英国：出海合规概览

1 部法规、8 条已拆解义务、2 条数据出境路径。下面按"什么时候开始管你"和"要做哪几件事"组织。

监管时间线：接下来的节点

2025-06-19
《数据（使用与访问）法》获御准；少数条款当日生效
英国数据保护制度（UK GDPR / DPA 2018，经 2025 年《数据（使用与访问）法》修订）
2026-02-05
数据保护核心修订生效：新自动化决策规则、认可正当利益、目的限制、国际传输"数据保护测试"
英国数据保护制度（UK GDPR / DPA 2018，经 2025 年《数据（使用与访问）法》修订）
2026-06-19
数据主体向控制者投诉的法定机制生效
英国数据保护制度（UK GDPR / DPA 2018，经 2025 年《数据（使用与访问）法》修订）

适用法规（1）

英国数据保护制度（UK GDPR / DPA 2018，经 2025 年《数据（使用与访问）法》修订）

中国 AI 企业在以下任一情形下受英国数据保护制度约束：（1）在英国设有子公司、分支机构、研发中心或雇佣英国员工，处理员工或客户个人数据；（2）虽无英国实体，但向英国境内个人提供 SaaS、模型 API、智能硬件或机器人服务（无论是否收费），并处理其个人数据；（3）对英国境内个人的行为进行监测，例如用埋点／Cookie／SDK 做用户画像、用摄像头或传感器采集英国用户影像、对英国用户做推荐或风控评分；（4）作为英国客户的处理者（受托方）在中国或第三国为其训练模型、做数据标注、提供推理服务——此时英国客户向你传输数据构成"受限传输"，你必须配合其完成 IDTA／附录与数据保护测试。无英国实体但落入第 (2)(3) 项的，还需依 UK GDPR 第 27 条评估是否须指定英国代表。

8 条义务 · 复核 2026-09-12

数据出境路径

英国国际数据传输协议 IDTA 与欧盟 SCC 附录 Addendum
无数量门槛。凡从英国向境外另一组织作出「受限传输」，且不被英国充分性规章覆盖、也不适用「例外」（立法中称减损）的，即须使用适当保障措施，IDTA 或 Addendum 是最常用的两种。术语变化须注意：《2025 年数据（使用与获取）法》(DUAA) 引入了新表述，把传输风险评估在立法中称为「数据保护测试」(data protection test)，ICO 指南仍沿用 TRA 一词；保护标准在 ICO 指南中表述为传输后个人信息的保护标准「不显著低于」(not materially lower)。版本状态：ICO 指南（页面 DC.Date 元数据 2026-01-15）原文载「We plan to update the IDTA and Addendum in the course of 2026. You should continue to use the current versions.」；现行模板为 2022-02-02 依《2018 年数据保护法》第 119A 条提交议会的 IDTA A.1.0 与 Addendum B.1.0；IDTA 第 5.4 条与 Addendum 第 18 条允许双方约定在 ICO 发布新版本时自动更新。
预计周期：估算：单一供应商 2-4 周（含 TRA）；若已有欧盟 SCC 可直接叠加 Addendum，1-2 周即可完成。 · 成本档位 Medium
英国充分性规章（「数据桥」，含 DPF 英国扩展）
无数量门槛。三点必须准确把握：(1) 英国对美国的充分性规章是英国政府独立作出的、且范围仅限依 DPF 英国扩展（UK-US 数据桥）传输的个人信息，与欧盟对美国的第 (EU) 2023/1795 号决定是两份独立文件 —— 因此欧盟侧 DPF 的任何变动（含 C-703/25 P 上诉结果）不自动等于英国侧失效，反之亦然，两侧须分别跟踪；(2) 依赖充分性规章的传输不需要完成传输风险评估，也不需要另设适当保障措施，但 ICO 明示仍应对接收方遵守其当地数据保护义务作出合理、相称的核查；(3) 英国清单与欧盟清单不同 —— 例如直布罗陀在英国清单上而不在欧盟清单上，欧盟与巴西 2026 年初互认的充分性也未出现在 ICO 该页所列清单中，跨欧英双法域运营时不可把一侧清单套用到另一侧。
预计周期：估算：1-3 个工作日（核对与留痕）。 · 成本档位 Low

可以直接用的东西

场景剧本

欧盟企业客户尽调与招投标：48 小时应答机制

交付模板

GDPR 数据保护影响评估（DPIA）——面向 AI 训练与推理场景传输影响评估（TIA）——配合欧盟标准合同条款第 14 条 AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）ISSB（IFRS S1 / S2）可持续相关财务披露报告大纲温室气体清单编制工作底稿（GHG Protocol 范围一 / 二 / 三）客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）ISO/IEC 42001 人工智能管理体系实施与认证准备清单可持续信息第三方保证准备清单（有限保证起步）