Delaware AI 就業規則收緊，招聘自動化面對新的私隱權利
Delaware 的 AI 就業規則將於 2027 年 1 月 1 日改變，當自動化分析影響就業機會時，為居民提供新的保障。修訂範圍不僅涵蓋完全自動化的拒絕系統，亦涵蓋用於重大決策的報告、建議、排名及其他數據驅動的輸出結果。
這項區別形成核心衝突。僱主採用篩選工具，以減少重複工作並處理更龐大的求職者群組。Delaware 現在要求，當這些工具收集外部資料、推斷個人特徵，或影響不利決定時，必須承擔更大責任。
該州並非禁止在招聘中使用人工智能，而是質疑只要有人參與，是否便可自動令就業系統免受私隱監管。這令僱主、招聘供應商及評估服務商面對共同的合規問題，任何一方都無法單獨解決。
Delaware 2027 年修訂實際改變了甚麼
修訂將部分與就業相關的分析，從內部工作流程轉為受監管的數據決策。
州長 Matt Meyer 於 2026 年 9 月 2 日簽署 House Bills 380 及 381。經修訂條文將於 2027 年 1 月 1 日生效。Delaware 形容這套修訂為擴大居民的私隱保障，適用於其資料會影響與工作、住屋、貸款及其他重大機會有關的自動化決策。
《Delaware Personal Data Privacy Act》（DPDPA）原於 2025 年 1 月 1 日生效，確立了查閱、更正、刪除、資料可攜性、定向廣告、資料銷售及某些自動化分析相關權利。
該法一般將以受僱或商業身分行事的人士排除於消費者定義之外。這項排除仍然重要，但對於所有工作場所用途而言，已不再足以終結分析。
修訂為受監管的就業資料開設了一條較窄的途徑。透過分析及報告處理的個人資料，如用於支援有關 Delaware 居民就業機會的決策，便可能受法例涵蓋。
根據修訂後的法例，「報告」具有廣泛含義，可包括書面或口頭溝通、建議、摘要，以及基於個人資料或分析作出的自動化決策。因此，即使最終決定由僱主作出，供應商製作的候選人排名仍可能具有影響力。
修訂亦從現有的分析退出權中刪除一個關鍵詞。現行法例提及具有法律或類似重大影響的「純粹自動化決策」。2027 年的條文則涵蓋「自動化決策」，令規則可適用於仍有人工參與的系統。
這項修改相當重要，因為許多招聘產品都被定位為決策支援工具。招聘人員可能檢視排名名單、查看面試分數，或接納模型建議。人工覆核不一定能消除系統的影響。
就業機會明確屬於具法律或類似重大影響的範疇。該類別亦涵蓋保險、醫療保健、金融服務、住屋、教育、刑事司法，以及獲取基本貨品或服務。
經修訂的 Delaware privacy code 賦予居民查閱其資料所衍生某些推論的權利，亦容許他們查詢分析是否支援一項重大決策。
法例擴大適用範圍，首先體現於業務涵蓋門檻。其中一項一般門檻由處理 35,000 名 Delaware 消費者的資料降至 10,000 名；另一項門檻則由 10,000 名降至 5,000 名，前提是企業同時從資料銷售賺取至少全年收入的 20%。
這項擴展可令較小型機構納入 DPDPA 範圍，亦令資料盤點更為迫切，因為僱主不能單憑員工人數判斷是否受規管。他們需要了解客戶、求職者、僱員及承辦商系統中所處理的 Delaware 資料。
根據 employment law analysis 的原始報道，違規者每宗違規最高可被處以 10,000 美元民事罰款。根據此法規，執法權屬於 Delaware Department of Justice，而非個別原告。
眼前的教訓並非每個試算表或求職者追蹤功能都會成為受規管 AI，而是僱主必須追蹤個人資料如何演變成建議，以及該建議如何影響某個人。
Delaware AI 就業規則令僱主與供應商承受壓力
最棘手的合規問題，不再是工具是否使用 AI，而是誰控制資料，以及誰能解釋結果。
僱主可能向背景審查、人才搜尋或評估供應商訂購候選人報告。供應商可能從外部來源收集資料、分析資料，並交回分數或建議。
這種安排分割了實際控制權。供應商可能掌握模型、輸入資料及效能限制；僱主則了解管理人員如何使用輸出結果，以及結果是否促成拒絕、晉升、紀律處分或解僱。
Delaware 的控制者與處理者框架，不容許各方以產品標籤界定責任。其角色取決於在特定情境中，誰決定處理資料的目的與方式。
處理者必須遵從控制者指示；如該處理者開始決定資料為何或如何被處理，便可能就該活動成為控制者。
修訂亦加強合約要求。涉及披露個人資料的協議，必須列明有限目的並處理重大決策用途，亦須要求提供同等私隱保障，並支援制止未獲授權的處理活動。
因此，對僱主而言，採購亦成為 AI 管治的一部分。標準軟件訂閱服務未必能提供足夠資訊，說明資料來源、推斷屬性、模型限制、保留安排、分包商或爭議處理方式。
對供應商而言，聲稱最終決定由僱主作出，可能難以帶來多少保障。作為控制者行事的供應商，可能須履行與居民要求、分析紀錄、報告及人工覆核相關的責任。
報告條文令這種關係尤其重要。當僱主收到受涵蓋報告並採取不利行動時，合約責任可能要求其向受影響居民發出通知。
該通知必須說明用於決策的個人資料，亦必須解釋居民有權向控制者取得資料，以及要求對不利行動進行人工覆核。
居民可要求取得所保存的個人資料，以及用於分析的資料來源。他們亦可索取在過去 24 個月內收到有關其報告的第三方身分。
控制者一般須於 30 日內提供這些與報告相關的資料，居民亦必須獲得更正不準確個人資料的機會。
這些義務形成要求嚴格的營運鏈。僱主必須識別不利行動何時依賴受涵蓋報告；供應商則必須保留足夠的資料脈絡，以識別輸入資料、來源、收件者及相關輸出結果。
若招聘團隊只看見分數而沒有支持資料，便無法滿足這項要求。若供應商無法分辨已核實事實與推斷特徵，亦無法支援更正權利。
一般例子顯示這項區別為何重要。履歷工具可能從任職日期推斷資歷；人才搜尋平台可能預測轉職意願；面試系統可能評估說話模式或行為訊號。
每個系統都會將資料轉化為評估性輸出。若該輸出促成拒絕提供機會，機構必須準備好解釋的內容，不能只限於產品的營銷用途。
官方 business privacy guidance 已強調資料清單、已記錄的處理目的、安全保障及處理者協議。修訂令這些基礎對招聘科技更為重要。
僱主亦應區分受涵蓋報告與受聯邦《Fair Credit Reporting Act》規管的消費者報告。Delaware 的修訂似乎部分針對傳統背景審查開始前的環節。
該環節包括候選人搜尋、排名、配對及早期評估，往往是求職者最缺乏可見度、供應商最依賴外部資料的地方。
壓力迫在眉睫，因為系統必須在生效日期前重新設計。合約、通知、查閱流程及人工覆核程序，需要法務、私隱、人力資源、採購及工程團隊協調。
AI 分析規則取代「人類參與」的捷徑
Delaware 拒絕一個常見的合規捷徑：加入人工覆核者，並不會自動令自動化影響變得無害。
許多機構把招聘工具描述為輔助性質。模型為候選人排名，但由招聘人員決定聯絡誰；平台給出評估分數，但由管理人員批准最終決定。
這項區別對實際責任仍然相關，但已不再保證背後的分析活動會落在 Delaware 私隱規則範圍之外。
從分析條文中刪除「純粹」一詞，擴大了監管視角。即使由人按下最後按鈕，自動化建議仍可產生重大影響。
這項改變處理自動化偏見問題，即人們過度重視系統建議。名義上的覆核者可能在不了解資料、假設或錯誤模式下，便批准一項排名。
有意義的人工覆核不止需要簽署。覆核者需要有權改變結果、可取得相關資料，以及接受足夠訓練以識別可疑推理。
覆核者亦需要時間。一名預期要審閱數百份機器排名申請的招聘人員，未必有現實機會獨立重新考慮每項建議。
Delaware 的做法聚焦於決策流程，而非 AI 標籤。分析是指對個人特徵、偏好、可靠性、行為、位置或活動進行評估、分析或預測的自動化處理。
這一定義可涵蓋統計及規則導向系統，而不僅是生成式 AI。供應商不能假設不使用大型語言模型，便可令其產品免受審查。
同樣的觀點亦適用於推斷資料。經修訂法例擴大查閱權利，納入由個人資料衍生的推論；當某些推論用於揭示受保障特徵時，亦會被視為敏感資料。
敏感類別包括種族或族裔來源、宗教、性取向、移民身分、基因資料、生物識別資料及精確地理位置。修訂新增神經資料，以及額外的健康及財務類別。
僱主不得向求職者詢問受保障特徵。然而，模型仍可能從姓名、地址、工作履歷、語言模式或網上活動中推斷相關資料。
這種可能性令特徵選擇同時成為法律及技術議題。團隊必須評估某項輸入資料是否必要、合乎比例，以及是否與已披露的目的有關。
法律亦令反偏見測試與歧視申索及抗辯相關。它着眼於有關測試的質素、成效、時效、範圍、結果及機構回應。
在採購期間只測試一次，無法解決所有疑慮。模型更新、求職者群體轉變、新職位類別及不同決策門檻，均可能改變表現。
影響評估必須檢視預定用途、部署情境、預期效益、可預見的損害、輸入資料類別、輸出結果、效能指標及已知限制，也必須處理透明度及部署後保障措施。
如某項活動構成較高風險，該評估要求適用於處理至少 50,000 名消費者資料的控制者。法律另行處理與具有重大影響的自動化決策相關的分析行為。
這套架構並非要求僱主放棄有用的自動化工具，但確實要求他們記錄系統為何適合納入工作流程，以及周邊設有哪些管控措施。
該州所述的理據十分清晰。其私隱立法公告明確提及履歷篩選工具、面試評分工具，以及用於招聘、晉升、紀律處分及解僱的報告。
因此，僱主應避免只盤點以 AI 為賣點的產品。他們需要按功能盤點所有會為人員排序、提出建議、預測、篩選、評分或作摘要的系統。
該盤點亦應涵蓋大型人力資源平台內嵌的功能。熟悉的求職者追蹤系統，可能透過例行產品更新加入自動配對或摘要功能。
合規觸發條件取決於資料處理及決策，而非介面是否新穎。這正是 Delaware AI 招聘法背後的核心轉變。
問責取捨延伸至 Delaware 以外
Delaware 加入不斷發展的州及地方框架，但其以私隱為本的模式，與專門的 AI 法例形成不同的合規路徑。
New York City 規管用於招聘及晉升的自動化僱傭決策工具。受規管僱主必須安排近期的獨立偏見審計、公開相關資料，並提供所需通知。
該市的自動化招聘規則聚焦於實質協助或取代酌情僱傭決策的工具，亦要求在受規管使用前發出通知。
Illinois 對其中一種廣受關注的形式採取較狹窄的做法。其 Artificial Intelligence Video Interview Act 適用於僱主要求求職者錄製面試，並使用 AI 分析該些影片的情況。
Illinois 面試法要求在面試前發出通知、說明 AI 的運作方式，並取得同意。法例亦限制影片分享，並處理刪除要求。
Colorado 一直推行涵蓋較廣的規則，規管涉及具重大後果決策的自動化系統。其框架亦經歷重大立法修訂，反映州級 AI 義務變化之快。
Delaware 的不同之處在於，它將與僱傭相關的自動化納入全面私隱法例。這種做法把招聘決策與現有的資料最小化、同意、安全、查閱、更正及供應商管治責任連結起來。
對跨州僱主而言，這些法律無法整合為一份清單。New York City 着重偏見審計及公開披露；Illinois 針對由 AI 分析的錄像面試；Delaware 則着重資料權利、報告、分析及問責。
企業仍可建立一套管治基礎，包括盤點自動化工具、記錄資料流、識別受規管地點、記錄目的、測試表現，以及維持可重複使用的通知流程。
其餘責任則必須按司法管轄區逐一對照。單一全國通知或許切實可行，但必須包含每項適用州級或地方元素。
取捨不僅涉及合規成本。透明度可提升求職者質疑錯誤的能力，但詳盡披露亦可能暴露知識產權或使人有機會操控系統。
Delaware 透過商業秘密保護承認這種張力。查閱權並不要求控制者披露商業秘密，但這項保護不會抹去基本的查閱責任。
控制者可能需要描述相關資料及程序，而毋須交出原始碼或專有模型權重。這需要審慎說明，而不是一概拒絕。
人工覆核帶來另一項取捨。它可以捕捉錯誤並讓居民獲得補救途徑，但設計欠佳的覆核亦可能流於形式。
若覆核人員只能看到原始分數，便無法獨立評估決策。有效覆核可能需要來源資料、置信度資料、已記錄的理由，以及更正紀錄的能力。
供應商集中度亦涉及實際問題。較小型僱主往往依賴大型平台取得合規資料，而較小型供應商可能難以支援多個按司法管轄區劃分的工作流程。
然而，法律較低的涵蓋門檻意味着合規並非最大型僱主的專利。過去認為自己不受全面私隱法約束的機構，需要重新評估。
經修訂的門檻是指 Delaware 消費者資料，而非僱員人數。非牟利機構、網上服務或地區性僱主，可能透過其他業務營運達到門檻。
因此，適用範圍及僱傭責任需要分開分析。機構首先確定 DPDPA 是否適用，然後檢視某項招聘活動是否涉及受規管的分析或報告。
這種分層架構不如一部專門針對 AI 招聘的法律般顯眼，但可能影響更深遠，因為它把自動化決策與既有私隱營運及執法機制連結起來。
僱主仍不可作出的假設
修訂案提供了方向，但若干界線仍取決於事實、合約及未來執法指引。
首先，並非所有在僱傭中使用個人資料的情況都會受規管。與僱傭相關的資料一般仍被排除在外，但分析及報告條文構成重要例外。
機構應避免聲稱法律規管每一項績效評核、履歷資料庫或工作場所分析儀表板。關鍵問題是個人資料如何被處理，以及是否支援具重大後果的決策。
其次，產品描述並不決定是否受規管。供應商可能把某項功能稱為搜尋、配對、協助、分析或工作流程自動化，但其實際功能仍可能涉及分析。
僱主應測試系統產出的內容。中立摘要與建議不同，但如果摘要選取或突出了評價性資料，仍可能引導決策。
第三，有人類參與並不能定論。關鍵在於自動化是否影響決策，以及覆核是否獨立且具實質意義。
第四，遵守 DPDPA 並不保證符合僱傭歧視法。透明且有記錄的系統，仍可能造成違法的差別待遇或差別影響。
同樣地，反偏見測試並不為每一個職位或群體認證公平性。結果取決於資料、比較群組、樣本規模、指標及部署條件。
Delaware 明確規定主動測試的質素及時效具有相關性。這種表述鼓勵嚴謹測試，同時保留檢視薄弱或過時措施的空間。
第五，僱主不可假設供應商會自動處理居民要求。合約應訂明責任、期限、升級處理程序及證據要求。
居民在收到不利行動通知後，可能聯絡僱主。僱主需要有可靠渠道聯繫持有相關資料及來源資料的控制者。
第六，當第三方為僱傭目的提供消費者報告時，聯邦 Fair Credit Reporting Act 仍然相關。Delaware 不會取代聯邦的通知、授權及不利行動責任。
新條文在供應商產品不屬於傳統消費者報告架構時看來尤其重要。由於產品設計及資料來源各有不同，這個界線值得進行法律檢視。
第七，法律的民事罰款須放在合適脈絡下理解。每項違規最高 10,000 美元，並不代表每一項錯誤都必然產生最高金額。
執法決定可能取決於行為、範圍、受影響人士、補救措施及法定權限。機構應把這個數字視為風險承擔，而非保證的罰款計算。
最後，1 月的期限並不保證所有詮釋均已明確。隨着實施臨近，監管機構可能發出指引、更新企業資源，或澄清執法重點。
審慎的回應是記錄現行詮釋並重新檢視。一個可辯護的計劃應顯示機構如何作出決定，以及如何回應新指引。
該流程應包括處理含糊工具的升級處理途徑。法律、私隱、人力資源及技術負責人應覆核資料來源或決策影響不確定的系統。
僱主亦應保留補救證據。當測試發現問題時，團隊需要記錄改變了甚麼、何時改變，以及修訂後系統是否重新測試。
這種審慎觀點同時適用於兩方面。法律並非全面禁令，但亦不會因一份儲存在共享雲端硬碟的 AI 政策而得到滿足。
營運證據將十分重要。通知、評估紀錄、合約、測試結果、請求日誌、覆核人員培訓及已更正資料，均可提供這些證據。
2027 年 1 月前值得留意的三個訊號
下一階段將由實施細節、供應商準備程度，以及首批可見的執法訊號所界定。
第一個訊號是 Delaware Department of Justice 的更新指引。僱主應留意有關報告涵蓋範圍、分析退出選項、人工覆核、不利行動通知及請求驗證的說明。
詳細指引將加強以下觀點：Delaware 預期自生效日起便落實營運層面的合規。有限的指引則會令僱主更依賴法例文本及已記錄的風險判斷。
第二個訊號是招聘及評估供應商是否推出 Delaware 專用控制措施。有用的改動包括資料來源紀錄、可下載的決策歷史、更正工作流程，以及可設定的不利行動通知。
供應商亦應說明每個相關用途的效能指標及已知限制。一般性的模型卡無法回答與特定職位、求職者群體或部署設定有關的問題。
如主要平台推出這些控制措施，合規便可成為標準產品管理的一部分。如未能做到，僱主可能需要人手程序或改用其他供應商。
第三個訊號是 Delaware 在執法時如何看待人類參與。監管機構可能聚焦於即使名義上設有覆核，實際上仍有效決定結果的系統。
證據將包括推翻率、審核人員權限、決策時間、培訓，以及對相關基礎資料的存取權。接近零的推翻率並不能證明存在自動化偏誤，但可引發進一步疑問。
這些訊號應在剩餘的準備期內引導相關工作。僱主可先就用於招聘、聘用、晉升、績效評估、紀律處分及終止僱傭的系統，建立具範圍界定的清單。
就每個系統而言，清單應記錄其負責人、供應商、用途、涵蓋人群、輸入、輸出、資料來源、保留期限及其對決策的影響。清單亦應識別相關司法管轄區。
團隊其後可優先處理高影響力的工作流程。履歷排序、候選人尋覓、面試評分、員工風險評分及終止僱傭建議，應較基本排程工具優先接受檢視。
合約審查應聚焦於存取權及合作安排。僱主需要及時支援通知、居民提出的請求、更正、評估、審計及調查。
測試計劃應配合實際部署情況。在合法且適當的情況下，計劃應識別受保障群體、評估相關錯誤模式，並考慮資料變動。
人工審核流程應界定由誰進行審核，以及該人士可存取哪些資料。流程亦應說明審核人員是否可推翻有關決定。
培訓不應只涵蓋法律術語。招聘人員及管理層需要能辨識自動化輸出何時影響不利決定，並觸發另一項工作流程。
機構亦應為候選人及員工準備清晰說明。以淺白語言可說明工具的功能、所使用的資料類別，以及當事人可在哪裡提出疑慮。
該說明不應承諾機構無法提供的透明度。它應與實際系統行為、合約及請求處理程序一致。
特拉華州的人工智能僱傭規則，最終考驗的是自動化在採購後是否仍具問責性。購買合規產品，並不保證決策流程同樣合規。
僱主可在短暫的窗口期內，將私隱營運與僱傭工作流程連結起來。實用的下一步很具體：選取一個高影響力的招聘系統，追蹤特拉華州居民的資料由收集至作出決定的整個過程。
機構能否識別資料來源、解釋有關建議、更正錯誤資料、通知當事人，並進行真正的人工作審核？如任何答案尚不明確，該缺口便應納入 2027 年前的路線圖。
