美国康涅狄格州与马里兰州隐私及AI新规10月1日生效：康州禁止出售精确地理位置数据并限制人脸识别，马里兰州实施全美首个食品零售监控定价禁令

2026年10月1日，美国康涅狄格州第26-64号法案（参议院第4号法案）大部分条款生效，对该州综合性隐私法（CTDPA）作出重要修订。自当日起，控制者与第三方不得“出售”（指以金钱或其他有价值对价）“出售”消费者的精确地理位置数据——定义为可将个人定位精确至1,750英尺半径内的数据，仅通信内容以及与公用事业计量基础设施相连的数据除外。康州由此加入马里兰、俄勒冈、弗吉尼亚，从“选择加入同意”模式转向直接禁售。依赖设备的定位权限提示或隐私政策披露已不足够。

该法同时收窄了“公开可得信息”的排除范围。此前公开可得信息不在CTDPA个人数据定义之内，许多数据丰富化、线索生成类商业模式依赖这一排除。自10月1日起，康州隐私法将适用于：将任何个人数据与公开可得信息结合后形成的个人数据；未经消费者知情收集的生物识别数据；遗传数据（除非消费者主动公开）；消费者在公开网站或服务上发布但具有合理隐私期待的信息；以及猥亵描绘与已知的非自愿亲密或合成亲密影像。消费者还获得一项新权利：删除被汇编成档案（在公开网站上提供，无论免费或收费，或被出售）的公开可得信息及由此得出的推断。

在生物识别与数据经纪方面，自10月1日起，控制者或消费者健康数据控制者若在经营场所将人脸识别用于安保、反欺诈等防护目的，必须：仅将图像与其专门维护的数据库进行比对；在每个使用该技术的入口（员工专用入口除外）张贴清晰可读的告示，并附显著超链接或二维码指向其人脸识别政策；该政策须包含康涅狄格州检察长的联系方式。数据经纪框架名义上10月1日生效，但核心禁止性义务延后：自2027年1月1日起，数据经纪商未在消费者保护局注册（注册费每年2,500美元）不得在康州出售或许可经纪个人数据；州营删除机制参照加州DROP，须在2028年7月1日前建成，此后经纪商自2028年10月1日起须每45天查询一次。

同日生效的还有《康涅狄格州人工智能责任与透明度法案》（CART Act，PA 26-15）的部分条款：AI订阅披露要求、从事大型前沿模型开发与部署人员的举报人保护，以及一批力求统一“何为人工智能技术”的法定定义。对雇主而言最关键的变化是：自动化就业决策技术（AEDT）的使用不构成对某些就业歧视索赔的抗辩，反偏见测试等主动措施的证据可被考量；自2027年10月1日起，受规制技术的部署者须就技术、用途及其使用的个人数据向应聘者与员工提供通俗语言告知。此外，依《工人调整和再培训通知法》向康州劳工部门提交通知时，须披露裁员是否与雇主使用AI或其他技术变革有关。

马里兰州《防止掠夺性定价法》（HB 895）同日生效，实施全美首个针对食品零售的监控定价禁令。适用于销售免税食品、营业面积不低于15,000平方英尺的食品零售商，以及配送该类食品的第三方服务。受规制企业不得使用动态定价或个人数据为特定消费者或群体设定更高价格，也不得以受保护类别数据剥夺或拒绝给予他人已有的优势或特权。法律排除了任何消费者均可加入的忠诚度计划、促销与挽留优惠、基于成本与供应的价差以及定价错误更正。执法由州检察长消费者保护司负责，须给予45天补救期，且无私人诉权。