执行摘要
无论是为识别、翻译还是基于虚拟人形象生成而构建的手语人工智能,在结构上都依赖于对Deaf和重听用户进行视频或生物特征采集。这种依赖性造成了一个数据治理问题,而这一问题所受到的机构审查远少于本系列此前几期所记录的语言和理解层面的失败。在NCG依据SLAT(Sign Language Access Trust)框架审查过的供应商范围内,关于收集了什么数据、数据保留多久、是否被用于训练未来模型、以及是否与第三方共享等方面的披露,情况充其量是参差不齐,最坏情况则是完全缺失。这并不是在声称任何特定供应商存在恶意行为。现有公开证据尚不足以将意图归咎于任何具名公司,本期内容也并不作此归咎。这是在指出:市场尚未形成与所涉数据敏感性相匹配的披露标准,而这一缺口是一种治理失败,与任何单个供应商的行为无关。下文提出的政策立场认为,同意与披露的充分性应被视为采购环节的准入门槛,而非在功能评估之后才考虑的次要事项。
政策问题
手语采集本质上就是生物特征采集。手语使用者手部动作、面部语法及身体姿态的视频,并非类似于提交给文本系统的一句打字文本那样的附带性输入。它具有独一无二的可识别性,其定义本身就编码了残障状态信息,而在许多司法管辖区,它符合受到更高保护的生物特征数据或特殊类别数据的法定定义。例如,伊利诺伊州的《生物特征信息隐私法》(BIPA)要求在采集生物特征标识符之前必须提供书面通知并获得同意,并且不以证明实际损害为前提即可追究责任。欧盟《通用数据保护条例》(GDPR)将揭示与残障相关的信息以及用于身份识别的某些生物特征数据,归类为第9条下的特殊类别数据,要求在普通同意之外提供明确的法律依据。加利福尼亚州的《消费者隐私法》(CCPA)与《隐私权法》(CPRA)也对生物特征信息施加了各自的披露与选择退出义务。
尽管存在上述监管环境,面向消费者的手语人工智能产品却往往依赖于并非针对Deaf用户或生物特征采集而拟定的通用服务条款。NCG所做的供应商快照调查中反复出现三类缺陷:其一,没有单独或显著的披露说明视频输入构成受特定法定保护的生物特征数据;其二,没有明确说明所采集的视频或由此衍生的特征是否被保留用于模型训练,若是,保留多久、享有何种删除权利;其三,没有以无障碍格式进行披露,也就是说,同意条款本身往往未被翻译成ASL,或未以数据被收集人群可使用的格式呈现。最后这一点并非细枝末节。一种要求以书面第二语言具备读写能力才能理解自身生物特征数据将被如何处理的披露机制,对于英语读写能力参差不齐、且以ASL作为主要理解语言的人群而言,并不能真正构成知情同意。
手语采集本质上就是生物特征采集。
机构分析
造成这一缺口的机构性动因是结构性的,而非阴谋性的。手语人工智能仍是一个年轻的产品类别,大多数供应商是小型公司,使用的是整个软件行业通用的隐私政策模板,即便有所调整也十分有限。与此同时,机构层面的采购流程历来是依据功能性标准来评估这些产品:虚拟人形象呈现是否清晰可辨,识别系统是否达到可接受的准确度,供应商在开发过程中是否有Deaf员工参与。数据治理则被当作法律或IT合规问题,在实质性采购决策之后才加以处理,如果有处理的话。这种先后顺序本身就是真正的治理失败。等到数据治理方面的缺陷显现出来——无论是通过数据泄露、监管调查,还是来自数据被采集的Deaf社群的公开批评——机构关系与财务承诺早已确立,此时要求补救的筹码相应也就更弱。
此外还存在一个与同意问题相邻、但在分析上有所区别的训练数据来源问题。有若干手语人工智能系统部分建立在取自公开发布内容的视频语料库之上,其中包括Deaf ASL使用者及教育工作者在社交平台上创作的内容。这种使用是否落在平台自身服务条款的范围之内,是否构成版权法意义上的合理使用,以及那些手语出现在相关素材中的个人是否曾被切实告知其内容将被用于训练商业人工智能系统,这些都是尚未解决的问题——NCG尚未就任何特定供应商对此进行独立核实,本文在此也不将其断言为既定事实。就治理而言,关键在于:评估这些系统的采购官员几乎无从了解训练数据的来源情况,而当前行业内的披露规范也并未要求供应商提供此类信息。
治理影响
一家采购手语人工智能的机构,并不仅仅是翻译工具的购买者。当该系统处理学生、患者、员工或公众的实时视频时,该机构在大多数适用的隐私框架下同时也是数据控制者或处理者,并且无论其供应商的数据处理暴露风险在购买时是否已被披露,该机构都会承接这种暴露风险。一家在部署前未对供应商的数据收集、保留及训练使用做法进行核实的机构,无法向其自身的利益相关方、监管机构,或数据被采集的Deaf个人声称自己已履行了数据保护义务。无论供应商实际行为如何,这一点都成立,因为缺乏经核实的披露本身就是治理缺陷,与任何特定供应商是否最终被证明在负责任地处理数据无关。
NCG政策立场
NCG的立场是:数据治理与隐私披露的充分性应在手语人工智能采购中发挥准入门槛的作用,应在功能表现评估之前而非之后加以评估。若供应商无法就所收集的生物特征数据种类、保留期限、是否以及如何用于模型训练、以及存在何种删除权利,提供清晰、可通过ASL获取、符合司法管辖区要求的披露,则应被视为不具备机构部署资格,无论其在评估其他方面的语言或技术表现如何。这一立场已经在SLAT框架的“数据治理与隐私”以及“透明度与披露”两个领域中得到落实,本期内容主张,鉴于机构所面临的法定风险暴露,以及不可及的同意语言对受影响人群造成的理解障碍,这些领域相对于该框架当前的权重设定,理应获得更高的权重。
实施考量
评估手语人工智能的采购官员应要求供应商作为响应条件,提供涵盖上述四项要素的书面数据治理披露文件,要求该披露除书面英文版本外还应提供ASL视频格式版本,并将供应商拒绝或无法提供此类披露视为不利认定,与系统的功能表现无关。已有部署的机构应开展回溯性审查,而非等到合同续签时才处理,因为治理风险暴露是从部署之日起累积的,而非从发现问题之日起累积。若无法核实供应商训练数据的来源,机构应要求就数据来源的合法性提供合同保证,而不应将无法获得答复视为中性的未知状态。
参考文献
- 《生物特征信息隐私法》,740 ILCS 14(伊利诺伊州)。
- 经《加州隐私权法》修订的2018年《加州消费者隐私法》,Cal. Civ. Code § 1798.100 et seq.。
- 欧盟第2016/679号条例(《通用数据保护条例》),第9条。
- 《联邦贸易委员会法》,15 U.S.C. § 45(不公平或欺骗性行为或做法)。
- Novara Consulting Group,《手语无障碍信任(SLAT)框架》,2026年。