欧盟数字公平法首次立法规范AI购物代理：三档授权模式+6%罚款，代理自主权的法律边界就此划定

2026年11月11日，欧盟委员会正式提出《数字公平法》（Digital Fairness Act，以下简称DFA），其中一条专门针对AI购物代理的条款迅速成为技术圈的焦点：任何向欧盟消费者提供AI购物助手的企业，必须在用户首次使用时要求其在三档授权模式中做出选择。违规最高可被处以全球年营业额6%的罚款。这是人类历史上第一次在正式立法中明确界定"AI代理能在多大程度上替人做决定"。

DFA的AI代理条款出现在第26至27条。三档授权的划分逻辑如下：第一档是"全部确认"——AI每次要代用户签约购物前，必须取得用户明确同意；第二档是"条件自动"——用户预先设定条件，包括金额上限和有效时长，AI在条件范围内可以自主执行，超出条件才需确认；第三档是"完全委托"——用户放弃事前审批权，授权AI全权代劳。据法律分析机构 Lewis Silkin 报道，提案要求平台将用户的选择通过"持久媒介"（电子邮件或可存档文件）传达给用户，确保其具有法律效力。

但即便用户选择了第三档"完全委托"，法律依然为这种授权设置了一条刚性例外线：当AI购物助手的提供商从交易方收取报酬、或与卖家存在任何利益冲突时，无论用户此前的授权设置是什么，该笔交易都必须重新回到用户手中确认。这一例外条款直接针对的是当前AI推荐系统中最隐蔽的一类失控风险——代理在替用户决策的同时，实际上是在帮另一个付钱的甲方做决策。

从工程实现的角度看，这三档授权设计并不复杂，难的是它背后的合规基础设施。首先，代理系统需要在每次发起交易前查询用户当前的授权状态，而这个查询必须发生在实际提交订单之前而非之后。其次，系统需要实时检测当前交易是否触发了"利益冲突"例外——哪些推荐是付费植入的，哪些不是——并在触发时中断自动流程、推送人工确认请求。第三，所有这些授权记录必须以用户可留存的形式落地，这意味着纯前端状态管理不够，后端需要维护完整的授权事件日志。

DFA还指出一个被刻意留白的设计：法规并不要求平台将用户设定的金额上限主动告知卖家。这在跨系统交易场景中留下了一个执行缺口——用户端的限额约束是否能在供应链下游真正生效，取决于买方平台的技术实现，而非法律强制。对于那些依托第三方卖家生态系统运营的AI购物助手（如嵌入电商平台的AI代理），这个缺口意味着合规责任的边界仍然模糊。

DFA整体上是对欧盟2005年《不公平商业行为指令》（UCPD）的系统性替代。二十年前的立法框架无法预见AI代理会以用户身份代替人类签约，更无法预见推荐算法会在消费者无感知的情况下植入商业利益。DFA此次将若干"暗模式"明确列为违法行为，包括虚假库存紧张提示、羞辱式退订设计（如让用户点击"我不喜欢好优惠"才能退订），以及预先勾选的默认选项。在AI购物代理之外，提案还规定了订阅服务的简单退出机制、动态定价的全额披露要求，以及针对未成年人的虚拟货币默认关闭规则。委员会估计若上述措施全面落地，欧盟消费者每年可节省约137亿欧元。

对于全球AI代理产品的开发者而言，这份提案的影响并不局限于欧盟市场。AI购物助手的技术架构通常是全球统一部署的，为欧盟用户新增三档授权选择，意味着产品在全球范围内必须支持一套授权状态管理机制，否则就要为欧盟单独维护一套并行架构。从历史经验来看，企业选择前者的概率远高于后者——2018年GDPR出台后，大量科技公司直接将欧盟标准的隐私设置推向了全球用户，《数字公平法》有可能触发类似的"布鲁塞尔效应"。

对于消费者组织，这份提案提供了一个此前从未有过的法律抓手：当AI代理在未经明确授权的情况下替用户完成了一笔购买，或者在存在付费植入时未提示就自动下单，消费者第一次拥有了明确的权利依据。在此之前，这类纠纷只能诉诸平台服务条款，而条款通常是由平台自己定义的。

对行业而言，合规成本的问题不可回避。三档授权本身在前端实现并不复杂，但将利益冲突检测逻辑嵌入购物代理的决策链路，涉及推荐系统架构的深层改造——特别是在推荐模型本身不区分"付费优先"和"相关性优先"的情况下，这条检测线几乎需要在系统级重新设计。如果提案最终通过，那些AI代理能力尚在早期阶段、推荐系统与付费逻辑深度耦合的平台，面临的合规改造代价将远大于那些在架构设计时就做了清晰分层的系统。

从立法进程来看，提案目前进入欧洲议会和理事会的审议阶段。据 Lewis Silkin 的分析，法案文本"很可能在与欧洲议会和理事会的谈判中发生演变"，具体生效时间和细节尚未确定。考虑到GDPR从提案到正式生效历经四年，DFA在现阶段更像一份设计规范，而非即将落地的合规要求。