國(guó)家保密局網(wǎng)站>>政策法規(guī)>>理論思考

人工智能應(yīng)用對(duì)個(gè)人信息保護(hù)的挑戰(zhàn)及其對(duì)策

2019年11月14日    來(lái)源:指導(dǎo)管理司【字體: 打印

在更加強(qiáng)大的計(jì)算能力和深度學(xué)習(xí)等新技術(shù)的助推下,人工智能發(fā)展進(jìn)入第三次繁榮期。與此同時(shí),個(gè)人信息的收集、識(shí)別、分析技術(shù)突飛猛進(jìn),越來(lái)越多的個(gè)人信息主動(dòng)或被動(dòng)地暴露在人工智能程序中,尤其是具有強(qiáng)烈個(gè)人屬性的生物識(shí)別信息被大量收集,且在信息處理上完成了從量到質(zhì)的跨越,不禁讓人對(duì)個(gè)人信息保護(hù)愈加擔(dān)憂。

濫用人工智能對(duì)個(gè)人信息的侵犯及其法律規(guī)制

1.濫用人工智能侵犯?jìng)(gè)人信息的嚴(yán)重態(tài)勢(shì)

人工智能收集個(gè)人信息已呈現(xiàn)出精準(zhǔn)化、全面化、簡(jiǎn)便化、隱秘化趨勢(shì)。精準(zhǔn)化是指人工智能收集的個(gè)人信息與信息主體的匹配度極高。全面化是指人工智能全方位收集個(gè)人信息,無(wú)論生物識(shí)別信息還是痕跡信息,都在其范圍內(nèi)。簡(jiǎn)便化是指收集個(gè)人信息的設(shè)備、指令、方式已極為簡(jiǎn)便,甚至實(shí)現(xiàn)了單設(shè)備信息采集、分析、處理一體化,并正向進(jìn)一步的便捷化發(fā)展。隱秘化是指人工智能收集個(gè)人信息的方式從公開(kāi)轉(zhuǎn)向隱秘,悄無(wú)聲息地收集個(gè)人信息變得易如反掌。

人工智能較之以往技術(shù),最大的優(yōu)勢(shì)就在于對(duì)個(gè)人生物識(shí)別信息的收集、分析和利用。生物識(shí)別信息具有唯一性、獨(dú)立性、穩(wěn)定性和普遍性,一旦被非法收集利用,危害極大。目前,生物識(shí)別信息應(yīng)用最成熟的是指紋識(shí)別技術(shù)。它以指紋的唯一性為基礎(chǔ),通過(guò)與系統(tǒng)數(shù)據(jù)庫(kù)的比對(duì)確定對(duì)象。從公安戶籍管理到各類考試,不少人的指紋信息已被收集,而人工智能快速、精準(zhǔn)的識(shí)別能力又為其大范圍應(yīng)用提供了基礎(chǔ)。

人臉識(shí)別技術(shù)同樣火熱且發(fā)展迅猛,人臉作為認(rèn)知他人的第一生物識(shí)別方式,具有信息豐富、易獲取等諸多優(yōu)勢(shì)。之前苦于攝像頭清晰度不夠、面部信息讀取能力弱、比對(duì)準(zhǔn)確率低等原因,人臉識(shí)別技術(shù)發(fā)展緩慢。而人工智能的發(fā)展在群像識(shí)別、實(shí)時(shí)對(duì)比、高匹配度等方面實(shí)現(xiàn)了突破。

除了指紋和人臉外,未來(lái)生物識(shí)別信息技術(shù)中不可或缺的一項(xiàng)就是聲紋識(shí)別。聲紋較之人臉等具有更高的穩(wěn)定性,整容、面具、夸張的妝容等都可能導(dǎo)致人臉變化,降低識(shí)別率,但個(gè)人聲紋卻始終相對(duì)穩(wěn)定。據(jù)悉,聲紋識(shí)別在監(jiān)聽(tīng)、跟蹤等領(lǐng)域已有應(yīng)用,它的優(yōu)勢(shì)在于可遠(yuǎn)程識(shí)別,無(wú)須另行搭建設(shè)備,通過(guò)截取電話錄音等即可完成。加之人工智能的深度學(xué)習(xí)能力,在進(jìn)行了足夠多的聲紋訓(xùn)練后,效率與準(zhǔn)確率也隨之提高。

人工智能的發(fā)展為何引起生物識(shí)別信息應(yīng)用的泛濫?筆者分析有以下幾點(diǎn)原因:其一,人們對(duì)人工智能的美好向往,選擇性忽視或低估了風(fēng)險(xiǎn)。其二,有關(guān)個(gè)人信息收集、分析的大規(guī)模商業(yè)利益群體已形成,下游需求旺盛,不自覺(jué)助長(zhǎng)了推廣動(dòng)力。其三,信息主體對(duì)自身的保護(hù)能力正在逐漸喪失,商業(yè)主體為了收集個(gè)人信息,直接將信息收集、分析的授權(quán)與瀏覽、消費(fèi)捆綁,迫使公眾主動(dòng)或被動(dòng)放棄對(duì)個(gè)人信息的保護(hù)。其四,人工智能的深度學(xué)習(xí)能力,使得其在完成初期的樣本訓(xùn)練后,不斷完善收集、分析方式,降低成本、提高效率,形成了“馬太效應(yīng)”,給法律應(yīng)對(duì)造成了更大難度。

2.利用人工智能侵犯?jìng)(gè)人信息的法律規(guī)制

我國(guó)現(xiàn)行法律對(duì)個(gè)人信息的保護(hù)有限,針對(duì)個(gè)人信息的非法收集行為,《網(wǎng)絡(luò)安全法》規(guī)定了網(wǎng)絡(luò)運(yùn)營(yíng)者收集個(gè)人信息須事先征得同意的原則,確定了不得收集與其提供服務(wù)無(wú)關(guān)的個(gè)人信息的規(guī)定!断M(fèi)者權(quán)益保護(hù)法》明確消費(fèi)者個(gè)人信息依法受保護(hù),經(jīng)營(yíng)者收集消費(fèi)者個(gè)人信息應(yīng)遵循合法、正當(dāng)、必要的原則。《刑法》將不同情形下非法獲取個(gè)人信息,情節(jié)嚴(yán)重或特別嚴(yán)重的行為規(guī)定為犯罪。侵犯?jìng)(gè)人信息罪有關(guān)司法解釋也對(duì)罪名從數(shù)量、情節(jié)等方面作出了具體解釋。

針對(duì)個(gè)人信息的非法利用行為,《侵權(quán)責(zé)任法》對(duì)醫(yī)療機(jī)構(gòu)、醫(yī)護(hù)人員泄露病人隱私作出了特別規(guī)定!断M(fèi)者權(quán)益保護(hù)法》規(guī)定泄露、侵犯消費(fèi)者個(gè)人信息的,應(yīng)當(dāng)消除影響、賠償損失等,并根據(jù)情節(jié)還可能加以行政處罰!毒W(wǎng)絡(luò)安全法》規(guī)定了網(wǎng)絡(luò)運(yùn)營(yíng)者不得泄露、篡改、損毀其收集的個(gè)人信息。《未成年人保護(hù)法》規(guī)定任何組織不得披露未成年人的個(gè)人隱私!痘ヂ(lián)網(wǎng)電子公告服務(wù)管理規(guī)定》《個(gè)人存款賬戶實(shí)名制規(guī)定》《醫(yī)務(wù)人員醫(yī)德規(guī)范及實(shí)施辦法》等部門法規(guī)均規(guī)定不得泄露因工作或其他原因掌握的個(gè)人信息。

筆者認(rèn)為,現(xiàn)行個(gè)人信息保護(hù)法律體系還存在以下問(wèn)題。第一,立法碎片化。多部部門法規(guī)及司法解釋對(duì)個(gè)人信息保護(hù)均有規(guī)定,但不協(xié)調(diào),顯得個(gè)別、分散。第二,現(xiàn)行法律對(duì)個(gè)人信息的定義混亂,這是立法碎片化的必然結(jié)果。各部門有各自的立法目的、價(jià)值取向等,對(duì)個(gè)人信息的定義也會(huì)以本部門為主。第三,對(duì)個(gè)人信息保護(hù)的范圍過(guò)窄,有的司法解釋將個(gè)人生物識(shí)別信息排除在外,這在應(yīng)對(duì)人工智能的挑戰(zhàn)時(shí)顯得尤為不利。第四,現(xiàn)行個(gè)人信息保護(hù)法律體系建立的基礎(chǔ)仍是互聯(lián)網(wǎng),侵權(quán)工具也多限制在網(wǎng)上,忽視了人工智能的延展性、主動(dòng)性,以及在信息處理方式等方面質(zhì)的改變,導(dǎo)致法律滯后的情況比較突出。此外,個(gè)人信息保護(hù)利益衡量不清晰、現(xiàn)行規(guī)范性文件位階低,高位階文件缺乏操作性、執(zhí)法部門權(quán)限不明確等問(wèn)題同樣存在。

人工智能時(shí)代保護(hù)個(gè)人信息的對(duì)策

1.企業(yè)行為規(guī)制

企業(yè)掌握著海量個(gè)人信息,針對(duì)其收集、分析用戶個(gè)人信息的行為,筆者認(rèn)為可借鑒歐盟《通用數(shù)據(jù)保護(hù)條例》的有關(guān)規(guī)定,確定以下行為規(guī)則。

第一,透明性。用戶對(duì)于“網(wǎng)站聲明”等文件大多并未閱讀,對(duì)于企業(yè)收集了哪些個(gè)人信息、將如何分析、結(jié)果有何影響等一無(wú)所知。透明性要求企業(yè)應(yīng)當(dāng)做到:對(duì)個(gè)人信息的收集、分析進(jìn)行單獨(dú)聲明,用戶可隨時(shí)查詢、刪除已被收集的個(gè)人信息,企業(yè)如何應(yīng)用、分析、處理個(gè)人信息應(yīng)向用戶明示,企業(yè)應(yīng)告知用戶個(gè)人信息分析結(jié)果及用途,并征得用戶同意。

第二,針對(duì)生物識(shí)別信息的特別同意。鑒于生物識(shí)別信息與人身的密切關(guān)聯(lián)性,企業(yè)不能僅依據(jù)“網(wǎng)站聲明”或“個(gè)人信息收集書”等類似文件即開(kāi)展收集活動(dòng)。尤其在移動(dòng)端,大多數(shù)手機(jī)前置攝像頭、話筒等設(shè)備開(kāi)啟時(shí)并無(wú)特別提示。某品牌手機(jī)發(fā)布隱藏式攝像頭后,有用戶反映在使用某些App時(shí),隱藏式攝像頭被自動(dòng)激活,從而引起了某些企業(yè)是否秘密收集個(gè)人生物識(shí)別信息的爭(zhēng)論。企業(yè)宜在遵守透明性要求的基礎(chǔ)上,對(duì)收集如指紋、聲紋、人臉等生物識(shí)別信息時(shí),應(yīng)單獨(dú)征得用戶同意。

第三,匿名化。個(gè)人信息匿名化的建議由來(lái)已久,《通用數(shù)據(jù)保護(hù)條例》認(rèn)為匿名化是經(jīng)過(guò)處理后,通過(guò)單獨(dú)信息無(wú)法識(shí)別信息主體的處理方式。有學(xué)者比較了匿名化和假名化,認(rèn)為匿名化以隱藏用戶身份和敏感信息的方式保護(hù)個(gè)人信息,處理后的信息由于無(wú)法關(guān)聯(lián)信息主體,所以不再是個(gè)人信息,而假名化信息仍然屬于個(gè)人信息。但目前企業(yè)與實(shí)現(xiàn)匿名化的目標(biāo)仍然有一定距離,即第三人在公開(kāi)查詢時(shí)給出的信息僅為假名信息,而信息在企業(yè)內(nèi)部也并未匿名化。筆者認(rèn)為,只有企業(yè)內(nèi)部在處理信息時(shí)也采取匿名化處理,才能既滿足信息合理利用,又保護(hù)個(gè)人信息安全。

第四,個(gè)人信息本地化。生物識(shí)別信息等敏感信息應(yīng)當(dāng)本地化,禁止上傳至企業(yè)云端。人工智能設(shè)備的匹配、分析能力在個(gè)人信息本地化的情況下,足以完成目前用戶所需服務(wù)。個(gè)人信息本地化可防止因傳輸,或企業(yè)處理、利用等行為導(dǎo)致的信息泄露,也限制了企業(yè)對(duì)個(gè)人敏感信息的利用。從某種意義上而言,企業(yè)就是一個(gè)收件和派件的快遞員,不能拆開(kāi)信件,對(duì)個(gè)人信息進(jìn)行整體加密,不預(yù)留“后門”,用戶的個(gè)人信息安全才更有保障。

2.政府部門行為規(guī)范

因社會(huì)管理需要,政府部門收集了大量公民個(gè)人信息,同樣需要在個(gè)人信息保護(hù)與社會(huì)治理之間尋求平衡。但目前我國(guó)打擊犯罪、維護(hù)國(guó)家安全的任務(wù)仍然繁重,一味讓渡于個(gè)人信息保護(hù)也不合理。綜上所述,筆者認(rèn)為政府部門可以作出以下行為規(guī)范。

第一,以必要性為前提。政府部門掌握大量攝像頭等生物識(shí)別信息收集工具,當(dāng)有打擊恐怖主義、維護(hù)國(guó)家安全等需要時(shí),收集個(gè)人信息具有正當(dāng)性,但為其他非必要目的而收集個(gè)人信息,則可能對(duì)個(gè)人信息保護(hù)造成不利。因此,生物識(shí)別信息收集、分析系統(tǒng)何時(shí)啟用,以及開(kāi)啟區(qū)域、針對(duì)的人群等均需作出事先規(guī)定,在對(duì)必要性進(jìn)行充分論證的基礎(chǔ)上合理利用人工智能系統(tǒng)。

第二,以最小數(shù)據(jù)量為原則。個(gè)人信息的種類繁多、數(shù)量龐大,在收集時(shí),應(yīng)以最小數(shù)據(jù)量為原則。在人工智能環(huán)境下,滿足人工智能系統(tǒng)學(xué)習(xí)樣本的數(shù)據(jù)量即為最小數(shù)據(jù)量,至于具體額度,將根據(jù)系統(tǒng)的完善程度、任務(wù)繁雜程度、緊迫程度等綜合考量,甚至需要一事一確定。同時(shí),加強(qiáng)信息篩選能力,通過(guò)提高樣本的科學(xué)性等舉措,同樣可以達(dá)到數(shù)據(jù)量收集最小化的目的。

第三,加強(qiáng)數(shù)據(jù)安全。加強(qiáng)數(shù)據(jù)安全的工作一直在進(jìn)行,但始終有漏洞。數(shù)據(jù)安全是國(guó)家安全的重要內(nèi)容之一,建立符合我國(guó)國(guó)情的數(shù)據(jù)安全法律體系勢(shì)在必行。《刑法修正案(九)》用“非法獲取個(gè)人信息罪”“非法侵入計(jì)算機(jī)信息系統(tǒng)罪”等罪名對(duì)國(guó)家、政府記錄的個(gè)人數(shù)據(jù)進(jìn)行保護(hù),也表明了國(guó)家、政府對(duì)個(gè)人數(shù)據(jù)安全的重視。

3.制度設(shè)計(jì)安排

第一,盡快制定頒布《個(gè)人信息保護(hù)法》。近年來(lái),個(gè)人信息保護(hù)立法的學(xué)術(shù)討論從未間斷,也形成了個(gè)人信息保護(hù)法的專家建議稿。針對(duì)現(xiàn)有問(wèn)題,制定《個(gè)人信息保護(hù)法》能夠厘清個(gè)人信息保護(hù)的基本問(wèn)題,明確統(tǒng)一定義,規(guī)范對(duì)生物識(shí)別信息等敏感內(nèi)容的單獨(dú)保護(hù),以及人工智能深度學(xué)習(xí)能力對(duì)個(gè)人信息的限制使用,從而在信息利用和保護(hù)中達(dá)到平衡。

第二,開(kāi)展《人工智能安全法》立法研究。美國(guó)連續(xù)發(fā)布了《為人工智能的未來(lái)做好準(zhǔn)備》《國(guó)家人工智能研究與發(fā)展戰(zhàn)略規(guī)劃》《人工智能、自動(dòng)化和經(jīng)濟(jì)》等報(bào)告,提出美國(guó)人工智能研究與開(kāi)發(fā)的七大戰(zhàn)略,其中很重要的一條就是“確保人工智能系統(tǒng)的安全性與可控性”。近期熱議的人工智能可解釋性、透明性等都是安全性下的具體問(wèn)題,仍有大量漏洞和缺陷需厘清和規(guī)制,本文所討論的個(gè)人信息保護(hù)問(wèn)題也屬于其中之一。因此,應(yīng)當(dāng)加強(qiáng)人工智能安全理論研究,積極轉(zhuǎn)化相關(guān)學(xué)術(shù)成果,開(kāi)展《人工智能安全法》的立法研究。

 

(轉(zhuǎn)載自《保密工作》雜志2019年第10期)