英国 ICO 人工智能指南，企业在 2026 年需要了解的要点
就涉及个人数据的部分而言，信息专员办公室（Information Commissioner's Office，ICO）是英国人工智能的主要监管机构。尽管英国没有专门的独立人工智能法律，但 ICO 依据英国 GDPR 和《2018 年数据保护法》所拥有的执法权力，再加上《2025 年数据（使用与访问）法》的改革，赋予其对处理个人数据的人工智能系统的重大权限。
2025 至 2026 年的主要进展
DUAA 改革（2026 年 2 月 5 日）。第 80 条以第 22A 至 22D 条取代了第 22 条，扩大了允许完全自动化决策的情形范围。针对特殊类别数据（健康、族裔、生物识别信息），仍保留更为严格的制度。ICO 获得了包括文件提交通知在内的更广泛的调查与执法工具。
自动化决策指南征询意见（2026 年 3 月 31 日至 5 月 29 日）。ICO 就更新后的自动化决策指南草案启动了公众征询。该草案强调应支持负责任的自动化决策，而非将其视为例外情形。最终指南预计于 2026 年夏季发布。企业应参与此次征询，并为遵守最终指南做好规划。
ICO 人工智能工具包。ICO 发布的人工智能与数据保护指南涵盖：人工智能中的公平性；人工智能中的透明度；人工智能中的问责与治理；以及人工智能中的合法性与目的限制。对于部署处理个人数据的人工智能的英国企业而言，该工具包仍是主要的实务参考。
执法态势。依据英国 GDPR，ICO 可处以最高 1750 万英镑或全球年营业额 4% 的罚款。DUAA 将 PECR 的处罚上调至与英国 GDPR 相同的水平。ICO 在人工智能执法方面一直很积极，针对 Clearview AI 的联合调查、与人工智能相关的投诉调查，以及对人工智能特定问题的介入，都表明了监管机构付诸行动的意愿。
ICO 对企业的要求
合法性基础。处理个人数据的人工智能需要具备英国 GDPR 第 6 条规定的合法性基础。对于使用个人数据进行人工智能训练，DUAA 改革后的目的限制规则（第 5 条第 1 款 (b) 项）为数据的再利用提供了更大的空间，但合法性基础、透明度和公平性方面的要求依然存在。
数据保护影响评估。高风险处理活动须进行此项评估，其中包括对个人的系统性评估、具有重大影响的自动化决策、大规模处理特殊类别数据，以及创新性地使用技术。大多数具有重大影响的人工智能部署都会触发数据保护影响评估（DPIA）的要求。
透明度。在涉及个人的决策中使用人工智能时，必须告知相关个人。隐私声明应披露自动化处理、其中所涉及的逻辑，以及该处理的意义和预期后果。
个人权利。访问权（第 15 条），包括获取有关自动化决策所涉逻辑的有意义信息。当人工智能处理不准确的数据时，享有更正权。在适用的情况下，享有删除权。以及反对画像分析的权利。
DRCF 的协调
ICO 与 Ofcom、FCA（金融行为监管局）和 CMA 同属数字监管合作论坛（Digital Regulation Cooperation Forum，DRCF），该论坛在 2025/26 年度由 CMA 首席执行官 Sarah Cardell 担任主席。DRCF 于 2025 年 10 月发布了关于代理型 AI的意见征询。对于受英国多家监管机构监管的企业而言，DRCF 提供了协调一致的指引，减少了各方相互冲突的要求。
主要来源： ICO，自动化决策权利指南 · ICO，人工智能与数据保护指南 · 《2025 年数据（使用与访问）法》