我常告诉客户、伙伴及同事们，欧盟的数据远比网络安全更重要。因为欧盟有“数据”顶层战略，而非数字战略、网络安全战略；为什么不是网络安全？因为网络安全事件不发生就无法触发处罚机制，发生小了又无关痛痒；发生大了整不好就是真正的灾难；且不好操作。因为产业的工具手法终归是要可操作的。
显示中，欧盟正在系统性地构建一套以数据、算法和数字市场秩序为核心的新型监管体系。DMA 管的是市场结构，DSA 管的是系统风险，而接下来，围绕数据流通、人工智能责任、关键数字基础设施的立法只会更加密集。网络安全、供应链安全当然也重要，但它们更多是“防守型规则”；真正塑造未来竞争格局的，仍然是数据与智能相关的制度设计。
欧洲不再只是一个市场，而是一套正在输出规则的“制度实验室”（这是我在布鲁塞尔一个书店里记录的一本书的原话，当然实验室做实验是可以失败的，切莫把每一项立法都当真）。这里我们谈谈DMA和DSA， DMA 和 DSA 之所以具备极强的域外适用性，不是因为欧盟“想管全世界”，而是因为它们抓住了三个任何全球科技公司都绕不开的现实支点。
一、第一层原因：欧盟不是按“公司在哪”，而是按“影响发生在哪”来管
传统监管往往问的是：
公司注册在哪？总部在哪？服务器在哪？（甚至也更关心数据存在哪儿？）
而 和 采用的是完全不同的一套逻辑：
你的服务，只要“对欧盟市场和用户产生实质影响”，就在监管范围内。
举个读者能秒懂的例子：
- 你的公司总部在中国
- 技术团队在新加坡
- 云服务在美国
- 但你有几百万欧盟用户
- 算法在向他们推荐内容、广告或商品
那么在欧盟眼里：影响已经发生在欧盟境内，监管当然就“有管辖权”。
这和金融监管、反垄断法的演进路径是一致的：监管对象不再是“企业实体”，而是“市场影响”。
二、第二层原因：法律条文本身就是“域外写法”
很多企业低估 DMA 和 DSA，是因为没有认真看它们的适用条款。在法律文本中，它们反复使用的不是“欧盟公司”，而是类似这样的表述：
- “向欧盟境内用户提供服务的中介平台”
- “在欧盟内部市场产生显著影响的核心平台服务”
- “其商业行为影响欧盟用户基本权利或市场竞争结构”
这在法律语言里是一个非常明确的信号：立法者从一开始就假设，被监管的对象大量是非欧盟企业。事实上，DMA 的“守门人”概念，本身就是为美国和全球科技公司量身定做的。欧盟本土几乎没有符合门槛的平台，这不是巧合，而是现实（有时候要思考市场的存量问题和GDPR的问题，“守门人”对美国的企业更多而非中国企业，中国企业在欧洲市场的存在还是Others，虽然出口的中国制造的商品很多，但由于大多数中国企业规模太小，罚不出“油水”也是个问题）。
三、第三层原因：欧盟抓住了全球平台最难规避的“入口”
很多企业CXO及管理层 会问一个现实问题：
“那我如果不理呢？”
问题在于，DMA 和 DSA 的执法抓手，恰好卡在你最难放弃的地方。
比如：
- 你可以选择不在欧盟设总部
- 可以把数据中心(DC)放在别处
- 但你很难放弃欧盟用户、欧盟广告主、欧盟开发者、欧盟合作伙伴
而 DMA、DSA 的执行工具，正是围绕这些“入口”展开的：”对欧盟用户的服务访问权”、“对欧盟市场的商业模式限制”、“对欧盟境内合作伙伴的合规义务传导”，结果就是：即便你人在欧盟之外，合规压力也会通过市场链条“反向传导”回来。DMA/DSA有那么厉害吗？好，给你举个例子，2026年2月9日，欧盟监管机构初步认定 TikTok 的产品设计违反了《数字服务法（Digital Services Act, DSA）》。调查指出，该平台的多项功能（例如无限滚动、自动播放、个性化推荐系统等）可能导致用户形成“成瘾式使用行为”，特别是对未成年人和弱势群体的身心健康构成潜在风险。欧盟委员会认为这些设计使 TikTok 未能充分评估和缓解相关危害，同时现有的屏幕时间管理与家长控制工具不足以有效防护。作为结果，欧盟要求 TikTok 改变其基本产品设计，并警告如果最终确认侵权，否则Tiktok可能面临最高达全球年收入6 %的罚款。
(来源链接：https://ec.europa.eu/commission/presscorner/detail/en/ip_26_312)
四、为什么说“第一批执行决定”尤其重要？
从商业角度看，真正的域外效力，并不是写在法条里的，而是通过案例被全球复制的。
一旦欧盟在某个平台上认定：
- 某种推荐机制构成系统性风险
- 某种自我优待行为破坏竞争
- 某种默认设置侵犯用户选择权
那么接下来发生的往往是：
- 其他国家监管机构引用欧盟逻辑
- 投资人、董事会开始把“欧盟标准”当底线
- 企业内部直接按“最高标准”统一设计
这就是欧盟数字法真正的“外溢效应”。GDPR 走过一模一样的路径，而 DMA、DSA 只会更快。一定是以罚钱为最终目的的，因为罚了钱的法ACT等才算是真正有影响力的法。
五、从 CEO 视角看，这意味着什么？
如果用一句“经营语言”来总结，那就是：
DMA 和 DSA 管的不是你在哪，而是你“怎么赚钱、怎么增长、怎么用数据”。
对全球科技公司来说，现实选择只有三种：
- 主动理解并内化欧盟规则，提前调整产品和组织；
- 被动应付，等执行决定落到自己头上再改
- 战略性退出欧盟市场（但这对大多数公司并不现实）
而从过去一年的信号来看，欧盟正在把“规则模糊期”快速变成“执行明确期”。
Takeways收尾:
DMA 和 DSA 之所以具备极强的域外适用性，不是因为欧盟管得远，而是因为全球科技公司的业务，本身早就跨越了边界。这里面的全球科技公司，主要指代美国、中国。作为中国的企业做决策思考时，可以参考美国企业的做法（当然你可能觉得欧盟对美国企业友好，我这里是指美国企业在产品、组织行为应对的客观做法，比如：微软公司Microsoft）。
ZHIDAO.blog 
Leave a comment