人工智能时代，应如何保护个人信息

在更加强大的计算能力和深度学习等新技术的助推下，人工智能发展进入第三次繁荣期。与此同时，个人信息的收集、识别、分析技术突飞猛进，越来越多的个人信息主动或被动地暴露在人工智能程序中，尤其是具有强烈个人属性的生物识别信息被大量收集，且在信息处理上完成了从量到质的跨越，不禁让人对个人信息保护愈加担忧。

人工智能时代保护个人信息的对策

1.企业行为规制

企业掌握着海量个人信息，针对其收集、分析用户个人信息的行为，笔者认为可借鉴欧盟《通用数据保护条例》的有关规定，确定以下行为规则。

第一，透明性。

用户对于“网站声明”等文件大多并未阅读，对于企业收集了哪些个人信息、将如何分析、结果有何影响等一无所知。

透明性要求企业应当做到：对个人信息的收集、分析进行单独声明，用户可随时查询、删除已被收集的个人信息，企业如何应用、分析、处理个人信息应向用户明示，企业应告知用户个人信息分析结果及用途，并征得用户同意。

第二，针对生物识别信息的特别同意。

鉴于生物识别信息与人身的密切关联性，企业不能仅依据“网站声明”或“个人信息收集书”等类似文件即开展收集活动。

尤其在移动端，大多数手机前置摄像头、话筒等设备开启时并无特别提示。某品牌手机发布隐藏式摄像头后，有用户反映在使用某些App时，隐藏式摄像头被自动激活，从而引起了某些企业是否秘密收集个人生物识别信息的争论。

企业宜在遵守透明性要求的基础上，对收集如指纹、声纹、人脸等生物识别信息时，应单独征得用户同意。

第三，匿名化。

个人信息匿名化的建议由来已久，《通用数据保护条例》认为匿名化是经过处理后，通过单独信息无法识别信息主体的处理方式。

有学者比较了匿名化和假名化，认为匿名化以隐藏用户身份和敏感信息的方式保护个人信息，处理后的信息由于无法关联信息主体，所以不再是个人信息，而假名化信息仍然属于个人信息。

但目前企业与实现匿名化的目标仍然有一定距离，即第三人在公开查询时给出的信息仅为假名信息，而信息在企业内部也并未匿名化。笔者认为，只有企业内部在处理信息时也采取匿名化处理，才能既满足信息合理利用，又保护个人信息安全。

第四，个人信息本地化。

生物识别信息等敏感信息应当本地化，禁止上传至企业云端。

人工智能设备的匹配、分析能力在个人信息本地化的情况下，足以完成目前用户所需服务。个人信息本地化可防止因传输，或企业处理、利用等行为导致的信息泄露，也限制了企业对个人敏感信息的利用。

从某种意义上而言，企业就是一个收件和派件的快递员，不能拆开信件，对个人信息进行整体加密，不预留“后门”，用户的个人信息安全才更有保障。

2.政府部门行为规范

因社会管理需要，政府部门收集了大量公民个人信息，同样需要在个人信息保护与社会治理之间寻求平衡。

但目前我国打击犯罪、维护国家安全的任务仍然繁重，一味让渡于个人信息保护也不合理。综上所述，笔者认为政府部门可以作出以下行为规范。

第一，以必要性为前提。

政府部门掌握大量摄像头等生物识别信息收集工具，当有打击恐怖主义、维护国家安全等需要时，收集个人信息具有正当性，但为其他非必要目的而收集个人信息，则可能对个人信息保护造成不利。

因此，生物识别信息收集、分析系统何时启用，以及开启区域、针对的人群等均需作出事先规定，在对必要性进行充分论证的基础上合理利用人工智能系统。

第二，以最小数据量为原则。

个人信息的种类繁多、数量庞大，在收集时，应以最小数据量为原则。

在人工智能环境下，满足人工智能系统学习样本的数据量即为最小数据量，至于具体额度，将根据系统的完善程度、任务繁杂程度、紧迫程度等综合考量，甚至需要一事一确定。

同时，加强信息筛选能力，通过提高样本的科学性等举措，同样可以达到数据量收集最小化的目的。

第三，加强数据安全。

加强数据安全的工作一直在进行，但始终有漏洞。数据安全是国家安全的重要内容之一，建立符合我国国情的数据安全法律体系势在必行。《刑法修正案（九）》用“非法获取个人信息罪”“非法侵入计算机信息系统罪”等罪名对国家、政府记录的个人数据进行保护，也表明了国家、政府对个人数据安全的重视。

参考链接：人工智能应用对个人信息保护的挑战及其对策