政策动态：2026年数据隐私法浪潮与DoD AI安全框架立法

本周政策领域迎来多项重要进展：2026年全美各州数据隐私法进入密集生效期、DoD通过FY2026 NDAA推进AI安全框架立法、联邦政府更新云安全策略，以及EU AI Act高风险系统合规期限临近。

主要新闻

2026年：美国各州数据隐私法密集生效

2026年标志着美国州级数据隐私法的大规模生效。印第安纳州、肯塔基州和罗德岛州的全面隐私法于今年生效，阿肯色州的新隐私法将于2026年7月生效。加利福尼亚州、康涅狄格州、俄勒冈州和犹他州也推出了监管更新。关键趋势包括：对未成年人数据的监管加强、自动化决策的透明度要求、以及数据经纪人透明度义务的扩展。目前全美已有近20个州推出自己的数据隐私法规，形成了日益复杂的合规环境。

Source: U.S. Data Privacy Laws and Regulations in 2026 - Smarsh

FY2026 NDAA推动DoD AI安全框架立法

美国国会通过的FY2026《国防授权法案》中包含了多项与AI和网络安全相关的关键条款。第1512条要求国防部在180天内建立AI和机器学习系统的全部门网络安全与治理政策，涵盖生命周期安全、行业标准、劳动力培训和针对AI特定威胁（如模型篡改和数据泄露）的保护。第1513条要求制定基于风险的AI系统网络安全和物理安全框架，并与现有CMMC和NIST 800系列框架对接。这些条款标志着AI安全从”自愿最佳实践”向”法定合规要求”的转变。

Source: Congress Moves Forward with AI Measures in Key Defense Legislation - Akin Gump

美国国务院更新云计算政策

美国国务院于2026年4月23日更新了5 FAM 1110云计算政策，明确了部门范围内的云服务策略、方向和治理要求。新政策强调所有新IT项目必须实施云服务（私有或美国政府拥有的社区、公共或混合云），只要成本有效并可满足安全和性能要求。政策重申了FedRAMP授权要求，并规定云服务必须注册到部门的IT资产清单系统中。这反映了联邦层面”Cloud Smart”策略的持续深化。

Source: 5 FAM 1110 Cloud Computing Policy - US Department of State

EU AI Act高风险系统合规倒计时

EU AI Act中关于高风险AI系统的合规截止日期为2026年8月2日，目前已进入最后两个月的倒计时。然而，欧盟委员会提出的Digital Omnibus提案如果获得通过，将把这一期限延长至2027年12月。与此同时，欧盟正在密切监测美国云平台处理政府数据的跨境传输问题。据Evadaily报道，欧盟正在考虑对美国云平台施加限制，以确保成员国政府数据的安全和主权。

Source: EU AI Act deadlines and Digital Omnibus proposal

Source: EU Eyes Restrictions on US Cloud Platforms for Government Data

分析

本周政策动态呈现出”AI和数据的监管加速”这一全球性趋势。在美国，联邦层面通过NDAA建立了AI安全的强制性框架，州层面则通过隐私法填补联邦立法的空白。这种”联邦推动+州级补充”的双轨模式，使得2026年成为美国数据治理史上最密集的立法年份之一。

NDAA中关于AI安全框架的条款值得特别关注。第1513条要求DoD将AI安全框架与CMMC和NIST 800系列对接，这意味着国防工业基地的承包商将面临新的合规义务。对于向政府提供云服务和AI系统的企业来说，FedRAMP授权和CMMC认证正在从竞争差异项变为市场准入门槛。

欧盟的动向同样重要。EU AI Act的第一个重大合规期限即将到来，但Digital Omnibus提案可能提供缓冲。同时，欧盟对美国云平台的潜在限制将加剧”数字主权”争端。这对跨国企业意味着必须在数据本地化和跨境数据处理之间寻找更精细的平衡策略。

结论

2026年5月的政策环境正在重塑全球科技企业的合规地图。美国的州级隐私法、联邦AI安全框架、欧盟的AI Act合规以及云数据主权争端，共同构成了一个多层次的监管网络。企业合规团队应将注意力集中在三个关键行动上：跟踪所在州的新隐私法生效时间表、评估NDAA AI安全框架对供应链的影响、以及为EU AI Act的高风险系统合规做好准备。