科罗拉多州于2024年通过了全美第一部综合性AI雇佣法。该法原定于2026年6月30日生效。然而，在距离生效仅剩三周时，立法机构废除了它，并用一部几乎完全不同的法案取而代之。
如果你经营一家使用任何软件来筛选简历、对候选人排名、安排面试或标记候选人进行后续跟进的小企业，这笔“急转弯”对你来说至关重要——即使你从未听说过原法律，即使你的公司不在科罗拉多州。以下是实际发生的变化、适用的对象，以及在新规于2027年1月1日落地之前你需要做好的准备。
为何科罗拉多州撕毁了自己的AI法律
原科罗拉多州AI法案（SB 24-205）要求雇主在使用AI招聘工具之前证明其公平性：风险管理计划、部署前影响评估、持续的偏见审计，以及证明整个系统不会产生歧视性结果的文件。该法案效仿了欧盟对“高风险”AI系统的监管方法——先监管技术，后监管结果。
商业团体、科技公司，甚至一些消费者权益倡导者都强烈反对。反对意见并非AI招聘工具不应受监管，而是要求在允许使用之前证明整个系统无偏见，这既昂贵又模糊，主要是律师事务所和审计机构才明白如何执行的合规操作。一家使用现成应聘者跟踪工具的五人招聘机构，根本没有切实可行的路径按照该法规的描述来“证明”该系统的公平性。
因此，在2026年5月，州长贾里德·波利斯签署了SB 26-189，该法案完全废除了原法律，并用一个更狭窄的框架取而代之。新方法不要求你在使用算法前对其进行审计。它要求你保持透明，并在决策对人们产生影响后给予他们追索权。这是日常合规工作的真正转变——了解哪些方面变得更容易、哪些没有，是很有价值的。
“自动化决策技术”的实际覆盖范围
新法案放弃了旧的“高风险AI系统”术语，转而监管用于做出重大决策的自动化决策技术（ADMT）。对雇主而言，重大决策指任何实质性影响某人就业机会的事情——招聘、晋升、薪酬、纪律处分或解雇。
这涵盖的远不止一个专门的“AI招聘平台”。如果你使用以下任何工具来实质性影响谁被聘用、晋升或解雇，你就在监管范围内：
- 简历筛选或关键词排名工具
- 同时也对候选人评分或筛选的面试安排软件
- 基于聊天机器人的初步筛选面试
- 具有自动评分功能的背景调查或推荐人核查工具
- 用于标记员工进行审查或解雇的绩效管理软件
关键词是实质性。一个拼写检查器或没有评分或筛选功能的日程安排日历不属于ADMT。一个能将200份简历排名并筛选出10人入围名单的工具则属于ADMT。
小型企业豁免——及其狭窄的边界
员工人数不超过40人的雇主通常不被视为该法规下的“部署者”，这使得大多数个体经营者、小型店铺和早期初创企业免于承担核心义务。
但这个豁免条款有一些边界，容易让人措手不及：
- 它基于员工数量，而非收入或是否在科罗拉多州有实体。 一家总部位于迈阿密、有15名员工且只有一名远程员工或仅在科罗拉多州有一名求职申请人的公司，仍可能因该次交互而落入该法律的管辖范围——决定部署者身份的是员工人数，而非公司总部所在地。
- 使用供应商的工具并不能转移义务。 如果一个第三方平台构建了筛选算法，你的企业——作为对真实候选人实际部署该工具的一方——仍是负责合规的“部署者”，而非供应商。供应商的工作是向你提供足够的信息以便你恰当地使用该工具；你的工作是实际满足通知和审查要求。
- 豁免取决于规模，而非意图。 不存在“我们不知道它算作ADMT”的辩护理由。如果该工具实质性地影响了招聘或薪酬结果，豁免权取决于你的员工人数，而非你合规计划的成熟度。
如果你的员工人数接近40人，或者你是一家即将使用AI辅助平台扩大招聘规模的小公司，那么现在就开始建立下文所述的合规习惯是值得的，而不是等招聘季过半时跨过门槛才匆忙应对。
在实践中有义务的雇主需要做什么
对于不符合豁免条件的公司，该法案规定了三项具体义务，与旧法规不同，这些义务均不要求你雇佣数据科学家：
1. 使用前发出通知。 你需要在ADMT投入使用之前（而非之后），向申请人和员工发出清晰、明显的通知，告知他们ADMT是流程的一部分。在实践中，这可以简单到在网上申请中添加一行字（“本申请使用自动化工具协助筛选候选人”），或在交互点附近发布一个链接。它不需要在隐私政策中埋藏一份独立的法律披露文件。
2. 一个真正的不利行动处理流程。 如果ADMT促成了一个对某人不利的决策（例如，他们被筛除、跳过或解雇），你必须在30天内以通俗易懂的语言解释该决策以及该工具在其中扮演的角色。然后，他们可以要求更正该工具所依赖的、事实上不准确的数据，并请求对该决策进行“有意义的人工审核”，前提是对你这种规模的企业来说这在商业上是合理的。这是该法案全新的“逐案决策”方法的核心：不是从抽象层面证明系统是公平的，而是当有人提出质疑时，你能够解释并重新审视特定的结果。
3. 记录保存。 将你所使用的ADMT记录（如版本标识符、对其筛选或评分方式的任何重大修改，以及每个重大决策的相关文件）至少保存三年。
与旧法律要求的部署前风险管理计划和定期偏见审计相比，这显然更轻松。但“更轻松”并不意味着“什么都不做”——通知和不利行动处理流程是新的日常操作习惯，而不是一份你写完就收起来的政策文件。
执法：无私人诉讼，但有实际处罚
根据新法律，不存在私人诉权——个体候选人不能因ADMT违规直接起诉你。执法权完全归属于科罗拉多州总检察长。每次违规可能面临最高20,000美元的罚款，不过在可能会被处以罚款之前，总检察长办公室通常必须先提供60天的补救期来纠正问题（前提是该问题被认为可以补救）。
“仅由总检察长执法、有补救期、无私人诉讼”这一组合，是商业团体支持重写法案的重要原因。它将合规风险从“任何被拒绝的申请人的律师都可能起诉我们”转变为“我们有一个明确的流程，如果搞砸了，我们还有机会在罚款前进行补救”。对于没有内部法律顾问的小雇主来说，这意味着一个截然不同的、更可控的风险状况。
2027年1月1日前需要做什么
生效日期给有义务的雇主提供了大约五个月的准备时间（从本文发表时算起）。一个合理的工作顺序：
- 盘点你的招聘和HR软件。 列出所有涉及申请、筛选、安排、绩效评估或薪酬决策的工具。直接向每个供应商询问他们的产品是否执行自动评分、排名或筛选。
- 确认你的员工人数状态。 如果你目前员工不足40人但正在增长，请预测何时会超过这条线，并相应规划合规工作——不要在你雇佣第41名员工的那一周才仓促行事。
- 起草你的通知用语。 一份简短、通俗易懂的声明，说明ADMT是你流程的一部分，并放置在申请人及员工实际能看到的地方。
- 建立不利行动处理工作流程。 确定谁负责审查更正请求，谁进行“有意义的人工审核”，以及你如何在30天内提供通俗易懂的解释。这是一个流程问题，而非技术采购。
- 设置记录保存系统。 即使是一个简单的共享文件夹，记录哪个招聘周期使用了哪个工具版本，并在供应商推送重大更新时进行更新，也能满足三年的记录保存要求。
保留该法律要求的书面记录
无论你的企业最终如何构建ADMT合规体系，归结起来都是要能够清晰、应要求地展示：使用了什么工具、发生了什么变更及变更时间，以及由此产生了什么结果。这与良好财务记录保存所遵循的原则相同：一条清晰、带有日期、可审计的线索，而非事后靠记忆或零散电子表格拼凑出来的东西。Beancount.io 将这种纯文本、版本控制的方法应用于你的账目——每笔分录都是透明的、带时间戳且可追溯的，没有供应商锁定，也没有黑箱。免费开始使用，看看当你的记录已经井井有条时，合规对话会变得多么容易。