在快速推廣中，尋找隱私、安全和便利三者之間的平衡點

陳靜

屬于計算機視覺的人臉識別，幾年來取得了突破性進展，成為人工智能最熱門的風口之一——刷臉支付、刷臉取快遞、刷臉安檢、刷臉入住酒店……“靠臉走遍天下”正在成為新技術帶給人們生活和工作的“新常態”，一個個新的應用場景被開發出來。

因為不滿動物園強制入園“刷臉”，浙江理工大學特聘副教授郭兵將杭州野生動物世界告上了法庭，理由是“保護隱私”。圍繞這起“人臉識別第一案”，人們展開了對人臉識別技術邊界的大討論。

如今，我們的臉成了鑰匙、公交卡、身份證……來自國金證券行業研報顯示：全球40%的人工智能企業都涉及計算機視覺。另有市場咨詢公司預測，2019年全球人臉識別市場的規模預計為32億美元，到2024年該市場規模將達到79億美元，復合年增長率高達16.6%。

但是，花海之下亦有荊棘。今年8月，人工智能換臉應用“ZAO”因違規收集人臉信息引發風險爭議;今年9月，曠視科技因為幾張演示教學監控人臉識別應用的PPT被罵上了微博熱搜。全球范圍內，爭議同樣存在，亞馬遜的人臉識別門鈴專利因涉嫌侵犯隱私遭到強烈抗議，微軟則索性刪除了自己最大的人臉識別數據庫。在隱私、安全和便利三者的平衡上，人臉識別技術到底應當恪守怎樣的“游戲規則”？

“不知不覺”的“識別”

杭州野生動物世界對郭兵的回復頗有意思，動物園稱，之前郭兵辦理年卡時已經登記了真實姓名、電話、住址和身份證信息，甚至采集了指紋，“為什么只有人臉識別算作侵犯隱私呢？”

這實際上說出了公眾對人臉識別的擔憂之一。盡管都是生物識別手段，但指紋識別必須當事人主動配合，而人臉識別卻可以“悄無聲息”完成。一旦人臉信息被泄露或者濫用，就意味著個人合法權益有可能不知不覺地遭受侵害。

那么，從法律上講，人臉信息到底如何定義？中國政法大學傳播法研究中心副主任朱巍對此解釋說，根據《網絡安全法》相關規定，人臉識別信息屬于“直接可識別”到個人身份的信息。所以，“人臉識別信息的性質并非知識產權的大數據，而是被依法納入到隱私法范疇的個人敏感信息”。

在保護個人隱私方面，使用人臉識別信息的大原則也正是與“不知不覺”相對應的“知情同意”。中國法學會消費者權益保護法研究會副秘書長陳音江表示：“經營者必須要在確保信息安全的前提下，事先經過消費者同意并告知其使用方式和使用范圍后，才能采集人臉信息。”朱巍則補充說：“用戶應充分知情，并保障自己的選擇權和退出權。此外，用戶應享有刪除權、更正權、控制權和注銷權，這些基本權利是個人信息合理使用的前提。”

“刷臉”是否安全

除了對隱私的擔憂，公眾對人臉識別技術另一方向的憂慮來自于技術本身的安全。此前，浙江小學生發現打印照片就能代替“刷臉”，騙過小區里的豐巢快遞柜的新聞，似乎正是其“不靠譜”的寫照。

但果真如此嗎？與對隱私的擔憂相比，對“刷臉”技術本身安全性的憂慮卻有恐慌之嫌。有人臉識別專家告訴筆者，實際上快遞柜能被照片蒙騙，主要是因為其中并未加入活體檢測技術，“如今連活體檢測都不用就敢‘放出來的人臉識別技術應用相當罕見”。

從技術本身來看，目前人臉識別分為2D和3D兩種技術方案，以支付寶和微信的“刷臉支付”為例，兩者使用的都是3D人臉識別技術，會通過軟硬件結合的方法開展檢測，來判斷采集到的人臉是否為活體，可有效防范視頻、紙片等冒充。

銀行卡檢測中心金融科技研究室主任李博文表示，拿支付場景來說，人臉識別必須包括活體檢測、終端安全、辨識算法和信息保護幾項技術，“按照《人臉識別線下支付安全應用技術規范（試行）》，在萬分之一誤識率下的識別通過率為98.3%，十萬分之一誤識率下的識別通過率為98%”。這就意味著，機器識別的準確性超過人工。

“人臉識別服務商還通過諸如綁定設備，有人值守應用場景和多維校驗方式增強人臉識別安全性。”奇安信網絡安全研究中心主任裴智勇表示。

然而，人臉識別技術本身的安全與數據安全又不是一回事。人臉識別技術供應商瑞為科技首席技術官何一凡表示，安全問題可能并不與人臉識別這樣的生物識別技術直接相關，而是在線上服務和交易系統中對敏感數據采集、存儲、使用以及共享等環節出現的問題，“這就和所有的信息泄露一樣，屬于系統安全問題”。

答案并非“三選一”

既然如此，為了保護隱私和安全，不“刷臉”不就行了嗎？

然而，《關于防止未成年人沉迷網絡游戲的通知》剛剛下發，其中規定“每日22時到次日8時不得為未成年人提供游戲服務”，如何真正令行禁止，依然要靠人臉識別。多家游戲廠商已表示，在原有身份證認證的基礎上引入人臉識別技術，以加強關于網絡游戲賬號實名注冊的監管。

在新技術快速推廣和使用的過程中，隱私、安全和效率“三選一”，答案并非真能如此簡單粗暴，真正有效的方式是找到三者之間平衡的那個點，畫下一條“紅線”。

這條線當然來自企業自律。騰訊方面曾表示，在支付場景的人臉特征采集，要堅持“用戶授權、最小夠用”原則，提前告知信息使用的目的和方式，明確獲得用戶授權同意，避免采集與需求無關的特征，同時堅持“表達意愿、嚴格確權”原則。

這條線更應該來自監管。目前，各國都在嘗試用法律為人臉識別技術的應用指引方向。在我國，《個人信息保護法》也已被納入十三屆全國人大常委會立法規劃。西南政法大學副教授蔡斐表示，在法律框架下，對人臉識別技術的大規模使用可以提出“必要性原則”“比例原則”“正當程序原則”，甚至在某些特殊場景下考慮設立禁用“黑名單”制度，用制度的剛性來確保“科技向善”。

中國警察法學研究會反恐與網絡安全治理專委會常委副主任秦安則表示，在應用場景之外，對人臉識別服務商的技術安全，同樣應該有硬性規定來確保相關安全制度的建立。