读懂｜英国四家监管机构把智能体的错记在部署方账上

英国四家监管机构 10 月 30 日联合声明，智能体再自主也不减部署方责任。声明没有新规，要和 CMA 指南、ICO 征求意见稿一起读。

在英国，企业部署的 AI 智能体做错了事，智能体是自主行动的，不能成为减轻企业责任的理由。英国四家数字监管机构 2026 年 10 月 30 日的联合声明，把这一点写成了明文。

读者最想问的是：从供应商那里买来的智能体出了错，谁来担？暂时的答案是部署它的企业。声明本身没有新规，但把它和 CMA 的消费者法指南、ICO 的征求意见稿放在一起读，责任链已经很清楚：供应商合同转不走对客户的责任。

声明没有新规，写的是四家一起执法

据 DRCF 官网，这份声明由竞争与市场管理局 CMA、金融行为监管局 FCA、信息专员办公室 ICO 和通信管理局 Ofcom 共同发布，对象是替用户下单、联系商家的个人 AI 智能体。DRCF 是这四家机构的协作平台。

声明全文是 PDF，本站没能打开原件。下面的原话据律所 Burges Salmon 和 TSN 两处转引，两处文字一致：

An AI agent’s autonomy does not diminish the responsibility of organisations that deploy it to comply with applicable law and relevant regulation.

意思是，智能体的自主性不减轻部署方守法的责任。声明列出已适用的法律：竞争法、消费者法、数据保护法、在线安全、金融服务、支付和网络安全要求，还提到产品安全这类四家职责以外的法律。

据 TSN 的梳理，声明要企业想清六件事：

声明本身没有罚则，能落到罚款上的，是 CMA 指南里写明的现行规定。据 GOV.UK 页面记录，这份《使用 AI 智能体时遵守消费者法》3 月 9 日首发，10 月 30 日更新，更新说明只有一句：DRCF 联合声明已发布。

指南的核心句是，企业要像对员工的行为负责那样，对智能体的行为负责；智能体由别人设计或提供，也是如此。

指南写明，违反消费者保护法可能被罚最高全球营业额的 10%，还可能被要求赔偿消费者。这个上限是现行消费者法的通用罚则，不是为智能体新设的。

具体要求有四条：告诉客户在用智能体；训练和测试它守住退款、取消等法定权利；持续监测，保留人在回路中的检查；发现问题尽快修正。指南还写到，从第三方采购智能体而不核查对方是否做过这些训练，企业本身就可能违法。

数据保护这一块，ICO 的文件写得更细。据 PPC Land 对 ICO 文件的梳理，ICO 10 月 8 日发布 37 页的智能体征求意见稿，11 月 20 日截止，结果将用于一部关于 AI 与自动化决策的法定实务守则。

其中两处与责任分配直接相关。第一，ICO 认为，在智能体系统里，决定协议、权限和访问控制的一方，可能更多地决定了数据怎么被处理，因此可能是数据控制者，不能只看合同里怎么自称。

第二，用户点了服务条款、给智能体下了指令，不等于后续所有处理都有了合法依据。

我们的判断是，三份文件拼在一起，责任的指向已经清楚：CMA 管它对客户说了什么、做了什么，ICO 管它碰了哪些数据、由谁定的权限。在监管机构看来，买来的智能体出了错，部署方不能拿供应商合同挡在前面。

这是分析推断，依据是 CMA 指南写明智能体由别人设计或提供也一样，以及 ICO 以权限和工具认定控制者的思路。对在英国面向消费者部署智能体的企业，合规工作会前移到采购环节：核查供应商的测试记录，保留智能体的行动日志。

有人会说，这份声明不具约束力。Burges Salmon 也写到，声明并不细致，更像起点而非定论。我们接受这一点：法律义务本身没有变。我们不接受「什么都没变」的说法。Burges Salmon 同时指出，四家联合意味着一个智能体可能同时在几套制度下被调查。

还没有答案的事有两件。TSN 写到，下一个检验是有没有监管机构以智能体的行为立案，本站也没有查到这样的案例。部署方与模型、工具供应商之间怎么分担赔偿，声明和指南都没有写，据 Burges Salmon 转引，四家机构只说会与政府一起找合规上的缺口。

如果第一起执法案例的矛头指向模型供应商而不是部署方，或者 ICO 的法定守则把控制者责任主要划给模型开发者，这个判断要改。