人工智慧與個人資料保護

隨著人工智慧(Artificial Intelligence, AI)技術的進步,AI在零售業、銀行與醫療等各領域都有了驚人的應用,推動了AI技術與資料利用等方面的創新,然而使用AI的組織仍然須持續面對挑戰,例如AI是解決問題的正確方式嗎?AI會產生什麼樣的道德問題?我們如何確定AI的使用是合法的?

儘管AI提供了一個能夠顯著改善社會的機會,然而AI的使用往往也會帶來風險(從AI系統帶來的安全風險到歧視與偏見的風險),而對於組織來說,如何評估AI的使用對資料保護的法令遵循性將會是一大挑戰。

英國個資保護主管機關ICO(Information Commissioner’s Office)於今(2020)年7月30日發布人工智慧與資料保護指引(Guidance on AI and data protection)」,提供設計、架構與實施AI系統的法令遵循路線圖,其內容約略分為以下幾個面向。

AI的問責與治理

在運用得當的情形下,AI將使組織更具效率與創新。但是,AI也對個人的權利與自由以及組織的法令遵循挑戰帶來巨大的風險。

與其他處理個人資料的技術相同,相同的資料保護概念也適用於AI的使用。資料保護法中,透過風險導向的方法要求組織在特定情形下遵守義務並採取適當措施,因此在法令遵循面必須包含評估個人權利和自由的風險,並進而識別、管理和減輕這些風險。

AI系統的合法性、公平性與透明性

首先,AI系統的開發與部署往往涉及針對不同目的以不同方式處理個人資料,組織必須分解每個不同處理操作,並為每個操作確定目的和適當的合法依據,以便遵守合法性原則。

其次,當組織使用AI系統來推斷個人的資料,則為了使處理過程更加公平,組織應確保1.該系統在統計上足夠準確,並且避免歧視,以及2.考慮個人合理期望的影響。

例如用於預測貸款還款率的AI系統在以下情況可能會被認為違反公平原則:
1.作出經常被證明是錯誤的預測。
2.導致群體間(例如男人與女人間)結果的差異,且無法證明是為實現合法目標的適當手段。
3.以個人無法合理預期的方式利用個人資料。

最後,組織需要透明得瞭解如何在AI系統中處理個人資料,以遵守透明性原則。(可以參考揭開黑箱,說清楚講明白—可解釋性AI人工智慧

AI系統的安全性

使用AI處理個人資料對於風險有著重要的影響,因此組織需要仔細評估與管理這些風險。然而,實際上並不存在一種「萬能的」安全方法,組織應針對不同個人資料處理所產生的風險等級與類別,分別採取適當的安全措施。

指引內也提到兩大適用AI模型的隱私攻擊種類,「模型反轉(model inversion)」與「成員推斷(membership inference)」,組織應該檢視自身的風險管理實踐情形,以確保個人資料在AI的使用環境中是安全的。

AI系統的資料最小化

資料最小化原則要求組織確定實現目標所需最小數量的個人資料,並且僅處理該個人資料(GDPR第5條第1項第c款參照)。AI系統通常需要大量資料,乍看之下彷彿難以符合資料最小化原則,然而資料最小化原則並不意謂著「不處理任何個人資料」或「處理大量資料就會違法」,關鍵的地方在於,組織是否僅處理其所需要的個人資料。

AI系統與個人權利

依據資料保護法,當事人對於其個人資料有許多相關權利,無論在AI系統的開發或是部署的生命週期各階段中,均有當事人權利的適用,組織應予以重視,例如以下情形:

  1. 訓練資料(training data)。
  2. 用於預測的資料及預測本身的結果。
  3. AI的模型內。

例如零售業者打算以過去的交易資料來預測消費者行為,需要大量的客戶交易資料集來訓練模型。而在將客戶交易資料轉換用於訓練統計模型的訓練資料時,儘訓練資料已經較難連結到特定的個人,然而如果其仍然能單獨或與組織可能要處理的其他資料(即使不能與客戶的名字相連結)共同「挑選(single out)」相關的個人,此部分仍有資料保護法的適用,而組織應於當事人行使其權利行使時,將此部分納入考量。

※歡迎加入喵喵科技法律隨筆,持續接收科技法律的新知!

※你可能會對這些文章有興趣
1.揭開黑箱,說清楚講明白—可解釋性AI人工智慧
2.如何落實GDPR法遵?英國ICO發布問責制框架
3.歐盟法院SCHREMS II案與常見問答
4.個資外洩,該怎麼辦?
5.投資個資保護的價值?

加州立法強化兒童的隱私保護

加州於今(2020)年9月8日,將由立法機關通過的父母責任與兒童保護法(Parent’s Accountability and Child Protection Act)提交給加州州長簽名。加州州長簽署後,該法將自2021年7月1日起,要求在加州經營社群媒體(social media)網站或應用程式的個人或企業,原則不得讓其實際知悉(actually knows)的未滿13歲兒童建立網站或應用程式的帳號,除非該網站或應用程式透過合理措施確保於建立帳號前取得該兒童父母或法定監護人的同意,例如透過以下方式:

  1. 簽署同意書,然後傳真、郵寄或掃描發送給個人或企業。
  2. 提供信用卡或其他線上支付系統資訊,為使用該帳號進行的每筆單獨交易通知父母或監護人。
  3. 撥打電話或視訊會議由以進行身份確認。
  4. 提供身份證件的副本。
  5. 回答一系列問題(除了兒童父母或監護人外的其他人難以回答的問題)。
  6. 提供附有照片的身份證明,能夠與父母或監護人提交的照片以臉部辨識方式進行比對。
  7. 提供符合1998年兒童線上隱私保護法(Children’s Online Privacy Protection Act of 1998)的可驗證父母同意(verifiable parental consent)。

同時該法規定,企業如故意無視消費者年齡則將視為實際知悉消費者的年齡。另外,除有必要,前述基於確認父母或監護人同意所蒐集的資料不得被保存或使用。

依照父母責任與兒童保護法,其中所指的社群媒體是指向大眾開的電子服務或帳號,能夠於公開或半公開的頁面發布內容或通訊(包括但不信於影片、照片或訊息)。

父母責任與兒童保護法與加州消費者隱私法( California Consumer Privacy Act of 2018)一樣,並未將規範對象明文限制於加州境內的企業或個人,因此只要於加州境內經營社群媒體網站或應用程式,即必須遵循前述規範。

※歡迎加入喵喵科技法律隨筆,持續接收科技法律的新知!

※你可能會對這些文章有興趣
1.個資外洩,該怎麼辦?
2.當個資外洩發生時,企業是否可以向系統商求償?
3.投資個資保護的價值?
4.如何落實GDPR法遵?英國ICO發布問責制框架
5.歐盟法院SCHREMS II案與常見問答

華盛頓州州長簽署臉部辨識法案

華盛頓州(Washington state)州長Jay Inslee於今(2020)年3月31日簽署一項臉部辨識法案(ENGROSSED SUBSTITUTE SENATE BILL 6280, AN ACT Relating to the use of facial recognition services.)。

該法旨在針對建立臉部辨識(facial recognition)的透明度與問責機制,要求州與地方政府機關(state and local government agencies)在保障公民自由權利的前提下使用臉部辨識服務,以保障公眾權利。

法案重點

  • 該法要求州與地方政府機關使用或打算開發(develop)、採購(procure)或使用(use)臉部辨識服務時,必須向議會等立法機關(legislative authority)提交意向通知,說明使用的目的與技術。
  • 在開發、採購與使用臉部辨識服務前,州與地方政府機關必須作成問責報告(accountability report),並應於報告內說明該臉部辨識服務的名稱、廠商與版本、資料處理過程、資料管理政策(data management policy)與潛在衝擊等事項,且須定期更新與向立法機關報告。
  • 州與地方政府機關針對個人使用臉部辨識系統以作成具法律效力或類似決定(例如導致提供或拒絕金融、借貸服務、居住、保險、教育註冊、刑事司法、就業機會、健保、取得民生必需品或其他影響個人基本權利)時,必須確保該決定經過有意義的人工審查(meaningful human review)。
  • 州與地方政府機關原則不得利用臉部辨識服務進行持續性監視(ongoing surveillance)、實時或類似實時辨識(real-time or near real-time identification)、持續性追蹤(persistent tracking)。

而州長Jay Inslee也考量預算資金等疑義,針對該法第10條成立相關工作小組部分行使否決權(Veto),要求議會針對預算等項目進行評估,使該工作小組能發揮其應有功能。