前言
数字社会的发展将不可避免地带来新的社会问题。虚拟空间与物理社会融合发展中的重要挑战之一在于如何平衡“以假乱真”的技术发展趋势和“辨伪存真”的社会治理要求。
2019年,“AI换脸”的风潮将深度合成技术带入大众视野。用户只需要上传一张自己的照片,便可以在各种影视剧的经典场面中“出镜”。但除了众人所熟知的“AI换脸”外,作为一种基础计算机技术,深度合成技术还包括语音合成、人脸替换、图像生成等,与近期网络空间发展的其他概念和技术比如元宇宙、虚拟人、AR/MR/VR/CR/XR等息息相关。然而,不可否认的是,深度合成技术的滥用同时也引发了诸如“以假乱真”、信息泄露等一系列合规风险。
自党的十九大报告提出“营造清朗的网络空间”的总任务要求以来,2020年12月7日,中共中央即在《法治社会建设实施纲要(2020-2025年)》提出了对网络空间进行依法治理、推动现有法律法规延伸适用到网络空间的积极号召。其中,针对算法推荐、深度伪造等新技术应用制定相关规范管理办法,被视为完善网络法律制度的关键步骤之一。
在此背景下,2022年1月28日,国家互联网信息办公室发布《互联网信息服务深度合成管理规定(征求意见稿)》(下称“《深度合成服务规定》”)。《深度合成服务规定》旨在规范互联网信息服务深度合成活动,促进深度合成技术依法、合理、有效利用,并在已经出台的《网络信息内容生态治理规定》《互联网信息服务算法推荐管理规定》《网络音视频信息服务管理规定》等相关部门规章和规范性文件的基础上,进一步厘清、细化了深度合成技术应用场景,明确了深度合成服务提供者与使用者信息安全义务,并以“促进深度合成服务向上向善”为总体要求,提出了一系列具有系统性、针对性和可操作性的要求。本文将结合境内外立法实践,对《深度合成服务规定》进行深度解读,并对深度合成服务提供者等主体的合规义务进行释明。
01
深度合成技术概述
从技术层面看,深度合成技术(Deep Synthesis)即深度伪造(Deepfake),是深度学习(Deep Learning)与伪造(Fake)二者的组合词,该技术主要依托于“生成式对抗网络(Generative Adversarial Networks,GAN算法)”及自动编码机(Autoencoders)。[1]具体而言,GAN算法上同时搭载着两个神经网络,即生成器与识别器,前者可基于一个数据库自动生成模拟该数据库中数据的样本,后者可评估生成器生成的数据的真伪,两者在互相博弈学习中产生大规模和高精确度的输出。而自动编码器则是一个人工神经网络,用于对输入数据进行重建以实现数据合成。[2]随着深度合成技术的不断成熟和日益复杂化,无论是图像还是声音、视频都可以通过深度合成技术进行伪造或自动合成,且达到以假乱真的程度。
《深度合成服务规定》则在法律层面上,明确了深度合成技术的概念,即“以深度学习、虚拟现实为代表的生成合成类算法制作文本、图像、音频、视频、虚拟场景等信息的技术”[3],并且通过列举的方式明确了纳入规制范围的技术种类。我们在此对各类深度合成技术在实践当中的运用场景加以总结:
(点击查看大图)
从以上定义不难看出,监管机构并未采取穷尽列举的方式,这是由于深度合成技术处于不断发展、持续演进的过程中,而《深度合成服务规定》所采取了“概念+分类”的定义方式既能够概括说明深度合成技术的特点,又能够通过具体的示例具象化相关技术手段。我们理解,深度合成技术的特点包括:
02
深度合成技术的监管背景
在数字化社会,以算法为核心、以数据为资源、以平台为基础的发展格局逐步形成,这一新型网络格局涵摄政治、经济、文化与社会发展的数字化生态,塑造出以数据和算法为基础的新型法权关系,为法律制度和司法体系带来极大冲击和 “破窗性” 挑战。[8]作为第四次工业革命和数字经济发展的核心驱动力之一,算法所带来的变革需要法律予以回应。具体而言,算法的广泛应用可能引发歧视性风险、责任性风险,以及误用和滥用风险等极具挑战性的治理风险。[9] 具体到深度合成领域,对深度合成技术的不当使用可能导致一系列治理风险,最为核心的三种风险是技术异化风险、信息失真风险和数据泄露风险。[10]
技术异化是指对技术的使用脱离了其“以人为本”的初衷。例如,“AI换脸”技术诞生的初衷是出于娱乐目的,但逐渐变成了“色情复仇”的手段。2017年12月,名为“Deepfake”的账号在社交新闻网站Reddit上发布了一段利用人工智能技术将名人面孔合成的色情视频,受害者皆为知名女性艺人。即便Reddit随即禁止未经同意使用人工智能将他人面孔植入色情视频和图像,深度合成技术依然引发了社会的强烈关注。[11]此后,随着深度合成技术在知名开源及私有软件项目的托管平台GitHub被开源以及各软件开发爱好者对其代码进行不断迭代与改良,该技术在精准度不断提升的同时,其造成的恶劣影响也在不断扩大与加深。2019年12月全网共有14678个深度合成视频,其中96%属于色情性的深度合成视频,主要存在于色情网站。[12]
信息失真是指深度合成技术可能导致假新闻泛滥,扰乱视听甚至导致真相终结。[13]由于深度合成技术的核心在于“以假乱真”,因此通过深度合成技术伪造的消息往往不会令人起疑,这使得当真假消息同时出现时,社会公众往往无法辨认其真实性。美国大法官霍姆斯曾经在Abrams v. United States案中提出“观念市场”(marketplace of ideas)的概念[14],即真理和谎言同在自由的信息空间中传播,通过一系列竞争与辩论,真相终将胜利。然而,在互联网领域,考虑到网络传播的开放性、匿名性、交互性、复杂性和主观性,真假难辨的信息可能导致观念市场的失灵,从而使得真相进一步消弭。尤其是,当公众长期处于观念市场失灵的社会环境中,容易导致政府公信力下降,从而引发信任危机。
个人信息等数据泄露是深度合成技术最为直接的风险。以常见的“AI换脸”技术为例,该技术服务自上线起,关于其“侵犯隐私”的质疑便层出不穷。为此,2019年9月,工信部约谈了某AI换脸服务提供商,要求其组织开展自查整改,依法依规收集使用用户个人信息,规范协议条款,强化网络数据和用户个人信息安全保护。[15]此外,国家网信办、公安部于2021年3月18日指导地方网信部门、公安机关依法约谈了11家未履行安全评估程序的语音社交软件和涉深度伪造技术的应用开发企业。[16]此外,考虑到深度合成技术可能带来的巨大风险,《中华人民共和国民法典》第1019条明确规定,任何组织或者个人不得以丑化、污损,或者利用信息技术手段伪造等方式侵害他人的肖像权。
综上所述,综合考虑深度合成技术的广泛应用及其可能带来的一系列治理风险,通过专门的监管文件对其进行规制存在合理性和必要性。
03
境外立法现状
1.美国
美国是对深度伪造技术最早开展治理的国家之一,且相关治理行动也较为积极。总体而言,多项联邦及州立法就深度合成技术的应用提出了不得制作与发布政治干扰、色情报复等犯罪及侵权内容与信息、对深度合成内容与信息进行披露与标记、鼓励监测及鉴别技术工具的研发、获得他人同意等规制要求,违反者或面临包括罚款、监禁等行政或刑事责任。以下我们就联邦层面与州层面的部分立法进行分别举例说明:
《恶意深度伪造禁止法案(Malicious Deep Fake Prohibition Act of 2018)》,该法案规定,为引发联邦法、各州法或地方法所规定的犯罪和侵权行为而制作深度伪造内容者,以及在明知有关视听记录内容为深度伪造的前提下,为引发联邦法、各州法或地方法所规定的犯罪和侵权行为而分发该视听记录内容者,将面临罚款及高达2年监禁的刑事责任;如果前述行为导致联邦、各州或地方,包括选举、外交关系处理在内的任何行政、司法及立法程序遭受影响的,或者出现煽动暴力的情况的,违法者还面临罚款及高达10年监禁的刑事责任。[17]
《深度伪造报告法案(Deepfake Report Act of 2019)》,该法案要求国土安全部以深度合成技术、种类及其演变情况,深度学习技术成果的应用场景、风险及益处,美国非政府组织将如何使用深度伪造技术,外国政府利用深度伪造技术对美国国家安全及个人权益所可能造成损害,以及应对深度伪造技术的策略等内容为主题,在本法案生效后一年内出具报告,并在此后以5年为频率再度提供报告。[18]
《深度伪造责任法案 (Deep Fakes Accountability Act)》,该法案要求任何创建深度伪造视频媒体文件的人,必须用“不可删除的数字水印以及文本描述”,对相关媒体文件属于篡改或生成的这一情况进行披露,违反者将面临罚款、最高五年监禁或两者并用的刑事责任。[19]
《识别生成对抗网络法案(Identifying Outputs of Generative Adversarial Networks Act))》指示美国国家科学基金会和美国国家标准与技术研究院,为可对生成对抗网络或其他合成操纵技术所输出的内容和信息的真实性进行检查、验证的技术工具的相关研究进行支持。[20]
《2018-2020财年情报授权法 (Intelligence Authorization Act for Fiscal Years 2018, 2019, and 2020)》指示国家情报总局通过举办相关竞赛计划并颁发奖项的方式,刺激与鼓励那些用于检测机器学习技术所创建的虚假音视频的技术的研究、开发及商业化进程。[21]
《2020财年国防授权法案(National Defense Authorization Act For Fiscal Year 2020)》则要求国家情报局负责人在该法案生效后的180日内,就潜在的影响国家安全的深度伪造技术、以及为外国用以实施传播虚假信息等恶意行为的深度伪造技术的潜在与实际影响,向国会情报委员会进行汇报;此外,该法令还指示以实施技术竞赛并提供奖励的方式,刺激深度伪造技术监测工具的进一步开发与商业化。[22]
在州一级层面,作为美国首批将未经同意的深度合成图像及视频分发行为作为刑事犯罪的州之一,弗吉尼亚州2019通过修订《非同意色情法案(Nonconsensual Pornography Law)》,将制作、分发裸体或性视频或图像,以恐吓、威胁他人的“复仇色情(Revenge Porn)”行为定义为1级轻罪,违反者面临最高12个月的监禁和2500美元的罚款。美国加州在《AB-602法案(Assembly Bills 602)》中明确禁止未经个人同意对其面部图像进行编辑的行为,而《AB-730法案(Assembly Bills 730)》则为防止选举中出现误导性,将制作、传播对政客产生负面影响的虚假恶意音视频的行为视为犯罪。[23]
2.欧盟
总体而言,欧盟对深度合成技术的治理尚未系统建立,但《人工智能法案(Artificial Intelligence Act)》将深度伪造列为“高风险”人工智能技术,欧洲议会认为该归类的合理性来自于深度合成技术对个人基本权利及安全的威胁。因此,一方面,深度伪造技术的提供者需要面临包括但不限于遵守风险评估、记录、人工监督与确保高质量的数据集等规制要求,另一方面,在鼓励监测技术开发的基础上,深度合成技术的应用面仍应当受到限制。[24]欧盟境内有关深度伪造的规定或意见主要为:
《人工智能法案(Artificial Intelligence Act)》,该法案规定,对于生成的或操作的、与真实内容明显相似的图像、音频或视频内容,提供者应有义务披露该内容是通过自动方式生成的。[25]
《应对线上虚假信息:欧洲方案(Tackling online disinformation: a European Approach)》,该意见总体上提出改进信息来源及提供信息传播透明性的目标,并强调了假新闻和虚假信息对各级政府构成共同威胁,总体上鼓励政府开展媒体素养运动,以防止假新闻和虚假信息的传播。[26]
《欧盟通用数据保护条例(General Data Protection Regulation)》,从原则上禁止处理可以识别自然人的生物数据,除非是获得个人关于在特定处理目的下的明确同意等其他法定基础。[27]并且,数据主体有权获得关于自动化决策所得出决定的解释性说明。[28]
04
《深度合成服务规定》主要规定内容
《深度合成服务规定》第二条规定,中华人民共和国境内应用深度合成技术提供互联网信息服务,以及为深度合成服务提供技术支持的活动,适用本规定。总体而言,《深度合成服务规定》的治理规则根植于国家此前提出的互联网信息服务与算法治理的总体思路,但又以深度合成技术及相关互联网信息服务应用场景的特点为基础,演化出更加个性化、具象化、细节化的治理规则。
就深度合成服务中相关主体的义务问题,《深度合成服务规定》作出了明确规定。一方面,鼓励相关行业组织加强行业自律,建立健全行业标准、行业准则和自律管理制度,督促指导深度合成服务提供者制定完善服务规范、加强信息内容安全管理、依法提供服务并接受社会监督;另一方面,《深度合成服务规定》还分别对深度合成服务提供者、深度合成服务使用者及应用商店服务提供者等主体的义务予以释明。
1.深度合成服务提供者义务
根据《深度合成服务规定》规定,深度合成服务提供者作为法定的信息安全责任主体,除了需要满足遵守法律法规,尊重社会公德和伦理,坚持正确政治方向、舆论导向、价值取向,促进深度合成服务向上向善,以及不得利用深度合成服务从事危害国家安全、破坏社会稳定、扰乱社会秩序、侵犯他人名誉权、肖像权、隐私权、知识产权等合法权益等法律法规禁止的活动。我们理解,深度合成服务提供者需要遵守信息内容治理义务、数据安全保障义务及算法技术合规义务。
(1)信息内容治理义务
a.建立深度合成信息内容标识管理制度
《网络音视频信息服务管理规定》提出,网络音视频信息服务提供者和网络音视频信息服务使用者利用基于深度学习、虚拟现实等的新技术新应用制作、发布、传播非真实音视频信息时,应当以显著方式予以标识的要求[29];《互联网信息服务算法推荐管理规定》亦规定,算法推荐服务提供者发现未作显著标识的算法生成合成信息的,应当作出显著标识后,方可继续传输。[30]我们理解,前述规定针对生成合成类信息内容仅提出了概括性的标识义务规定。相对而言,此次《深度合成服务规定》则就深度合成服务提供者对深度合成信息的标识义务提出更为具体规定,要点包含:
标识不应当影响用户使用:深度合成服务提供者对使用其服务所制作的深度合成信息内容,应当通过有效技术措施在信息内容中添加不影响用户使用的标识,依法保存日志信息,使发布、传播的深度合成信息内容可被自身识别、追溯。[31]
使用显著方式进行标识或提供进行标识的功能:首先,对生成或者显著改变信息内容的深度合成信息内容,如智能对话、智能写作、合成人声、仿声、人脸生成、人脸替换、人脸操控、姿态操控等虚拟人物图像、视频、沉浸式拟真场景应当使用显著方式进行标识,向社会公众有效提示信息内容的合成情况;其次,对其他深度合成信息内容,应当提供进行显著标识的功能,并提示使用者可以自行标识。[32]
停止传输未标识的信息内容:深度合成服务提供者发现深度合成信息内容未进行显著标识的,应当立即停止传输该信息,按照规定作出显著标识后,方可继续传输。[33]
与美国《深度伪造责任法案》类似,《深度合成服务规定》的规定也强调了深度合成内容的标识义务。但值得注意的是,《深度伪造责任法案》中该义务的主体为内容制作者,即深度合成技术的使用者,而《深度合成服务规定》则将该义务聚焦于深度合成服务提供者。考虑到深度合成服务提供者大多数情况可能属于平台型企业,《深度合成服务规定》承继了互联网平台监管的思路,通过对平台责任的设置,进一步降低深度合成服务使用的风险。但值得关注的是,与信息内容管理等平台责任不同的是,视频、音频、文字等内容的真实性判断与鉴别所要求的技术和审查能力可能更高。如何平衡在隐蔽性更强、技术要求更高的深度合成领域平衡平台责任和新型平台发展将值得我们进一步思考。
b.加强深度合成信息内容管理
就网络信息内容的治理方案而言,《网络信息内容生态治理规定》第八条针对所有网络信息内容服务平台提出了“履行信息内容管理主体责任,加强本平台网络信息内容生态治理,培育积极健康、向上向善的网络文化”的总体要求,并通过第九条、第三十四条为网络信息内容的治理工作设置了一套整体生态治理机制,即:信息发布审核、跟帖评论审核、版面页面生态管理、实时巡查、应急处置和网络谣言、黑色产业链信息处置等制度,并对违规者采取警示整改、限制功能、暂停更新、关闭账号等处置措施,及时消除违法信息内容,保存记录并向有关主管部门报告。[34]《深度合成服务规定》再次巩固了深调深度合成服务提供者的前述管理责任,具体举措为:
深度合成信息内容审核,即采取技术或者人工方式对深度合成服务使用者的输入数据和合成结果进行审核。[35]
建立违法内容特征库,即建立健全用于识别违法和不良深度合成信息内容的特征库,并完善入库标准、规则和程序。[36]
采取违规处置措施,即对违法和不良信息依法采取相应处置措施,并对相关深度合成服务使用者依法依约采取警示、限制功能、暂停服务、关闭账号等处置措施。[37]
c.建立辟谣、申诉与公众投诉机制
当发现深度合成信息服务使用者利用深度合成技术制作、复制、发布、传播虚假信息的,深度合成服务提供者应当及时采取相应的辟谣措施,并将相关信息报网信等部门备案;另外,还应当设置便捷有效的用户申诉和公众投诉、举报入口,公布处理流程和反馈时限,及时受理、处理并反馈处理结果。前述要求在《移动互联网应用程序信息服务管理规定》[38]《网络音视频信息服务管理规定》[39]《互联网信息服务算法推荐管理规定》[40]等规定中同样有迹可循。
(2)数据安全保障义务
a.建立健全信息安全制度
《深度合成服务规定》总体上要求深度合成服务者设立用户注册、数据安全与个人信息保护、未成年人保护、从业人员教育培训等管理制度,并采取具有与新技术新应用发展相适应的安全可控的技术保障措施。[41]前述规定可被视为是我国《网络安全法》《数据安全法》《个人信息保护法》《网络信息内容生态治理规定》等网络安全及数据保护规范的呼应。
b.提示深度合成服务使用者获得个人信息主体的单独同意
作为《深度合成服务规定》的亮点之一,深度合成服务提供者被要求在提供人脸、人声等生物识别信息的显著编辑功能时,应当提示深度合成服务使用者依法告知并取得被编辑的个人信息主体的单独同意。[42]《个人信息保护法》第二十九条规定,处理敏感个人信息应当取得个人的单独同意。[43]而生物识别信息作为敏感个人信息,对该等信息的处理行为应当获取用户的单独同意,而深度合成服务提供者的提示义务则旨在促使使用者获取被编辑主体的单独同意。我们理解,该规定不仅是《个人信息保护法》就个人生物识别信息的特殊要求在深度合成服务下所衍生出的应然要求,在实践层面,此举也将有效控制此前因攫取与滥用人脸数据而产生的非法获取个人信息、侵害个人隐私、敲诈勒索、散布虚假消息等社会问题。
c.加强训练数据管理
《深度合成服务规定》首次对深度合成服务提供者提出加强训练数据管理的义务,以确保数据处理合法、正当,采取必要措施保障数据安全。尤其是,该规定强调当训练数据包含涉及个人信息数据的,还应当遵守个人信息保护有关规定,不得非法处理个人信息。[44]
此前,工业和信息化部办公厅发布《新一代人工智能产业创新重点任务揭榜工作方案》,一方面指出到2020年基础语音、视频图像、文本对话等公共训练数据量大幅提升的趋势,另一方面鼓励在工业、医疗、金融、交通等领域汇集一定规模的行业应用数据,用于支持创业创新。[45]在此基础上,对个人信息在内的大量训练数据的使用将触发一系列合规管理义务。因此我们理解,《深度合成服务规定》此处对训练数据管理的规定,不仅是对国家互联网信息内容治理及个人信息保护工作所进行响应,也是对前述合规管理义务的回应,从源头上、最大化避免因训练数据的大面积使用对个人信息所造成的风险,并减少后期治理的成本。
d.履行制定与公开管理规则和平台公约
《网络信息内容生态治理规定》总体上对所有网络信息内容服务平台提出了“制定并公开管理规则和平台公约,完善用户协议,明确用户相关权利义务,并依法依约履行相应管理职责”的要求。[46]此次《深度合成服务规定》第八条,不仅重申“应当制定并公开管理规则和平台公约,完善服务协议”,还特别提出“以显著方式提示深度合成服务使用者信息安全义务”的要求。[47]另外,《网络数据安全管理条例》第四十三条对互联网平台运营者提出了建立与数据相关的平台规则、隐私政策和算法策略披露制度,从而保障平台规则、隐私政策、算法公平公正的合规要求。[48]我们理解,考虑到当前监管部门对平台算法治理的重视,不排除前述“公开管理规则与平台公约”包含算法策略的可能性。
值得注意的是,我们理解《深度合成服务规定》第二条规定的“深度合成服务提供者”同时包含“提供深度合成服务的主体”以及“为深度合成服务提供技术支持的组织”两种主体。因此,对于仅提供深度合成技术支持的技术提供商而言,考虑到其并不会直接面向用户,其是否仍属于“网络信息内容服务平台”,以及是否同样需要根据此第八条的规定以落实公开管理规则和平台公约的管理职责,或需要相关法律法规作进一步的说明。
e.认证用户真实身份
实名认证义务是《网络安全法》所规定的基本义务。网络运营者为用户提供信息发布、即时通讯等服务,在与用户签订协议或者确认提供服务时,应当要求用户提供真实身份信息。考虑到深度合成技术与信息发布关系密切,《深度合成服务规定》强调深度合成服务提供者应当依法对深度合成服务使用者进行真实身份信息认证。[49]类似地,《网络音视频信息服务管理规定》要求网络音视频信息服务提供者基于组织机构代码、身份证件号码、移动电话号码等方式对用户真实身份信息进行认证[50],而《互联网宗教信息服务管理办法》就互联网宗教信息传播平台与平台注册用户签订协议、核验注册用户真实身份信息等义务作出规定。[51]
(3)深度合成服务提供者的算法技术合规义务
a.建立健全算法机制机理审核
2021年9月17日,《关于加强互联网信息服务算法综合治理的指导意见》在“积极开展算法安全评估”部分提出了“组织建立专业技术评估队伍,深入分析算法机制机理”的要求。[52]《互联网信息服务算法推荐管理规定》也规定了算法推荐服务提供者应当落实算法安全主体责任,建立健全算法机制机理审核、科技伦理审查的义务。[53]此次《深度合成服务规定》就相同义务对深度合成服务提供者进行了重申,这也是“以人为本”的科技施政理念的体现。
b.安全评估义务
《网络音视频信息服务管理规定》要求网络音视频信息服务提供者基于深度学习、虚拟现实等新技术新应用上线具有媒体属性或者社会动员功能的音视频信息服务,或者调整增设相关功能时均需开展安全评估。[54]《网络数据安全管理条例》也概括性地要求利用人工智能、虚拟现实、深度合成等新技术开展数据处理活动的互联网平台运营者,应按照国家有关规定进行安全评估。[55]相比前述规定,《深度合成服务规定》进一步明确需要开展安全评估以预防信息安全风险的触发情形,即:
提供具有对人脸、人声等生物识别信息或者可能涉及国家安全、社会公共利益的模型、模板等工具的[56];
开发上线具有舆论属性或者社会动员能力的新产品、新应用、新功能的。[57]
我们理解,由于深度合成技术的概念十分广泛,若对所有涉及应用深度合成技术的算法与服务开展安全评估,可能对相关服务提供者施加较重的合规义务,《深度合成服务规定》之要求在一定程度上缓解了深度合成服务提供者的合规压力。
c.履行算法备案手续
此次,《深度合成服务规定》规定,深度合成服务提供者应当按照《互联网信息服务算法推荐管理规定》的有关规定,在提供服务之日起十个工作日内履行备案手续。[58]而根据《互联网信息服务算法推荐管理规定》,具有舆论属性或者社会动员能力的推荐算法服务提供者应当履行备案手续。具体而言,算法服务提供者需要通过算法备案系统填报服务提供者的名称、服务形式、应用领域、算法类型、算法自评估报告、拟公示内容等信息。[59]然而,我们理解,该规定是否表明深度合成技术算法将被直接归类于具有舆论属性或者社会动员能力的算法,可能还具有一定争议。
自2021年9月,国家发布《关于加强互联网信息服务算法综合治理的指导意见》,对开展算法备案工作提出了“建立算法备案制度,梳理算法备案基本情况,健全算法分级分类体系,明确算法备案范围,有序开展备案工作”[60]的指导方向后,“算法备案”开始成为热议话题。我们理解,备案制度为监管机构提供了从源头开展算法治理和监督工作的切入点,是国家所提出的“推动治理原则贯穿人工智能产品和服务全生命周期,对未来更高级人工智能的潜在风险持续开展研究和预判,确保人工智能始终朝着有利于社会的方向发展”的“敏捷治理”[61]方式的重要表现形式。
2.其他主体
《深度合成服务规定》还就深度合成服务使用者与应用商店服务者所应当承担的义务进行了说明。
对于深度合成服务使用者而言,其仍应当履行遵守法律法规,尊重社会公德和伦理,坚持正确的政治方向、舆论导向、价值取向,促进深度合成服务向上向善的总体义务。同时,使用者还需配合深度合成服务提供者履行真实身份信息认证义务,针对于违规者,深度合成服务提供者将拒绝为其提供信息发布服务。[62]另外,深度合成服务使用者有义务在使用人脸、人声等生物识别信息的显著编辑功能前,取得被编辑的个人信息主体的单独同意。[63]我们理解,虽然该义务属于服务使用者,但服务使用者往往是以用户的身份使用具有深度合成功能的应用软件。因此,在该场景下如何帮助服务使用者合规地获取他人的单独同意便成为服务提供者在应用设计和开发过程中需要考虑的问题。
针对互联网应用商店服务提供者,其主要义务为履行安全管理责任,即依法依约核验深度合成应用程序的安全评估、备案等情况,对违反国家有关规定的,应当及时采取不予上架、暂停上架或者下架等处置措施。[64]我们理解,上述规定与《移动互联网应用程序信息服务管理规定》等文件中规定的“督促应用程序提供者履行信息保护”“发布合法信息及发布合法应用程序”等信息安全的管理责任相呼应,在深度合成技术服务领域强调互联网应用商店服务提供者的义务。
05
重要意义
《深度合成服务规定》是我国互联网信息服务治理、人工智能与算法治理的宏观版图中的重要组成部分。面对新技术的挑战,《深度合成服务规定》一方面表明了政府与监管者所采取的审慎包容的态度,另一方面,也同时展现了在以人为本、有序治理的大前提下,国家对新型技术的支持。总体而言,我们认为《深度合成服务规定》在以下三个方面有着重要意义:
1.由点及面的立法布局
当前在数据保护领域,我国已出台一系列法律法规和国家标准,以全方位规制数据的全生命周期。然而,相较于数据立法,我国在算法层面出台的文件数量有限。但从目前已出台的《数据安全法》《个人信息保护法》《深度合成服务规定》以及《互联网信息服务算法推荐管理规定》等文件,可以管窥监管机构由点及面的立法布局。具体而言,从整体上看,《数据安全法》第28条提出,开展数据处理活动以及研究开发数据新技术,应当有利于促进经济社会发展,增进人民福祉,符合社会公德和伦理;同时,《个人信息保护法》《电子商务法》等也就自动化决策等算法问题进行规定,上述法律法规构成算法治理的核心要求。而目前针对推荐算法、深度合成技术等新兴技术的立法则旨在从具体的应用场景出发,规制特定的算法类型。不同监管文件之间环环相扣,形成紧密的逻辑链条。待未来相关法规逐渐丰富,多维谱系的法律法规能够使监管机构使用多种监管工具全方位、多层次地对算法问题进行规制。
2.以人为本的监管思路
为了防止技术的异化风险,算法服务提供者和技术支持者应当始终将技术创新和以人为本作为根本目的。因此,倡导“科技向善”成为推动数字社会福祉最大化的必然要求。2019年,国家新一代人工智能治理专业委员会《新一代人工智能治理原则——发展负责任的人工智能》提出了和谐友好、公平公正、包容共享、尊重隐私等原则。[65]许多科技企业也相继发布有关人工智能治理方面的白皮书,明确人工智能在安全、 隐私、 公平等方面的伦理原则,还有企业成立了人工智能道德委员会,以期解决人工智能和算法带来的道德风险。而《深度合成服务规定》对“尊重社会公德和伦理,坚持正确政治方向、舆论导向、价值取向,促进深度合成服务向上向善”的强调,正是以人为本的“科技向善”的体现。
3.敏捷治理的监管策略
从监管策略上看,《深度合成服务规定》在一定程度上体现出“敏捷治理”的基本思路。首先,《深度合成服务规定》明确了算法备案、审核、评估等制度,算法备案制度和安全评估制度是实现敏捷治理目标可优先考虑的制度设计,一方面可以让监管机构及时了解算法的具体内容,另一方面能够提高深度合成服务提供者的责任意识和安全意识。此外,《深度合成服务规定》还规定了深度合成技术的监管机构与相关法则,即:国家网信部门与地方网信部门负责统筹协调全国及各行政区域内的深度合成服务治理和相关监督管理工作,并规定违反相关规定者可能面临警告,责令限期改正,一万元以上十万元以下罚款等处罚方式,或依法承担民事责任、治安管理处罚及刑事责任。我们理解,上述中央与地方统筹协调、协同治理,多种惩罚手段并用的方式同样是敏捷治理的体现。
相较于传统由政府作为治理主体的单一治理方式,敏捷治理所提倡的多主体参与的多元治理能够进一步完善算法规制策略。对于将深度合成技术作为驱动商业利益的重要依托的服务提供者而言,在敏捷治理的背景下,除应当注意“慎始而后行”,还可以进一步探讨如何在合规前提下尽可能激发深度合成技术的商业潜力。换言之,深度合成服务者除了被动履行《深度合成服务规定》所规定的,包括但不限于信息安全主体责任、深度合成信息内容标识、审核深度合成信息内容、建立健全算法机制机理审核机制、加强训练数据管理及履行自评估等义务外,还可相应积极推动检测识别技术的研发、检测标识和标注工具的开发等配套技术,同监管机构一同促进深度合成技术的妥善运用,在防范风险的同时为对抗性技术和鉴别技术的发展提供计划。[66]
结语
对于深度合成领域的新监管要求是迎接数字社会发展挑战的一次重要尝试,可以预见的是,对于数字社会中“虚实”和“真伪”的事实辨别和价值判断将是动态变化的过程。正所谓 “假作真时真亦假,无为有处有还无”,我们对数字社会治理规则的发展应当抱有积极开放的心态和审慎的精神,在追求社会发展和人性进步的历程中,恪守本心。
向下滑动阅览
本文作者
宁宣凤
合伙人
合规业务部
susan.ning@cn.kwm.com
业务领域:反垄断与反不正当竞争,以及网络安全与数据合规
在反垄断领域,宁律师所提供的法律服务内容主要包括经营者集中反垄断申报、应对反垄断行政调查、反垄断法合规咨询以及反垄断诉讼。早在2008年《反垄断法》实施之前,宁宣凤律师就曾积极参与政府起草该项法案的咨询工作,并在该法颁布后,继续积极参与协助相关条例、实施办法及指南的起草工作。在网络安全与数据合规领域,宁律师曾为多家国内外知名企业提供数据合规尽职调查、风险评估、合规体系建设等法律服务。作为国内最早涉足该类法律实务的律师之一,宁律师在为客户提供网络安全与数据合规法律咨询服务方面有着丰富的经验。
吴涵
合伙人
合规业务部
wuhan@cn.kwm.com
业务领域:网络安全、数据合规与治理
吴律师主要协助企业在数字经济转型期发挥数据驱动力,实现数字化转型、数据商业化及智能化应用。具体包括协助客户制定修改隐私政策、算法可解释性声明,制定跨境数据传输计划,制定数据商业化合规方案,搭建算法治理体系,梳理企业数据(包括个人信息保护)合规体系,进行网络安全和数据合规自查,协助搭建数据融合的商业及合规框架,构建企业数据资产体系等。吴律师擅长从中国合规的角度为跨国企业在中国的分支机构提供网络安全、数据治理及智能合规意见。同时吴涵律师能够立足中国相关法律法规,为中国走出去企业建立符合欧盟(GDPR)及美国(CCPA)等跨司法辖区要求的网络安全、数据合规及智能化监管体系。项目覆盖金融、保险、健康医疗、人工智能、网约车平台、航空、消费电子、互联网广告、汽车、电商等多个行业。
屈尘
律师助理
合规业务部
徐梦悦
律师助理
合规业务部
感谢实习生邓立山、綦浩彤对本文作出的贡献。
封面图源:洪流 · Tillian Reeves, 2017
责任编辑:赵天园
人工智能:
算法治理之互联网信息服务推荐算法管理 2022-01
积跬步,至千里——算法治理之互联网信息服务算法推荐管理 2021-08
算法治理系列之——智能时代的算法治理 2021-06
算无遗策,画无失理?——算法合规在平台经济反垄断中的应用 2020-11
AI与大数据的“理想城”:智慧城市合规的基础要点 2020-02
2020年“AI”应有大爱 2020-01
人工智能系列之人脸识别信息的内涵与合规难题 2019-11
-
数据合规:
《网络数据安全管理条例(征求意见稿)》系列解读之个人信息保护篇 2021-12
知我者,当谓我心忧:个人信息自动化决策的法律规制与合规要求 2021-09
斯人已逝,生者如斯—浅析死者个人信息权利 2021-09
新起点、新征程:《数据安全法》时代下的数据安全与发展 2021-09
数中有术、术中有数——数据权益理论与司法实践探析(下篇)2021-08
数中有术、术中有数——数据权益理论与司法实践探析(上篇)2021-07
利刃出鞘:《数据安全法》下中国数据保护路径解读 2021-06
个人信息保护立法效果、理念及价值平衡 ——欧盟GDPR生效实施三周年比较与前瞻 2021-5
数字征信时代的重要信号——征信业务新规草案解读 2021-1
成年人要看的利弊——互联网数据商业化的模式变局 2020-12
Personal Information Protection Law (Draft): A New Data Regime 2020-11
“道阻且长,行则将至” --从《个人信息保护法(草案)》看中国个人信息保护的思路和数字经济发展策略 2020-10
六个月倒计时!《生物安全法》中的数据合规赛道 2020-10
敢为天下先——特区培育数据要素市场的契机与合规要点 2020-10
“以人为本”——聚焦央行消费者金融信息保护新规 2020-09
变化纵横出新意——民法典中个人信息的定位及影响 2020-06
问答精选-解读《个人金融信息技术保护规范》2020-02
解读《信息安全技术 个人信息告知同意指南(征求意见稿)》2020-02
疫情防控 | 数据资源流转与公开 2020-02
疫情防控|同舟共济——不同场景下健康医疗数据流转的合规路径 2020-02
宜未雨而绸缪——企业上市关注的重点数据合规问题 2020-01
“数”年快乐——万字长文说“数据融合” 2020-01
平安夜里说平安——“数据资产”的误区与合规条件 2019-12
按图索骥——图示移动APP个人信息保护的重点 2019-11
大一统而慎始也——新型信用监管机制问答 2019-10
竹杖芒鞋轻胜马:医疗大数据发展和合规管理并重 2019-09
星光奉献给长夜——儿童个人信息保护的亮点和启示 2019-08
投资出行领域,数据是金矿还是烫手山芋?2019-07
Development Of PrcRegulations On Cross Border Data Transfer 2019-06
数据监管新要求,电子商务法时代跨境电商将走向何方? 2018-11
你的“饼干”安全吗?——Cookie 与个人信息保护 2018-08
“明者因时而变,知者随事而制” ——《个人信息安全规范》实务探讨 2018-02
谨于言而慎于行:互联网信息内容服务管理新规出台 2017-08
No “Data”, No “Internet of Vehicles” 2017-07
布局“自动驾驶”:此时不为,更待何时?2017-07
Putting an “Invisibility Cloak” over Personal Information —— A discussion on “invisible waybills” introduced by express industry 2017-07
图解“车联网” 2017-06
无“数据”,怎“车联”?——“车联网”数据类核心业务法律监管刍议 2017-05
为个人信息披上一件“隐形衣”——从快递行业推行“隐形面单”说开去 2017-05
欲善其事,先利其器——解读《互联网信息内容管理行政执法程序规定》 2017-05
你的数据,能不能走出国门? 2017-04
中国推进个人信息保护 2017-04
2017年,大数据合规离我们有多远? 2017-01
隔耳有“墙”——从美国FCC新规则谈个人信息保护新趋势 2016-12
-
个人信息保护的百万罚单时代来了? 2016-11
网络安全:
Innovations & New Developments of Cybersecurity Review Measures 2020-05
“柳暗花明又一村”——金融产业链的困局及破局思路 2020-03
“云深不知处”——企业远程办公的网络安全常见问题及建议 2020-02
“管中窥豹”——《生物安全法》前瞻及现行生物安全相关监管体系回顾 2020-02
博观而约取,厚积而薄发:《密码法》要点评析及企业合规路径 2019-11
亡羊补牢未为迟:如何应对网络安全勒索事件 2019-06
“欲穷千里目,更上一层楼”——国际新形势下的等保2.0 2019-05
叶上初生并蒂莲——最新出台的《电子商务法》与《网络安全法》之比较 2018-09
《网安法》生效后不得不知的N件大事 2017-08
“新”电信业务办法:更简、更活、更规范 2017-07
必将婴城固守,皆为金城汤池——看《关键信息基础设施安全保护条例(征求意见稿)》 2017-07
Petya来袭,网络安全事件应急预案正当其时 2017-07
图解安全评估流程——互联网业务安全不可因“新”而废“管” 2017-06
《网络安全法》及其部分配套规定今起实施 2017-06
“一带一路”背景下中国企业境外并购的网络安全和数据合规问题 2017-06
十三五“新常态”下企业营商的合规挑战 2017-05
开启互联网新闻监管新时代——《互联网新闻信息服务管理规定》述评 2017-05
画龙画虎先画骨 ——解读《网络产品和服务安全审查办法(试行)》 2017-05
-
热点解读:网信办连续颁布三项重磅新规 2017-05
我知道你 在看 哦

