代理的自主性不是免責盾牌：DRCF 關於代理經濟的聯合聲明

核心要點

• DRCF 的 CMA、FCA、ICO 與 Ofcom 於 2026 年 10 月 30 日共同發布聯合聲明，確認現行法律架構適用於個人 AI 代理，明列競爭、消費者與資料保護、線上安全、金融服務、支付及資安要求。
• 核心規則只有一句：「AI 代理的自主性不會減輕部署該代理之組織遵守適用法律及相關監管的責任。」 監管機關並表示，當行為有造成損害之虞時，將「毫不猶豫地行使我們的權力」。
• 英國競爭法與消費者保護法的罰款最高可達全球營業額的 10%。CMA 同日修訂的指引指出，企業對 AI 代理行為負責，「如同對員工負責」，即使代理由第三方設計。
• 定價是監管機關明確點名的責任邊界案例。Paul, Weiss 客戶備忘錄將 CMA 的立場解讀為「企業仍須對其 AI 代理產生的定價結果負責」，讓採購與報價代理直接落入範圍。
• 聲明提出上線前應回答的六個問題：可見性、授權、資料使用、商業利益、問責與救濟。每一項均能對應到建置階段的控制：揭露、權限上限、稽核紀錄、人工監督與供應商合約責任分配。

2026 年 10 月 30 日，Digital Regulation Cooperation Forum 的四家英國監管機關——Competition and Markets Authority、Financial Conduct Authority、Information Commissioner's Office 與 Ofcom——發布保護代理經濟中個人與企業的聯合聲明（PDF）。文件約一頁，關鍵句非常直接：「我們要明確指出，現行法律及監管架構適用於個人 AI 代理，包括競爭、消費者與資料保護法、線上安全、金融服務、支付及資安要求……AI 代理的自主性不會減輕部署組織遵守適用法律及相關監管的責任。」當合理懷疑行為違法且可能造成損害時，四家機關將「毫不猶豫地行使我們的權力」。

這對任何部署正式環境代理的人都很重要，因為聲明排除了最令人安心的假設：把決策交給自主系統，就能把責任移到別處。本文解讀聲明及同時發布的 CMA 指引，說明為何「是代理做的」無法成為抗辯，並將六個問題對應到中型企業工程團隊能建置的控制，也就是部署前治理檢查清單所主張的部署邊界控制。本文也延伸歐盟 AI 法案部署者義務分析：DRCF 聲明是英國對海峽另一側部署者同樣承擔合規責任的確認。

四家監管機關實際說了什麼

DRCF 聲明確定方向，本身不是法令：沒有新增犯罪、費用或申報程序。改變的是四家具有實際執法權力的機關共同公開的法律解釋立場：

• 逐項點名適用的現有架構。 競爭、消費者與資料保護法、線上安全、金融服務、支付及資安要求；聲明也提及「許多不屬於 DRCF 成員職權的法律領域，例如產品安全」。清單中沒有代理專屬豁免。
• 監管機關明確表述部署者責任。 法律評論認為，上述句子是這些機關迄今最強的部署者責任表述。Paul, Weiss 備忘錄（2026 年 11 月 3 日）概括：「企業對代理負責，如同對員工負責，即使 AI 代理由第三方建置或供應。」
• CMA 同日提供操作指引。 聯合聲明附有 Agentic AI and consumers 研究與修訂後的 Complying with consumer law when using AI agents 指引。即使第三方設計代理，企業也須如同對員工行為一樣負責。
• 執法意願是明說而非暗示。 「毫不猶豫地行使我們的權力。」Paul, Weiss 指出，英國競爭法與消費者保護法可處全球營業額最高 10% 的罰款，另有對受影響消費者的賠償責任；英國法律委員會也正就消費者集體訴訟制度徵詢意見。
• DRCF 鼓勵及早接洽。 企業可測試產品、及早提出監管問題，並使用監管沙盒；這是同一立場較溫和的一面。

CIO.com 的11 月 6 日報導面向 IT 管理者概括：企業「不能把錯誤歸咎於自己部署的 AI 代理來逃避法律責任」。

為何「是代理做的」無法成為抗辯

DRCF 的立場並非憑空出現，也不是英國獨有。同一法律評論脈絡的三項證據顯示，各司法管轄區的部署者責任立場正在匯合：

1. 美國監管機關採取同樣立場。 Paul, Weiss 備忘錄記載，FTC 主席於 2026 年 9 月表示反對把 AI 代理視為獨立行為者；康乃狄克州檢察長於 2026 年 2 月指出，就遵守現行消費者保護與反壟斷法而言，AI 產業與其他產業「沒有不同」。
2. 競爭法把代理中介行為視為部署者的行為。 歐盟委員會 2026 年 6 月 9 日針對 Meta 的臨時措施，要求恢復競爭代理存取 WhatsApp Business API，將代理生態邊界視為既有編排者必須負責的競爭問題。代理談判、定價或引導使用者時，仍在部署者的法律責任範圍內。
3. 「忠實僕人」測試將標準從意圖移向架構。 CMA 研究關注以互動及轉換等商業目標最佳化，卻引導消費者得到較差結果的代理：暗黑模式在代理速度下更難察覺。重點不是部署者是否有意引導，而是代理的選擇架構是否產生這種結果。

必須保留限制：DRCF 聲明確立解釋方向，檢驗它的訴訟可能耗時多年。部署者應把它視為現在就要建置的合規立場，而非等待追蹤的法案。成本的不對稱也支持這個判斷：工程控制能固定範圍，競爭調查無法如此。

責任首先落在哪裡：定價與報價台

監管機關最具體點名的是代理產生的定價。Paul, Weiss 對 CMA 立場的解讀很直接：「如同直接面對消費者的互動，企業仍須對 AI 代理產生的定價結果負責。」備忘錄的「代理合謀」段落補充 CMA 演算法定價研究的機制：集中市場中的定價代理彼此學習及反應，即使競爭者之間沒有溝通，也可能削弱競爭，而部署者仍對結果負責。

對本站服務的 B2B 營運者，這就落在報價台。銷售代理回覆 RFQ、套用分級價格或協商條款，都是大量產生定價結果；依價格排列供應商的採購代理也涉及競爭敏感事項。依 CMA「如同對員工負責」的消費者法觀點，關鍵是操作問題：報價根據哪些資料計算、是否有人審核價格條款，以及未撰寫代理的人是否能理解定價邏輯與稽核軌跡。

同一聲明也明列支付及金融服務，與執行購買或移轉資金的代理流程直接相關。代理支付分析從結算控制解讀這些流程；DRCF 則補上監管層：代理發起的支付仍受金融服務與支付法規約束，部署者承擔合規義務。

六個問題與部署者控制的對應

聲明要求部署個人代理的企業考量六件事：消費者如何了解代理何時及如何代表自己行動、如何授權、如何使用個人資料、如何說明可能影響推薦的商業利益、誰對決策負責，以及出錯時如何獲得救濟。每項均能在上線前落實：

• 可見性 → 在互動點揭露代理身分。 在客戶會注意到的時刻，顯示代理正在行動及代表誰；揭露應在流程中，而不只在政策頁。
• 授權 → 有確認關卡的限定權限上限。 定義代理可自主執行的操作，並在高風險或不可逆行為前要求客戶確認。這正是 Paul, Weiss「限制代理權限」的建議，也相當於搭配限定憑證的逐工具斷路器。
• 資料使用 → 最小化資料流並留下紀錄。 ICO 的參與說明這是資料保護問題。記錄每次代理操作讀取哪些個人資料，以及資料流向。
• 商業利益 → 揭露排序與誘因邏輯。 若推薦受商業安排影響，例如排序或偏好供應商，方法與誘因都應公開。
• 問責 → 稽核紀錄與指定負責人。 每項決策的稽核軌跡、每個代理的內部負責人，以及對申訴和爭議決策的持續人工監督，才是工程上的答案；不能只定期抽查。
• 救濟 → 可運作的撤回途徑。 消費者需要修正代理行為的管道；實務上是具有人工處理端點的撤銷或補償流程，也能在爭議進入監管程序時提供證據。

這些就是本站自終止開關架構分析以來主張的部署邊界控制：在自己真正掌握的邊界執行。DRCF 補上另一半——責任也位於這條邊界。另有一項屬於合約而非架構的控制：即使代理由供應商提供，結果仍由部署者負責。因此，供應商盡職調查、稽核權及賠償條款是關鍵路徑，對應 Paul, Weiss「沿供應鏈向上分配風險」及「分配問責」的建議。

下圖將聲明分成部署者應能展示的四層：核心規則、具名制度、六個問題及對應控制。

延伸閱讀

• AI 代理治理檢查清單：部署前審查——聲明強化的檢查清單；將 DRCF 六個問題加入明確以監管為依據的盡調項目
• 歐盟 AI 法案：代理部署合規——歐洲部署者義務；DRCF 是英國的平行立場
• 代理支付：閉合採購迴路——代理支付的結算控制，如今明確位於 DRCF 的金融服務與支付範圍內

提出範圍明確的建置需求

我們合作的一家中型 B2B 業者以 NetSuite 與 BigCommerce 經營 RFQ 報價台，由代理定價、驗證及草擬條款，同時具有限定權限上限、每條報價的稽核紀錄、超過交易門檻時的人工審核，以及包含稽核權與賠償條款的供應商合約。這是在部署邊界回答 DRCF 六個問題、適合精簡團隊的作法。若您的代理系統需要建置這種責任架構，歡迎提出範圍明確的建置需求。

一週探索。您將取得系統清單、工作流程圖與固定範圍，無論最後是否委由我們建置。