6月21日，欧盟数据保护委员会(EDPB)和欧盟数据保护监督局(EDPS)发表联合意见，呼吁在公共场所禁止使用人工智能自动识别个人特征。这意味着，人脸识别等生物识别技术的部分应用将受到限制。

　　该联合意见声明针对的是欧盟今年4月发布的人工智能法规草案。EDPB和EDPS认为，草案中关于生物识别系统应用的规定不够严格。此外，他们还建议指定DPA为国家监督机构，并给予欧洲人工智能委员会(EAIB)更大的自主权。

　　创建AI法律框架的起点

　　南都·AI前哨站注意到，欧盟今年4月发布的人工智能法规草案第四条规定，除寻找失踪儿童、防止恐怖袭击、缉拿罪犯等特殊情况外，禁止因执法目的在公共空间采用“实时”远程生物识别系统。违反上述禁令最高将被处以3000万欧元或企业上一财年全球营业额6%的行政罚款。

　　对此，EDPB和EDPS认为规定得“不够严格”，他们此次发表的联合意见走得更远。

　　联合意见提出，敦促欧盟全面禁止在公共场所使用人工智能自动识别人类特征，包括步态、指纹、DNA、声音、点击及其他生物或行为信号。此外，联合意见还建议禁止据此将人们按照种族、性别、政治或性取向等进行分类或将其用于社会信用评分。

　　“在公共场所使用远程生物识别意味着人们再也无法匿名。”EDPB主席Andrea Jelinek和EDPS主管Wojciech Wiewiórowski在一份联合声明表示，实时人脸识别等应用侵害了人们的基本权利和自由。“如果我们想维护自由，创建一个以人为中心的人工智能法律框架，全面禁止在公共场所使用人脸识别是一个必要的起点。”

　　事实上，据南都·AI前哨站梳理，尽管欧盟还没有先例，美国一些州已经开始执行有关人脸识别的禁令，主要针对政府部门和校园。

　　2021年2月，弗吉尼亚州出台规定，除非得到州立法机关的明确授权，禁止当地执法机构和校园警察部门购买或使用人脸识别技术。此前旧金山、萨默维尔、奥克兰、波士顿等多个城市也通过了类似禁令。2020年，纽约州针对校内人脸识别颁布了为期两年的禁令。

　　此外，EDPB和EDPS还认为，使用人工智能来推断个人的情绪非常不可取，应该被禁止。除非是非常特殊的情况，例如基于某些医疗目的对病人进行情绪识别。

　　建议指定DPA为国家监督机构

　　EDPB和EDPS在此次的联合意见中还强调，有必要进一步明确现有的《通用数据保护条例》(GDPR)、《欧盟数据保护代表条例》(EUDPR)和《数据保护执法指令》》(LED)等欧盟数据保护立法适用于任何人工智能法规草案范围内的个人数据处理。

　　他们提出，成员国的数据保护机构(Data Protection Authority，DPA)其实已经在根据GDPR和LED进行执法，将DPA制定为国家监督机构将确保监管方式更加统一，法律解释更加一致。因此，EDPB和EDPS建议，应根据草案第59条指定DPA为国家监督机构。

　　在草案中，欧盟委员会将人工智能风险分为最小、有限、高和不可接受四类风险。风险越高，所对应的规则也就越严格。联合意见指出，“基本权利风险”应与欧盟数据保护框架保持一致，并建议评估和减轻自然人群体的社会风险。

　　对于草案中指定欧盟委员会在欧洲人工智能委员会(EAIB)中发挥主导作用，EDPB和EDPS质疑这与建立不受任何政治影响的欧洲人工智能机构的需求相冲突，因此提议给予EAIB更大的自主权。

　　根据欧盟法律制定流程，人工智能法规的最终版本最早也得等到明年了。值得注意的是，EDPB和EDPS没有参与法律修改的权利。不过，作为欧盟隐私事务的最高顾问，他们此次释放的强烈信号无疑将影响法律的修改方向。