同一架构，三项授权：非欧盟数字企业所需的欧盟代表

§ I三项制度，一个反复出现的情形

本文所探讨的三项义务具有共同的架构。在每个案例中，欧盟立法者都面临相同的问题：位于第三国的服务提供者能够接触到欧盟境内的数据主体、用户或购买者，但在形式上却游离于执法机关的管辖范围之外。三项法规给出的立法答案如出一辙：要求在欧盟境内设立一个指定的联络点——即一名可被联系的、持有相关文件且能够在服务提供者自身难以被追责时被追究责任的代表。

在这一共同架构之下，差异巨大。根据第13条而被指定的数字服务法代表，可能因其服务提供者的侵权行为而独立承担责任。根据第27条而被指定的通用数据保护条例代表，不仅是监管机构的联系对象，也是数据主体本身的联系对象，并可能面临执法程序。根据《人工智能法》第22条和第54条而被指定的授权代表，其权限范围较窄，侧重于文件保管，但当服务提供者实施违法行为时，该代表负有特殊的义务：必须终止授权并通知主管机关。原则上，一个资源充足的欧盟实体可以担任多个此类角色，但每个角色都需依据一份独立的书面授权文件，并履行各自的法定职责清单。本文将对各项义务分别阐述，随后进行比较。

§ II《数字服务法》第13条：中介服务的法定代表人

《数字服务法》第13条位于该法规第三章，适用于所有中介服务提供者的勤勉义务。该条款的位置具有明确考量：该义务并非针对超大型平台的特别制度，而是一项基本要求，独立于适用于托管服务、在线平台以及超大型在线平台和搜索引擎的分层义务。该条款的核心操作性内容如下：

该条款有三个关键特征值得关注。第一，该义务的触发仅基于两个事实的结合：在欧盟没有设立机构以及在欧盟境内向服务接收者提供服务。无需满足最低用户数量、收入门槛或事先的平台分类要求。《数字服务法》适用于与欧盟存在"实质性联系"的提供者，该定义见《数字服务法》第3条(e)项，参照了设立机构、大量接收者或针对至少一个成员国的服务目标。1第二，法定代表的授权范围是全面的：涵盖接收、遵守和执行《数字服务法》相关决定所必需的所有事宜——正如Hofmann和Raue的评注所指出的，这一表述明显超越了原德国《网络执行法》（NetzDG）下较窄的代表义务范围。2第三——在此处《数字服务法》代表的暴露风险最为广泛——该代表可能因其自身责任为提供者的未遵守行为承担法律责任。

决定第13条是否触发"设立机构"的概念，其重点在于实质内容而非注册登记。欧洲法院在内部市场法律中解释"设立机构"时，要求具备真实且稳定的存在——即具有固定营业场所，配备人力和物质资源以从事经济活动，并且对外界表现出持续性的外观。3仅设有信箱地址或注册代理机构但无运营能力的实体不构成设立机构。因此，活跃在欧洲市场的大量非欧盟科技公司——包括市场平台、社交网络、托管和内容共享服务等众多其他类型——只要其服务符合单纯传输、缓存或托管服务的定义，无论其是否已考虑自身在欧盟法律下的地位，均落入第13条的适用范围。Terharen出版社的实务手册将服务分类作为分析起点，正是因为它既决定了第13条是否适用，也决定了后续适用哪一层级的义务。4

《数字服务法》第13条第3款下代表人的自身责任

《数字服务法》第13条第3款在欧盟监管工具中较为罕见：它明确允许法定代表人因提供者的未遵守行为而被追究责任，"不影响"提供者自身应承担的责任。代表人的风险暴露是附加于提供者责任之上的，而非替代关系；两者可能同时面临执法行动。由于代表人既可以是法人也可以是自然人，这是一种被指定的代表人以其自身名义承担的实体责任——同意担任代表的一方因此并非仅履行通知职能，而是接受一个带来法律风险的地位，谨慎的当事人应通过精心起草的合同赔偿与责任限制条款来处理这一风险。5

代表人所在地为何决定管辖权

《数字服务法》第56条将监督权限集中于提供者主要设立机构所在成员国的数字服务协调员。对于在欧盟境外设立的提供者，《数字服务法》第56条第6款调整了规则：管辖权的数字服务协调员为法定代表人居住地或设立机构所在地的成员国。其效果是管辖权的集中——一个主要监管机构、一套程序规则、一个联系点——在功能上接近于拥有单一主要设立机构，但受欧盟委员会对超大型在线平台和搜索引擎的自身监督权限的约束。6

若非欧盟服务提供者未能指定法定代表，则适用《数字服务法》第56条第7款，其效果截然相反：欧盟境内所有数字服务协调员均取得监管与执法权限。《数字服务法》虽规定了合作机制并要求尊重"一事不再理"原则，但该保护仅针对双重处罚——并不阻止成员国之间并行调查、不同时间表以及相互矛盾的信息提供要求。7

《数字服务法》第13条第4款要求将代表的姓名、邮政地址、电子邮件地址及电话号码通知代表居住地的数字服务协调员，并确保该信息公开、可获取、准确且保持更新——通常应载于服务提供者网站（例如版权声明或法律声明页）。第13条第5款附加了一项具有广泛重要性的明确说明：指定代表"不得视为在欧盟设立机构"。遵守《数字服务法》的代表义务本身，既不会构成税务意义上的常设机构，也不会构成《通用数据保护条例》意义上的主要机构。8

§ III《通用数据保护条例》第27条：非欧盟控制者与处理者的代表

数据保护制度施加了一项结构相似但独立触发的义务。该义务由《通用数据保护条例》第3条第2款启动，该条款将条例的适用范围扩展至未在联盟内设立的控制者和处理者，前提是相关处理涉及向联盟内的数据主体提供商品或服务（无论是否需要付费），或涉及对数据主体在联盟内行为的监控。9当第3条第2款适用时，《通用数据保护条例》第27条第1款要求控制者或处理者以书面形式在联盟内指定一名代表。

《通用数据保护条例》中的代表与其在《数字服务法》中的对应角色有两个主要区别。首先，代表必须设立于其数据被处理的那些数据主体所在的成员国，从而将注册地的选择与提供者的实际市场相关联，而非允许自由选择。10其次，且更具实际意义的是，授权不仅面向监督机构，也明确面向数据主体。联盟内的数据主体可就与处理相关的所有事宜直接向代表提出交涉——这一面向私主体的维度在《数字服务法》文本中仍存在理论争议，但《通用数据保护条例》第27条第4款对此作出了明确规定。

豁免情形：偶发性、低风险处理及公共机构

与《数字服务法》第13条不同，《通用数据保护条例》的义务设有明确的豁免条款。根据《通用数据保护条例》第27条第2款，若处理满足以下三个累积条件，则无需指定代表：处理具有偶发性；未大规模包含第9条所指的特殊类别数据或第10条所指的刑事定罪及犯罪相关个人数据；且不太可能对自然人的权利与自由构成风险。公共机构及公共机关享有单独的豁免。11该豁免范围狭窄，其判断依据是处理的性质而非与市场接触的程度：一个商业提供者，如其对联盟数据的处理并非偶发性，或大规模处理特殊类别数据或刑事定罪数据，则不符合豁免条件。因此，对于此类提供者而言，更稳妥的工作假设是《数据保护条例》第27条适用。

代表的身份和联系信息并非当事人之间的私密事项。这些信息必须体现在根据《通用数据保护条例》第30条建立的处理活动记录中；对于控制者而言，还需根据第13条和第14条的透明度义务，将其作为身份及联系信息的一部分提供给数据主体。与《数字服务法》类似，指定代表是一项对外公开的法律状态，而非内部安排。同样，与《数字服务法》类似，指定代表本身并不构成在联盟内拥有主要设立机构；它不会触发"一站式"机制，该机制取决于是否存在一个对处理活动拥有实际决策权的真正设立机构。

§ IV《人工智能法》第22条与第54条：人工智能提供者的授权代表

第2024/1689号法规（即《人工智能法》）新增了第三项代表义务，分为两条规定，分别适用于两类不同的提供者。这两条规定均遵循《数字服务法》和《通用数据保护条例》中相同的起草模式——要求书面授权并指定欧盟境内的机构——但其任务清单以文件为核心，且术语转为欧盟产品安全法中常见的"授权代表"。

第22条适用于高风险人工智能系统的提供者。在该类系统投放欧盟市场前，第三国提供者必须通过书面授权，指定一名设立于欧盟境内的授权代表。第22条第3款规定的任务以产品安全标准精确界定：代表需核实欧盟符合性声明和技术文件已编制完成，且已实施相应的合格评定程序；在系统投放市场或投入使用后的十年内，保存联系信息、符合性声明、技术文件及（如适用）证书，供主管机构查阅；应主管机构的合理请求，提供证明符合性所需的资料和文件；与主管机构合作；并履行第49条规定的注册义务。12

终止义务：解除关系的责任

有一项任务使《人工智能法》下的代表区别于其他两项制度。第22条第4款规定，若授权代表认为或有理由认为提供者违反本条例项下义务，则有义务终止授权，并通知相关市场监督机构及（如适用）公告机构。这是一项主动解除关系并告知当局的义务——在《数字服务法》第13条或《通用数据保护条例》第27条中均无直接对应条款。该授权对代表本身亦非毫无后果：《人工智能法》第99条第4款(b)项规定，对授权代表未履行第22条项下自身义务的行为处以行政罚款。

第54条为通用人工智能模型提供者确立了平行义务。在将该类模型投放欧盟市场前，第三国提供者必须通过书面授权，在欧盟境内指定一名授权代表。其任务侧重于核实附件XI规定的技术文件已编制完成，且提供者已履行第53条（对于存在系统性风险的模型，还包括第55条）项下义务；保存该文件及提供者联系信息十年；与人工智能办公室及主管机构合作；担任联络点；以及——同样——在提供者违反义务时终止授权并通知人工智能办公室的义务（第54条第5款）。第54条第6款规定了一项重要例外：若通用人工智能模型根据允许访问、使用、修改和分发的自由开源许可证发布，且模型参数（包括权重、架构和使用信息）已公开提供，则无需履行指定代表义务——除非该模型存在系统性风险。因此，开源途径仅在不触及系统性风险阈值时免除指定义务；超过该阈值，义务恢复。13

§ V三大制度对比：并行通道，各具特定授权

将三者并列观察，三项义务虽结构相同，但在四个影响实务的要点上存在差异：触发条件、授权对象、责任概况，以及反复出现的一个要点——指定不等于设立。

三者的触发条件各不相同。《数字服务法》义务的触发取决于：在欧盟境内无设立机构，但提供中介服务。《通用数据保护条例》义务的触发取决于第3条第(2)款规定的处理行为——即向欧盟境内数据主体提供商品或服务，或对其行为进行监控——但受偶然性与低风险豁免条款的约束。《人工智能法》义务的触发取决于：从第三国在欧盟市场投放高风险人工智能系统，或投放通用人工智能模型，但非系统性通用人工智能模型享有开源豁免。相比之下，形式要求统一：三者均需书面授权。

授权对象的分歧决定了日常法律风险敞口。《数字服务法》代表面向主管机关、欧盟委员会及数字服务委员会行事；《通用数据保护条例》代表面向监督机构以及数据主体行事；《人工智能法》授权代表面向市场监督机构行事，就通用人工智能模型而言，还面向人工智能办公室行事。责任概况是三大制度区别最明显的领域。《数字服务法》代表自身责任最为显著（第13条第(3)款）。《通用数据保护条例》代表可能被纳入执法程序，其罚款范围的具体界定仍存在争议。《人工智能法》授权代表的责任范围较窄且以文件义务为中心，但并非名义性或豁免罚款——其第99条第(4)款(b)项将对违反第22条自身义务的行为处以行政罚款——同时还附加了一项独特义务，即终止授权并通知主管机关。

有一要旨贯穿三者：指定不等于设立。《数字服务法》第13条第(5)款对此作了明确规定；就《通用数据保护条例》和《人工智能法》而言，同一结论通过分析推导得出，而非基于相同的明示条款——《通用数据保护条例》代表与主要设立机构是不同概念，仅指定不代表触发一站式服务机制；根据《人工智能法》指定授权代表，并不将第三国提供者转化为在欧盟设立的提供者。这一共同特征具有实务上的推论。由于各项义务在法律上相互独立，一个具备相应资源的欧盟实体原则上可同时担任上述多个角色——但每个角色均基于其自身的书面授权及其法定的任务清单。各项授权必须相互独立，不得混同；一份试图涵盖三大制度下“欧盟代表”事宜、却不区分其各自任务内容的单一合同，将会错误陈述法律立场。

§ VI实际执行：三大制度下授权委托书的架构设计

在三大制度中任一制度下完成合规指定，均需关注细节——若将该义务视为行政手续处理，往往严重低估其复杂性。指定协议至少应涵盖以下内容：适用法律文书项下委托权限的范围；为代表机构提供有效及时合作所需的资源；权限流转机制（在GDPR框架下包括数据主体向提供者合规部门的信息传达）；合同责任分配（以《数字服务法》第13条第3款规定最为紧迫）；以及已公告信息的治理安排（当代表机构变更时须及时重新公告）。

若提供者同时受多个制度约束——例如某第三国平台同时大规模处理个人数据并部署高风险人工智能系统——则授权委托书应统筹架构，但需分别起草。《数字服务法》委托书、《通用数据保护条例》委托书与《人工智能法》委托书各自需要独立的范围条款、任务清单及责任处理条款。将三者合并为单一混同文书，恰恰会引发各制度旨在避免的混淆情形。

§ VII三大制度下的执法格局

在《数字服务法》和《通用数据保护条例》框架下，代表义务已在实践中得到强制执行，并在《人工智能法》下逐步生效。根据《数字服务法》，数字服务协调员已覆盖全部27个成员国；德国联邦网络局在其数字服务协调员角色中已收到大量投诉，而欧盟委员会针对大型非欧盟平台的正式程序表明，执法范围已超越第13条，延伸至《数字服务法》的全部义务。未指定法定代表人本身即构成违规，应依据《数字服务法》第52条处以处罚，且不依赖于任何实质性违规行为。

在《通用数据保护条例》下，监督机构自2018年起积极履职，代表在执法实践中作为欧盟内的可寻址实体出现。罚款是否可直接针对代表作出，其确切范围仍存争议，但序言中指明代表应受执法程序的导向已十分明确，加之透明度义务和记录义务的存在，意味着该任命对监管机构和数据主体均具有可见性。

在《人工智能法》下，义务按照该法规分阶段时间表逐步生效：通用人工智能模型条款（包括第54条）自2025年8月2日起适用；高风险制度及第22条自2026年8月2日起适用；附件三所列高风险类别于2027年8月2日起适用。对于适用范围内的提供者而言，授权代表义务是合法市场准入的先决条件——若未按要求指定授权代表，高风险系统不得投放市场，通用人工智能模型不得上市。对于同时在数字服务、个人数据和人工智能领域开展业务的非欧盟企业而言，更为稳妥的做法是将三大制度综合评估，而非将单一合规视为其他合规的充分证据。