商业用途人脸识别新兴立法揭示未来仍有大量工作要做

• 人脸识别领域的新兴立法凸显了进一步明确规则和统一标准的必要性。

• FRS 技术的开发者和使用者都应参与政策讨论，共同制定即将出台的标准。

人脸识别已成为一种强大的生物识别技术，无论在实际应用中，还是在我们的集体想象中皆是如此。有关其在公共领域和执法中的应用的披露，引发了关于伦理问题的讨论，以及相应的禁止或限制其使用的立法行动。

此外，IBM近期宣布，将“不再提供通用 IBM 人脸识别或分析软件”；而微软和亚马逊则呼吁暂停警方使用其人脸识别技术一年，并呼吁国会着手制定伦理标准。

这些最新进展表明，现在是时候针对具体应用场景层面的挑战，厘清适当用途、限制和保障措施——既要考虑技术本身的现状，也要考虑特定行业和场景中的人们如何部署和使用这些技术。

新兴立法提案之间的差异
美国各州关于人脸识别服务（FRS）商业用途的立法提案表明，要制定有效保障人权和公民自由（超越隐私和安全利益）的法律，并有效指导和促使企业参与其中，仍有大量工作要做。

华盛顿州在其拟议的《华盛顿隐私法》（WPA）方面取得了进展。该法案开创先例，专门规范 FRS 的商业用途，并引入了传统隐私保护之外的反歧视要求。加利福尼亚州紧随华盛顿州之后，提出了第 2261 号议会法案，原本将对某些 FRS 商业活动施加限制，但该法案刚刚作为一项更大规模立法行动的一部分而遭到阻止；该立法行动同样会允许某些执法用途。

然而，这些新兴提案展现了标准上的差异，凸显了该领域立法的难度、制定明确、一致且有效标准仍待完成的工作，以及企业在推进过程中将面临的不确定性（至少在短期和中期内如此）。

例如，现有提案对反歧视义务采取了不同做法。WPA 要求进行第三方测试，以检测“不同子群体之间的准确性和不公平表现差异”。然而，该法案没有界定何为“不公平表现”，也不清楚其是否会防止 FRS 被用于侵犯基本公民权利，而不只是保障人们获取商品和服务的权利。（加利福尼亚州的方案确实提供了这类指导，但其他地方今后出台的法律可能不会考虑这些问题，从而留下有待弥补的缺口。）

监管监督方面也存在差异。WPA 要求控制者确保进行“有实质意义的人工审查”，并在部署前于实际运行条件下测试 FRS；这一要求具体适用于旨在作出对消费者产生法律影响或类似重大影响之决策的 FRS。该法案没有界定怎样才算对 FRS 进行“有实质意义的人工审查”。加利福尼亚州的措施试图处理这一问题，其中包括由一名或多名受过培训的人员进行审查或监督；这些人员“最终负责根据 FRS 的输出全部或部分作出决策”。然而，当各项措施对关键定义的规定不一致时，不同的定义仍会增加企业合规的难度。

企业现在可以做些什么
许多事项仍在制定过程中，企业有机会参与政策讨论，并共同制定即将出台的标准。世界经济论坛正通过其多方利益相关者参与模式和可操作的治理框架助力应对这一挑战，并呼吁企业和利益相关者积极参与。目前的一项计划人脸识别技术的负责任使用界限将助力制定治理框架，确保安全、可信地使用 FRS 技术。随着这项计划及其他举措逐步成形，企业现在可以采取以下一些有益措施：

1. 思考控制者/处理者框架及其适用范围

控制者与处理者的区分源自欧盟《通用数据保护条例》（GDPR），是 WPA 和加利福尼亚州现已失效的第 2261 号议会法案的核心。按照目前的草案，企业被认定为其中一类（或两者皆非），将决定其隐私义务，以及——更重要的是——反歧视义务。事实上，这些提案似乎假定，使用 FRS 对个人进行识别、核验和持续追踪的企业属于控制者，而为控制者开发或提供 FRS 的企业，只要按照控制者的指示处理个人数据——包括收集、使用、存储或分析等操作——就属于处理者。

然而在实践中，使用或提供 FRS 的企业未必总能归入控制者/处理者框架，其角色也可能随时间变化。例如，FRS 供应商从一开始就可能是控制者；也可能起初作为处理者运营，但如果开始在控制者指示范围之外处理个人数据（例如，训练通用 AI 工具），最终就会成为控制者。还有一些企业起初不处理个人数据，但之后可能开始处理 FRS 客户/控制者的特定客户数据（例如，在部署该工具时）。

此外，不处理个人数据（包括持续追踪）的 FRS 开发者或供应商仍将不在立法适用范围内，因此既不受隐私义务约束，也不受反歧视义务约束。在这种情况下，控制者必须通过合同要求此类 FRS 开发者仍以书面形式承诺履行这些反歧视义务——尤其是接受第三方测试并落实缓解计划——以确保自身遵守反歧视义务。此外，FRS 开发者或供应商也可以通过合同要求 FRS 使用者遵守适用的联邦或州反歧视法律。

未来立法或许会处理超出控制者/处理者框架的 FRS 用途，这将有助于明确规则。在此期间，企业应牢记：a）企业处理个人数据的方式日益决定其新的义务；b）现有反歧视要求可能已经适用于其数字活动。

2. 预判最可能出台的要求，并由多元化团队负责

根据这些提案，控制者和处理者都将受到广泛反歧视要求的约束，涉及交叉合同约定、人工监督、测试和审计。不过，这种主要依赖流程末端人工介入的做法，尤其按照目前的草案，可能不足以解决 FRS 使用所引发的歧视问题。无论如何，这些提案都是一个起点。

考虑使用 FRS 的企业可以着眼于这些提案的共同点，着手构建稳健、可信的系统，包括落实人工监督、发布前偏见及有害影响测试和定期审计等要求（并提前思考整体 AI 战略和信任标准）。更广泛地说，构建可信 AI 系统的工作应贯穿产品周期的各个阶段，将标准融入 FRS 系统的设计和运行，并落实到运营团队中。要做好这项工作，企业从一开始就需要深入考量不同用途、这些技术的质量和影响——尤其是在管理和监督层面——并确保相关团队成员拥有多元的生活经历和专业知识。

展望未来

即便仅这两种立法方式之间的差异，也会使企业难以明确合规流程的标准或预判相关要求。

然而，立法和监管终将到来。国会可能很快就会为特定用途制定标准和限制。加利福尼亚州几乎肯定会迟早再次尝试立法规范这项技术的商业用途。而且，伊利诺伊州和得克萨斯州也可能尝试修订生物识别隐私法律，纳入反歧视要求。同样，一些城市（包括纽约市和旧金山）正在考虑扩大有关私人用途 FRS 的法案。同样，布鲁金斯学会刚刚发布了一份报告，指出联邦优先权是美国监管面临的一项主要障碍；这一问题还涉及立法提案之间的不一致，以及联邦与州权力平衡所引发的宪法问题。

随着提案逐渐成形，这些技术的开发者和使用者必须参与政策讨论，共同制定即将出台的标准（并制定和测试自身的信任标准）。若不参与，可能会导致市场暂停时间更长、成本更高，业务中断和声誉受损，而这些后果可能早在任何法律对此作出规定之前就已发生。