CCPA 更新、保险、网络安全审计、风险评估与自动化决策技术（ADMT）法规
加州隐私保护局（CalPrivacy） · Cal. Civil Code § 1798.100 及以下；11 CCR §§ 7120-7121、7150-7157、7200、7220-7222
在 CCPA/CPRA 既有的消费者权利与企业义务之上，加州隐私保护局于 2025 年 9 月完成的法规包新增三条主线：一是风险评估——凡出售或共享个人信息、处理敏感个人信息、将自动化决策技术用于重大决定，或对求职者/员工/学生等群体做系统性观察并推断其能力、表现、健康、行为或行踪的处理活动，须在开始前完成风险评估，并按规定向该局提交汇总信息；二是自动化决策技术——用 ADMT 作重大决定的企业须提供使用前告知、退出机制与访问请求渠道，并于 2027-01-01 前完成合规；三是网络安全审计——达到规定规模的企业须按收入分三批（2028/2029/2030 年 4 月 1 日）完成首份审计报告，此后转为年度滚动义务。
中国 AI 企业在以下动作上被管到：（1）其面向加州消费者的产品收集个人信息，且主体达到 CCPA「企业」门槛（2025-01-01 起年度总收入门槛为 26,625,000 美元）；（2）以算法参与招聘、晋升、解雇、信贷、住房、教育或医疗服务等重大决定——触发风险评估与 ADMT 全套义务；（3）以计算机视觉或行为分析对求职者、学生、员工或独立承包商做系统性观察并推断其能力、绩效、健康、偏好、可靠性、位置或行动轨迹——这一项直接覆盖办公监控、考试监考、工厂行为识别类产品；（4）出售或共享加州消费者个人信息，或处理敏感个人信息（含生物识别信息）；（5）在上一日历年处理了 25 万名以上消费者或家庭的个人信息，或 5 万名以上消费者的敏感个人信息，从而触发网络安全审计。
重点行业：通用、企业软件 SaaS、大模型 / 生成式 AI、金融科技 AI、医疗 AI、计算机视觉
2025-01-01
CCPA 金额门槛调整生效
《民法典》第 1798.140(d)(1)(A) 条年度总收入门槛由 25,000,000 美元调整为 26,625,000 美元。
2026-01-01
CCPA 法规（含 ADMT、风险评估与网络安全审计条款）生效
CalPrivacy 法规索引页载明《CCPA 法规》自本日起有效。
2027-01-01
ADMT 条款合规截止日
2027-01-01 前已将 ADMT 用于重大决定的企业，须于本日前完成合规；此后开始使用的，须在使用的任何时点即处于合规状态。
2028-04-01
首批风险评估提交与第一档网络安全审计报告截止日
2026 与 2027 年开展的风险评估须于本日前提交；2026 年度年收入超过 1 亿美元的企业须于本日前完成首份网络安全审计报告（审计期 2027-01-01 至 2028-01-01）。
2029-04-01
第二档网络安全审计报告截止日
2027 年度年收入介于 5,000 万至 1 亿美元的企业，审计期 2028-01-01 至 2029-01-01。
2030-04-01
第三档网络安全审计报告截止日
2028 年度年收入低于 5,000 万美元的企业，审计期 2029-01-01 至 2030-01-01；此后转为滚动年度审计。
每条都写明触发条件、需要留存的证据与条款出处
先判定自身是否落入《加州消费者隐私法》的「企业」定义。自 2025-01-01 起，《民法典》第 1798.140(d)(1)(A) 条的年度总收入门槛经通胀调整为 26,625,000 美元。门槛判定结论应形成书面记录并每年复核，因为后续的风险评估、网络安全审计与 ADMT 义务均以此为前置。
首次达标投入估算：2–5 人日（估算，非承诺）
凡处理活动对消费者隐私构成重大风险者，企业须在开始该处理前完成风险评估。法规列举的重大风险活动包括：出售或共享个人信息；处理敏感个人信息（为发放薪酬、确定与存储用工资格、管理员工福利、依法提供合理便利或依法工资申报而处理员工与独立承包商敏感信息的，不在此列）；将自动化决策技术用于对消费者的重大决定；以及基于对消费者在教育项目申请人、求职者、学生、员工或独立承包商身份下的系统性观察，以自动化处理推断或推测其智力、能力、资质、工作表现、经济状况、健康（含心理健康）、个人偏好、兴趣、可靠性、倾向、行为、位置或行动轨迹。
首次达标投入估算：10–30 人日（估算，非承诺）
2026 年与 2027 年开展的风险评估，须在 2028-04-01 前向加州隐私保护局提交法定信息；2027 年之后开展的评估，须在开展评估年度次年的 4 月 1 日前提交。提交内容包括企业名称与联系人（姓名、电话、邮箱）、提交所覆盖的时间区间（精确到年月）、期间开展或更新的风险评估数量（总数及按各触发活动分列），以及这些评估是否涉及《民法典》第 1798.140(v)(1)(A)-(L)、(ae)(1)(A)-(G)、(ae)(2)(A)-(C) 各类个人信息与敏感个人信息。
首次达标投入估算：3–8 人日（估算，非承诺）
企业使用自动化决策技术对消费者作出重大决定的，须向消费者提供使用前告知；除法规规定的例外情形外，该告知还须说明消费者退出该使用的权利及行使方式。已在 2027-01-01 前使用 ADMT 作重大决定的企业，最迟须于 2027-01-01 前完成合规；2027-01-01 当日或之后开始使用的，须在使用 ADMT 作重大决定的任何时点即处于合规状态。
首次达标投入估算：10–25 人日（估算，非承诺）
企业须建立并公示 ADMT 退出请求（§7221）与 ADMT 访问请求（§7222）的受理渠道与处理流程。若企业依 §7221(b) 的例外不提供退出权，须在使用前告知中说明其所依据的例外，并按该条要求向消费者作相应说明。
首次达标投入估算：10–25 人日（估算，非承诺）
若企业的处理对消费者安全构成重大风险，则须完成网络安全审计。触发条件为：符合《民法典》第 1798.140(d)(1)(C) 门槛；或符合第 (d)(1)(A) 收入门槛，且在上一日历年处理了 250,000 名以上消费者或家庭的个人信息，或处理了 50,000 名以上消费者的敏感个人信息。首份审计报告期限按收入分批：2026 年度年收入超过 1 亿美元（以 2027-01-01 计）的，最迟 2028-04-01，审计期为 2027-01-01 至 2028-01-01；2027 年度年收入在 5,000 万至 1 亿美元之间（以 2028-01-01 计）的，最迟 2029-04-01，审计期为 2028-01-01 至 2029-01-01；2028 年度年收入低于 5,000 万美元的，最迟 2030-04-01，审计期为 2029-01-01 至 2030-01-01。2030-04-01 之后转为滚动年度审计。
首次达标投入估算：20–60 人日（估算，非承诺）
CCPA 的行政罚款与数据泄露法定赔偿由《民法典》相关条款规定，本轮未逐条抓取具体金额，故不在此列明。加州隐私保护局与州总检察长均可执法。
本条的义务内容取自 CalPrivacy 网站公布的法规批准文本 PDF，§§7120、7121、7150、7155、7157、7200、7220 的门槛、分批截止日与合规日已逐字核对。该 PDF 未载明批准日，且仍含两处「[OAL to fill in the effective date of these regulations]」占位符，其在《加州法规汇编》中的最终编号与条文措辞未在本轮核对；「2025 年 9 月」与「CCPA 法规自 2026-01-01 起有效」来自 CalPrivacy 法规索引页。金额门槛依《民法典》第 1798.199.95(d) 条每逢奇数年按消费者价格指数调整，因此 26,625,000 美元为 2025-01-01 起适用的数值，自 2027-01-01 起的新数值须重新核实。CCPA 罚则金额本轮未核实。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。