顔認識におけるコモンズの悲劇

現在、顔認識などの個人情報の所有権と保護に関する権威ある解釈や体系的な政策や法的規範は存在せず、商業組織が独自に行動し、共通の問題は人間の道徳の罠に多くの隠れた危険が潜む「コモンズの悲劇」となっています。

[[395276]]

文｜チェ・ニン、シュー・リージエ

人類史上最も効率的な経済組織の形態として、市場経済が以前の遊牧経済や農業経済よりも高い生産性を発揮できる秘密は、その「物質化」、さらには「金融化」にあります。かつては、物質化の対象は主に天然資源と人間の労働力でした。デジタル時代では、社会関係、行動パターン、さらには生物学的特徴を含む人間自体が物質化の対象になっています。データは、新しい経済の「原油」として歴史の流れを前進させていますが、情報セキュリティとプライバシー保護の面で混乱も引き起こしています。

デジタル経済が伝統的な社会関係への浸透と変革を強めるにつれ、個人情報への関心は西から東へと広がり、中国でも大きな注目を集めています。テスラの「プライバシースキャンダル」に関するメディアの大々的な報道から、3.15ガラで多くの有名店が顔認識機器を違法に設置していたことが暴露されたこと、全国人民代表大会法制委員会が「個人情報保護法案は顔認識情報の処理について特別な規定を設けるべきだ」と提案したこと、全国「両会」で顔認識のネットワークと情報セキュリティ監視システムを確立するというメンバーの共同提案まで、これらすべてがこの点を例証している。

あらゆる議論、不安、さらにはパニックの中で、顔認識は世間の批判の標的となっている。もともと、顔認証は、さまざまなセキュリティ技術の中でも、コスト、技術、閾値、経験の面で総合的な優位性があり、デジタルパスワードや電子証明書などの従来の技術を凌駕するだけでなく、同流の指紋や声紋さえも劣るため、まさに「希望の星」となっている。しかし、わずか数年の成功の後、情報セキュリティの波の「水星逆行」に遭遇しました。将来を見据えると、顔認識はまだどれほどの価値があるのでしょうか?

テクノロジーとアプリケーションのボトルネック

「大衆起業」と「大衆イノベーション」の黄金時代には、かつては「正しい場所に立てば豚でも飛べる」という諺が全国で流行しました。時間の洗礼を経て、ハードコアな強さと実際のアプリケーションを備えた顔認識が空飛ぶ豚ではないことは明らかです。

業界の一般的な見解によれば、顔認識とは、静止画または動画内の顔画像の特徴を抽出し、分類および識別して本人認証の目的を達成する機械であると簡単に要約できます。その機能は、本人認証と監視と要約できます。

技術自体の急速な進歩、ますます顕著になる市場の応用ニーズ、そして各資本の競争と熱意により、顔認識の応用は絶えず加熱しており、政府機関における公共アプリケーションや非政府組織における商業および慈善アプリケーションのシナリオと機能は日々増加しています。

しかし、インターネット経済が衰退した後、顔認識は「裸で泳ぐ」ことはなかったものの、急速な発展の陰に隠れていたさまざまな固有の欠陥も露呈しました。

まず、顔認識が重視する無意識の認識は、逆方向に進んでいます。その核心は、人が積極的に認識されるのではなく、認識されることを「強制」されていることです。これは、情報セキュリティ、プライバシー保護、個人の尊厳などの問題であるだけでなく、技術レベルでも顔認識の大きな欠陥を露呈しています。一方では、顔認識は確かに本人かどうかを確認するのに有効ですが（光などの自然条件や認識率の調整にも影響されますが）、他方では、受動的な顔認識は、行動が意図的であるかどうかを確認するために進化と他の技術のサポートが必要です。

第二に、顔認識のセキュリティ認証対象は人間の顔ですが、人間の顔は人体の主な生物学的特徴であり、社会関係や感情的要素の具現化であるため、変更が困難または不可能です。まず、人間の顔は必然的に継続的に露出されるため、クラックされたり悪用されたりする可能性が高くなります。次に、パスワードを変更したり、異なるパスワードを混同したりしないなどのセキュリティ要素は基本的なセキュリティの常識ですが、人間の顔はこれらの戦略を満たすことができません。3つ目に、人間の顔は自然に生成され、ランダムであり、認識は主に要素の試行錯誤の蓄積に依存しているため、基本的に「顔と顔の衝突」の可能性を避けることはできません。

最後に、物質化と反物質化の間の亀裂は顔認識の応用に影響を及ぼしており、今後も影響を及ぼし続けるでしょう。表面的には、顔認識は自然な生物学的特徴の暗号化であり、ツールごとに異なります。実際には、顔の社会的属性により、顔認識は個人の権利の手段化であり、人ごとに異なります。特に、インターネットによって刺激され統合されたポピュリズム思想の影響下で、個性を表現し客体化に反対するという呼びかけがあらゆるところで反響を呼んでいる。情報権利の帰属について哲学、社会科学、法律の分野で権威ある解釈や規制が存在しないことを考えれば、顔認識のコンプライアンス圧力が長期的かつ深刻であることは明らかだ。

技術に固有の欠陥に加えて、顔認識の応用には多くの課題もあります。

まず、課題は業界自体から生じます。発展の歴史から判断すると、最先端のセキュリティ技術である顔認識は、伝統的な産業への普及において常に流動的であり、主な原動力であるインターネットと常に対立してきました。今日、インターネットはますます一般的なテクノロジーおよびインフラストラクチャになりつつあり、そのアプリケーションに対する人々の要求は利便性と効率性からセキュリティとコンプライアンスへと進化しています。

特に重要なのは、一方では、顔認識の分野では業界がまだ統合されておらず、商業組織が独自の方法で行動し、業界に統一された発言力がなく、共通の問題が「コモンズの悲劇」となっていることです。人倫の罠の下で資金不足により問題を解決することは困難です。その一方で、かつて挫折した一部の競争相手は復活を遂げています。たとえば、電子証明書はポータビリティの問題を解決し、指紋認識はセキュリティ機能を最適化しました。それらは独自に進化するか、力を合わせて大規模な代替ソリューションになりました。

さらに、顔認識のネットワーク チャネルへのパス依存性は、徐々にそのアプリケーションに対する最大の制約になりつつあります。

金融分野を例にとると、一方では業界がオンラインチャネルの時代を過ぎ、オンライン業務の時代に入りました。これにより、顔認識はログインや支払いなどのモバイルバンキング取引の検証ツールとしてのみ使用されるのではなく、ミドルエンドおよびバックエンドのアプリケーションに拡張する必要があります。金融機関のリスク管理や信用など、より深いコア要件をサポートする必要があります。しかし、現実には、顔認識のアプリケーションの深さは十分ではなく、直接的かつ独立して運用管理効率を向上させることはできません。

さらに、顔認識や関連する人工知能は、ある程度「労働集約型」産業とも言え、経験的な方法を通じてAIに事例指導を提供し、認識などの機能を向上させるために大規模な人的労働が必要です。しかし、現在はコスト管理の観点から、労働は依然として一般労働者の単純労働に限定されています。

しかし、業界ソリューションには、専門家の経験に基づいた技術的なアプリケーションが必要です。顔認識とシナリオの詳細な統合には、天才的なソリューション設計だけでなく、専門家の経験からの現実的な指導と育成も必要です。これにより、少なくとも短期的には、企業はコストの上昇とビジネスの成長の「ジレンマ」に直面し、一部のスタートアップにとっては「ウォータールー」になることさえあります。

3つの主要なコンプライアンスリスク

顔認識技術の発展におけるボトルネックが主に技術にあるとすれば、そのリスクは主に法律から生じます。前述のように、「インターネット+」という一般的な背景の下で、科学技術とビジネスの融合はますます緊密になり、技術的な手段を利用して人々の個人情報を盗み、違法に使用するというニュースは珍しくありません。同様に、技術の進歩は一般の人々の法律知識と思想概念の進歩も促進し、西洋から東洋まで、個人情報保護は社会的なコンセンサスとなっています。

こうした状況の影響を受けて、顔認識に関する法的規制はすでに始まっているが、リスクは主に3つの側面から生じている。1つ目は、顔認識に関する法律、政策、さらには開発計画が「段階的に」増加していることである。顔認識技術によって収集された生体情報は、中国の法律で定義された個人情報の範囲内であり、個人情報の保護に関する法律、規制、およびその他の規範的な法的文書の対象となる必要があります。また、顔認識技術とそれに関連する人工知能は技術開発において重要なため、中央政府から地方政府、金融から産業界に至るまで、さまざまな計画がそれぞれの考えに沿って指導しながら開発を奨励している（記事末尾の添付図を参照）。立法分野とレベルの複雑さにより、法執行と司法の不確実性がある程度高まり、それによって業界企業のコンプライアンスコストが増加しています。

第二に、財産権の確認という根本的な法理論の問題はまだ真に解決されておらず、基本的な法的枠組みは依然として発展の過程にあり、将来的に根本的な変化が起こる可能性も排除されていない。まず、情報権が個人と企業の間でどこに属しているのか、またなぜこのように属しているのかについて、適切な説明がありません。情報権は、人格権と財産権という 2 つの主要な法的領域にまたがっており、これは権利の的を絞った保護に役立たず、権利の「具体化」のための法的余地を残しています。

第二に、保護の枠組みは依然として利益均衡と絶対的保護の間で揺れ動いている。前者は個人と企業の利益均衡に焦点を当て、サービス提供と情報伝達における公正な取引を重視し、情報保護を商業分野に帰属させる。後者は情報保護を基本的人権と直接みなし、それが人間を構成する基本的要素であることを強調し、それを絶対的に保護する一方で、技術開発を規制し、制限することさえある。

第三に、規制システムはまだ成長を続けており、その垂直的および水平的範囲が広いため、その専門性はますます厳格になっています。例えば、文末の添付図にまとめた中国の個人情報保護に関する関連法規のほか、現在意見募集中の「データ安全管理弁法」や「個人情報輸出安全評価弁法」も、個人データ管理に特化した専門規制である。

さらに、中国は「情報セキュリティ技術個人情報セキュリティ仕様」、「情報技術生体認証アプリケーションプログラミングインターフェース」シリーズの標準、「公共安全顔認証アプリケーション画像技術要求」など、顔認証技術や生体認証情報の識別に関連する国家標準や規制も発行している。

それでも、中国の顔認識に関する個人情報やデータセキュリティの規制制度はまだ完璧ではない。例えば、中国は企業による情報収集の制限に重点を置いているが、公権力や域外の個人情報収集に対する規制は少ない。中国は合法的な情報収集を原則と規定しているが、具体的な内容は明らかにしていない。同時​​に、既存の政策や法律は散在しており、その運用性を強化する必要がある。上記のすべてが組み合わさると、当然ながらより大きなリスクが潜んでいます。

企業リスク管理の制約

ますます詳細化する法的規制、未解決の財産権問題、権利意識の高まりなどのコンプライアンス問題に加え、顔認識が深さ（企業の運営メカニズムの深層部への関与が増加）と幅（適用シナリオと機能の増加）を拡大するにつれて、企業は徐々にこれまで馴染みのなかった高リスク領域へと進出しつつあります。また、これらの分野におけるテクノロジーの応用は重複しているため、成功事例を追うことはできません。事業開発、法的規範、権利保護など、すべて継続的な探求が必要であり、不確実な課題に直面し続けています。顔認識のリスクは、現在、企業自身（ましてや他社）が対応するリスク管理能力を備えていないことに主に現れているとも言えます。要点は次のとおりです。

1つ目は、テクノロジーの応用に伴うリスクです。業界のコンセンサスによれば、生体認証情報を収集する手段としての顔認識は、真正性、機密性、実用性などの要件を満たす必要があります。しかし、顔認識技術はまだ発展途上であり、実用化も完璧ではないため、認識精度はアルゴリズム、照明、さらには姿勢などの要因の影響を受けます。特に、一部の企業は動的認識の分野で重要な技術を欠いており、実用化における理想的な効果が大幅に低下しています。

情報セキュリティの観点から見ると、インターネット企業は国民に関する膨大な情報にアクセスできるようになっています。ハッカーがテクノロジーを利用して関連企業が保管するユーザー情報を侵入したり盗んだりすると、簡単にセキュリティリスクが発生する可能性があります。南方都市報の人工知能倫理研究グループとアプリ特別ガバナンス作業グループが発表した「顔認識アプリケーションに関する世論調査報告（2020年）」によると、回答者の90％以上が顔認識を使用したことがあり、そのうち60％が顔認識技術は悪用される傾向があると考えており、さらに30％の回答者が顔情報の漏洩や悪用によりプライバシーや財産の損失を被ったと述べています。そして、顔情報は生物学的、社会的に独自性があるため、他の情報とは異なります。顔情報が紛失すると、紛失したことを報告することができなくなり、それは「パスワード」を公開するのと同じことになります。

これを踏まえると、ハッカーが国民の情報を盗むことを可能にする技術的な抜け穴をいかにして防ぎ、塞ぐかが、インターネット企業がセキュリティ防止技術を向上させるための最優先事項となるはずだ。

技術的な操作面では、顔認識は外部要因の影響を大きく受け、使用が不安定で複雑性に欠けるため、認識エラーや認識の混乱などが発生する可能性があります。また、地域間の資源の不均衡や情報の流れの悪さなどの問題により、情報の特定に混乱が生じやすい状況にあります。

一方、収集された大量の生体情報は企業関連システムに集中的に保管され、データ量が爆発的に増加しているため、様々な異なるデータが同時に実行または出力され、システムプログラムが頻繁に複数回実行されると、出力データのずれや内部情報の混乱が生じ、情報データの保管や運用にセキュリティ上のリスクをもたらす可能性があります。関連企業の現在のデータストレージ技術とアーキテクチャが膨大な需要に対応できるかどうかは、実際にテストする必要があります。しかし、情報権は他の権利とは異なり、データ管理システムに適切なセキュリティメカニズムが欠如している場合、状況を改善しても手遅れになります。

2 つ目は、規制漏れのリスクです。法規範は多様であるものの、顔認識技術や関連技術の複雑性と幅広い応用により、分野によって法制度や規制政策に欠陥が生じたり、実際のニーズに追いつかなかったりするリスクも異なります。

例えば、コミュニティやキャンパスなどの公共の場で国民の情報が勝手に収集されたり、消費者がサービスを受ける際の対価として自分の情報を利用したりしている。こうした現象は主に、中国が特定の場面に対して情報収集の適切な詳細な基準を設けていないために起きている。利益を追求する一部の企業はリスクを冒して「ぎりぎり」の方法で国民の情報を収集している。

強制的な収集に関しては、かつて人気があった「顔検査」「手相占い」、オンライン遺伝子検査、ZAOソフトウェアはすべて、ユーザーの同意なしに欺瞞的な手段または強制によってユーザーの生体認証情報を収集します。これに先立ち、中国消費者協会は個人情報を収集するアプリの無作為検査と評価を発表しており、中国にはユーザー情報を不当かつ不適切に収集するアプリやその他のプログラムが多数存在することも明らかになった。効果的な市場制約が欠如しており、法律違反のコストが比較的低いため、一部の地域では企業がユーザー情報を強制的に収集することが標準になっています。多くのソフトウェアでは、情報収集に同意しない場合はアプリのサービスを利用できないようにすることを義務付けており、これは「許可がなければサービスを受けられない」ことを意味します。何度も規制されているにもかかわらず、一部の企業は依然として独自のやり方を貫き、専門性と情報力の優位性を利用して規制当局や一般大衆を欺き、関連情報を過剰に収集しています。

情報の悪用に関して、多くの専門家が指摘しているように、現在顔認識が直面している最も重要な問題は、それをいかに保護するかではなく、いかに悪用を抑制するかである。顔認識技術の悪用がパニックを引き起こす理由は、無感覚、受動性、独自性、相関性などの特性が組み合わさっているためだ。元々の脅威は、未知であるがゆえに「乗数効果」も持つ。

前述のように、顔認識技術は、顔検出、顔属性の検証、身元確認のプロセスにおいて、物理的接触なしに遠隔で自然人を識別することができます。これは、虹彩情報や指紋情報と比較した顔認識情報の最大の「利点」でもありました。もちろん、この機能により、大規模な秘密監視、複数人の同時識別、物理的な残留干渉の回避も技術的に可能になります。

最後に、保護が不十分になるリスクがあります。以前に比べると権利保護に対する国民の意識は大きく向上しているものの、顔認識技術とそのリスクに対する理解度はまだまだ不十分です。顔認識技術は前述のように非接触型であるため、個人情報の読み取りや収集はより隠密に行われます。本人の知らないうちに情報を収集することも可能です。顔認識は気づかれない形で国民のプライバシー、自由、さらには個人の安全を侵害します。

知る権利については、個人情報を保護するために法律で定められた国民の基本的権利であり、知る権利の存在により、個人情報にアクセスするアプリケーションは必ずユーザーの許可を得る必要があると定められています。例えば、中国のサイバーセキュリティ法第44条では、「いかなる個人または組織も、その他の違法な手段で個人情報を盗んだり、入手したり、個人情報を違法に販売したり、他人に提供したりしてはならない」と規定されている。しかし、専門的な障壁や情報の非対称性により、一般の人々は、知らないうちに不当にまたは過度に個人情報が収集された場合、個人情報を保護する意識が欠如していることが多い。したがって、国民が自分の情報がいつ収集されるかを知る権利をどのように保護するか、企業や政府に個人情報の利用を法的に許可する方法は、業界が検討すべき重要な問題であるはずです。

プライバシー権の観点から言えば、顔認識プローブは現在、公共の場所のほぼあらゆる場所に設置されており、外部に公開される目的は、もちろん、治安維持、住民保護などです。しかし、利用者情報は様々な企業によって大量に収集されており、収集された国民情報が不適切に利用されると、国民のプライバシー権を侵害することになります。実際、効率性を主張する今日の世界では、顔認識がもたらす利便性と実用性を否定する人は大勢いないが、プライバシー漏洩という「ダモクレスの剣」がぶら下がっていることも、皆に恐怖を感じさせている。生体認証情報は過剰に収集されるのでしょうか?情報を合理的に活用するための自制心と意識を持つ企業はあるでしょうか?この情報が盗まれると、一般人のプライバシーが暴露されてしまいます。

もちろん、上記のリスクに加え、法律分野の専門家の中には、顔認識技術に対してより批判的な見方をする人もいます。顔認識技術は、「透明人間」になる、行動が「操作」される、さらには権利が救済されないといった問題を引き起こす可能性もあると考えているからです。これは業界の目には「信じられない」ことです。しかし、上記の声は孤立した事例ではありません。むしろ、業界が将来に備えていなければ、こうした「過剰に懸念する」意見は社会的なコンセンサスになるまで醸成され続け、最終的には顔認識の発展に大きな影響を与えることになります。

将来の規制への道

技術とアプリケーションの発展に伴い、顔認識の「両面」に対する人々の理解は徐々に深まっています。標準化と発展の「両面」について、まず、標準化の目的は、公共機関と公衆の活動を調整および規制することにより、確立された公共政策目標を達成することです。この下で、データ産業の発展と個人情報保護の矛盾をバランスさせ、技術アプリケーションの標準化と技術開発の促進の目標を達成する必要があります。

技術的属性と社会的属性の「両面」において、最も重要なことは、顔認識技術が社会的コストと外部性を十分に認識し、効果的な制約と補償を与える必要があることです（もちろん、自己規律と自己補償が最善であり、そうでなければ厳しい外部規制に直面することになります）。目標は、個人の権利の「物化」の問題を根本的に緩和、制御し、さらには解決し、消費者にサービスを提供するという本来の意図に真に戻り、消費者をオブジェクトではなく主体として扱い、消費するのではなくサービスすることです。

法規範の分野では、社会の合意に従ってデータの収集と使用に関するコンプライアンス制約を強化し、個人データと情報を保護する責任を明確にし、種類とシナリオに基づいて異なるレベルの保護を提供し、個人データの悪用との戦いに重点を置くことに加えて、デジタル時代の精神を体現し、発展を規範に統合し、合理的な構造と内容を備えた多層的な規範システムを形成することが重要です。これは、国家統治能力と社会統治システムの近代化の規範体系が、直接統治や間接規制などの多様な手段を総合的に活用するだけでなく、専門性に基づいて各方面の積極的な参加を吸収する必要があることを反映している。

具体的な実施面では、政府は「顔認識技術」の応用に対する監督を強化し、厳格さと柔軟性を兼ね備え、健全な官民交流と関連業界との共同協力による規制を推進すべきである。業界団体や専門機関は、セキュリティ管理を強化し、ユーザーのプライバシーとデータセキュリティの保護に重点を置き、自己規律規範、業界標準、団体標準などの「ソフトロー」の形成を強化する必要があります。これにより、法律の実施に対する保証が提供されるだけでなく、規範の改善の基礎も築かれます。

顔認識技術を使用する場合、関連企業はプライバシーのコンプライアンス要件を重視し、法律に基づいて告知義務を履行する必要があります。同時に、顔データの使用と保存のセキュリティを重視し、顔認識技術のセキュリティを保護するために十分な技術投資と管理措置を講じ、不適切な自己防衛によるユーザーの機密情報の漏洩やアカウント資金の損失、およびそれに伴う法的リスクと世論リスクを回避する必要があります。

将来を見据えると、顔認識技術の発展は一般大衆の権利保護と衝突するものではなく、企業が低レベル、低コストの運営という「快適ゾーン」から抜け出す勇気を持ち（そして今は抜け出さなければならない）、技術を産業チェーンとイノベーションチェーンに深く融合させ、より「高級感」を持たせることこそが、問題解決の鍵となる。

（著者のチェ・ニンは中国政法大学法治・持続的発展センター副所長、徐立傑は北京フロンティア金融規制技術研究所研究助手、編集者：ユアン・マン）