智能体的自主性不是责任挡箭牌：DRCF 关于智能体经济的联合声明

关键要点

• DRCF——由 CMA、FCA、ICO 与 Ofcom 联合组成——于 2026 年 10 月 30 日发布了一份联合声明，确认现有法律框架适用于个人 AI 智能体，并明确点名竞争法、消费者与数据保护法、在线安全、金融服务、支付和网络安全要求。
• 核心规则只有一句话："AI 智能体的自主性并不会减轻部署该智能体的组织遵守适用法律和相关监管的责任"——监管机构还补充道，若行为存在造成损害的风险，"我们不会犹豫行使我们的权力"。
• 根据英国竞争法和消费者保护法，罚款最高可达全球营业额的 10%，且 CMA 同日发布的修订指引认定，企业对其 AI 智能体的行为所负的责任"与其对员工行为所负的责任相同"——即使该智能体由第三方设计。
• 定价是监管机构明确点名的高危责任场景——Paul, Weiss 的客户备忘录将 CMA 的立场解读为"企业仍须对其 AI 智能体产出的定价结果负责"，这把采购与报价智能体明确纳入了监管范围。
• 该声明向部署者提出了上线前必须回答的六个问题——可见性、授权、数据使用、商业利益、问责与救济——每一个都映射为一项可在上线前构建的控制：披露、授权上限、审计日志、人工监督以及供应商合同中的责任分配。

2026 年 10 月 30 日，组成 Digital Regulation Cooperation Forum（数字监管合作论坛）的四家英国监管机构——Competition and Markets Authority（竞争与市场管理局）、Financial Conduct Authority（金融行为监管局）、Information Commissioner's Office（信息专员办公室）与 Ofcom——发布了关于保护个人智能体经济中人与企业的联合声明（PDF）。文件很短——大约一页——而其中承重的那句话十分直白："我们希望明确：现有法律和监管框架适用于个人 AI 智能体，包括竞争法、消费者与数据保护法、在线安全、金融服务、支付和网络安全要求……AI 智能体的自主性并不会减轻部署该智能体的组织遵守适用法律和相关监管的责任。"在合理怀疑某行为违反法律并存在损害风险时，四家监管机构"不会犹豫行使我们的权力"。

这对任何在生产环境部署智能体的人都很重要，因为该声明推翻了在场最令人安心的假设：把决策交给一个自主系统，责任就会转移到别处。并不会。本文解读该声明与随附发布的 CMA 指引，剖析"是智能体干的"为何不能作为抗辩理由，并将 DRCF 向部署者提出的六个问题映射为中型市场工程团队能够构建的控制——正是上线前治理检查清单一直在主张的部署边界控制。它也延伸了欧盟 AI 法案部署者义务分析所覆盖的欧洲制度；DRCF 声明正是英国方面对"部署者承担合规责任"的平行确认。

四家监管机构到底说了什么

DRCF 声明是一份确定监管方向的文件，而非法规——没有任何新的犯罪化条款，也没有新增费用或申报义务。真正变化的是四家拥有真实执法权力的监管机构公开表明的解释立场：

• 现有框架点名适用。 竞争法、消费者与数据保护法、在线安全、金融服务、支付和网络安全要求——并且声明指出，"许多不在 DRCF 成员职权范围内的法律领域，例如产品安全"。这份清单上没有任何针对智能体的豁免缺口。
• 部署者责任在监管文本中写得明明白白。 上述被引用的句子是这些监管机构迄今发布过的最强部署者责任表述。法律评论界如此评价。Paul, Weiss 的客户备忘录（2026 年 11 月 3 日）将其立场概括为："企业对其智能体负责，正如对其员工负责——即使该 AI 智能体由第三方构建或供应。"
• CMA 同日发布了操作性指引。 与联合声明一同发布的有关于 "Agentic AI and consumers"（智能体 AI 与消费者）的研究报告，以及针对 "Complying with consumer law when using AI agents"（使用 AI 智能体时如何遵守消费者保护法）的修订指引。该指引明确：企业对其 AI 智能体的行为所负的责任与其对员工行为所负的责任相同——即使该智能体由第三方设计。
• 执法意愿是明说的，不是暗示的。 "我们不会犹豫行使我们的权力。"量化之后这很严肃：Paul, Weiss 指出，根据英国竞争法和消费者保护法，罚款最高可达全球营业额的 10%，此外还要承担对受影响消费者的赔偿责任——而且英国法律委员会正在就消费类集体诉讼制度征求意见。
• DRCF 鼓励尽早沟通。 企业被邀请测试产品、尽早提出监管问题，并使用监管机构的沙盒机制——同一姿态中较为温和的一面。

CIO.com 的11 月 6 日报道面向 IT 管理层读者概括了该声明：企业"不能通过把错误归咎于自己部署的 AI 智能体来逃避法律责任"。

为什么"是智能体干的"不能作为抗辩理由

DRCF 的立场并非凭空出现，也不是英国独有的。同一条评论脉络中的三个数据点表明，部署者责任立场正在跨司法辖区汇合：

1. 美国监管机构也在走同一条线。 据 Paul, Weiss 备忘录，FTC 主席在 2026 年 9 月表示，他不会接受将 AI 智能体视为独立行为者；康涅狄格州总检察长则在 2026 年 2 月表示，AI 行业在遵守现行消费者保护与反垄断法律方面与任何其他行业"并无不同"。
2. 竞争法把智能体的中介行为视为部署者自己的行为。 欧盟委员会 2026 年 6 月 9 日针对 Meta 的临时措施——责令恢复竞争对手智能体对 WhatsApp Business API 的访问——把智能体生态边界视作由在位编排者负责回答的竞争问题。一个谈判、定价或引导消费者行为的智能体，在法律意义上是在部署者的"手"之内行动。
3. "忠实仆人"测试把标准从意图转向架构。 据 CMA 的研究报告，其关注点是那些为商业优先级（参与度、转化率）优化的智能体，它们把消费者引向更差的结果——dark patterns 在智能体速度下变得更难察觉。部署者是否有意引导并不是检验标准；智能体的选择架构是否产生了引导才是。

诚实的对冲：DRCF 声明确立的是解释方向，真正检验它的诉讼将耗时数年。部署者应把它当作一个现在就要照着构建的合规姿态来读，而不是一份等着追踪的待决法案。成本的不对称性也支持同样的结论——工程控制是固定范围的构建；而一次竞争调查不是。

责任首先在哪里落地：定价与报价台

监管机构把其中一种行为点得比其余更具体：智能体产出的定价。Paul, Weiss 对 CMA 立场的解读非常直接——"与直接的消费者互动一样，企业仍须对其 AI 智能体产出的定价结果负责。"该备忘录的"智能体合谋"部分还补充了 CMA 自算法定价研究以来一直指出的机制：在集中度高的市场里，互相学习、互相反应的定价智能体可以在竞争者之间没有任何通信的情况下削弱竞争——而部署者依然要为结果负责。

对于本站所服务的 B2B 运营者，这正好落在报价台上。一个销售侧智能体给 RFQ 报价、应用分层价格或进行条款谈判，就是在规模化地生产定价结果。一个按价格为供应商排序的采购侧智能体同样触及竞争敏感地带。在 CMA 所适用的消费者保护法框架下——对智能体负责如同对员工负责——重要的问题是操作层面的，而非哲学层面的：报价是用什么数据算出来的、定价后的条款是否有人工审核、定价逻辑及其审计轨迹对一个没有亲手编写该智能体的人来说是否可读。

同一份声明的领域清单还把支付与金融服务也纳入了范围——这与执行购买或移动资金的智能体工作流相关，智能体支付分析已从结算控制的角度做过覆盖。DRCF 这一条增加的是监管层：智能体发起的支付发生在金融服务与支付监管之内，部署者承担该合规义务。

六个问题，映射为部署者控制

声明中面向部署个人智能体的企业的行动清单包含六项考量：消费者如何理解智能体在何时、以何种方式代其行事；行动授权如何授予；个人数据如何使用；可能影响推荐的商业利益如何传达；谁对智能体的决策负责；以及出了问题如何获得救济。每一项都映射为一个可在上线前构建的控制：

• 可见性 → 在交互点披露智能体身份。 在客户能察觉的时刻，呈现智能体正在行动、代表谁行动。不是政策页面上的披露；而是工作流内的披露。
• 授权 → 带确认门的限定授权上限。 定义智能体可以自主执行什么，并在高风险或不可逆操作前要求客户确认——这正是 Paul, Weiss "限制智能体授权"的要点，在操作上也与带限定凭证的每工具熔断器是同一模式。
• 数据使用 → 数据流最小化并记录。 ICO 在这张桌子上的席位使这成为数据保护问题。记录每次智能体操作读取了哪些个人数据、数据去向何处。
• 商业利益 → 披露排序与激励逻辑。 如果推荐受商业安排影响（排序结果、受偏向的供应商），方法论和激励必须出现在披露里。
• 问责 → 审计日志与指定负责人。 "谁对智能体的决策负责"有一个工程答案：按决策留存的审计轨迹、每个智能体指定的内部负责人，以及对投诉和有争议决策的人工监督——是持续的人工审查，不是周期性的抽检。
• 救济 → 一条真正可用的撤回路径。 消费者需要一条修正智能体行为的途径。操作上，这是一条带人工端点的撤销/补偿工作流，而且一旦争议进入监管机构，它同时也是证据基础。

这些正是本站治理写作自kill-switch 架构分析以来一直在主张的部署边界控制：在你真正拥有的边界上执行。DRCF 声明补上了论证的另一半——边界也是责任所在之地。还有一个额外的控制是合同层面的而非架构层面的：在智能体由供应商提供时，结果仍然是部署者的责任，因此供应商尽调、审计权和赔偿条款属于关键路径上的供应商合同内容（Paul, Weiss 备忘录的"沿供应链向上推风险"和"分配问责"要点）。

下面的图表把该声明组织为部署者应能展示的四层：核心规则、点名适用的监管制度、六个问题，以及回答这些问题所需的具体控制。

相关阅读

• AI Agent Governance Checklist: A Pre-Deployment Review — 本声明所加固的检查清单；将 DRCF 的六个问题作为一条监管明示的尽调条目加入
• EU AI Act Agent Deployments: Compliance — 欧洲部署者义务制度；DRCF 声明是英国方面的平行立场
• Agentic Payments: Close the Procurement Loop — 面向智能体发起支付的结算控制，如今处于 DRCF 点名的金融服务与支付范围之内

申请范围化构建

我们合作的一家中型市场 B2B 运营商在 NetSuite 和 BigCommerce 上运行 RFQ 报价台，智能体在其中定价、验证并起草条款——配有限定授权上限、每一计价行的审计日志、高于既定成交额门槛的人工审核门，以及带审计权和赔偿条款的供应商合同。这就是在部署边界上回答 DRCF 的六个问题，规模适配精简团队。如果您的智能体栈需要的是把这种责任姿态构建出来而不是买进来，请申请范围化构建。

为期一周的发现阶段。您将获得系统清单、工作流地图与固定范围——无论最终是否与我们合作构建。