康涅狄格州新规 10 月 1 日正式生效，这一次瞄准的是消费端和数据端。州议会 2026 年立法季通过的两部法案——《人工智能责任与透明法案》（CART Act，Public Act 26-15，官方法案名为《在线安全法案》）的 AI 相关条款，以及《消费者隐私与保护法案》（Public Act 26-64，康涅狄格州消费者隐私法 CTDPA 的扩张修正案）——自 2026 年 10 月 1 日起对在该州经营的企业产生法律约束力。两部法案均由州长于 2026 年 5 月 11 日签署。昨天生效的是同一批立法里的雇主 AI 披露义务；今天生效的这一批，则面向 AI 订阅服务商、数据经纪人和所有处理康涅狄格居民消费者数据的企业。
AI 订阅服务商：签约前必须书面告知，并取得书面同意
CART 法案第 1 条是 10 月 1 日生效条款中对 AI 产品公司最直接的一条：订阅制的 AI 服务提供商，在与消费者订立或续签合同时，必须先书面告知关键订阅条款，再取得消费者的书面接受。换句话说，ChatGPT Plus 这类按月付费的 AI 订阅产品，在康涅狄格州的订购和续费流程里，不能再靠一行默认勾选的复选框蒙混过关——条款必须单独成文、清晰呈现，同意必须是消费者的明确书面动作。这一条的适用对象不分公司总部在哪，只看用户是不是康涅狄格居民。
数据经纪人：2027 年起要年度注册，还要配合全国首个集中删除机制
Public Act 26-64 对出售或授权许可消费者数据的企业提出了新的注册要求：自 2027 年 1 月 1 日起，这类企业须向康涅狄格州消费者保护部进行年度注册、缴纳年费、维持合规的隐私政策，并公开说明数据收集实践和消费者行使隐私权利的方式。更重要的是，康涅狄格将建立美国首个州级集中删除系统：消费者通过一次请求，就能要求所有注册数据经纪人删除其个人数据，经纪人须建立流程并按法案标准审查处理，审查周期为每 45 天。靠囤积、转手个人数据获利的生意，在康州的合规成本将明显上升。
精确地理位置数据禁止出售，“监控定价”被盯上
新规明确禁止企业和第三方出售康涅狄格居民的精确地理位置数据，这条禁令没有宽限期，10 月 1 日直接生效。另一条值得注意的，是对“监控定价”（surveillance pricing）的限制：利用消费者追踪或行为数据进行个性化、提价的做法受到限制，部分 AI 驱动的定价工具还必须向消费者披露。法案甚至给出了示例披露措辞：「THIS PRICE WAS INCREASED BY A PRICE SETTING DEVICE USING YOUR PERSONAL DATA.」（大意：该价格系使用您个人数据的定价装置上调。）电商、出行、外卖平台如果在康州用算法给不同用户展示不同价格，定价逻辑要先自查一遍。康州这一步与加州、纽约、马里兰州同向——马里兰州 HB 895 同一天生效，禁止食品零售商和外卖平台用个人数据搞动态定价，违规单次最高罚 1 万美元。
AI 伴侣产品：身份披露、未成年人保护、自杀干预缺一不可
CART 法案还对“AI 伴侣”（指通过自然语言界面提供自适应、拟人化回应，并能在多次交互中维持关系的 AI）设立了专门义务：运营者必须定期向用户披露其正在与 AI 交互；对未成年人建立保护措施；具备识别和响应自杀、自残信号的能力；限制操纵性或有害互动。法案对“明知或有理由认为用户是未成年人”的运营者施加了更重的义务——“故意装作不知道用户年龄”不是可行的合规策略，年龄验证流程必须提上日程。
企业现在要做的几件事
第一，更新订阅合同与订购流程，把关键条款的书面告知和书面同意做成单独环节；第二，盘点数据的买卖与共享链条，判断自己是否构成法案下的“数据经纪人”，为 2027 年注册做准备；第三，立即停止精确地理位置数据的出售和对外共享；第四，审查动态定价、个性化定价的算法逻辑和披露文案；第五，为 AI 伴侣类产品补上身份披露、未成年人保护和危机干预机制；第六，同步更新隐私声明、数据留存与删除流程，对画像和自动化决策补做影响评估。
风险在哪里
首先是执法风险：新规由州总检察长和消费者保护部执行，康州历史上对隐私执法的态度一向积极。其次是跨州合规的复杂化——在多州经营的企业需要逐州对账，不能再用一套全国模板应付。再次是运营成本：集中删除机制、45 天审查周期、年度注册费，都是实打实的持续投入。最后提醒一句时间边界：CART 法案里针对雇主的 AI 用工披露义务，大部分要到 2027 年 10 月 1 日才生效（康涅狄格州雇主的 AI 招聘披露义务 已单独讲过），别把消费端和雇主端的两套时间表搞混。
