厂商把AI同意控制当卖点，各州与国家规则仍然分散

厂商如今把合规当成软件功能来卖。

对买家来说，这种推销把尽职调查变成了看产品演示。一个同意页面并不等于能阻止AI运行的控制措施。审计日志只有覆盖智能体接触的每个渠道才有用。三家公司都没有公布价格。这些模块到底要花多少钱，目前不清楚。

厂商把同意控制塞进AI产品

Fusemachines于10月29日宣布，已在HireFoundry.ai中上线AI Usage Consent Module。该模块面向在美国全部50个州招聘的雇主。机制很具体。公司称，如果候选人拒绝同意，面试仍由招聘人员继续进行。公司表示，Interview Agent不加入、不旁听、不转写、不分析通话。Fusemachines认为，没有一套同意标准能适用于所有招聘场景。Sierra推出Compliance Console，用于管理基于该公司Horizon平台构建的智能体。该控制台可跨渠道、州和国家设置披露内容、联系时段、节假日排除、频率上限和退订处理。

在多数地区，可联系时段为上午8点到晚上9点。Quick Heal的Seqrite NOVA把同样的打包思路用到隐私上：AI发现、个人数据分类、同意与告知流程。

Fusemachines把这一控制本身当作卖点。公司产品副总裁Giovanni Lemus说：“企业应当能把精力放在找对人才上，而不必为每个招聘所在的州单独搭建AI同意流程。”

规则碎片化正是卖点

厂商所指的碎片化确实存在。欧盟于2024年通过AI Act，按风险分级设定规则。美国没有统一的联邦AI法。加利福尼亚州于2025年9月通过SB 53。FRONTIER法案于2026年7月提出。NIST的AI风险管理框架是自愿性的。OMB的安全要求约束的是联邦机构，不是私营雇主。印度的时间表更紧。印度于2025年11月通知DPDP Rules。关键条款分阶段生效，直到2027年5月。EY在1月发布的一项调查发现，超过83%的组织尚未开始落实这些要求。

诉讼开辟了另一条战线。2026年10月在伊利诺伊州北区联邦法院提起的推定集体诉讼针对xAI的生成式平台Grok。诉状称，该平台处理上传的照片时没有履行BIPA要求的告知和书面授权。BIPA制定于2008年。

市场数字与产品版本

这些发布背后的支出规模很大。全球合规软件市场2025年的规模为3582000万美元。

ResearchAndMarkets的一份报告预计，到2033年该市场将达到7885000万美元，2026年至2033年的复合年增长率为10.5%。报告称，GDPR、CSRD和DORA等法规要求持续监控和及时报告。Seqrite NOVA分为三个版本：Lite、Essentials和Professional。Quick Heal表示，客户可在数天内上手，人工干预很少，对专业IT技能的依赖有限。

买家该查什么

责任不会随软件一起转移。Fusemachines表示，招聘人员决定问什么，并对候选人评估和招聘决定负责。

审计记录是第二个问题。Sierra的控制面板显示它允许、推迟、拦截或留待复核的外呼与外发消息数量，以及退订情况。Seqrite NOVA把同意体验、隐私告知和cookie偏好菜单翻译成22种印度官方认可的语言，并有人工复核。

法律检验尚无定论。在BIPA诉讼中，一个核心的法律与技术问题仍未解决：该技术是否真的在该法意义上进行了生物识别处理。

接下来会发生什么

印度分阶段的截止日期是最近的固定节点。DPDP的关键条款将在2027年5月前陆续生效。美国的规则仍无定论。加利福尼亚州于2025年9月通过SB 53。FRONTIER法案于2026年7月提出。联邦层面的统一仍看不到迹象。