山西省人民政府

文章正文
发布时间:2024-09-10 10:54

  在更加强大的计算能力和深度学习等新技术的助推下,人工智能发展进入第三次繁荣期。与此同时,个人信息的收集、识别、分析技术突飞猛进,越来越多的个人信息主动或被动地暴露在人工智能程序中,尤其是具有强烈个人属性的生物识别信息被大量收集,且在信息处理上完成了从量到质的跨越,不禁让人对个人信息保护愈加担忧。

  滥用人工智能对个人信息的侵犯及其法律规制

  1.滥用人工智能侵犯个人信息的严重态势

  人工智能收集个人信息已呈现出精准化、全面化、简便化、隐秘化趋势。精准化是指人工智能收集的个人信息与信息主体的匹配度极高。全面化是指人工智能全方位收集个人信息,无论生物识别信息还是痕迹信息,都在其范围内。简便化是指收集个人信息的设备、指令、方式已极为简便,甚至实现了单设备信息采集、分析、处理一体化,并正向进一步的便捷化发展。隐秘化是指人工智能收集个人信息的方式从公开转向隐秘,悄无声息地收集个人信息变得易如反掌。

  人工智能较之以往技术,最大的优势就在于对个人生物识别信息的收集、分析和利用。生物识别信息具有唯一性、独立性、稳定性和普遍性,一旦被非法收集利用,危害极大。目前,生物识别信息应用最成熟的是指纹识别技术。它以指纹的唯一性为基础,通过与系统数据库的比对确定对象。从公安户籍管理到各类考试,不少人的指纹信息已被收集,而人工智能快速、精准的识别能力又为其大范围应用提供了基础。

  人脸识别技术同样火热且发展迅猛,人脸作为认知他人的第一生物识别方式,具有信息丰富、易获取等诸多优势。之前苦于摄像头清晰度不够、面部信息读取能力弱、比对准确率低等原因,人脸识别技术发展缓慢。而人工智能的发展在群像识别、实时对比、高匹配度等方面实现了突破。

  除了指纹和人脸外,未来生物识别信息技术中不可或缺的一项就是声纹识别。声纹较之人脸等具有更高的稳定性,整容、面具、夸张的妆容等都可能导致人脸变化,降低识别率,但个人声纹却始终相对稳定。据悉,声纹识别在监听、跟踪等领域已有应用,它的优势在于可远程识别,无须另行搭建设备,通过截取电话录音等即可完成。加之人工智能的深度学习能力,在进行了足够多的声纹训练后,效率与准确率也随之提高。

  人工智能的发展为何引起生物识别信息应用的泛滥?笔者分析有以下几点原因:其一,人们对人工智能的美好向往,选择性忽视或低估了风险。其二,有关个人信息收集、分析的大规模商业利益群体已形成,下游需求旺盛,不自觉助长了推广动力。其三,信息主体对自身的保护能力正在逐渐丧失,商业主体为了收集个人信息,直接将信息收集、分析的授权与浏览、消费捆绑,迫使公众主动或被动放弃对个人信息的保护。其四,人工智能的深度学习能力,使得其在完成初期的样本训练后,不断完善收集、分析方式,降低成本、提高效率,形成了“马太效应”,给法律应对造成了更大难度。

  2.利用人工智能侵犯个人信息的法律规制

  我国现行法律对个人信息的保护有限,针对个人信息的非法收集行为,《网络安全法》规定了网络运营者收集个人信息须事先征得同意的原则,确定了不得收集与其提供服务无关的个人信息的规定。《消费者权益保护法》明确消费者个人信息依法受保护,经营者收集消费者个人信息应遵循合法、正当、必要的原则。《刑法》将不同情形下非法获取个人信息,情节严重或特别严重的行为规定为犯罪。侵犯个人信息罪有关司法解释也对罪名从数量、情节等方面作出了具体解释。

  针对个人信息的非法利用行为,《侵权责任法》对医疗机构、医护人员泄露病人隐私作出了特别规定。《消费者权益保护法》规定泄露、侵犯消费者个人信息的,应当消除影响、赔偿损失等,并根据情节还可能加以行政处罚。《网络安全法》规定了网络运营者不得泄露、篡改、损毁其收集的个人信息。《未成年人保护法》规定任何组织不得披露未成年人的个人隐私。《互联网电子公告服务管理规定》《个人存款账户实名制规定》《医务人员医德规范及实施办法》等部门法规均规定不得泄露因工作或其他原因掌握的个人信息。

  笔者认为,现行个人信息保护法律体系还存在以下问题。第一,立法碎片化。多部部门法规及司法解释对个人信息保护均有规定,但不协调,显得个别、分散。第二,现行法律对个人信息的定义混乱,这是立法碎片化的必然结果。各部门有各自的立法目的、价值取向等,对个人信息的定义也会以本部门为主。第三,对个人信息保护的范围过窄,有的司法解释将个人生物识别信息排除在外,这在应对人工智能的挑战时显得尤为不利。第四,现行个人信息保护法律体系建立的基础仍是互联网,侵权工具也多限制在网上,忽视了人工智能的延展性、主动性,以及在信息处理方式等方面质的改变,导致法律滞后的情况比较突出。此外,个人信息保护利益衡量不清晰、现行规范性文件位阶低,高位阶文件缺乏操作性、执法部门权限不明确等问题同样存在。

  人工智能时代保护个人信息的对策

  1.企业行为规制

  企业掌握着海量个人信息,针对其收集、分析用户个人信息的行为,笔者认为可借鉴欧盟《通用数据保护条例》的有关规定,确定以下行为规则。

  第一,透明性。用户对于“网站声明”等文件大多并未阅读,对于企业收集了哪些个人信息、将如何分析、结果有何影响等一无所知。透明性要求企业应当做到:对个人信息的收集、分析进行单独声明,用户可随时查询、删除已被收集的个人信息,企业如何应用、分析、处理个人信息应向用户明示,企业应告知用户个人信息分析结果及用途,并征得用户同意。

  第二,针对生物识别信息的特别同意。鉴于生物识别信息与人身的密切关联性,企业不能仅依据“网站声明”或“个人信息收集书”等类似文件即开展收集活动。尤其在移动端,大多数手机前置摄像头、话筒等设备开启时并无特别提示。某品牌手机发布隐藏式摄像头后,有用户反映在使用某些App时,隐藏式摄像头被自动激活,从而引起了某些企业是否秘密收集个人生物识别信息的争论。企业宜在遵守透明性要求的基础上,对收集如指纹、声纹、人脸等生物识别信息时,应单独征得用户同意。

  第三,匿名化。个人信息匿名化的建议由来已久,《通用数据保护条例》认为匿名化是经过处理后,通过单独信息无法识别信息主体的处理方式。有学者比较了匿名化和假名化,认为匿名化以隐藏用户身份和敏感信息的方式保护个人信息,处理后的信息由于无法关联信息主体,所以不再是个人信息,而假名化信息仍然属于个人信息。但目前企业与实现匿名化的目标仍然有一定距离,即第三人在公开查询时给出的信息仅为假名信息,而信息在企业内部也并未匿名化。笔者认为,只有企业内部在处理信息时也采取匿名化处理,才能既满足信息合理利用,又保护个人信息安全。

  第四,个人信息本地化。生物识别信息等敏感信息应当本地化,禁止上传至企业云端。人工智能设备的匹配、分析能力在个人信息本地化的情况下,足以完成目前用户所需服务。个人信息本地化可防止因传输,或企业处理、利用等行为导致的信息泄露,也限制了企业对个人敏感信息的利用。从某种意义上而言,企业就是一个收件和派件的快递员,不能拆开信件,对个人信息进行整体加密,不预留“后门”,用户的个人信息安全才更有保障。

  2.政府部门行为规范

  因社会管理需要,政府部门收集了大量公民个人信息,同样需要在个人信息保护与社会治理之间寻求平衡。但目前我国打击犯罪、维护国家安全的任务仍然繁重,一味让渡于个人信息保护也不合理。综上所述,笔者认为政府部门可以作出以下行为规范。

  第一,以必要性为前提。政府部门掌握大量摄像头等生物识别信息收集工具,当有打击恐怖主义、维护国家安全等需要时,收集个人信息具有正当性,但为其他非必要目的而收集个人信息,则可能对个人信息保护造成不利。因此,生物识别信息收集、分析系统何时启用,以及开启区域、针对的人群等均需作出事先规定,在对必要性进行充分论证的基础上合理利用人工智能系统。

  第二,以最小数据量为原则。个人信息的种类繁多、数量庞大,在收集时,应以最小数据量为原则。在人工智能环境下,满足人工智能系统学习样本的数据量即为最小数据量,至于具体额度,将根据系统的完善程度、任务繁杂程度、紧迫程度等综合考量,甚至需要一事一确定。同时,加强信息筛选能力,通过提高样本的科学性等举措,同样可以达到数据量收集最小化的目的。

  第三,加强数据安全。加强数据安全的工作一直在进行,但始终有漏洞。数据安全是国家安全的重要内容之一,建立符合我国国情的数据安全法律体系势在必行。《刑法修正案(九)》用“非法获取个人信息罪”“非法侵入计算机信息系统罪”等罪名对国家、政府记录的个人数据进行保护,也表明了国家、政府对个人数据安全的重视。

  3.制度设计安排

  第一,尽快制定颁布《个人信息保护法》。近年来,个人信息保护立法的学术讨论从未间断,也形成了个人信息保护法的专家建议稿。针对现有问题,制定《个人信息保护法》能够厘清个人信息保护的基本问题,明确统一定义,规范对生物识别信息等敏感内容的单独保护,以及人工智能深度学习能力对个人信息的限制使用,从而在信息利用和保护中达到平衡。

  第二,开展《人工智能安全法》立法研究。美国连续发布了《为人工智能的未来做好准备》《国家人工智能研究与发展战略规划》《人工智能、自动化和经济》等报告,提出美国人工智能研究与开发的七大战略,其中很重要的一条就是“确保人工智能系统的安全性与可控性”。近期热议的人工智能可解释性、透明性等都是安全性下的具体问题,仍有大量漏洞和缺陷需厘清和规制,本文所讨论的个人信息保护问题也属于其中之一。因此,应当加强人工智能安全理论研究,积极转化相关学术成果,开展《人工智能安全法》的立法研究。