三套"本地代表"不能互替：出海合规最贵的认知坑
GDPR 代表、AI 法案授权代表、DSA 法律代表——三份合规表格里同一栏名字填三遍，是出海团队最省事也最危险的动作。两封监管函同时到、而收函人只有一份授权的那个故事，就是这么来的。三套制度可以合并到一个人身上，但合并的是人，不是义务。
一家做 AI 客服的团队，同时在推进三件事：GDPR 合规、欧盟 AI 法案的符合性评估、DSA 的内容透明度整改。
三份表格里都有一栏叫"欧盟代表"。团队图省事，把同一个人的名字填了三遍，邮箱也是同一个。
三个月后，两封函同时到了。一封来自数据保护监管机构，问数据处理代表的授权范围；一封来自市场监督机构，要 AI 系统的技术文档。两封信都找到了同一个人，而这个人手上只有一份授权，写的是"代表我方处理数据保护事务"。
技术文档他拿不出来。因为在法律上，他从来不是那个该拿文档的人。
这就是今天要讲的事：欧盟有三套"本地代表"制度，长得很像，法律基础、职责范围、豁免条件全都不一样。用一个人兼任可以，但用一份授权糊弄三套制度，是最常见也最贵的错误。
一、三套制度，三个出处
三套代表不是同一件事的三个叫法，它们分别长在三部不同的法律里。
| 制度 | 法律出处 | 谁必须设 |
|---|---|---|
| 欧盟数据保护代表 | GDPR 第 27 条 | 不在欧盟设立、但处理欧盟数据主体个人数据的控制者或处理者 |
| 欧盟授权代表 | 欧盟 AI 法案第 22 条 | 不在欧盟设立、但向欧盟市场投放 AI 系统的提供者 |
| 欧盟法律代表 | 数字服务法（DSA）第 13 条 | 不在欧盟设立、但向欧盟用户提供中介服务的提供者 |
三个制度放在一起看，会发现一个容易忽略的事实：它们的触发条件不同。
GDPR 看的是"你有没有处理欧盟境内人的个人数据"。AI 法案看的是"你有没有把 AI 系统投放到欧盟市场"。DSA 看的是"你做的是不是中介服务"——有没有存储、传输、分发用户内容。
一个只做 B2B、不碰个人数据、也不做内容分发的 AI 硬件公司，可能只需要 AI 法案的授权代表。一个做 AI 社交产品的团队，三套可能全都要。
二、职责完全不同，这是不能互替的根本原因
如果三套代表的职责都是"收信转达"，那确实可以合并。问题是它们各自要承担的事，差得很远。
| 代表类型 | 核心职责 |
|---|---|
| GDPR 代表 | 作为监管机构和数据主体的联络点；保存处理活动记录；配合监管调查；应要求提供记录 |
| AI 法案授权代表 | 保存技术文档、符合性声明、证书；配合市场监督机构；应要求提供信息、采取纠正措施 |
| DSA 法律代表 | 作为监管机构、委员会和成员国的联络点；确保中介服务符合 DSA；接受执法机关的问询和要求 |
差别在哪里？
GDPR 代表要能拿出"你处理了哪些数据、依据是什么"的记录。
AI 法案授权代表要能拿出"这个系统怎么设计的、风险怎么评估的、符合性怎么证明的"整套技术文档。
DSA 法律代表要能回答"你平台上有什么内容、你怎么处理的举报、透明度报告怎么出的"。
三份东西，存在三个地方，由三个团队维护。一个人可以同时被指定为三个角色，但他必须真的能调取这三套材料。签字容易，能拿出东西才是义务的实质。
三、四个真实会卡住的场景
场景一：只设了 GDPR 代表，AI 法案的函没人接。
AI 法案的市场监督机构要技术文档，找的是授权代表。GDPR 代表没有这份授权，也没有这套文档。信到了，人也在，但事情办不了。回复"我们不是 AI 法案下的代表"，等于把一个程序问题变成了一个态度问题。
场景二：只设了 AI 法案授权代表，数据主体投诉无门。
用户在欧盟提数据访问请求或者删除请求，找不到 GDPR 代表。这不只是一个联络问题——监管机构会把"未指定代表"本身作为独立的违法行为处理。
场景三：拿 DSA 法律代表的授权去签 AI 法案的符合性声明。
DSA 代表的授权范围是平台治理，不包括产品合规。签了也无效，而且会让监管机构质疑整套合规文件的真实性。
场景四：三份授权都签了，但授权范围写得太窄。
常见写法是"代表我方接收通知"。这句话只覆盖了"收"，没覆盖"保存文档""配合调查""采取纠正措施"。真出事的时候，代表可以说"授权里没写我要做这个"。
四、最容易踩的五个细节
第一，代表必须在欧盟境内设立。
不是"有欧盟手机号"，不是"有欧洲客户"，是在欧盟成员国境内有实际设立的主体或者常驻机构。用国内员工的欧洲号码充数，一查就露。
第二，授权必须是书面的，且范围要覆盖全部法定职责。
AI 法案第 22 条要求授权代表承担该条列明的全部任务，不是挑着做。授权书里写"仅接收文书"，法律上不产生免责效果，提供者的义务一样在。
第三，代表不能只是"代收邮件的秘书公司"。
很多低价服务卖的就是一个地址加一个邮箱。GDPR 代表还需要保存处理活动记录，AI 法案授权代表还需要保存技术文档并能应要求提交。做不到这些的，不是代表，是信箱。
第四，代表信息要在该出现的地方出现。
产品说明书、网站、欧盟数据库登记、符合性声明，该写的地方都要写，而且要和授权书一致。三个地方写三个不同的联系人，是给自己制造麻烦。
第五，更换代表时的衔接。
代表辞任或者合同到期，不是换个人就完了。技术文档、符合性声明、监管往来记录要移交，登记信息要更新。中间的空档期，义务不会暂停。
五、五个问题，现在就能自查
- 我们在欧盟境内有没有设立主体？如果没有，三套制度里我们各自触发了哪几套？
- 我们现在指定的代表，授权书里写的是"接收通知"，还是覆盖了保存文档、配合调查、采取纠正措施？
- 如果有人今天向我们的代表索要技术文档，他能在多长时间内拿出来？
- 我们的网站、产品文档、欧盟登记信息里写的代表，是不是同一个人、同一个联系方式？
- 代表合同里有没有约定：更换时的文档移交、通知义务、以及代表辞任的提前通知期？
五个问题里有两个答不上来，就说明现在的"代表"只是一个名字，不是一个合规安排。
六、一句话
代表制度的本质不是"在欧盟有个人"，而是"在欧盟有个人能替你拿出东西、承担后果"。
三套制度可以合并到一个人身上，但合并的是人，不是义务。三份授权、三套文档、三条联络线，一条都不能少。
相关阅读
三套代表，你的授权写得对吗？
把现有的代表授权文件（可脱敏）发到 ran.yan@kangdalawyers.com，可安排 30 分钟免费初步评估，逐套核对授权范围、文档义务与联络线是否齐备。
本文为一般性信息分享，不构成法律意见。三套代表制度的适用以欧盟现行文本为准，具体安排需结合产品形态与数据流个案判断。具体事项请咨询执业律师。转载请联系作者并注明出处。