欧盟人工智能法案与 Guest WiFi：营销人员须知
欧盟人工智能法案（法规 2024/1689）引入了一个基于风险的框架，直接影响场地运营商如何部署人工智能驱动的 WiFi 营销、Captive Portal 和客人分析。本指南将法案的四个风险等级对应到真实的 Guest WiFi 使用案例，识别了包括情感推断和社会评分在内的被禁止做法，并为在酒店餐饮、零售、活动和公共部门环境中运营的 IT 团队和营销总监提供了可操作的合规步骤。了解您的部署在风险谱系中的位置——并针对人工智能聊天机器人和对话式门户实施第50条透明度义务——已不再是可选项：被禁止做法的执法已于2025年2月开始。
Listen to this guide
View podcast transcript
执行摘要
欧盟人工智能法案（法规 2024/1689）是全球首部全面的人工智能法律框架，直接适用于场地运营商如何在 Guest WiFi 基础设施中部署人工智能。该法案将人工智能系统分为四个风险等级——禁止、高风险、有限风险和最低风险——并据此分配合规义务。对于大多数 酒店餐饮行业 和 零售 运营商来说，直接的运营影响体现在两个方面：首先，确保 Captive Portal 上任何由人工智能驱动的对话界面都带有清晰的第50条透明度披露；其次，审计现有的营销技术栈，确认其未使用基于敏感属性的情感推断、社会评分或生物特征分类等被禁止的做法。
第5条规定的被禁止做法条款已于2025年2月生效。附件III下的高风险系统义务将从2026年8月起适用。违反被禁止做法的罚款最高可达3500万欧元或全球年营业额的7%。本指南为需要在本季度评估现有部署并实施必要变更的IT经理、网络架构师和合规负责人提供了技术参考。
技术深度解析
四级风险框架
欧盟人工智能法案根据人工智能系统对基本权利、安全和民主价值观构成的风险进行分类。该分类决定了适用于提供者（人工智能系统的开发者或供应商）和部署者（将系统投入使用的组织——通常是场地运营商或IT团队）的合规义务。
这四个等级，对应 Guest WiFi 和场地营销场景，如下所示：
| 风险等级 | 人工智能法案参考 | WiFi 营销示例 | 合规义务 |
|---|---|---|---|
| 禁止 | 第5条 | 在门户交互中进行情感推断；对客人进行社会评分；按种族/宗教进行生物特征分类 | 立即停止；不允许部署 |
| 高风险 | 附件III | Captive Portal 处的生物特征验证；用于访问基本服务的人工智能画像 | 合格评定、技术文档、风险管理系统、欧盟数据库注册 |
| 有限风险 | 第50条 | Captive Portal 上的人工智能聊天机器人；生成式人工智能欢迎页；情感识别系统（非禁止场景） | 在交互前/交互过程中向最终用户进行透明度披露 |
| 最低风险 | 无特定义务 | 聚合客流分析；停留时间热力图；基于规则的个性化；带宽优化人工智能 | 无人工智能法案特定义务（GDPR 仍然适用） |
第5条下的禁止性做法
人工智能法案第5条定义了八类被禁止的人工智能实践。其中三类与场地 WiFi 营销部署直接相关。
操纵性和欺骗性技术。 该法案禁止那些利用潜意识、操纵性或欺骗性技术来扭曲个人行为并损害其做出知情决定的能力的人工智能系统，如果这导致或可能导致重大伤害。在 WiFi 营销场景中，这针对的是那些利用 Captive Portal 捕获的行为信号——点击犹豫、滚动模式、页面停留时间——来推断心理弱点并提供操纵性优惠的系统。关键门槛是重大伤害；监管机构将根据具体情况评估这一点，但原则是明确的：绕过理性自主的人工智能驱动推动是不被允许的。
社会评分。 该法案禁止那些根据个人的社会行为或个人特征对其进行评估或分类，并导致其受到有害或不利对待的人工智能系统。如果有一个 WiFi 忠诚度系统，它使用人工智能模型根据行为模式（访问频率、停留时间、购买信号）对客人进行评分，然后限制评分较低的客人的访问速度或扣留优惠，那么这属于被禁止的范畴。允许的个性化和被禁止的社会评分之间的区别在于，人工智能分类是否产生了不利对待：向高级客人提供更好的优惠是个性化；拒绝评分较低的客人访问服务就是社会评分。
敏感属性的生物特征分类。 该法案禁止使用生物特征数据推断敏感属性的人工智能系统，这些敏感属性包括种族、政治观点、工会成员身份、宗教或哲学信仰、性生活或性取向。这尤其适用于那些同时使用基于摄像头的分析和 WiFi 数据的场所。如果一个人工智能系统将设备 MAC 地址数据与视觉分析交叉引用，以推断种族并相应地个性化内容，这将直接违反第5条。该禁令适用于无论生物特征数据是实时处理还是批量处理的情况。
情感推断——范围澄清。 该法案禁止在工作场所和教育机构进行情感推断。这一禁令并不自动扩展到涉及客人的零售场所、酒店或体育场。然而，如果您的场所也是一个工作场所——企业园区、联合办公空间、医院——并且您对连接到 Guest WiFi 的员工使用情感推断，那么这就是被禁止的。场地运营商应该在假设情感推断禁令不适用之前，仔细梳理他们的用户群体。
附件III下的高风险系统
法案的附件III列出了被归类为高风险的使用案例。对于 Guest WiFi 部署，有两个类别直接相关。
首先，生物特征系统：远程生物特征识别系统（不包括确认个人声称为谁的简单生物特征验证）以及推断敏感或受保护属性的生物特征分类系统属于高风险。如果您的 Captive Portal 使用面部识别来验证回头客，那么该系统需要进行全面的合格评定、技术文档、涵盖系统整个生命周期的风险管理系统，并在欧盟人工智能法案数据库中进行注册。
其次，个人画像：如果附件III中列出的任何人工智能系统对个人进行画像——定义为自动处理个人数据以评估个人生活的各个方面，包括偏好、兴趣、行为、位置或活动——则该系统始终被视为高风险。这是最有可能波及那些构建持久个人画像并将其输入到自动化营销决策中的 WiFi Analytics 平台的规定。关键问题在于，人工智能系统是否基于客人的画像特征做出或实质性地影响了关于单个客人的自动化决策。
第50条透明度义务——当务之急
对于当今大多数场地运营商而言，第50条是与运营最相关的规定。它涵盖了三种情况：
对话式人工智能系统（第50条第1款）：提供者必须确保旨在与自然人交互的人工智能系统的设计方式，能够使这些自然人被告知他们正在与人工智能系统交互，除非从上下文中可以明显看出。部署者必须确保这种披露到位。这适用于 Captive Portal 上部署的任何人工智能聊天机器人——无论是用于客户服务、酒店入住协助、场地导航还是营销咨询。
情感识别和生物特征分类（第50条第3款）：情感识别系统或生物特征分类系统的部署者必须告知接触这些系统的自然人。这是独立于聊天机器人披露的义务，即使系统未被禁止也适用。
合成内容（第50条第4款）：生成合成音频、图像、视频或文本内容的人工智能系统必须将该内容标记为人工智能生成。如果您的 Captive Portal 使用生成式人工智能来制作个性化的欢迎消息或促销文案，那么这些内容必须被标注。
人工智能法案与 GDPR：叠加的合规框架
人工智能法案不会取代 GDPR；它并行运作。对于场地运营商而言，这意味着来自这两个框架的合规义务同时适用于人工智能驱动的 WiFi 营销部署。
根据 GDPR，与人工智能驱动的 WiFi 营销相关的规定包括：第6条（处理的合法性基础）、第9条（特殊类别数据——如果处理生物特征数据，则相关）、第13/14条（隐私声明中的透明度义务）、第22条（对自动化个人决策的限制）以及第35条（高风险处理的数据保护影响评估）。
人工智能法案新增：第5条（禁止性做法的合规）、第50条（人工智能交互点的透明度披露），以及——对于高风险系统——第8至17条（风险管理、技术文档、合格评定、注册）。
在 GDPR 要求对高风险数据处理进行 DPIA 的情况下，人工智能法案要求对高风险人工智能系统建立风险管理系统。二者可以且应该保持一致：一个涵盖数据处理风险（GDPR）和人工智能系统风险（人工智能法案）的单一综合评估效率更高，并能向监管机构展示成熟的治理姿态。
GDPR 第22条与人工智能驱动的 Captive Portal 尤其相关。它限制对个人产生法律或类似重大影响的纯自动化决策。如果您的人工智能系统在没有人工监督的情况下，对 WiFi 接入等级、促销资格或服务质量做出自动化决策，你需要评估第22条是否适用，以及你是否必须为客人提供要求人工复核的权利。
实施指南
步骤1：建立您的人工智能清单
在评估合规性之前，您需要全面了解您的 WiFi 营销技术栈中的每个人工智能系统。这意味着不仅要涵盖您自己的部署，还要包括嵌入在第三方平台中的人工智能组件——营销自动化工具、分析仪表板、Captive Portal 供应商以及 CRM 集成。
对于每个系统，记录：系统功能；其处理的数据；提供者和任何子处理者；根据人工智能法案的风险等级；以及适用的合规义务。这份清单是您人工智能法案合规态势的基础，如果监管机构要求提供尽职调查的证据，它将必不可少。
步骤2：根据风险等级对每个系统进行分类
将四级风险框架应用于清单中的每个系统。分类问题是：
- 系统是否使用了第5条中列出的任何做法？如果是，则被禁止——停止部署。
- 系统是否用于生物特征验证、用于服务访问的个人画像，或任何其他附件III中的使用案例？如果是，则属于高风险——开始合格评定规划。
- 系统是否以对话方式与自然人交互、生成合成内容或执行情感识别？如果是，则属于有限风险——实施第50条披露。
- 以上都不是？则属于最低风险——无人工智能法案特定义务，但 GDPR 合规仍然强制要求。
步骤3：实施第50条披露
对于 Captive Portal 上的任何人工智能聊天机器人或对话界面，在交互开始前实施清晰的披露。披露必须明确——不能是暗示，也不能隐藏在条款和条件中。在会话开始时，一个简单的 UI 元素，显示“您正在与人工智能助手聊天”，即可满足义务要求。这是一个前端变更，不是系统重建，应该能够在一个迭代周期内部署完成。
对于在您的场地中运行的情感识别系统（在不被禁止的情况下），在操作区域添加一个可见的通知，告知客人正在使用情感识别系统。
步骤4：审查供应商子处理者协议
作为部署者，您对供应商使用的被禁止做法负有共同责任。审查您与 WiFi 营销平台提供商、分析供应商以及 Captive Portal 供应商的合同。要求他们明确确认其人工智能法案分类和合规文档。增加合同条款，要求供应商在对其人工智能系统进行可能影响风险分类的任何更改时通知您。
步骤5：与 GDPR 治理保持一致
让您的数据保护官参与到人工智能法案合规流程中。更新您的处理活动记录，以包含人工智能系统分类。如果根据 GDPR 需要对高风险数据处理进行 DPIA，则将其扩展以涵盖人工智能法案的风险管理要求。确保您的隐私声明得到更新，以反映人工智能驱动的处理和第50条披露。
步骤6：规划高风险系统合规（2026年8月截止日期）
如果您的任何系统被归类为高风险，现在就开始合格评定流程。考虑到技术文档、风险管理系统实施和欧盟数据库注册所需的时间，附件III系统的2026年8月截止日期比看起来要近得多。尽早与供应商接洽，以了解他们可以提供哪些文档，以及作为部署者您需要提供什么。
最佳实践
采用“设计即隐私”的方法进行人工智能部署。 人工智能法案对高风险系统的要求——贯穿生命周期的风险管理、数据治理、技术文档——在系统架构设计之初就内置这些要求，比后期改造能更高效地满足。在评估新的人工智能驱动营销工具时，将人工智能法案的合规要求纳入采购标准，与 GDPR 合规以及诸如 ISO 27001 和 PCI DSS 的安全标准并行。
优先使用基于同意的第一方数据，而非推断属性。 该法案的禁止性做法和高风险分类主要针对那些推断敏感特征或对个人做出重大自动化决策的人工智能系统。使用明确获得同意的第一方数据——电子邮件地址、声明的偏好、忠诚度计划会员资格——来驱动个性化的系统，其监管风险显著低于从行为信号推断特征的系统。
将网络运营人工智能和营销人工智能分开。 用于网络管理的人工智能系统——带宽分配、干扰抑制、负载均衡——根据该法案属于最低风险。用于客人画像和营销个性化的人工智能系统风险更高。将这些从架构上分开可以简化风险分类，并限制营销技术栈中任何合规问题的影响范围。
参考 IEEE 802.1X 和 WPA3 进行认证架构设计。 如果在 Captive Portal 使用生物特征验证，请确保基础认证架构符合当前标准。IEEE 802.1X 提供基于端口的网络访问控制和强认证，WPA3 为无线层提供增强加密。这些标准是供应商中立的，并在企业安全框架和 GDPR 关于适当技术措施的指南中均有引用。
记录您的人工智能法案合规决策。 即使对于最低风险系统，记录分类理由也能向监管机构证明尽职调查。人工智能法案要求高风险系统的提供者在将系统投放市场前记录其评估；作为部署者，为自身的风险评估保留同等文档是最佳实践。
故障排除与风险缓解
风险：供应商人工智能实践不透明。 许多营销自动化和 WiFi 分析平台嵌入了没有明确记录的人工智能功能。缓解措施：向所有供应商发放正式的人工智能法案合规问卷。要求他们提供系统分类、技术文档以及避免被禁止做法的证据。将人工智能法案合规作为新签和续签合同中的要求。
风险：Captive Portal 聊天机器人缺少第50条披露。 这是当前部署中发现的最常见的合规差距。缓解措施：审计您的 Captive Portal 用户界面。如果任何对话式人工智能界面缺乏清晰的交互前披露，这是一个需要优先修复的项目。修复是一个 UI 更改，可在数天内部署。
风险：分析平台构建的个人画像触发了高风险分类。 如果您的 WiFi Analytics 平台构建了持久个人画像并将其输入到自动化营销决策中，您可能在没有进行所需合格评定的情况下运行高风险系统。缓解措施：审查平台的数据模型。如果正在构建个人画像并用于自动化决策，请与供应商就其人工智能法案分类进行接洽，并启动合格评定流程。
风险：GDPR 和人工智能法案合规被当作独立的工作流处理。 那些由不同团队分别管理 GDPR 和人工智能法案合规的组织，可能会面临重复工作、缺口和不一致文档的风险。缓解措施：建立一个统一的人工智能治理框架，同时应对这两个监管框架。一个整合的 DPIA/AI 风险评估流程更高效，也更具说服力。
风险：情感推断范围分类错误。 情感推断禁令适用于工作场所和教育机构。那些也是工作场所的场所——企业园区、医院、联合办公空间——必须将禁令应用于面向员工的系统，而不仅仅是面向客人的系统。缓解措施：梳理您的用户群体，并将禁令应用于所有员工可能受到情感推断影响的场景。
投资回报率与业务影响
遵守欧盟人工智能法案不仅仅是一个成本中心。那些在执法曲线到来之前就建立人工智能治理框架的组织，将获得可衡量的竞争优势。
降低监管风险。 违反被禁止做法的罚款——高达3500万欧元或全球年营业额的7%——对于任何在欧盟成员国大规模运营的组织而言，都代表着重大的财务风险。积极主动的合规态势能够消除这一风险敞口。
供应商差异化。 随着人工智能法案合规成为采购要求，那些能够展示清晰风险分类、透明人工智能实践以及符合第50条要求的界面的平台，将比那些做不到的平台更受青睐。对于正在评估 WiFi 营销平台的 酒店餐饮行业 和 零售 运营商来说，人工智能法案合规文档正成为标准的 RFP 要求。
客人信任与第一方数据质量。 第50条下的透明度义务——如果实施得当——能增加客人信任。了解人工智能在其交互中如何被使用的客人，更有可能进行真实互动，并提供更高质量的第一方数据。这直接提高了个性化模型的准确性和营销活动的投资回报率。
通过统一治理提高运营效率。 将 GDPR 和人工智能法案合规框架整合为一个单一治理结构的组织，能够减少法律、IT 和营销团队之间的重复工作。随着监管环境的不断演变，构建这一框架的投资将带来回报——人工智能法案之后还会有更多针对人工智能的法规，而成熟的治理态势将提供持久的基础。
对于 交通 运营商和公共部门组织而言，鉴于公共可访问空间中人工智能系统受到的更严格审查，人工智能法案合规尤为重要。积极主动的合规展示了对监管机构和公众的责任感，支持更广泛的数字信任目标。
有关相关合规框架的进一步阅读，请参阅我们的指南《 加拿大 Guest WiFi 的 PIPEDA 合规 》，该指南涵盖了加拿大背景下的类似同意和透明度要求。
收听：欧盟人工智能法案与 Guest WiFi 播客
Key Definitions
Provider (EU AI Act)
开发人工智能系统或通用人工智能模型，或让他人开发人工智能系统或通用人工智能模型，并以自己的名称或商标将其投放市场或投入使用的自然人或法人、公共机构、部门或其他组织，无论是收费还是免费。
在 Guest WiFi 场景中，提供者通常是 WiFi 营销平台供应商或人工智能个性化引擎的开发者。高风险系统的提供者承担该法案下最重的合规义务。
Deployer (EU AI Act)
在自己的授权下使用人工智能系统的自然人或法人、公共机构、部门或其他组织，但人工智能系统用于个人非职业活动的情况除外。
场地运营商——酒店集团、零售连锁店、体育场运营商——就是部署者。部署者负责第50条透明度披露，并确保其使用的人工智能系统符合法案要求，即使这些系统由第三方提供。
Biometric Categorisation System
一种人工智能系统，其目的是根据自然人的生物特征数据，如面部、动作、步态、姿势、声音、外貌、行为或其他生理或行为特征或特质，将其分配到特定类别中。
对于使用基于摄像头的分析或设备指纹识别并结合人工智能的场地运营商而言相关。根据第5条，从生物特征数据推断敏感属性（种族、宗教、政治观点）的系统是被禁止的。不推断敏感属性但执行生物特征分类的系统，根据附件III可能属于高风险。
Emotion Recognition System
一种人工智能系统，目的是根据自然人的生物特征数据识别或推断其情绪或意图。
根据第5条，在工作场所和教育机构中被禁止。在其他场所场景（零售、酒店餐饮）中，情感识别系统根据附件III被列为高风险，并要求部署者根据第50条第3款通知受影响的人员。推销“基于情绪”或“参与状态”功能的供应商应依据此定义进行评估。
Individual Profiling
任何形式的自动化处理个人数据，包括使用个人数据评估与自然人相关的某些个人方面，特别是分析或预测该自然人的工作表现、经济状况、健康、个人偏好、兴趣、可靠性、行为、位置或行踪等方面。
根据附件III列出的人工智能系统，如果对个人进行画像，则始终被视为高风险。构建持久个人画像并将其输入到自动化营销决策中的 WiFi 分析平台，必须依据此定义进行评估，以确定它们是否为高风险系统。
Social Scoring
在一段时间内，根据自然人或人群的社会行为或已知、推断或预测的个人或性格特征进行评估或分类，其社会评分导致这些自然人或群体在与其数据最初生成或收集背景无关的社会背景中受到有害或不利对待。
根据第5条被禁止。在 WiFi 营销场景中，这针对的是那些根据行为模式对客人进行评分，并利用这些分数来限制访问、扣留优惠或提供劣质服务的人工智能系统。关键要素是不利对待——改善高价值客人体验的个性化不属于社会评分，除非它同时使评分较低的客人处于不利地位。
Captive Portal
在 WiFi 网络的新连接用户被授予更广泛的互联网访问权限之前，向其展示的一个网页或认证网关。场地运营商用它来收集客人数据、展示服务条款以及提供营销内容。
人工智能驱动的 WiFi 营销的主要部署界面。Captive Portal 上的人工智能功能——聊天机器人、个性化欢迎页、推荐引擎——须遵守第50条透明度义务。Captive Portal 通常也是获得 GDPR 数据处理同意的节点。
Conformity Assessment
验证高风险人工智能系统是否符合欧盟人工智能法案规定要求的过程，这些要求包括风险管理、数据治理、技术文档、透明度、人工监督、准确性、稳健性和网络安全。
高风险人工智能系统在投放市场或投入使用之前，必须进行合格评定。对于附件III下的大多数高风险系统，提供者可以进行自我评估。对于生物特征识别系统，则需要第三方评估。部署高风险人工智能系统的场地运营商需要确保其供应商已完成所需的合格评定，并能提供相关文档。
DPIA (Data Protection Impact Assessment)
根据 GDPR 第35条要求，对于可能对自然人的权利和自由造成高风险的处理操作，必须进行的一种流程。DPIA 必须描述处理过程，评估其必要性和相称性，并识别和缓解风险。
根据 GDPR 要求，对于高风险数据处理，包括大规模画像和对公共可访问区域的系统监控，必须进行 DPIA。在人工智能法案背景下，DPIA 应扩展以涵盖人工智能系统风险管理要求，创建一个满足两个监管框架的统一评估。
Article 50 Transparency Obligation
根据欧盟人工智能法案第50条的要求，提供者必须确保旨在与自然人交互的人工智能系统，其设计方式能使自然人知晓他们正在与人工智能系统交互，除非根据上下文显而易见。部署者必须确保这一披露到位。
对于在其 Captive Portal 上部署人工智能聊天机器人或对话界面的场地运营商而言，这是最可立即执行的合规义务。披露必须清晰且直接——在交互开始之前——不能隐藏在条款和条件中。适用于所有人工智能对话系统，无论风险等级如何。
Worked Examples
一家在五个欧盟成员国运营、拥有450间客房的酒店集团，在其 Captive Portal 上部署了一个人工智能驱动的聊天机器人，用于处理客人入住查询、餐厅推荐和 WiFi 故障排除。该聊天机器人由第三方 LLM 平台提供支持。营销团队还使用一个 WiFi 分析平台，该平台构建个人客人画像——包括访问历史、按场所区域划分的停留时间以及推断的人口统计细分——以通过 Captive Portal 欢迎页提供个性化促销优惠。首席技术官需要在下次董事会会议之前评估这两个系统的人工智能法案合规态势。
步骤1——对聊天机器人进行分类。 该人工智能驱动聊天机器人是一个与自然人交互的对话式人工智能系统。根据第50条第1款，它属于有限风险系统。立即采取的行动是在 Captive Portal 用户界面上实施清晰的交互前披露：“您正在与人工智能助手聊天。”这是一个前端变更。酒店集团作为部署者，即使底层 LLM 由第三方提供，也要对这一披露负责。审查供应商合同，确认提供者的人工智能法案分类，并要求其提供技术文档。
步骤2——对分析平台进行分类。 WiFi 分析平台构建个人客人画像，并利用它们通过自动化决策提供个性化优惠。关键问题是，这是否构成附件III下的个人画像——自动处理个人数据以评估偏好、兴趣、行为和位置。如果是，则该系统属于高风险。要求供应商提供人工智能法案分类文档。如果供应商将该系统归类为最低风险，获取其书面理由，并评估该理由是否站得住脚。如果系统是高风险，则开始规划合格评定合规事宜，以在2026年8月截止日期前完成。
步骤3——审计推断的人口统计细分。 如果分析平台使用人工智能模型推断包含敏感属性（年龄组、性别、国籍）的人口统计细分，评估这是否构成第5条下的敏感属性生物特征分类。如果细分是基于声明的数据（忠诚度计划会员、明确提供的偏好），而不是基于行为信号的人工智能推断，则风险较低。如果它是从行为信号中由人工智能推断出来的，则需要仔细的法律审查。
步骤4——与 GDPR 保持一致。 确保酒店集团的隐私声明反映人工智能驱动的处理和第50条披露。根据 GDPR 第6条审查分析处理的合法性基础。如果处理基于合法利益，则进行合法利益评估，并考虑人工智能法案风险分类。更新 DPIA，以涵盖 GDPR 和人工智能法案的风险维度。
一家在德国、法国和荷兰拥有120家门店的全国性零售连锁店，正在评估一个新的 WiFi 营销平台，该平台包含一个供应商描述为“基于情绪个性化”的人工智能功能——系统分析客人在 Captive Portal 上的交互速度和模式，以推断其“参与状态”，并相应调整欢迎页上提供的促销内容。IT 总监需要评估该功能在欧盟人工智能法案下是否被允许。
步骤1——识别人工智能实践。 “基于情绪个性化”功能分析行为信号（交互速度和模式）以推断“参与状态”——这在功能上是一种情绪或心理状态。这就是情感推断。
步骤2——应用第5条禁令测试。 第5条禁止在工作场所和教育机构中进行情感推断。零售商店对客人而言并非工作场所，因此这一特定禁令不适用于零售环境中的客人群体。然而，如果该功能运用操纵性技术扭曲行为并损害知情决策，造成重大伤害，它仍可能根据第5条第1款第a项被禁止。利用推断的情绪状态来提供操纵性促销内容——例如，针对被识别为“沮丧”的客人提供紧迫性优惠——很可能属于这一禁令范畴。
步骤3——评估 GDPR 影响。 从行为数据推断情绪状态构成 GDPR 下为画像目的处理个人数据。必须评估这一处理的合法性基础。合法利益不太可能成为用于营销目的的情感推断的可辩护基础。明确同意是最合适的基础，但同意机制必须具体且细化——同意使用 WiFi 接入并不构成同意进行情感推断。
步骤4——建议。 在没有详细法律评估的情况下，不要部署“基于情绪个性化”功能。违反第5条的风险——特别是操纵禁令——是重大的。要求供应商提供该功能的人工智能法案分类的法律分析。如果供应商无法提供可辩护的分类，则将该功能视为被禁止，并不要激活它。基于客观指标（访问频率、时间、声明的偏好）的标准行为个性化是允许的，且监管风险显著较低。
Practice Questions
Q1. 您场地的 WiFi 营销平台供应商刚刚发布了一项名为“访客情绪评分”的新功能，该功能分析客人在 Captive Portal 上的交互速度、顺序和犹豫模式，以分配情绪评分（积极、中性、沮丧），并相应调整提供的促销内容。供应商的文档将其描述为“行为分析”而非“情感识别”。作为 IT 总监，您如何评估该功能的欧盟人工智能法案合规状态，以及您会采取哪些行动？
Hint: 关注系统的技术功能，而非供应商的营销说辞。问：系统实际上在做什么？它是否从行为信号中推断情绪或心理状态？然后应用第5条禁令测试和第50条透明度测试。
View model answer
无论供应商如何标注，该功能在功能上就是一个情感识别系统。分析交互模式以推断“沮丧”或“积极情绪”就是情感推断。第一步是应用第5条禁令测试：该系统是否用于工作场所或教育机构？如果场地是零售店或酒店，第5条的工作场所禁令不适用于客人。然而，如果系统利用推断的情绪来提供操纵性内容——例如，针对“沮丧”的客人提供紧迫性优惠——那么第5条第1款第a项下的操纵禁令可能适用。第二步是评估该系统是否属于附件III下的情感识别系统，如果是，则会使它成为高风险系统。第三步是要求供应商提供书面的人工智能法案分类和法律分析。如果供应商无法提供可辩护的分类，则不要激活该功能。无论结果如何，都要记录您的评估理由。
Q2. 一家运营6万人容量场馆的体育场运营商，使用 Purple 的 Guest WiFi 平台在活动中收集第一方数据。营销团队希望在 Captivate Portal 上部署一个人工智能聊天机器人，以回答粉丝关于设施、商品和即将举行的活动的问题。该聊天机器人由第三方 LLM API 提供支持。场馆的法律团队问：第50条义务是什么，谁负责合规，实际实施是什么样的？
Hint: 确定部署者、提供者以及适用的第50条场景。然后明确披露必须是什么样的，以及何时出现。
View model answer
体育场运营商是部署者；LLM API 提供商是提供者。根据第50条第1款，部署者负责确保在交互开始前告知客人他们正在与人工智能系统交互。实施要求在 Captive Portal 用户界面上提供一个清晰的披露——一个徽章或介绍性消息，例如“您正在与人工智能助手聊天”——在第一条消息发送之前显示。这是对 Captive Portal 模板的前端更改。披露必须明确和直接；不能隐藏在服务条款中。LLM 提供商作为提供者有其自身的义务（技术文档、使用说明），但部署者不能依赖提供者来满足部署者的透明度义务。此外，体育场运营商必须确保聊天机器人的数据处理符合 GDPR——必须确定处理对话中共享的任何个人数据的合法性基础，并且隐私声明必须反映人工智能驱动的处理。
Q3. 一家零售连锁店的 WiFi 分析平台已经构建个人客人画像两年了，它将 WiFi 会话数据（设备 MAC 地址、停留时间、访问频率、店内位置）与 CRM 数据（购买历史、忠诚度计划等级）相结合，输入一个人工智能模型，该模型对通过 Captive Portal 向每位客人提供哪些促销优惠做出自动化决策。该连锁店的新合规负责人被要求评估，根据欧盟人工智能法案附件III的个人画像条款，该系统是否属于高风险。评估方法和可能的结果是什么？
Hint: 应用附件III的个人画像测试：人工智能系统是否正在执行个人数据的自动化处理，以评估个人的偏好、兴趣、行为或位置等方面？然后考虑自动化决策是否足够重要，以至于触发高风险分类。
View model answer
评估方法分为三个步骤。首先，确认该系统是人工智能系统（而不是简单的基于规则的引擎）——如果促销决策是由机器学习模型而不是确定性规则引擎做出的，那么它就是一个人工智能系统。其次，应用附件III的个人画像测试：该系统正在处理个人数据（WiFi 会话数据、CRM 数据），以评估个人的偏好、兴趣、行为和位置。这符合个人画像的定义。第三，评估该系统是否属于附件III所列的使用案例——最相关的类别是“获取和享受基本公共服务和私人服务”，其中包括用于评估服务资格的人工智能系统。促销优惠决策是否构成“获取服务”是一个灰色地带；如果人工智能系统可以拒绝客人访问一个对其购买决策有实质性影响的促销优惠，监管机构可能会认为这是重要的。可能的结果是，该系统应被视为潜在高风险，并应进行正式评估。该连锁店应与平台供应商接洽，获取其人工智能法案分类，启动 DPIA/AI 风险评估，并开始规划合格评定合规事宜，以在2026年8月截止日期前完成。