近年來，隨著人臉識別技術的規(guī)?；占皯?，“刷臉”已成為大眾生活與工作的日常。但在帶給人們便利和快捷的同時，人臉識別從技術到應用，從商業(yè)模式到客戶體驗，從信息安全到隱私保護，都暴露了不少問題。加上部分媒體不恰當?shù)恼`導，人臉識別似乎真的是危機重重，導致行業(yè)憂慮，大眾擔心，監(jiān)管部門也面臨不小壓力。
前有小學生使用家長圖片騙開快遞柜，行業(yè)展會上人臉識別智能門鎖屢屢被照片打開；后有智能監(jiān)控系統(tǒng)被擾動圖片輕易騙過，以及清華團隊挑戰(zhàn)業(yè)內(nèi)優(yōu)秀算法使用打印圖片開鎖多款品牌手機，還有今年315晚會央視對某些人臉識別產(chǎn)品和應用的揭短與鞭撻…… 林林總總，不一而足。大家都深感疑惑：人臉識別究竟怎么了？
遍覽海內(nèi)外媒體，除了部分嘩眾取寵夸大其詞的報道、消費者各種擔憂與吐槽之外，也有不少行業(yè)人士、專家學者，以及監(jiān)管部門和機構的各種解讀、說明甚至辯解。但細品這些解讀，卻大多不得其要：或過于籠統(tǒng)細節(jié)不詳，或老生常談了無新意，或漫無邊際不著重點。貌似高屋建瓴，實則隔靴撓癢、不得其要。
本文對人臉識別技術及應用由表及里進行梳理，定性描述輔以量化分析，以恰當?shù)姆椒ㄕ摵瓦壿嫞瑢栴}的廣度（影響范圍）和深度（嚴重程度）進行了細分研討，并對問題的改善和解決提出了相關建議。
一、大眾的關注和憂慮
目前大眾對人臉識別技術和應用中出現(xiàn)問題的關注和憂慮，我們擇其要者概括如下：
1.防偽冒攻擊能力不強
諸如使用圖片/視頻甚至仿真面膜等，成功破解人臉識別門鎖、手機開機、網(wǎng)上認證等，大眾擔憂人臉識別應用的安全保障低下以及可能帶來的財產(chǎn)損失。
2.數(shù)據(jù)泄露或濫用
提供線上服務和交易的商家，因管理不善甚至有意出售其收集的客戶數(shù)據(jù)（包括客戶個人信息、交易內(nèi)容、客戶消費習慣及記錄等，部分還包括人臉圖像），導致客戶信息泄露而被濫用或被不法之徒利用。
3.隱私侵犯及知情權
主要是部分商家利用人臉識別非接觸采集和認證的特點，私下采集、整理和利用客戶信息。比如今年315晚會曝光的一些零售和房地產(chǎn)商家，利用人臉識別高清攝像頭，在客戶不知情的情況下將客戶信息關聯(lián)利用，以提升交易成功率和商家利益最大化。除了隱私保護問題外，這樣的應用必然也會對消費者利益有所損害。
4.可能的經(jīng)濟和財產(chǎn)損失
人臉識別技術支持的線上交易如果因為識別出現(xiàn)錯誤以及被偽冒攻擊破解，從而導致個人經(jīng)濟損失的，如何界定責任？如何賠償？
5.大數(shù)據(jù)關聯(lián)（數(shù)據(jù)畫像）
互聯(lián)網(wǎng)巨頭們以及一些重要的技術和交易平臺的數(shù)據(jù)收集、關聯(lián)和商業(yè)利用，比如大數(shù)據(jù)殺熟這樣的典型利用，是造成此類問題和大眾擔憂的原因。商家關于個人信息的數(shù)據(jù)分析和挖掘能力，由于人臉識別技術的引入，確實得到了大幅度提升。公眾在不知情下被商業(yè)企業(yè)及機構收集了太多個人數(shù)據(jù)，從而輕易完成了對我們的個人畫像。就像那句著名的直白：我們（指數(shù)據(jù)分析系統(tǒng)）比你自己更了解你。
綜上所述，大眾的不安和憂慮總結起來源自兩個方面：其一是對人臉識別技術安全可靠性的擔憂，比如門鎖、手機或安防系統(tǒng)被圖片/視頻攻擊、對抗性擾動攻擊等惡意破解，導致?lián)p失；其二是源自人臉識別如何應用的問題。所有技術都存在的“雙刃劍”情形，人臉識別技術也一樣，其可以帶來快捷便利，也有可能被濫用。若論善惡則比較主觀，我們姑且按比較客觀的準則將這第二類憂慮的源頭再細分為二：第一是合乎法律法規(guī)要求的正常使用；第二是游走于法律監(jiān)管邊緣和模糊地帶、甚至違反法律法規(guī)的應用。
顯然，在上述情形中，第一類擔憂來自單純的技術問題，它們是可以通過技術手段改進和徹底解決的。而在第二類擔憂中，屬于合法應用的部分，是大眾多慮了。而屬于法律監(jiān)管暫不到位、甚至違法的應用，則是需要法律和監(jiān)管層面才能解決的問題，它們已經(jīng)超越了技術層面。按以上梳理厘清問題后，接下來筆者將進一步展開剖析。
二、人臉識別應用領域細分
要分析問題的廣度和深度，我們從人臉識別應用領域的細分著手，分析每一細分領域中技術和應用特點以及適應性和局限。
為便于問題的分析和梳理，筆者采用了獨創(chuàng)的多因素、問題導向分類法，對人臉識別所有應用類別定義和編碼如下：
1.執(zhí)法部門應用（刑偵/國安/維穩(wěn)等）：政府執(zhí)法部門管理和使用。人臉識別技術使用方式為終端采集，大規(guī)模數(shù)據(jù)庫統(tǒng)一管理，后臺集中比對（應用類別編碼：A00）。
2.門禁/通道管理：指安裝于企業(yè)、機構、站場、出入境及其他敏感場所的門禁系統(tǒng)及通道控制系統(tǒng)。此類系統(tǒng)有的是獨立分布運行，大部分是分散布局但集中管理。其用戶是確定的內(nèi)部或已登記人員。本類應用也包含人臉識別考勤系統(tǒng)。此類系統(tǒng)根據(jù)現(xiàn)場是否有監(jiān)督而細分為兩類，即有監(jiān)督的（現(xiàn)場有管控人員或攝像監(jiān)控）門禁/通道管理（應用類別編碼為：B01）；無現(xiàn)場監(jiān)督的獨立運行之門禁/通道管理系統(tǒng)（應用類別編碼為：B02）。
3.線上認證應用：包括互聯(lián)網(wǎng)金融/電商/政府及公營機構線上公共服務等場景的人臉識別身份認證，其應用特點是現(xiàn)場無人監(jiān)督，靠操作者自行根據(jù)系統(tǒng)提示完成身份認證。根據(jù)系統(tǒng)運管主體，將此類應用細分為政府類線上認證服務（應用類別編碼為：C01）；企業(yè)應用類線上認證服務（應用類別編碼為：C02）。
4.線下認證應用：指政府及公營機構服務中心/機場車站/銀行/酒店/出入境等場景的人臉識別身份認證，根據(jù)是否有人現(xiàn)場管控而細分為兩類：有人值守（如服務中心、銀行、酒店等現(xiàn)場服務柜機）（應用類別編碼為：D01）；無人值守（如機場車站出入境自助通道、銀行自助網(wǎng)點）（應用類別編碼為：D02）。
5.智能監(jiān)控系統(tǒng)：指具備人臉識別功能，在終端或云端進行自動識別的系統(tǒng)。根據(jù)應用系統(tǒng)運管主體的不同，細分為兩類：交管/政府工程（平安、雪亮等）/交通等政府部門應用（應用類別編碼為：E01）；企業(yè)/機構/家庭等非政府應用（應用類別編碼為：E02）。
6.商業(yè)服務應用：指商家通過人臉識別系統(tǒng)提升客戶關系管理、招聘管理、廣告管理等效果，以及更廣泛深入的數(shù)據(jù)挖掘利用等，（應用分類編碼：F00）。
7.智能鎖：指家庭、機構使用的人臉識別門鎖/柜鎖等，（應用分類編碼：G00）。
8.手機及個人智能設備應用：人臉識別用于手機及其他個人智能設備開機及鎖屏，以及部分APP身份認證，（應用分類編碼：H00）。
為突出問題及其解決，上述分類及下文分析論述中都只考慮人臉識別技術的單獨使用場景，未考慮那些采用了多種識別和認證技術的產(chǎn)品及系統(tǒng)。
上述12類應用覆蓋了目前幾乎所有的人臉識別應用，以下表1簡單匯總了它們的基本要點。
三、問題的廣度和深度分析
將上述第一章節(jié)所述主要問題納入第二章節(jié)的應用分類中，逐個分析問題可能出現(xiàn)的范圍及其嚴重性?；趩栴}種類和大眾的主要憂慮，我們采用如下因素來構建評價體系：
1.防偽/防假冒能力；
2.數(shù)據(jù)采集及使用之范圍；
3.關鍵數(shù)據(jù)傳輸和存儲安全性管控；
4.數(shù)據(jù)關聯(lián)性及隱私保護；
5.系統(tǒng)集中度和管控力度。
本評估體系為每一類應用的安全性做出綜合評分，明確問題范圍及嚴重性，并輔以市場份額的測算，以綜合體現(xiàn)問題的影響烈度。
主要的問題出在什么細分應用領域？比例、嚴重程度如何？根據(jù)表1、表2的分析數(shù)據(jù)，整理如表3所示。
四、問題的解決思路和結論
接續(xù)上一章節(jié)的分析，針對這些主要問題我們提出相應改善方法或途徑如下：
1.技術改善。包括硬件技術和算法的改進，比如引入3D人臉圖像采集、判斷和3D人臉識別；人臉識別與其他技術的融合使用，比如目前已經(jīng)成熟的人臉+虹膜識別。此外，精心設計應用系統(tǒng)，完善數(shù)據(jù)采集、存儲和傳送過程的安全控制和加密機制也是技術改善的重要內(nèi)容。不過目前技術完善常遇到兩大市場難題：其一是劣幣驅(qū)逐良幣，低質(zhì)低性能但廉價的產(chǎn)品和系統(tǒng)往往獲得市場，使一些在技術上已經(jīng)解決的問題在市場上仍然頻現(xiàn)；其二是系統(tǒng)成本的局限，技術改善方案需要額外增加預算，這常常導致在競爭市場中被客戶否決。安全與成本的正相關，并非人人皆認可。
2.改變系統(tǒng)管控主體。某些應用如C02和E02，如果數(shù)據(jù)管控主體可以轉(zhuǎn)為經(jīng)政府授權或背書的第三方專業(yè)機構，其隱私保護、數(shù)據(jù)安全性等問題和大眾擔憂將迎刃而解。
3.增加現(xiàn)場值守或監(jiān)控。若條件許可，將無人現(xiàn)場值守和監(jiān)督的系統(tǒng)如B02和D02，改為有人值守監(jiān)督，其安全問題將立刻解決。
4.提升企業(yè)管理水平。在法律法規(guī)約束及監(jiān)管部門監(jiān)督下，諸如C02、E02及F00等應用的管控主體（非政府機構及企業(yè)），若能真正完善內(nèi)控，數(shù)據(jù)泄露和濫用問題也將解決。
5.完善法律法規(guī)及嚴格執(zhí)法。這是徹底解決絕大多數(shù)問題的關鍵，也是接下來需要行業(yè)、政府、公眾等各方密切合作互動完善的最大工作。
將相關問題及解決之道對應歸納如下表4所示。
抽絲剝繭，我們可以結論如下：
1.大眾的抵觸和憂慮主要來自兩個方面：其一是對人臉識別技術可靠性擔憂及其可能帶來的財產(chǎn)損失；其二是對人臉識別技術的濫用（比如人臉圖像及其他個人敏感信息在不知情情況下被商家采集存儲和非法利用）。
2.從上述表4可知：A00、B01、D01、E01等4類應用（合計市場份額61%）現(xiàn)階段不存在問題；而B02、C01、D02、G00等4類應用（合計市場份額為26%），則只需進行技術改善（適當增加預算）即可完全解決。這8類應用合計市場份額87%，代表了市場應用的主流。
3.其余C02、E02、F00、H00等4類應用，合計市場份額僅13%。其中的技術及管控問題可通過技術改善、改變系統(tǒng)管控主體或增加現(xiàn)場值守等方法解決。剩余的非人臉識別技術問題，事關個人權益保護、敏感信息保護、數(shù)據(jù)安全、商業(yè)平臺數(shù)據(jù)挖掘利用等，這些問題由來已久，人臉識別技術及應用并非這些問題的根源，對大數(shù)據(jù)利用的依法管制才是解決之道。只因關聯(lián)了人臉識別而時常被媒體獵奇式曝光，是這些非技術問題引發(fā)公眾抵觸和憂慮的主要原因。
4.進而推知，目前社會上所有與人臉識別技術及應用相關問題，要么從技術上可以完善解決；要么根本就不是人臉識別技術和應用所導致的，且只能通過立法執(zhí)法監(jiān)管等措施來解決。
5.最后結論如下：只要適當增加系統(tǒng)預算（選擇優(yōu)良產(chǎn)品、或進行技術改善），人臉識別技術及其應用本身并沒有問題、也無需擔憂。
對大眾、行業(yè)參與者以及政府監(jiān)管部門，我們的建議分別如下：
1.對消費者和人臉識別技術和產(chǎn)品的普通客戶，首先請堅持理性選擇與合理預算，明白安全和成本的正相關性。當下的人臉識別技術以及與其他技術的組合，完全可以解決大家的安全擔憂。其次，個人隱私、個人信息保護等擔憂，請理解人臉識別不是問題的原因，充其量是增加了問題的嚴重性。解決之道是尋求法律和監(jiān)管的支持與幫助。我們也希望能積極參與政府的相關立法咨詢，履行公民義務。
2.對行業(yè)來說，眾所周知所有的生物識別技術都有各自的局限，但是當前都各有其改善之術，多模態(tài)結合與融合更是技術發(fā)展趨勢，也是解決當前應用問題的主要手段。同時，在系統(tǒng)實施過程中，充分考慮運營場景及其安全管控風險，盡可能向客戶提供完善系統(tǒng)管理的保險建議，可以極大減少使用問題。我們不用自吹自擂，但也無需妄自菲薄、心懷忐忑。最后，我們應積極向政府主管部門建言獻策，促進相關法律法規(guī)的早日完善和補充，以及徹底解決公眾憂慮，這些都絕對有賴于行業(yè)的專業(yè)意見和建議。
3.對立法和監(jiān)管者，如何統(tǒng)一定義個人隱私、敏感信息等基本概念；如何規(guī)范與個人相關的大數(shù)據(jù)之收集、存儲和利用；如何更詳盡規(guī)定監(jiān)管執(zhí)行主體、監(jiān)管途徑和方式，以及懲罰力度等，還需要盡快研討出臺補充和完善法律法規(guī)及配套措施。
與上述問題有關的基本概念諸如個人信息、敏感個人信息、自然人隱私、個人私密信息等概念，目前法律界定并不明晰，在相關法律如《民法典》《個人信息安全規(guī)范》《個人信息保護法（草案）》以及《網(wǎng)絡安全法》等之中，叫法不一，各自解釋。其定義有交叉但又不完全等同，甚至有相互矛盾的覆蓋范疇。
對個人信息的保護，目前主要的法律依據(jù)是《消費者權益保護法》。其主要保護方向有二：一是經(jīng)營者收集信息的過程、目的、使用方式和范圍等不得違反法律法規(guī)，并需要得到消費者同意。其二是經(jīng)營者及其員工對收集的消費者個人信息必須嚴格保密，不得泄露、出售或非法向他人提供。但相關執(zhí)法和對違法行為的懲罰，并不理想、威懾力不強。
關于個人數(shù)據(jù)（包括敏感信息）的收集分析和利用，也是在幾乎沒有監(jiān)管的前提下進行的。目前與之相關的法律，只有《網(wǎng)絡安全法》，其規(guī)定也只是要求用戶知情權及同意。對數(shù)據(jù)的深度利用如何監(jiān)管保護等則未涉及。
此外，人臉識別系統(tǒng)涉及的公民信息保護、個人肖像權、隱私權，它們在《刑法修正案》《民法典》《未成年保護法》《消費者權益保護法》等法律中都有相應規(guī)定，但似乎又都不能提供足夠的保護依據(jù)。還有某些執(zhí)法部門對相關問題的執(zhí)法，目前常引用的是GB/T 35273-2020《個人信息安全規(guī)范》，但它只屬于推薦性國家標準，不屬于國家強制性標準，并不具備法律層面的意義和約束力，其實是不適合用于執(zhí)法依據(jù)的。
概念定義不清楚、不統(tǒng)一，適用法律法規(guī)不確定，這是目前的主要困境。
法律法規(guī)的完善，執(zhí)法力度的加強，我們確實還有很多工作要做，未雨綢繆早已錯失，現(xiàn)在已是亡羊補牢，希望可以快馬加鞭。
