人脸识别技术应用迎来监管时代

文/《中国报道》记者 刘雪云 实习生 王钧莳

近日，国家互联网信息办公室、公安部联合公布《人脸识别技术应用安全管理办法》（以下简称《办法》），自2025年6月1日起施行。

从《中华人民共和国网络安全法》《中华人民共和国数据安全法》到《中华人民共和国个人信息保护法》，一系列相关法律法规相继落地，我国个人信息保护体系正在逐步完善。

“《办法》首次以专门法律文件形式系统规定了人脸识别技术应用安全管理的制度框架，明确了人脸识别技术相关概念范围，厘清了技术应用边界。”北京师范大学法学院博士生导师、中国互联网协会研究中心副主任吴沈括告诉《中国报道》记者。

划定“安全线”与“伦理框”

有关“人脸识别”的争议从未停止。今年2月，广西大学一名法学研究生因不满山姆超市强制使用人脸识别，以“涉嫌违法”为由将其告上法庭，目前广西南宁市西乡塘区人民法院已对此立案。而此前，曾有多位明星的人脸识别照片遭泄露并在网络黑市售卖，这些事件进一步加剧了公众对生物信息安全问题的担忧。

“当前社会上存在公共场所无差别采集人脸信息，企业强制要求‘刷脸’认证等乱象，更有不法分子倒卖人脸数据进行牟利。”吴沈括指出，人脸数据作为敏感生物信息，一旦泄露可能导致个人诈骗、身份盗用等严重后果。

受访专家们普遍认为，日益迫切的个人信息保护需求与技术滥用带来的安全风险是此次新规出台的两大现实动因。

针对人脸识别技术应用乱象，《办法》从多个维度划定了技术红线，它不仅明确了应用人脸识别技术处理人脸信息的规则，还对人脸识别技术应用的安全规范提出了要求。《办法》规定，应用人脸识别技术处理人脸信息时需要有特定目的与充分必要性，个人信息处理者有告知、保护个人信息等义务。同时，规定存在其他非人脸识别技术方式的，不得将人脸识别技术作为唯一验证方式。

“‘保障个人自主选择权’和‘强化未成年人保护’是新规中的重要方面。”赛迪研究院网络安全研究所、数据安全研究室副主任李立雪告诉《中国报道》记者，例如新规第十条明确禁止“强制刷脸”行为，规定个人不同意通过人脸信息进行身份验证的，应当提供其他合理、便捷的方式；新规第七条则对未成年人人脸数据设置更高保护标准，规定基于个人同意处理不满十四周岁未成年人人脸信息的，应当取得未成年人的父母或者其他监护人的同意。

此外，新规创新之处还在于其明确了监管职责与法律责任，构建起覆盖技术应用全生命周期的管理体系。依据《办法》要求，个人信息处理者应当在应用人脸识别技术处理的人脸信息存储数量达到10万人之日起30个工作日内向所在地省级以上网信部门履行备案手续。“这一备案制度体现了监管部门前移治理关口，最大限度降低安全风险水平的综合治理思路。”吴沈括解读道。

吴沈括认为，新规突出对人脸识别技术应用的全要素监管、全流程规范。从人脸识别设备的安装到图像的采集，从数据的处理、存储到数据的提供、删除，从技术应用的准度、精度到置信度阈值的设定，从技术使用者到产品或服务提供者的责任义务，都作出明确且细致的规定。同时，新规还开创了多元共治的治理范式，明确了备案制与动态监管机制。这些规范举措，一方面将提升相关业务的合规程度，另一方面也会加强相关部门之间的联动监管与协同监管。

“新规的这些亮点和创新之处，既回应了公众对隐私安全的期待，也为数字经济可持续发展提供了制度保障。”吴沈括进一步补充道。

“非必要不刷脸”多模态认证将成常态

自2024年起，北京、深圳等多个城市陆续取消了入住酒店必须强制刷脸的规定。与此同时，上海针对人脸识别技术滥用的情况，开展了“亮剑浦江·2024”消费领域个人信息权益保护专项执法行动，并提出了公共场所“以不刷脸为原则、刷脸为例外”“收集端总体减少数量、存储端确保安全无虞”的治理目标，涉及健身房、商场超市、无人售货机、旅游景区、住宅小区等各种各样的消费场所。

据了解，截至2024年底，上海已有600余家商场、6300余家酒店、1200余个游泳馆和健身场所、2900余个公共厕所等场所完成了人脸识别设备的自查和整改。但需要指出的是，这并非以正式成文规定的形式在全国推行，在当前的公共区域和商业消费场所中，“刷脸”认证的方式仍然存在。

此次，《办法》第十条明确规定，当存在其他验证方式时，不得将人脸识别技术作为唯一验证方式。第十一条则要求若应用人脸识别技术验证个人身份、辨识特定个人的，鼓励优先使用国家人口基础信息库、国家网络身份认证公共服务等渠道实施。

在各类消费场景中，商业机构作为涉及场景最为广泛的主体，其用户验证模式将迎来全新的变化。

“商业机构在设计用户验证流程时，必须考虑多种验证方式的组合，而不能仅依赖人脸识别技术。”吴沈括说道，例如，在会员注册、支付验证等场景中，需提供密码、短信验证码、指纹识别等多种替代方案，以满足不同用户的需求。其次，相关规定将促使商业机构更加注重用户自主选择权，尊重用户对个人隐私的保护意愿。最后，这些规定也有助于减少人脸识别技术的滥用，降低因过度采集人脸信息而带来的隐私泄露风险。

李立雪分析，新规出台一方面能推动商业机构更加注重改进和优化用户体验；另一方面，商业机构也能更重视验证的安全性和可靠性，多样的验证方式组合将会降低因单一人脸识别方式可能导致的技术故障、信息泄露等风险，提高用户身份验证系统的稳定性和安全性，同时也会促使商业机构投入更多资源用于安全合规和隐私保护。

李立雪强调，在新规落地实施之后，人脸识别技术应用将迎来三大变化，一是技术应用合规性加强，二是数据安全保障能力提升，三是监管力度进一步加大。

安全监管与创新发展并重

在2024至2025年期间，AI换脸技术的应用与市场规模呈现出显著的增长趋势。根据QY Research的统计及预测，2024年全球AI换脸软件市场销售额达到了1.32亿美元，预计2031年将达到1.76亿美元。但技术广泛应用的背后，虚假身份、诈骗等问题正层出不穷。

2024年，杭州警方破获一起“AI换脸技术”侵犯隐私案，犯罪团伙利用该技术成功突破平台的人脸认证系统，获取并出售了大量受害人的个人信息。截至被逮捕前，团伙已获利20多万元。

在人脸识别技术被不当使用的同时，AI换脸技术的乱象也如影随形，成为一个不容忽视的问题。

“当前，不法分子利用AI换脸技术从事网络诈骗、伪造身份、传播虚假信息、生成色情内容等非法活动的现象屡见不鲜。这些行为严重侵犯了个人隐私，对社会秩序构成了严重威胁。”李立雪分析道，AI换脸技术的滥用，不仅增加了身份信息的盗用风险，还进一步加剧了人脸信息泄露的风险。

在今年全国两会期间，全国政协委员、演员靳东再次就AI技术与网络平台治理建言献策。作为连续两年提交相关提案的委员，靳东对利用AI换脸技术实施的诈骗行为表示强烈谴责。他提到，许多喜爱他作品的观众，因AI伪造的视频遭受诈骗，损失惨重。他建议应加快完善相关法律法规，建立更有效的监管机制，保护公众权益。

“新规将推动AI换脸技术在合法、安全的框架内发展，保护公众利益。”吴沈括说。

李立雪则认为，新规明确了人脸识别技术应用的边界，将有助于从源头上减少非法获取和滥用人脸信息的行为，从而降低AI换脸技术被用于违法犯罪的风险。同时，新规要求人脸识别技术应用系统采取多种安全措施，将增强对AI换脸攻击的防范能力。此外，新规还明确了监管责任主体，将使得AI换脸等安全问题的监管更加有章可循，形成有效的监管合力。

国务院新闻办相关负责人在答记者问时表示，我们还要坚持发展与安全并重，妥善处理促进创新和依法治理之间的关系。新规在保护个人信息权益的同时，也鼓励人脸识别技术的应用和创新。其中，明确在中华人民共和国境内为从事人脸识别技术研发、算法训练活动应用人脸识别技术处理人脸信息的，不适用本办法的规定，为开展人脸识别技术的攻关研究和应用创新预留空间。

(《中国报道》2025年4月刊)

责任编辑：柴晶晶