科罗拉多州人工智能法

高风险人工智能系统的开发者须向部署者或其他开发者提供：合理可预见用途与已知有害/不当用途的总体说明；披露训练数据类型的高层摘要、已知或合理可预见的局限（含算法歧视风险）、系统目的、预期收益与用途，以及使部署者得以履行 6-1-1703 各项义务的全部其他信息；并说明上市前如何评估性能与缓解算法歧视、训练数据集的数据治理措施与数据来源适当性/偏差审查、预期输出、开发者已采取的缓解措施，以及该系统在作出重大决定时应如何被使用、不应被如何使用与如何由人工监控。

触发条件

向科罗拉多州部署者提供招聘筛选、信贷评分、教育录取、医疗、住房、保险、法律服务等「重大决定」场景 AI 系统的中国 AI 企业（含通过美国经销商或 SaaS 渠道间接提供的情形）。

开始适用：2026-06-30

做完之后应留存的证据

• · 高风险系统说明文件（用途、限制、禁止用途）
• · 模型卡 / 数据集卡（含训练数据类型高层摘要与数据治理措施）
• · 上市前性能与算法歧视评估报告
• · 交付给部署者的文档交付记录与版本台账

首次达标投入估算：10–25 人日（估算，非承诺）

开发者须公开发布声明，概述其已开发或已实质修改、且当前向部署者或其他开发者提供的高风险系统类型，以及如何管理由此产生的已知或合理可预见算法歧视风险。另须在发现算法歧视、或收到部署者可信报告之日起 90 日内，向科罗拉多州总检察长以及已知的部署者、其他开发者披露该系统已造成或很可能已造成的算法歧视。

触发条件

所有落入开发者定义的主体，包括对第三方基座模型做实质性修改后对外提供的中国企业。

时限：发现或收到可信报告后 90 日内

开始适用：2026-06-30

做完之后应留存的证据

• · 公开声明页面存档（含更新时间戳）
• · 算法歧视事件登记簿（发现日期、来源、评估结论）
• · 向总检察长与部署者发出的 90 日内通知副本
• · 事件调查与整改记录

首次达标投入估算：3–10 人日（估算，非承诺）

部署者须实施风险管理政策与程序，明确用于识别、记录与缓解已知或合理可预见算法歧视风险的原则、流程与人员，并在系统全生命周期内迭代、定期系统性复核更新。合理性判断须参考 NIST《人工智能风险管理框架》最新版本、ISO/IEC 42001，或其他与本编第 17 部分要求实质等同或更严格的公认框架（或总检察长指定的框架），并结合部署者规模与复杂度、所部署高风险系统的性质与范围及其预期用途、以及处理数据的敏感性与体量。

触发条件

在科罗拉多州使用高风险 AI 系统作出重大决定的主体，包括中国企业在美国的招聘、信贷或客户筛选团队。雇员少于 50 人全职当量且不使用自有数据训练该系统等条件全部满足时可豁免本项。

开始适用：2026-06-30

做完之后应留存的证据

• · 风险管理政策与程序文本（标注对标框架版本）
• · 负责识别、记录与缓解风险的人员与职责清单
• · 定期复核与更新记录（含复核日期与变更点）
• · 豁免适用性评估（全职当量人数与训练数据使用情况）

首次达标投入估算：15–40 人日（估算，非承诺）

部署者（或其委托的第三方）须就所部署的高风险系统完成影响评估，并至少每年一次、以及在实质性修改发布后 90 日内重新完成。评估至少应包括：系统目的、预期用例、部署情境与收益说明；是否存在已知或合理可预见的算法歧视风险及其性质与已采取的缓解步骤等法定要素。相关记录须自最后一次部署起至少保存 3 年。

触发条件

同上；小型部署者豁免条件不满足时即须执行。

时限：部署前完成，至少每年一次，重大修改发布后 90 日内更新；记录保存至少 3 年

开始适用：2026-06-30

做完之后应留存的证据

• · 影响评估报告（首次、年度与重大修改后版本）
• · 评估所依据的开发者文档与内部测试数据
• · 影响评估记录 3 年留存的归档索引
• · 重大修改触发的 90 日内重评记录

首次达标投入估算：8–20 人日（估算，非承诺）

当高风险系统作出重大决定或在其中起实质作用时，部署者须直接以通俗语言通知消费者。若该决定对消费者不利，还须提供：决定主要理由的说明（包括该系统在多大程度上、以何种方式参与决定，所处理的数据类型及其来源）；更正被处理的不正确个人数据的机会；以及对该不利决定提出申诉的机会——在技术可行时须允许人工复核，除非提供申诉不符合消费者最佳利益（例如延误可能危及生命或安全）。

触发条件

在科罗拉多州以 AI 辅助作出招聘、信贷、保险、住房、教育、医疗等重大决定的部署者。

开始适用：2026-06-30

做完之后应留存的证据

• · 消费者通知模板与实际发送记录
• · 不利决定理由说明模板（含数据类型与来源字段）
• · 数据更正请求与处理台账
• · 申诉受理、人工复核与结论记录

首次达标投入估算：10–25 人日（估算，非承诺）

部署者如在部署高风险系统后发现该系统已造成算法歧视，须无不合理拖延地、且不迟于发现之日起 90 日内，按总检察长规定的格式与方式发出披露通知。总检察长另可要求部署者或其委托第三方在请求后 90 日内提交风险管理政策、影响评估或相关记录。

触发条件

所有在科罗拉多州部署高风险 AI 系统的主体。

时限：发现后 90 日内；应要求提交材料的期限为请求后 90 日内

开始适用：2026-06-30

做完之后应留存的证据

• · 算法歧视发现与内部升级记录（含发现日期认定依据）
• · 向总检察长提交的披露通知与回执
• · 应总检察长要求提交的材料清单与提交记录
• · 整改计划与验证结果

首次达标投入估算：2–8 人日（估算，非承诺）

在科罗拉多州开展业务、部署或提供拟与消费者交互的人工智能系统的主体，须确保每位与该系统交互的消费者被告知其正在与人工智能系统交互。该义务不限于高风险系统，适用于面向消费者的对话式产品。

触发条件

在科罗拉多州提供 AI 客服、AI 助手、陪伴型对话产品的中国企业。

开始适用：2026-06-30

做完之后应留存的证据

• · 产品界面披露文案与截图（含各入口）
• · 披露逻辑的产品需求文档与上线记录
• · 多语言版本披露一致性检查记录
• · 例外情形（对理性消费者显而易见）判断说明

首次达标投入估算：2–6 人日（估算，非承诺）