歐美限制人臉識別技術(shù)對我國的啟示

呂堯，周千荷

（賽迪研究院網(wǎng)絡安全研究所，北京100846）

1 引言

2020年初在抗擊新型冠狀病毒肺炎疫情期間，人臉識別技術(shù)在人口流動管理、體溫檢測等方面發(fā)揮了重要作用。然而同期，人臉識別技術(shù)卻在歐美等國家和地區(qū)遭到越來越多的質(zhì)疑和限制。歐盟考慮5年內(nèi)禁止在公共場所使用人臉識別技術(shù)，美國40家社會組織聯(lián)名致信隱私和公民自由監(jiān)督委員會，并呼吁美國政府暫停應用該技術(shù)。當前，人臉識別技術(shù)的發(fā)展趨勢已不可阻擋，如何平衡個人隱私與人臉識別商業(yè)化普及、政府廣泛征用之間的沖突是當前的核心問題。

2 歐洲和美國有條件限制人臉識別技術(shù)應用

美聯(lián)邦政府層面，已有聲音提出立法建議，限制人臉識別技術(shù)的使用。2019年，有參議員提出聯(lián)邦法案《2019年商業(yè)面部識別隱私法》，建議禁止在商業(yè)上使用面部識別技術(shù)來跟蹤和收集與消費者有關的數(shù)據(jù)。2020年2月12日，兩名民主黨參議員提出《人臉識別道德使用法案》，要求暫時禁止政府機構(gòu)使用人臉識別，直到委員會形成政府使用準則和限制條件，以防止人臉識別技術(shù)侵犯公民隱私權(quán)和影響公民自由。美國部分州及地方政府在聯(lián)邦政府之前，已經(jīng)開始規(guī)范人臉識別技術(shù)和軟件的使用。俄勒岡州、新罕布什爾州、猶他州及部分城市已開始限制人臉識別技術(shù)的使用；舊金山、奧克蘭、薩默維爾等市，已將禁止該技術(shù)用于城市政府官員以及執(zhí)法部門；華盛頓州也正在考慮制定立法，以規(guī)范私人和企業(yè)在公共場所部署的人臉識別應用程序。

歐盟計劃執(zhí)行更嚴格的監(jiān)管政策。歐盟希望成為道德AI的領導者，其在2019就發(fā)布了人工智能相關技術(shù)的道德準則，提出可信賴技術(shù)概念及其判定的基本原則。2020年初，歐盟發(fā)布了《歐盟人工智能白皮書》，對人工智能開發(fā)者提出具有法律約束力的新要求，以確保現(xiàn)代科技的開發(fā)和使用符合道德規(guī)范，其中明確提出在3～5年內(nèi)禁止人臉識別技術(shù)應用于公共場所，以評估該技術(shù)風險，并保留在未來進一步加強該技術(shù)監(jiān)管的可能性。歐盟希望成員國可以任命相關部門監(jiān)督人工智能政策規(guī)則的執(zhí)行情況。歐盟成員國根據(jù)各國實際情況，已開始有限度地限制人臉識別技術(shù)的應用。英國脫歐前，其國防部因人臉識別技術(shù)存在的未知風險過多，而建議政府在發(fā)展人臉識別技術(shù)時“放慢腳步”。2019年8月，瑞典數(shù)據(jù)保護局決定禁止在學校使用人臉識別技術(shù)，并對當?shù)氐囊凰咧刑幰粤P款。2019年11月，法國發(fā)布《人臉識別指南》，提出了人臉識別技術(shù)存在的風險，并對該技術(shù)的使用進行了規(guī)范，明確了政府、企業(yè)等各相關方的責任。

社會組織呼吁限制或謹慎使用人臉識別技術(shù)。2020年，美國隱私保護組織、美國電子隱私信息中心等4 0家社會組織，就審慎應用人臉識別技術(shù)聯(lián)名致信隱私和公民自由監(jiān)督委員會，同時呼吁美國政府在“充分審查人臉識別技術(shù)風險”之前暫停應用該技術(shù)?；ヂ?lián)網(wǎng)巨頭積極采取措施，降低人臉識別可能帶來的風險。Facebook向人工智能創(chuàng)業(yè)公司Clearview AI發(fā)送了停止和終止函，要求其停止因執(zhí)法目的而利用人臉數(shù)據(jù)識別用戶身份。微軟也刪除了全球最大的公開人臉識別數(shù)據(jù)庫MS Celeb。谷歌也表示在能夠阻止人臉識別技術(shù)被濫用的政策出臺之前，會暫停對外出售相關技術(shù)及產(chǎn)品。此外，針對歐盟計劃在未來3～5年禁止公共場所使用人臉識別技術(shù)的政策，微軟、谷歌等均表示支持。

3 歐洲和美國限制人臉識別技術(shù)應用的原因

3.1 在用戶不知情的情況下采集人臉數(shù)據(jù)

隨著攝像頭、智能設備及無線傳輸技術(shù)的發(fā)展，再配合模式識別算法的迭代升級，人臉數(shù)據(jù)收集、分析的難度大幅降低，一些不法分子或企業(yè)利用這些先進技術(shù)在用戶不知情的情況下收集人臉數(shù)據(jù)，并進行分析、倒賣以牟取利益。這種不顧及用戶個人意愿，擅自采集調(diào)用臉部特征信息的行為，嚴重侵害了數(shù)據(jù)主體的知情權(quán)。同時，給使用人臉識別進行身份認證的應用程序（如網(wǎng)銀、第三方支付等），帶來嚴重安全威脅。

3.2 在非必要的場景濫用人臉識別技術(shù)

人臉識別技術(shù)未必適合所有應用場景，但因其涉及人工智能和大數(shù)據(jù)等新興熱門概念，所以很多企業(yè)為蹭熱度、賺眼球，強行在其產(chǎn)品或服務中使用人臉識別技術(shù)，并以此為噱頭進行宣傳炒作，導致人臉識別應用泛濫，不僅給該技術(shù)的聲望造成影響，也給個人隱私保護埋下隱患。

3.3 網(wǎng)絡安全問題嚴重

人臉識別技術(shù)仍處在發(fā)展完善階段，從技術(shù)底層代碼開發(fā)到實際應用需經(jīng)過多個環(huán)節(jié)，任何環(huán)節(jié)出現(xiàn)問題，都可能導致整個人臉識別技術(shù)被破解。美國人工智能公司Kneron近期就聲稱攻破了人臉識別系統(tǒng)，通用特制3D面具成功地欺騙了知名支付軟件的人臉識別系統(tǒng)，同時還能騙過荷蘭機場自助登機終端。當前，一些開發(fā)人員在運用人臉識別技術(shù)時，并未考慮到其是否滿足應用安全需求，使得現(xiàn)階段一些重要應用的信息系統(tǒng)僅采用人臉識別這一項單一驗證技術(shù)，并未結(jié)合短信、驗證碼、手機尾號等傳統(tǒng)輔助驗證手段一并使用，致使系統(tǒng)或程序處于高風險狀態(tài)，極易被攻破，給系統(tǒng)造成巨大危害。

3.4 個人隱私數(shù)據(jù)泄露風險高

通過人臉識別技術(shù)采集的人臉數(shù)據(jù)，還存在因后端管理不當而帶來的隱私泄露問題。2020年初，為美國聯(lián)邦調(diào)查局等600家執(zhí)法機構(gòu)提供人臉識別系統(tǒng)的Clearview AI公司遭遇重大數(shù)據(jù)泄露，30億張人臉數(shù)據(jù)被泄露，引發(fā)全美社會巨大擔憂。人臉數(shù)據(jù)作為高敏感生物信息，具有不可變更性，一旦泄露，終身可被利用。目前，對于人臉識別技術(shù)，企業(yè)更關注于其商業(yè)落地后帶來的經(jīng)濟利益，而忽視對人臉數(shù)據(jù)的安全保護。企業(yè)只憑借職業(yè)道德來確保其使用、存儲數(shù)據(jù)的安全性，缺乏數(shù)據(jù)保護的剛性要求，個人隱私保護仍存在極大的風險。

3.5 人臉數(shù)據(jù)被過度、惡意利用隱患大

人臉數(shù)據(jù)具有較強的關聯(lián)性，通過數(shù)據(jù)采集和機器學習來對用戶進行“畫像”，是人臉數(shù)據(jù)被過度挖掘的一個典型例子。斯坦福大學的研究人員曾證明，當展示一名同性戀男和一名異性戀男的照片時，算法能夠辨別出他們的性傾向，準確率高達81%。被過度挖掘的人臉數(shù)據(jù)不僅能用來判斷用戶的特征、偏好，還能關聯(lián)出用戶的生活習性、人際關系、工作單位等隱私信息。如果不對人臉數(shù)據(jù)的使用進行合理的規(guī)范與監(jiān)管，將會對公眾的基本生活帶來巨大影響。

4 對我國發(fā)展人臉識別技術(shù)的啟示

4.1 提高認識及戰(zhàn)略定位，有條件地支持人臉識別技術(shù)的發(fā)展

提升對人臉識別技術(shù)的重視程度，制定包含人臉識別技術(shù)的人工智能國家戰(zhàn)略及頂層設計，明確人臉識別技術(shù)使用的基本原則，指導引領該技術(shù)及其相關技術(shù)的研究發(fā)展方向，確立技術(shù)應用領域的基本思想，統(tǒng)籌考慮技術(shù)使用的管理原則，建立“必須、可選、禁止”不同場景的分類、分級管理思路，為開展立法、出臺政策、實施監(jiān)管、促進發(fā)展等工作指明方向。

4.2 制定上位法統(tǒng)籌管理，加速出臺相關法律

制定關鍵技術(shù)上位法，通過立法規(guī)范包含人臉識別的人工智能等關鍵技術(shù)的科學研究、開發(fā)利用、產(chǎn)業(yè)政策以及監(jiān)督管理等內(nèi)容，以保障重大關鍵技術(shù)應用的安全性和健康持續(xù)發(fā)展。圍繞人臉識別技術(shù)反映出的個人隱私保護問題，盡快研究出臺個人隱私保護法、數(shù)權(quán)法等相關法律，統(tǒng)籌考慮隱私保護、人權(quán)、倫理道德等多方面因素，限定人臉識別技術(shù)的使用范圍，明確數(shù)據(jù)保護要求及責任，賦予數(shù)據(jù)采集對象知情權(quán)和追償權(quán)，從法律層面保障個人隱私權(quán)、肖像權(quán)、數(shù)據(jù)所有權(quán)等相關權(quán)利。

4.3 細化管理規(guī)定，提升監(jiān)管能力

針對人臉識別這類涉及個人隱私技術(shù)的管理，可考慮在四個方面落實法律要求、細化具體規(guī)定。第一，在必要場景中，必須確保用戶的知情權(quán)，包括明確告知用戶所使用的技術(shù)、所采集的數(shù)據(jù)類型以及數(shù)據(jù)的使用目的；第二，在非必要場景中，盡量避免使用人臉識別等涉及個人隱私的技術(shù)方案，如若使用則需提供并行方案供用戶選擇；第三，對于采集到涉及個人隱私的數(shù)據(jù)，應綜合運用數(shù)字簽名、區(qū)塊鏈等技術(shù)對數(shù)據(jù)進行標識，實現(xiàn)數(shù)據(jù)在流轉(zhuǎn)中的可追溯；第四，對于數(shù)據(jù)存儲超過一定規(guī)模的企業(yè)，應通過備案等形式納入監(jiān)管。在監(jiān)管方面，應當提升智能化監(jiān)管手段，提高執(zhí)法監(jiān)管人員基本能力，培養(yǎng)專業(yè)化支撐隊伍，支持鼓勵第三方檢測、評測機構(gòu)發(fā)展。對于技術(shù)、數(shù)據(jù)非法濫用行為，嚴格依法懲處，對于影響國家安全、威脅社會穩(wěn)定等重大違法行為，由公安機關從重處理。

4.4 加強行業(yè)自律，建立長效監(jiān)督機制

支持人臉識別技術(shù)研發(fā)及應用單位建立行業(yè)組織，研究制定人臉識別技術(shù)運用、人臉數(shù)據(jù)使用方面的行業(yè)公約或企業(yè)內(nèi)部制度。就如何在人臉識別領域有效保護個人隱私，可打造行業(yè)標桿、樹立典范企業(yè)、宣傳實際案例、推廣具體方案，以維護公眾對人臉識別技術(shù)和行業(yè)的信心。建立行業(yè)組織內(nèi)外長效監(jiān)督機制，擴大監(jiān)督網(wǎng)絡，創(chuàng)設社會監(jiān)督舉報渠道。同時，與國家信用評價體系結(jié)合，制定人臉識別技術(shù)相關企業(yè)信用評價標準及評價程序，由政府或社會第三方組織對相關企業(yè)開展評價，將濫用技術(shù)和人臉數(shù)據(jù)的企業(yè)納入信用黑名單，并通過國家信用信息公示系統(tǒng)向全社會予以公示。

4.5 強化公眾對人臉識別領域個人隱私的保護意識，為公眾提供援助維權(quán)途徑

在人臉識別領域，加大對個人隱私保護及相關法律規(guī)范的宣傳，鼓勵企業(yè)在人臉識別應用中，面向用戶添加對個人隱私安全的風險提示。同時，針對不同年齡段人群，制定不同形式的宣傳科普音視頻，通過傳統(tǒng)媒體以及各種自媒體平臺進行傳播與教育，提高公眾對各類涉及人臉識別技術(shù)的應用或小程序的警惕性。打造個人隱私保護公共服務體系，建立個人隱私保護維權(quán)援助機制，在人臉識別領域搭建高效、便捷、低成本的投訴維權(quán)渠道，降低個人隱私保護維權(quán)難度，切實維護用戶利益，營造個人隱私保護維權(quán)社會共治理念。

5 結(jié)束語

雖然人臉識別技術(shù)存在個人隱私泄露、數(shù)據(jù)過度挖掘等諸多問題，歐美通過立法、處罰等方式，逐步對人臉識別在部分領域應用進行了限制，但是該技術(shù)帶來的好處也是顯而易見的，不能因為技術(shù)存在漏洞或被濫用，就限制其應用。目前，人臉識別技術(shù)發(fā)展的趨勢已經(jīng)形成，該如何規(guī)范、應用好該技術(shù)才是關鍵。本文通過對歐美做法的分析，提出了相關對策建議，為國內(nèi)技術(shù)或行業(yè)主管部門規(guī)范人臉識別技術(shù)提供了參考。