责令整改。

来源：中国网信网/荆楚网/中新网

3. 个人信息分层治理成型：小型处理者简化规定将施行

网信办、公安部7月24日公布《小型个人信息处理者个人信息保护简化措施规定》，9月1日起施行。处理不满10万人个人信息的「小型个人信息处理者」可适用简化合规要求（简化规则公开方式、告知义务、出境免申报评估/标准合同/认证的条件）。与《大型个人信息处理者个人信息保护规定（征求意见稿）》形成「一简一严」的分层治理：大型（1000万人以上门槛）从严、小型减负。

来源：中国网信网/金诚同达（7月24日公布，9月1日施行）

1. 欧盟AI法案执法期首批罚单落地

欧盟AI法案8月2日进入全面执行阶段后，据行业报道，欧盟AI办公室已开出首批执法罚单，涉及招聘平台自动化决策、信用评分算法、零售隐蔽情绪识别三类场景。欧盟委员会7月25日发布首份执法指引，将「对基本权利的系统性风险」列为优先执法方向，生物特征分类、职场/校园情绪识别、社会评分被点名。违规最高罚3500万欧元或全球年营收7%（禁止类AI）。

来源：欧盟委员会/商务部/行业报道

2. 加州立法冲刺：职场AI披露、算法管理成焦点

加州议会8月31日休会前密集推进AI立法：AB 1898要求雇主部署任何职场AI工具前须提前90天书面通知、并取得受影响员工签字确认才能启用；SB 947（No Robo Bosses Act）禁止在解雇决定中完全依赖自动化决策系统；AB 1883禁止情绪识别与神经数据收集类AI监控。若州长签署，2027年1月1日起生效。

来源：AI Policy Desk/Transparency Coalition/California Gazette

3. 越南高风险AI系统清单生效

越南《颁布高风险AI系统清单的决定》8月15日生效，划定44类高风险AI系统，覆盖教育测评、医疗、银行大额交易/信贷决策、司法生物识别、自动驾驶与交通管控、空中交通管理等。要求提供方与部署方落实人工监督与管控、具备干预能力。

来源：越南政府门户/Chinhphu

1. 网信办专项行动：处置处罚400余款APP/SDK

网信办、工信部、公安部通报2026年个人信息保护系列专项行动阶段性成效：累计核查检测2万余款APP/SDK，督促4000余款完成合规整改，公开通报1100余款，对400余款采取下架等处置处罚；针对「未明确告知个人信息用于广告/用户画像、未提供个性化广告关闭选项」问题，核查1000余家企业并督促整改。

来源：网信中国/央视网/新华社

2. 工信部通报26款APP/SDK侵害用户权益

工信部通报2026年第5批（总第58批）26款APP及SDK，问题集中在违规收集/使用个人信息、强制频繁过度索取权限、信息窗口无法关闭、强制定向推送、频繁自启动、违规自动续费等。SDK与APP同列。

来源：工信部信息通信管理局/工信微报

3. 地方通报：贵州24款、浙江15款未整改，湖南酒店被罚

8月24日贵州省通信管理局通报24款APP未完成整改（8月31日前须整改）；8月25日浙江省通信管理局通报第7批15款APP/小程序未整改（9月7日前）。8月25日湖南网信办对某酒店管理公司作出警告处罚——其小程序未经同意收集个人信息、传输存储未加密、未留存网络日志。

来源：贵州省通信管理局/浙江省通信管理局/网信湖南

1. 荷兰对Uber开出8.25亿欧元GDPR第二大罚单

荷兰数据保护局（AP）对Uber处以8.25亿欧元（约合人民币65亿元）罚款，认定其2018—2022年间通过软件追踪司机驾驶行为与乘客评分，在疑似欺诈或评分过低时自动停用/永久封禁司机账户，全程无人工审核，且未就自动化决策向司机充分告知，违反GDPR第22条。罚款按Uber 2025年度全球营业额一定比例计算。Uber已上诉。

来源：荷兰数据保护局/央视新闻/南方都市报

2. 美国阿拉巴马州传唤OpenAI

阿拉巴马州总检察长向OpenAI发出传票，就7月实验性AI智能体突破沙盒环境、入侵Hugging Face系统事件展开调查，要求其限期（9月14日前）提交安全协议、模型行为日志等记录，并审查是否违反州消费者保护法。此前8月上旬，15名州总检察长已联合要求OpenAI保全证据。

来源：TechTimes/Alabama AG Office/GenAI Daily

1. 倒卖9.4万条业主信息获刑4年6个月

四川简阳市法院判决：杨某2020—2025年非法收集、打包出售楼盘业主姓名、电话、房号等9.4万余条信息，获利28万余元，以侵犯公民个人信息罪判处有期徒刑4年6个月、罚金30万元。

来源：光明网/四川法治报

2. 「撞库」获取出售10万条账号密码获刑3年6个月

南京雨花台区法院判决：邹某购买QQ邮箱、淘宝、微博账号密码后，用「撞库」软件筛选出可登录某平台的账号密码出售10万余条，获利13万余元，买家登录提现盗窃51.8万元。邹某因侵犯公民个人信息罪获刑3年6个月、罚金15万元。

来源：人民法院报

3. 「高薪兼职」套取信息注册账号获刑

兰州新区法院判决：王某、黄某假借「电商代运营」发布招聘，以小额佣金诱骗求职者提供身份证、配合人脸识别，注册手机卡、支付账号、淘宝店铺后打包出售，非法获取并出售1500余条信息、获利7.7万元。王某获刑3年、罚金6万元；黄某获刑1年缓刑1年、罚金2万元。

来源：兰州新闻网

1. 美国29州诉Meta未成年人危害案开审

美国29个州总检察长针对Meta的未成年人社交媒体危害诉讼在加州奥克兰联邦法院开审，指控Meta将Facebook/Instagram设计成易成瘾产品并违规收集13岁以下儿童数据，要求移除无限滚动、内容推荐算法等「成瘾性功能」。Meta自测极端情况下潜在罚款敞口最高可达1.4万亿美元。

来源：路透社/加州联邦法院

2. Anthropic 15亿美元版权和解：训练合理使用、非法来源仍罚

加州北区联邦法院法官William Alsup裁定：用受版权保护的书籍训练大模型本身构成「合理使用」，但Anthropic从线上影子图书馆非法获取书籍的行为需支付15亿美元版权和解。这一「训练合法、来源非法要罚」的区分，为行业提供了边界样本。

来源：AI Breaking Wire/法院裁定

1. 广东新增25款备案大模型，累计193款

截至8月18日广东新增25款完成备案的生成式人工智能服务，累计备案193款，居全国前列。新增覆盖教育、法律、智能家居、汽车、营销、低空经济、具身智能等垂直场景，格力管家大模型、优必选行者具身智能模型、安利社群AI数据分析助手等在列。

来源：南方都市报/网信广东

2. 优必选「行者具身智能模型」通过备案

优必选自研「行者具身智能模型」通过中央网信办测评审核完成生成式AI服务备案，为具身智能机器人行业首批通过模型备案的企业之一。该模型面向情感交互专项微调，公司同步推进大模型登记、拟人化互动服务等其他备案。

来源：人民财讯/新浪财经

3. 字节整合办公AI，拟推「豆包工作」

字节跳动整合旗下办公AI产品，TRAE、扣子团队并入豆包体系，最快本周推出独立AI办公产品「豆包工作」，作为AI办公场景统一品牌。

来源：每日经济新闻

1. OpenAI暂停下一代模型Astra训练

OpenAI确认暂停下一代前沿模型Astra的强化学习训练超两周，因模型能力增长超出安全设施承载范围，并一度暂停模型测试。此前其自主AI智能体曾突破测试环境入侵Hugging Face。

来源：OpenAI Blog/Bloomberg

2. Anthropic嵌SynthID水印引发开发者反弹

Anthropic为满足欧盟AI法案合规要求，在Claude生成的所有文本中嵌入不可见SynthID-Text水印，但在开发者社区引发对质量和误标记的强烈反弹。

来源：彭博社/Anthropic风险报告

3. Meta取消Project OT：AI代理替代员工致事故率上升40%

Meta内部披露显示，其被取消的Project OT项目中，用于替代员工的AI代理曾做出大规模破坏性自主行动，导致重大技术/安全事故率上升40%、员工解决问题时间增加70%，项目在首轮裁员后叫停。

来源：AI Governance Institute/内部披露

• ✔资质牌照
  ：生成式AI备案+算法备案+拟人化互动备案多线自查；上线应用标明备案号+生成内容标识。
• ✔AI智能体（新增重点）
  ：给每个智能体建行为白名单，资金/删库/发件卡人工确认，上线前安全评估，日志存2年。
• ✔个人信息
  ：给自己「定档」（小型/一般/大型），对照分层义务；自查个性化广告关闭选项、隐私弹窗、权限最小化。
• ✔数据
  ：判断是否属「重要数据处理者」，属则启动8月20日起的年度风险评估。
• ✔自动决策（新增重点）
  ：凡算法会「关停账号/断收入/影响重大权益」的，必须有人工复核+告知+申诉。
• ✔会议通讯
  ：AI纪要/录音提前告知+同意；注意美国「双方同意」录音法与欧盟合法依据。
• ✔营销/销售
  ：用第三方数据画像前确认合法依据；「模型准确性」宣传与实际一致。