高伊然

目前，我國民法學(xué)界對于個人信息相關(guān)問題的討論層出不窮。在個人信息的定義方面，學(xué)界基本達(dá)成了以“可識別性”為核心的定義方式；在信息收集環(huán)節(jié)，“知情同意”為基本性原則，是信息收集環(huán)節(jié)的核心制度；在信息使用環(huán)節(jié)，需要依照“目的限定”“信息最小化”等原則，限制數(shù)據(jù)處理者的權(quán)利。但結(jié)合人工智能技術(shù)在當(dāng)今社會的重要地位以及以大數(shù)據(jù)為基礎(chǔ)的運作方式，作者認(rèn)為我們有必要立足我國社會經(jīng)濟技術(shù)發(fā)展現(xiàn)狀，結(jié)合國際上的立法動態(tài)，對于現(xiàn)有個人信息保護思路進行反思，使得個人信息相關(guān)法律制度在人工智能技術(shù)的挑戰(zhàn)下依舊可以行之有效。具體來說，筆者認(rèn)為，現(xiàn)有的定義方式過于僵硬和靜態(tài)，面臨著“邊界模糊、界定困難”[1]的困境，且“目的限定原則”過分限制了信息的“二次利用”，極大地削弱了人工智能技術(shù)的作用。

縱觀國內(nèi)外實踐可以發(fā)現(xiàn)，我國主要借鑒以“知情同意”為基礎(chǔ)以“目的限定”“信息最小化”“透明度”等為主要原則的傳統(tǒng)歐盟模式，顯得與社會現(xiàn)狀有些格格不入。而美國新隱私法草案中以“關(guān)聯(lián)性”為核心的定義方式、場景與風(fēng)險導(dǎo)向的理念等新型理念與制度，具有較強的靈活性和實用價值，在平衡我國人工智能技術(shù)與個人信息保護方面有很大的參考價值。

一、人工智能技術(shù)對個人信息保護制度帶來的沖擊

人工智能技術(shù)是指研究、開發(fā)用于模擬、延伸和擴展人的智能的理論、方法、技術(shù)及應(yīng)用系統(tǒng)的一門新的技術(shù)科學(xué)，以機器思維、機器學(xué)習(xí)和機器感知三項內(nèi)容為基礎(chǔ)。機器思維主要是模擬人類的思維功能，根據(jù)已有的數(shù)據(jù)庫或資料元素進行數(shù)據(jù)挖掘，采取合適的方法語句得出結(jié)論；機器學(xué)習(xí)是對人類大腦學(xué)習(xí)的模擬，計算機的處理器和存儲器反復(fù)操作數(shù)據(jù)集總結(jié)出規(guī)律，處理最后輸出結(jié)果；機器感知是指在復(fù)雜的、混合的事件中準(zhǔn)確地對所需事物進行鑒別，通過匹配處理進行分類。由此可見，海量的數(shù)據(jù)與精密的算法是人工智能技術(shù)的兩大支柱。而現(xiàn)有個人信息保護體制與其二者有許多格格不入的地方。

(一)傳統(tǒng)定義方式對數(shù)據(jù)雙方都不利

現(xiàn)有立法實踐多強調(diào)信息的“可識別性”，將其定義為“與特定個人相關(guān)聯(lián)的、反映個體特征的、具有可識別性的符號系統(tǒng)，包括個人身份、工作、家庭、財產(chǎn)、健康等各方面信息”[2]。這種從“是什么”入手進而探討“為什么”與“怎么做”的思維方式看似合理，但實際上卻不適應(yīng)“個人信息權(quán)”這種新型權(quán)利。

首先，“不可識別”的概念過于模糊，加大了AI技術(shù)的風(fēng)險。如果需要人工智能對所收集到的信息進行識別性判斷，就必須將判斷的標(biāo)準(zhǔn)和規(guī)則通過算法植入其操作系統(tǒng)。但目前無法對“可識別性”的界定提出一個明確、細(xì)化、有實際可操作性的準(zhǔn)則。如此一來，在沒有具體規(guī)則可參考的情況下，“一旦所用的不可識別數(shù)據(jù)被認(rèn)定為可以確定某個具體用戶，公司將面臨罰款及法律起訴”[3]。其次，AI同時收集一個人的多種數(shù)據(jù)進行同一種處理時，卻因為其中有“個人信息”與“非個人信息”而需要遵循不同的原則，而這顯然不符合其高效分析數(shù)據(jù)的價值。最后，在個人信息保護方面，沒有被納入“個人信息”范疇而作為“個人信息”而被AI統(tǒng)一收集和使用的數(shù)據(jù)就失去了法律保護。

(二)“被遺忘權(quán)”與人工智能技術(shù)原理相違背

GDPR中明確規(guī)定了信息主體的“被遺忘權(quán)”：“當(dāng)用戶依法撤回同意或者數(shù)據(jù)控制者不再有合法理由繼續(xù)處理數(shù)據(jù)時，用戶有權(quán)要求刪除數(shù)據(jù)”[4]，且“數(shù)據(jù)控制者負(fù)責(zé)對其公開傳播的數(shù)據(jù)，要通知其他方停止利用并刪除”[5]。而在人工智能中，其通過自身所處理的數(shù)據(jù)來改進算法的過程，首先需要AI“記憶”用來訓(xùn)練自己的數(shù)據(jù)，以維持從中獲得的規(guī)則并根據(jù)新進入的數(shù)據(jù)不斷改進。當(dāng)用戶行使“被遺忘權(quán)”時，AI需要將該主體的全部數(shù)據(jù)刪除，這直接影響AI系統(tǒng)自身的學(xué)習(xí)及算法改進。由此可見，法律要求的“遺忘”與AI自身需要“記憶”數(shù)據(jù)的技術(shù)原理有著本質(zhì)沖突，一旦“被遺忘權(quán)”被廣泛應(yīng)用，AI系統(tǒng)將會不可避免地被損害。

(三)“目的限定原則”降低人工智能的價值

首先，“目的限定原則”要求數(shù)據(jù)利用以及傳播使不得違背數(shù)據(jù)收集時所告知用戶的目的。其要面對以下幾點問題：AI作為一個可以獨立思考和學(xué)習(xí)的個體，擁有自主學(xué)習(xí)和改進的能力；當(dāng)AI經(jīng)過算法改進后，對于數(shù)據(jù)的處理可能有自己的“目的”；AI與AI的使用者在數(shù)據(jù)使用的目的甚至手段上都可能存在差異。那么，當(dāng)AI系統(tǒng)因自主處理數(shù)據(jù)而違背了“收集時所告知用戶的目的”時，由誰來承擔(dān)責(zé)任？顯然，根據(jù)“目的限定原則”，違背最初目的而使用數(shù)據(jù)者應(yīng)當(dāng)受到處罰。但目前來看，AI并不具備獨立法律地位，無法承擔(dān)責(zé)任；而AI的使用者沒有違背原始“目的”，要求其擔(dān)責(zé)顯得有些勉強。

其次，該原則限制了個人信息的二次利用，削弱了人工智能技術(shù)的價值。個人信息價值的發(fā)揮更多體現(xiàn)在“二次利用”上。簡單收集整理個人信息并沒有很大的商業(yè)價值，而通過對個人信息的分析與整合，其就變成了“改變市場、創(chuàng)造價值和獲得知識的新源泉和新動能”[6]。在這個過程中，AI因為迅速準(zhǔn)確的數(shù)據(jù)處理功能而體現(xiàn)出巨大的價值?！澳康南薅ㄔ瓌t”制約了AI在處理數(shù)據(jù)時的自主權(quán)，使得其在使用數(shù)據(jù)時“畏首畏尾”，從而很大程度上降低了AI技術(shù)的價值。

二、人工智能視野下個人信息保護的對策

通過以上分析可以看出，發(fā)展于“前信息時代”的傳統(tǒng)架構(gòu)正在面臨巨大挑戰(zhàn)，既無法對個人信息權(quán)利人提供充分合理的保護，又給人工智能等技術(shù)的發(fā)展帶來嚴(yán)重阻礙。我們應(yīng)當(dāng)從歐美國家的立法動態(tài)出發(fā)，結(jié)合人工智能技術(shù)的特點，思考在AI時代個人信息保護立法的新路徑。

首先，要堅持場景與風(fēng)險導(dǎo)向的理念。該理念核心在于考察個人信息的處理行為給用戶帶來的隱私后果及影響，要求將個人信息保護是否合理這一問題放在其所處的環(huán)境中加以綜合考量。在此理念的指導(dǎo)下，我們可以淡化個人信息的定義，弱化個人信息與非個人信息在收集時的區(qū)別，關(guān)注其在使用中是否符合用戶的合理期待以及使用的合理性，“評估信息在具體使用場景中引發(fā)的隱私風(fēng)險，當(dāng)隱私風(fēng)險較低或在相應(yīng)場景中合理時，即便構(gòu)成個人信息，機構(gòu)也僅需承擔(dān)少部分義務(wù)”[7]。

其次，將關(guān)注的重點從“目的”轉(zhuǎn)移到“結(jié)果”。也即信息的每次使用并不需要都與“收集時告知用戶的目的”相符合，而只需要在合理的風(fēng)險范圍和用戶可以接受的結(jié)果范圍內(nèi)。AI在二次使用數(shù)據(jù)時，只要其不提升侵權(quán)的風(fēng)險、不給信息來源者帶來無法預(yù)期的隱私等損害，就可以允許其利用數(shù)據(jù)。這一理念在美國隱私草案中已經(jīng)初見端倪，其規(guī)定機構(gòu)要在具體場景中評估信息處理行為的合理性，當(dāng)其行為在具體場景中合理時，無須滿足其他要件而自動被授權(quán)，然而，其不足之處在于沒有明確、合理判斷的具體標(biāo)準(zhǔn)。我們?nèi)砸獙W(xué)習(xí)這種思路，并在合理性評估、風(fēng)險評估等方面制定切實可行的操作準(zhǔn)則。此外，當(dāng)由于AI自身獨立的操作而引發(fā)相關(guān)風(fēng)險時，應(yīng)當(dāng)回歸“AI侵權(quán)問題”的討論，思考應(yīng)當(dāng)按照產(chǎn)品責(zé)任、使用者擔(dān)責(zé)等方式承擔(dān)后果。

最后，“被遺忘權(quán)”作為個人信息權(quán)的重要內(nèi)容，在個人信息保護制度中發(fā)揮著重要作用。但其顯然給人工智能等技術(shù)帶來了更高風(fēng)險。一旦信息來源者要求“擦除”數(shù)據(jù)，相關(guān)系統(tǒng)將不能正常運行，因此，我們應(yīng)當(dāng)合理限制“被遺忘權(quán)”，細(xì)化權(quán)力行使的條件和場景，防止因濫用該權(quán)利而給信息產(chǎn)業(yè)帶來危機。

三、結(jié)語

在當(dāng)今社會，個人信息在一定程度上已經(jīng)具備了公共資源的特征，大數(shù)據(jù)、云計算、人工智能等新興技術(shù)的發(fā)展都離不開信息資源，使得合理、高效利用信息資源成為經(jīng)濟和社會發(fā)展的重要基礎(chǔ)。然而，個人信息又具有強烈的人格屬性，一旦使用不當(dāng)就會對公民個人的自由、尊嚴(yán)、生活安寧甚至安全等帶來不可預(yù)估的負(fù)面影響。因而，在立法過程中，如何平衡保護與利用之間的關(guān)系就顯得舉足輕重。現(xiàn)有個人信息保護架構(gòu)發(fā)端于“前信息時代”，與社會現(xiàn)狀不能很好相容，在實現(xiàn)這兩個價值目標(biāo)上顯得力不從心。我們必須用發(fā)展的眼光審視現(xiàn)有制度，結(jié)合人工智能等新興技術(shù)的特征，探索個人信息保護立法的新路徑。