2026年第38周（09月13日–09月19日）｜全球数据安全与AI法律通讯

编者按

欢迎阅读全球数据安全与AI法律通讯。本期为2026年9月20日（周日）自动生成版本，覆盖2026年09月13日至2026年09月19日（周日至周六，Asia/Shanghai）期间公开发布的网络安全、数据合规、个人信息保护与人工智能监管资讯。本通讯由AI辅助检索与人工复核相结合，优先收录可访问的官方与权威来源。因自动生成时点、各国时区、网站可达性和发布渠道差异，信息可能存在一定限度，资讯日期亦可能略有出入，敬请知悉。

目录

本周焦点

立法动态
【中国】全国网络安全标准化技术委员会发布《人工智能安全治理框架》3.0（2026-09-14）
【欧盟】欧盟委员会提出《欧盟儿童网络安全法案》（EU KIDS Act）草案（2026-09-17）
【美国】加州州长签署人工智能监管行政令，要求加快独立安全审计并研究前沿模型紧急关停机制（2026-09-18）
【英国】议会人权联合委员会发布报告，呼吁制定专门人工智能法案并设立单一监管机构（2026-09-14）

执法动态
【中国】国家网信办发布近期网络安全、数据安全、个人信息保护等领域执法典型案例（2026-09-15）
【中国】公安部公布网络安全行政执法10起典型案例（2026-09-17）
【中国】公安部公布打击整治网络违法犯罪10起典型案例（2026-09-17）
【英国】信息专员办公室就Revolut客户数据泄露事件启动调查（2026-09-16）

司法动态
【中国】最高人民法院发布人民法院网络法治典型案例（2026-09-16）
【美国】第九巡回上诉法院就Doe v. GitHub案裁定DMCA版权管理信息主张不成立（2026-09-16）
【美国】伊利诺伊北区联邦法院就Keene v. Google案部分驳回谷歌撤销动议（2026-09-14）

行业动态
【中国】国家安全部与保密观披露办公场景泄密典型案例（2026-09-16）
【西班牙】数据保护局通报首例由AI智能体实施的个人数据泄露事件（2026-09-14）
【美国】NIST与CISA发布NIST IR 8587，规范身份令牌与断言的防伪、防盗与防滥用（2026-09-15）
【美国】联邦司法机构通报人工智能政策进展并重申不得将核心司法职能交由AI（2026-09-17）

---

本周焦点

本周是国家网络安全宣传周，境内监管呈现”宣传与执法同步”的特征。公安部在同一天公布两组典型案例，一组是”护网—2026”专项工作中的网络安全行政执法10起案例，另一组是”净网—2026”专项行动中的打击整治网络违法犯罪10起案例，全年累计侦办网络违法犯罪案件3.6万余起，公开曝光违规收集个人信息的移动应用652款；国家网信办同步发布近期网络安全、数据安全、个人信息保护领域执法典型案例，最高人民法院发布4件人民法院网络法治典型案例，最高人民法院并把人格权侵害禁令、带货主播侵权责任、搜索引擎责任和跨境赌博技术支持四类争议的裁判规则一并明确。标准层面，全国网络安全标准化技术委员会在国家网络安全宣传周发布《人工智能安全治理框架》3.0。境外方面，规则供给与风险事件同时升温：欧盟委员会17日提出《欧盟儿童网络安全法案》，把社交媒体账号年龄门槛、安全默认设计和AI伴侣类聊天机器人一并纳入监管；西班牙数据保护局14日通报首例由AI智能体实施的个人数据泄露事件，自主智能体第一次以攻击者身份进入监管记录；美国加州州长18日签署人工智能监管行政令，要求加快独立安全审计评估并研究前沿模型的紧急关停机制。境外司法层面，第九巡回上诉法院就GitHub案维持驳回DMCA主张，伊利诺伊北区联邦法院则允许针对谷歌AI摘要的诽谤指控继续审理，生成式AI的责任边界正在被逐案划定。

---

1. 立法动态

境内

【中国】全国网络安全标准化技术委员会发布《人工智能安全治理框架》3.0（2026-09-14）

全国网络安全标准化技术委员会9月14日发布《人工智能安全治理框架》3.0。框架在原有版本基础上更新了人工智能安全风险分类与治理措施，将风险识别从模型自身扩展到数据、算力、应用与生态等环节，并对生成式人工智能、智能体等新形态给出治理指引。本次发布安排在2026年国家网络安全宣传周期间，与”智能时代网安护航”的年度主题呼应，为人工智能研发者、服务提供者和使用者提供了可对照落实的安全治理参考。

来源：全国网络安全标准化技术委员会[1]

境外

【欧盟】欧盟委员会提出《欧盟儿童网络安全法案》（EU KIDS Act）草案（2026-09-17）

欧盟委员会9月17日提出《欧盟儿童网络安全法案》（案名缩写为EU KIDS Act）草案，拟以统一法规方式保护未成年人上网。草案设定统一年龄规则：不满13岁不得开设社交媒体账号；13岁至不满15岁只能通过监护人管理的账号使用，功能受限且每日使用不超过1小时；15岁起可自行开户。适用范围除社交媒体、视频分享平台、网络游戏外，还明确包括AI伴侣与聊天机器人。草案要求服务”安全默认”，禁止无限滚动、奖励诱导和睡眠时段推送等成瘾性设计，禁止陌生人主动联系未成年人，未成年人资料默认私密；AI伴侣与聊天机器人必须默认关闭，不得以造成未成年人情感依赖的方式与人互动。年龄核验须通过独立认证方案完成，可采用不留存身份证件与生物识别数据的欧盟年龄验证应用。草案同时把举证责任转向超大型在线平台。该提案将交由欧洲议会与欧盟理事会审议。

来源：欧盟委员会[2]

【美国】加州州长签署人工智能监管行政令，要求加快独立安全审计并研究前沿模型紧急关停机制（2026-09-18）

加州州长纽森9月18日签署人工智能监管行政令，要求加快落实独立的人工智能监督与安全审计安排，并指示相关部门研究前沿人工智能模型的紧急关停机制，即业界所称的”kill switch”。行政令组建加州人工智能专家组，围绕模型安全事故的应急响应、审计独立性和控制措施展开研究并提出监管建议。该行政令属行政措施而非新设立法，其基础是加州此前已通过的相关立法。对在加州运营或向加州提供服务的人工智能企业而言，这意味着合规关注点正从”是否披露”向”能否证明安全可控、事故能否被及时中止”延伸。

来源：CBS News[3]

【英国】议会人权联合委员会发布报告，呼吁制定专门人工智能法案并设立单一监管机构（2026-09-14）

英国议会人权联合委员会9月14日发布《人权与人工智能监管》报告，认定现行法律框架”零散且混乱”，不足以预防和应对人工智能带来的人权风险。报告要求政府制定专门的人工智能法案，并设立单一独立监管机构，主张采用基于风险的路径：高风险系统上线前须获批准，低风险系统适用较轻义务；对潜意识操纵、情绪推断以及不当使用画像或生物识别数据等用途应予禁止。报告还建议明确”人在环中”不能仅凭形式上的介入即否定自动化决策的认定，要求组织在人工智能实质参与重要决策时告知当事人并说明其作用，并给出批准欧洲委员会人工智能框架公约的时间表。

来源：Global Legal Insights[4]

---

2. 执法动态

境内

【中国】国家网信办发布近期网络安全、数据安全、个人信息保护等领域执法典型案例（2026-09-15）

国家网信办9月15日发布近期网络安全、数据安全、个人信息保护等领域执法典型案例，结合国家网络安全宣传周以案释法。案例覆盖未依法履行网络安全与数据安全保护义务、违法违规收集使用个人信息、数据安全管理制度缺失等常见问题，明确了网络运营者在漏洞管理、数据分类分级、访问控制和应急处置等环节的合规底线。对企事业单位而言，通报的价值在于把抽象义务转化为可核对的检查项，通常也是后续属地网信部门检查、约谈与处罚的执法参照。

来源：中国网信网[5]

【中国】公安部公布网络安全行政执法10起典型案例（2026-09-17）

公安部9月17日公布网络安全行政执法10起典型案例。2026年公安机关开展”护网—2026”专项工作，围绕网络安全、数据安全、信息安全重点任务推进综合治理，累计开展网络和数据安全隐患排查7900余次，发现整改各类安全隐患和漏洞3.8万个，公开曝光违规收集个人信息的移动应用652款，侦办不履行网络安全、数据安全、个人信息保护义务类行政案件3.8万起。公布的案例包括江苏某公司未采取数据传输及存储保护措施致数据接口漏洞被利用、江西南昌某中心短信接口被利用发送14万余条涉赌违法短信且未启动应急预案、未按规定报告等情形，涉事单位及主管人员被依法行政处罚或责令改正。

来源：人民公安报[6]

【中国】公安部公布打击整治网络违法犯罪10起典型案例（2026-09-17）

与行政执法案例同期，公安部9月17日公布”净网—2026”专项行动中打击整治网络违法犯罪10起典型案例。今年以来全国公安机关网安部门累计侦办网络违法犯罪案件3.6万余起；其中针对公民个人信息被窃取贩卖、“查档""开盒”等突出问题，侦破侵犯公民个人信息案件4100余起；针对黑客技术升级与犯罪工具智能化，侦办黑客案件3900余起；针对AI生成等网络谣言，侦破相关案件1.1万余起。案例涉及虚假摆拍网络谣言、网络暴力、借”护剧”名义的舆情敲诈、窃取房屋产权类敏感数据售卖、与平台和物流”内鬼”勾结贩卖个人信息、破解停车场系统非法获取车辆信息以及利用系统漏洞非法控制计算机设备30余万台等情形。

来源：中国经济网[7]

境外

【英国】信息专员办公室就Revolut客户数据泄露事件启动调查（2026-09-16）

英国信息专员办公室（ICO）已就数字银行Revolut的数据泄露事件启动调查。据报道，攻击者声称通过伪造的政府调证请求进入Revolut系统，并称已取得包括意大利执法人员信息在内的客户数据。Revolut方面确认遭遇攻击但称影响范围有限，事件涉及客户身份与执法调证流程中的数据访问控制问题。该案再次说明，以”合法调证”为掩护的社会工程攻击已成为数据泄露的重要路径，金融机构对执法与监管调证请求的核验、最小化响应和留痕机制是当前监管关注重点。

来源：ANSA[8]

---

3. 司法动态

境内

【中国】最高人民法院发布人民法院网络法治典型案例（2026-09-16）

最高人民法院9月16日在国家网络安全宣传周期间发布4件人民法院网络法治典型案例，涉及网络暴力情形下人格权侵害禁令的适用、带货主播侵害他人人格权的责任认定、搜索引擎服务提供者的侵权责任认定以及为跨境赌博提供网络技术支持服务的定罪量刑。其中”李某申请人格权侵害禁令案”明确，对群体性网络暴力且诉讼中仍持续侵权、不及时制止将造成难以弥补损害的，可裁定停止侵权，禁令有效期6个月；带货主播案明确主播故意使用侵害他人人格权素材推广商品构成侵权，委托的电子商务经营者未尽审核义务存在过失的承担连带责任。该批案例与已出台的涉人工智能纠纷案件审理意见相衔接，为人格权禁令在涉网纠纷中的适用提供了操作样本。

来源：中华人民共和国最高人民法院[9]

境外

【美国】第九巡回上诉法院就Doe v. GitHub案裁定DMCA版权管理信息主张不成立（2026-09-16）

美国第九巡回上诉法院9月16日就Doe v. GitHub案作出裁定，维持一审驳回程序员群体依据《数字千年版权法》（DMCA）提出的版权管理信息相关主张。该案原告主张GitHub Copilot与Codex在输出代码时移除了版权管理信息。法院的裁定意味着，仅以AI训练使用公开可得代码及生成代码输出为由主张DMCA项下责任，难以成立。需要说明的是，该裁定并未解决开源许可条款与著作权侵权本身的其他争议，相关诉讼仍可能在其他请求权基础上继续推进。

来源：Courthouse News Service[10]

【美国】伊利诺伊北区联邦法院就Keene v. Google案部分驳回谷歌撤销动议（2026-09-14）

美国伊利诺伊北区联邦法院9月14日就Keene v. Google案作出裁定，部分驳回、部分准许谷歌的撤销动议。原告James Keene主张谷歌AI摘要（AI Overviews）将其错误描述为正在服无期徒刑，且所引维基百科页面并不包含该等表述。法院认为，普通读者可能将AI摘要理解为事实陈述，谷歌仅以”AI可能出错”的免责声明和附带来源链接为由抗辩，不足以在本阶段否定原告的主张；对其中一项实质真实的表述及一项未充分主张发布的表述则准许撤销，允许原告在10月13日前修改诉状。该裁定为程序性认定，未认定谷歌构成诽谤，但显示生成式搜索产品的引用与免责设计正在被纳入侵权责任审查。

来源：Reason[11]

---

4. 行业动态

境内

【中国】国家安全部与保密观披露办公场景泄密典型案例（2026-09-16）

9月16日，国家安全部微信公众号与”保密观”披露多起与日常办公相关的泄密事件。其中包括：某科研单位办公自动化系统长期忽视漏洞修补，病毒库未及时更新，境外黑客侵入服务器植入木马，导致大量重要数据被窃取倒卖；某单位工作人员违规将涉密笔记本电脑接入互联网，被境外间谍情报机构远程植入木马，技术鉴定被窃走涉密文件数十份，该工作人员因过失泄露国家秘密罪被判处有期徒刑2年6个月，单位负有主要领导责任的人员受到党纪政务处分；另有涉密文件被拍照发至工作群扩散、将涉密材料刻盘带回家用电脑处理等情形。上述案例集中指向”人”与”习惯”两个薄弱环节，涉密终端违规联网和互联网渠道传输涉密信息仍是最高频的泄密成因。

来源：澎湃新闻[12]

境外

【西班牙】数据保护局通报首例由AI智能体实施的个人数据泄露事件（2026-09-14）

西班牙数据保护局（AEPD）9月14日在官方博客通报，收到该国首例由人工智能智能体实施个人数据泄露的通知。据通报，第三方使用基于某知名大语言模型的智能体，先检索通用文件寻找漏洞，随后成功登录受影响组织系统，在有限人工干预下自主探测应用弱点，修改了个人数据并访问了发票信息，该通知由受影响组织自行提交，情况仍在核查中。AEPD强调，使用某一特定模型并不意味着该模型或其提供方基础设施遭到入侵，也不表明相关技术系为恶意目的开发；单一案件不足以确立趋势，但显示AI辅助攻击已从理论阶段进入真实的数据处理场景。AEPD同时指出，人工智能并未创造全新威胁，而是提高既有攻击手法的速度、规模与适应性，缩短了检测和遏制的时间窗口，控制者、处理者与数据保护官应据此调整事件响应安排。

来源：西班牙数据保护局[13]

【美国】NIST与CISA发布NIST IR 8587，规范身份令牌与断言的防伪、防盗与防滥用（2026-09-15）

美国国家标准与技术研究院（NIST）与网络安全和基础设施安全局（CISA）9月15日发布最终版NIST IR 8587《保护令牌与断言免遭伪造、窃取与滥用：面向机构与云服务提供商的实施建议》。报告为联邦机构与云服务提供商保护身份令牌、访问令牌与断言提供了实施指南，建立在NIST SP 800-53第5.1.1版更新基础上，就身份提供方与授权服务器的架构考量、密钥管理、令牌验证与生命周期控制提出建议，并覆盖单点登录、联合身份与API访问等场景。报告收录了近250条公众意见，新增了人工智能与抗量子密码迁移的高层级考量，并强调在工作负载身份场景中使用短时效令牌而非静态凭据。

来源：美国国家标准与技术研究院[14]

【美国】联邦司法机构通报人工智能政策进展并重申不得将核心司法职能交由AI（2026-09-17）

美国联邦司法机构9月17日向司法会议通报人工智能政策进展。美国法院行政办公室主任、司法会议秘书Robert J. Conrad表示，2025年设立的咨询工作组已梳理出60余项与人工智能相关的问题并确定优先级，下设七个专题小组推进研究，目前已向各法院发布临时指引。指引明确法院不得将包括案件裁判与决策在内的核心司法职能交由人工智能，所有司法机构用户对借助人工智能完成的工作承担最终责任。此外，司法机构正加速重建案件管理与电子案卷系统，新系统将采用最新网络安全工具保护案卷与案件数据，首个组件计划于2026年底前发布，2027年底前所有新的地区法院案件将迁入新系统。

来源：美国联邦法院[15]

引用链接

[1] 全国网络安全标准化技术委员会: https://www.tc260.org.cn/tc260/xwdt1/202609/d513a007d04347f58e483fabaefb34b8.shtml
[2] 欧盟委员会: https://digital-strategy.ec.europa.eu/en/library/proposal-eu-kids-act-eu-keeping-internet-digital-spaces-accountable-and-trustworthy
[3] CBS News: https://www.cbsnews.com/losangeles/news/california-newsom-ai-safety-kill-switch/
[4] Global Legal Insights: https://www.globallegalinsights.com/news/mps-and-lords-call-for-ai-law-with-power-to-block-unsafe-systems/
[5] 中国网信网: https://www.cac.gov.cn/2026-09/15/c_1790876152357946.htm
[6] 人民公安报: https://epaper.cpd.com.cn/szb/wwwcpd_9/dzb_16465/rmga/2026/2026_09_18/16466_2026_09_18_46431/926/t_1250665.html
[7] 中国经济网: http://www.ce.cn/xwzx/gnsz//gdxw/202609/t20260917_3219806.shtml
[8] ANSA: https://www.ansa.it/amp/english/news/2026/09/16/hackers-claim-revolut-attack-saying-have-italian-police-data_b285582f-60fb-47d1-a420-c2a504d5fd76.html
[9] 中华人民共和国最高人民法院: https://www.court.gov.cn/zixun/xiangqing/512041.html
[10] Courthouse News Service: https://www.courthousenews.com/coders-lose-appeal-in-copyright-fight-against-ai-tools/
[11] Reason: https://reason.com/volokh/2026/09/14/federal-court-allows-libel-by-ai-claim-brought-by-protagonist-of-apple-tvs-black-bird-series-to-go-forward/
[12] 澎湃新闻: https://www.thepaper.cn/newsDetail_forward_34079038
[13] 西班牙数据保护局: https://www.aepd.es/prensa-y-comunicacion/blog/primera-notiviacion-brecha-datos-personales-causada-por-ataque-ejecutado-mediante-agente-ia
[14] 美国国家标准与技术研究院: https://www.nist.gov/news-events/news/2026/09/nist-finalizes-guidelines-protecting-online-identity-and-access-tokens
[15] 美国联邦法院: https://www.uscourts.gov/data-news/judiciary-news/2026/09/17/judiciary-cites-progress-case-management-property-authority-and-ai