美国联邦贸易委员会FTC命令设定商业环境中生物识别监控的最低隐私要求

发布于2024年1月11日，作者：Glyn Moody

在过去几年中，顾客在商店里被监视、跟踪和分析的现象越来越普遍。这种监控的一个关键元素是基于人工智能的面部识别技术。公司声称，面部识别软件有助于防止盗窃，因为它能够识别之前涉嫌盗窃的人，尽管最近有报道称关于“有组织”盗窃的说法被夸大。

然而，面部识别技术并非灵丹妙药，它对隐私构成了严重威胁。早在2012年，美国联邦贸易委员会FTC就认识到这一点，并发布了最佳实践供使用面部识别的公司参考。2023年5月，FTC发出警告，称面部识别技术的滥用带来了“重大的消费者隐私问题以及偏见和歧视的潜在风险”。现在，FTC宣布禁止药品零售连锁店Rite Aid在未来五年内使用人工智能面部识别进行监控：

在一份在联邦法院提交的投诉中，FTC表示，Rite Aid在2012年至2020年期间使用基于人工智能的面部识别技术，旨在识别可能参与盗窃或其他问题行为的顾客。然而，投诉指控公司未能采取合理措施防止对消费者造成伤害，结果导致消费者被员工错误指控为不当行为，因为面部识别技术错误地将他们标记为与之前被识别的盗贼或其他麻烦制造者相符。

FTC指出，Rite Aid的行为使消费者遭受了“尴尬、骚扰和其他伤害”。FTC表示，该公司的员工基于虚假警报，“在商店内跟踪消费者，对他们进行搜查，命令他们离开，报警以对抗或驱逐消费者，并公开指控他们，有时在朋友或家人面前指控他们盗窃或其他不当行为”。一个特别的问题是，这些行为对有色人种的影响尤为严重。

FTC的一篇博客文章提供了有关监控系统的更多细节。根据FTC的说法，Rite Aid监督构建了一个“观察名单数据库”，其中包含该公司声称在其商店从事实际或未遂犯罪活动的人的图像。除了通常质量较低的监控摄像头拍摄的图像外，数据库还存储了姓名、出生年份和声称的犯罪活动等信息。最终，该观察名单数据库保存了数万人的信息。如果有人进入商店，且与数据库中的某张图像相符，员工会收到警报。FTC的文章详细说明了该系统 allegedly 有效的程度，包括以下内容：

在一个五天的时间段内，Rite Aid在从纽约到西雅图的130多家商店中生成了超过900条单独的警报，声称与数据库中的同一张图像相符。换句话说，Rite Aid的面部识别技术告诉员工，只有一位被拍摄的人在不到一周的时间里进入了130多家Rite Aid商店超过900次。

FTC的投诉指责Rite Aid未能做到：

提议的和解将禁止Rite Aid在其零售店使用面部识别系统五年。此外，公司还必须删除在2012年至2020年间收集的视频和照片，以及相关的数据、模型和算法。正如FTC的博客文章所解释的：

如果Rite Aid未来有自动生物识别安全或监控系统，依据提议的命令，必须向任何添加到其系统的消费者和因其采取行动的任何人提供个性化书面通知。Rite Aid还需要实施一个健全的消费者投诉程序。此外，该公司必须明确向消费者披露，在零售地点和线上使用自动生物识别安全和监控，并且通知必须放置在消费者能够及时阅读的位置，以避免收集他们的生物识别信息。

这项FTC命令之所以显得如此重要，不仅仅是因为它涉及一家特定公司。它确立了一整套要求，任何希望使用生物识别监控和自动决策技术的公司均须遵守。FTC专员Alvaro M Bedoya在对此次行动的声明中强调：“我希望行业理解，这一命令是全面算法公平计划的基准。”在这方面，它可能在美国发挥类似于欧盟各类隐私法律的角色。

Bedoya还补充了以下重要评论：“没有人应该从这一和解中得出结论，由于该委员会肯定支持在商业环境中使用生物识别监控。”他甚至进一步表示：“有一个强有力的政策论点认为，有些决定根本不应被自动化；许多技术根本不应在一开始就被部署。”这是一项有关隐私重要性的强有力声明，以及如何保护隐私在引入强大新技术时的重要性。Bedoya呼吁希望获得更好生物识别监控保护的立法者通过相应的法律。即使这未能实现，仅凭这一FTC的最新行动也应增强美国的隐私保护，并支持在其他地方为此而战的努力。

插图：Carol M Highsmith