Osiem studiów przypadku dotyczących regulacji technologii biometrycznej wskazuje nam drogę naprzód

Amba Kak dzięki uprzejmości AI Now

Amba Kak studiowała prawo w Indiach, kiedy w 2009 r. kraj ten wprowadził projekt Aadhaar. Krajowy system identyfikacji biometrycznej, pomyślany jako kompleksowy program tożsamości, miał na celu zbieranie odcisków palców, skanów tęczówki i zdjęć wszystkich mieszkańców. Kak wspomina, że ​​nie trwało długo, zanim zaczęły się rozpowszechniać opowieści o jego niszczycielskich skutkach. Nagle usłyszeliśmy doniesienia o tym, jak pracownicy fizyczni pracują rękami – jak ich odciski palców zawodzą w systemie, a następnie odmawiano im dostępu do podstawowych potrzeb – mówi. Właściwie mieliśmy zgonów głodowych w Indiach które były powiązane z barierami, które tworzyły te biometryczne systemy identyfikacji. Więc to była naprawdę kluczowa kwestia.

Te przypadki skłoniły ją do zbadania systemów biometrycznych i sposobów, w jakie prawo może je pociągać do odpowiedzialności. 2 września Kak, który obecnie jest dyrektorem ds. strategii i programów globalnych w nowojorskim AI Now Institute, wydał nowy raport wyszczególnienie ośmiu studiów przypadku dotyczących regulacji systemów biometrycznych na całym świecie. Obejmują one działania miejskie, stanowe, krajowe i globalne, a także niektóre z organizacji non-profit. Celem jest rozwinięcie głębszego zrozumienia tego, jak różne podejścia działają lub nie spełniają oczekiwań. Rozmawiałem z Kak o tym, czego się nauczyła i jak powinniśmy iść naprzód.

Ten wywiad został zredagowany i skondensowany dla jasności.

Co zmotywowało ten projekt?

Technologia biometryczna to proliferacja i normalizacja , zarówno w domenach rządowych, jak i w naszym życiu prywatnym. Monitorowanie protestów z wykorzystaniem rozpoznawania twarzy miało miejsce tylko w tym roku w Hongkongu, Delhi, Detroit i Baltimore. Systemy identyfikacji biometrycznej, o których mniej się mówi, w których biometria jest wykorzystywana jako warunek dostępu do usług opieki społecznej – jest to również rozpowszechnione w krajach o niskich i średnich dochodach w Azji, Afryce i Ameryce Łacińskiej.

Ciekawe jest jednak to, że sprzeciw wobec tych systemów jest również u szczytu. Rzecznictwo wokół tego zyskuje więcej uwagi niż kiedykolwiek wcześniej. Zatem pytanie brzmi: gdzie jest prawo i polityka? I tu właśnie wkracza to kompendium. W niniejszym raporcie staramy się wyciągnąć wnioski, jakich możemy się nauczyć z tych doświadczeń w momencie, gdy wydaje się, że rządy i grupy rzeczników pragną więcej regulacji.

Jaka jest obecna sytuacja w zakresie regulacji biometrycznych na świecie? Jak dojrzałe są ramy prawne dotyczące obsługi tej nowej technologii?

Na świecie istnieje około 130 krajów, w których obowiązują przepisy dotyczące ochrony danych. Prawie wszystkie obejmują dane biometryczne. Jeśli więc zadamy sobie tylko pytanie, czy istnieją przepisy regulujące dane biometryczne, to w większości krajów odpowiedź brzmiałaby, że tak.

Ale kiedy zagłębisz się nieco głębiej, jakie są ograniczenia prawa o ochronie danych? Prawo o ochronie danych w najlepszym przypadku może pomóc w uregulowaniu wykorzystywania danych biometrycznych i upewnieniu się, że nie są one wykorzystywane do celów, na które nie udzielono zgody. Ale kwestie takie jak dokładność, dyskryminacja – te kwestie wciąż nie są przedmiotem uwagi prawnej.

Z drugiej strony, co z całkowitym zakazem tej technologii? Widzieliśmy, że koncentruje się to w Stanach Zjednoczonych na poziomie miasta i stanu. Myślę, że ludzie czasami zapominają, że większość tych działań legislacyjnych koncentrowała się na sprawach publicznych, a dokładniej na policji.

Mamy więc mieszankę przepisów o ochronie danych, które zapewniają pewne zabezpieczenia, ale są z natury ograniczone. A potem mamy koncentrację tych kompletnych moratorium na lokalnym szczeblu miejskim i stanowym w USA.

Jakie były wspólne tematy, które wyłoniły się z tych studiów przypadku?

Dla mnie najjaśniejszy był rozdział o Indiach autorstwa Nayantary Ranganathana i rozdział dotyczący australijskiej bazy danych rozpoznawania twarzy Monique Mann i Jake'a Goldenfeina. Oba są potężnymi scentralizowanymi architekturami stanu, w których chodzi o usunięcie silosów technicznych między różnymi stanami i innymi rodzajami baz danych oraz upewnienie się, że te bazy danych są centralnie połączone. Tworzysz więc tę potworną scentralizowaną, centralnie połączoną architekturę danych biometrycznych. Następnie, jako opatrunek na ten ogromny problem, mówisz: OK, mamy prawo o ochronie danych, które mówi, że dane nigdy nie powinny być wykorzystywane do celów, które nie zostały wymyślone lub przewidywane. Ale w międzyczasie zmieniasz oczekiwania dotyczące tego, czego można się spodziewać. Obecnie baza danych wykorzystywana w kontekście wymiaru sprawiedliwości w sprawach karnych jest obecnie wykorzystywana w kontekście imigracyjnym.

Na przykład [w USA] ICE używa lub próbuje teraz korzystać z baz danych DMV w różnych stanach w procesie egzekwowania prawa imigracyjnego. Są to więc bazy danych stworzone w kontekście cywilnym i próbują wykorzystać je do imigracji. Podobnie w Australii masz tę gigantyczną bazę danych, która zawiera dane dotyczące prawa jazdy, która będzie teraz wykorzystywana do nieograniczonych celów wymiaru sprawiedliwości w sprawach karnych i w której departament spraw wewnętrznych będzie miał pełną kontrolę. I podobnie w Indiach, stworzyli prawo, ale prawo w zasadzie oddaje większość swobody w rękach władzy, która stworzyła bazę danych. Myślę więc, że z tych trzech przykładów jasno wynika, że ​​trzeba czytać prawo w kontekście szerszych ruchów politycznych, które mają miejsce. Gdybym miał podsumować szerszy trend, to jest to sekurytyzacja każdego aspektu sprawowania rządów, od wymiaru sprawiedliwości w sprawach karnych, przez imigrację, po opiekę społeczną, która zbiega się z dążeniem do biometrii. To jeden.

Druga – i to jest lekcja, którą wciąż powtarzamy – zgoda jako narzędzie prawne jest bardzo złamana i zdecydowanie jest zepsuta w kontekście danych biometrycznych. Ale to nie znaczy, że jest bezużyteczny. Woody Hartzog’s rozdział na temat BIPA w Illinois [Ustawa o prywatności informacji biometrycznych] mówi: Słuchaj, wspaniale, że mieliśmy kilka udanych procesów sądowych przeciwko firmom korzystającym z BIPA, ostatnio z Clearview AI. Ale nie możemy ciągle oczekiwać, że model zgody przyniesie zmiany strukturalne. Naszym rozwiązaniem nie może być: użytkownik wie najlepiej; użytkownik poinformuje Facebooka, że ​​nie chce, aby jego dane o twarzy były zbierane. Być może użytkownik tego nie zrobi, a ciężar podejmowania tych decyzji nie powinien spoczywać na jednostce. To jest coś, czego społeczność zajmująca się prywatnością naprawdę boleśnie się nauczyła, dlatego przepisy takie jak RODO nie opierają się tylko na zgodzie. Istnieją również sztywne wytyczne, które mówią: Jeśli zebrałeś dane z jednego powodu, nie możesz ich użyć do innego celu. I nie możesz zebrać więcej danych, niż jest to absolutnie konieczne.

Czy był jakiś kraj lub stan, który według Ciebie okazał się szczególnie obiecujący w swoim podejściu do regulacji biometrii?

Tak, nic dziwnego, że nie jest to kraj ani stan. W rzeczywistości jest to Międzynarodowy Komitet Czerwonego Krzyża [MKCK]. W tomie Ben Hayes i Massimo Marelli — obaj w rzeczywistości są przedstawicielami MKCK — napisał refleksyjny kawałek w jaki sposób zdecydowali, że istnieje uzasadniony interes w korzystaniu z danych biometrycznych w kontekście dystrybucji pomocy humanitarnej. Ale uznali również, że istnieje wiele rządów, które naciskają na nich, aby uzyskali dostęp do tych danych w celu prześladowania tych społeczności.

Mieli więc bardzo realną zagadkę i rozwiązali to, mówiąc: Chcemy stworzyć politykę biometryczną, która minimalizuje faktyczne zatrzymywanie danych biometrycznych ludzi. Więc to, co zrobimy, to mieć kartę, na której bezpiecznie przechowywane są czyjeś dane biometryczne. Mogą użyć tej karty, aby uzyskać dostęp do pomocy humanitarnej lub udzielanej pomocy. Ale jeśli zdecydują się wyrzucić tę kartę, dane nie będą przechowywane nigdzie indziej. W ramach polityki postanowiono zasadniczo nie tworzyć bazy danych biometrycznych z danymi uchodźców i innych osób potrzebujących pomocy humanitarnej.

Dla mnie szerszą lekcją z tego jest rozpoznanie problemu. Problem w tym przypadku polegał na tym, że bazy danych tworzyły honeypot i realne ryzyko. Wymyślili więc zarówno rozwiązanie techniczne, jak i sposób, w jaki ludzie mogą wycofać lub usunąć swoje dane biometryczne z pełną agencją.

Jakie są główne luki w podejściu do regulacji biometrycznych we wszystkich dziedzinach?

Dobrym przykładem ilustrującym tę kwestię jest: Jak prawo radzi sobie z całą kwestią stronniczości i dokładności? W ciągu ostatnich kilku lat widzieliśmy tyle fundamentalnych badań od ludzi takich jak Joy Buolamwini, Timnit Gebru i Deb Raji, którzy egzystencjalnie rzucają wyzwanie: Czy te systemy działają? Przeciw komu działają? A nawet jeśli przejdą te tak zwane testy dokładności, jak faktycznie radzą sobie w prawdziwym kontekście?

Prywatność danych nie dotyczy tego typu problemów. Więc to, co widzieliśmy teraz – i są to głównie wysiłki legislacyjne w USA – to ustawy, które nakazują audyty dokładności i niedyskryminacji systemów rozpoznawania twarzy. Niektórzy z nich mówią: Wstrzymujemy stosowanie rozpoznawania twarzy, ale jednym z warunków zniesienia moratorium jest zdanie tego testu dokładności i niedyskryminacji. A testy, do których często się odwołują, to testy standardów technicznych, takie jak test dostawcy rozpoznawania twarzy NIST.

Ale jak się w tym spieram pierwszy rozdział testy te ewoluują; udowodniono, że sprawdzają się gorzej w rzeczywistych kontekstach; a co najważniejsze, mają ograniczone możliwości radzenia sobie z szerszym dyskryminacyjnym wpływem tych systemów, gdy są stosowane w praktyce. Tak więc naprawdę martwię się w pewien sposób, że te standardy techniczne staną się rodzajem pola wyboru, które należy zaznaczyć, a następnie ignoruje lub zaciemnia inne formy szkód, jakie te technologie powodują, gdy są stosowane.

Jak to kompendium zmieniło twój sposób myślenia o regulacji biometrycznej?

Najważniejszą rzeczą, jaką zrobił dla mnie, jest nie myślenie o regulacji tylko jako o narzędziu, które pomoże w ograniczaniu tych systemów. To Móc być narzędziem do odpierania tych systemów, ale równie dobrze może być narzędziem normalizacji lub legitymizacji tych systemów. Dopiero gdy spojrzymy na przykłady takie jak ten w Indiach czy ten w Australii, zaczynamy postrzegać prawo jako wieloaspektowy instrument, z którego można korzystać na różne sposoby. W chwili, gdy naprawdę staramy się powiedzieć, czy te technologie w ogóle muszą istnieć? prawo, a zwłaszcza słabe regulacje, można naprawdę zbroić. To było dla mnie dobre przypomnienie. Musimy na to uważać.

Ta rozmowa z pewnością była dla mnie odkrywcza, ponieważ jako ktoś, kto opisuje sposób, w jaki ta technologia jest uzbrojona, często jestem pytany: jakie jest rozwiązanie? i zawsze mówię: rozporządzenie. Ale teraz mówisz, że rozporządzenie też może być uzbrojone.

To takie prawdziwe! To przywodzi mi na myśl te grupy, które pracowały nad przemocą domową w Indiach. I pamiętam, jak powiedzieli, że pod koniec dziesięcioleci walki o prawa osób, które przeżyły przemoc domową, rząd w końcu powiedział: OK, uchwaliliśmy to prawo. Ale potem nic się nie zmieniło. Pamiętam, że nawet wtedy myślałem, że czasami gloryfikujemy ideę uchwalania praw, ale co dzieje się potem?

I to jest dobre przejście – nawet gdy czytam Clare Garvie i Jamesona Spivacka rozdział o zakazach i moratoriach , zwracają uwagę, że większość z tych zakazów dotyczy wyłącznie użytku rządowego. Wciąż istnieje ogromny, wielomiliardowy, prywatny przemysł. Więc nadal będzie używany na koncercie Taylora Swifta w bardzo podobny sposób, w jaki użyliby go gliniarze: aby trzymać ludzi z daleka, dyskryminować ludzi. Nie zatrzymuje maszyny. To rodzaj interwencji prawnej wymagałby bezprecedensowego wsparcia. Nie sądzę, że niemożliwe jest uzyskanie tak zwanego całkowitego zakazu, ale jeszcze nas tam nie ma. Więc tak, musimy być bardziej ostrożni i krytyczni wobec sposobu, w jaki rozumiemy rolę prawa.

Co z kompendium wzbudziło w Tobie nadzieję na przyszłość?

To zawsze takie trudne pytanie, ale nie powinno tak być. To było prawdopodobnie Rozdział Rashidy Richardson i Stephanie Coyle . Ich rozdział był prawie jak etnografia o tej grupie rodziców w Nowym Jorku, którzy naprawdę mocno czuli, że nie chcą, aby ich dzieci były inwigilowane. A oni mówili: Jedziemy na każde spotkanie, chociaż oni się od nas nie spodziewają. I powiemy, że mamy z tym problem.

Naprawdę uspokajające było poznanie historii, w której to grupa rodziców całkowicie zmieniła dyskurs. Powiedzieli: Nie rozmawiajmy o tym, czy biometria czy nadzór są konieczne. Porozmawiajmy tylko o prawdziwych szkodach dla naszych dzieci i czy jest to najlepsze wykorzystanie pieniędzy. Senator następnie podniósł tę kwestię i przedstawił projekt ustawy, który właśnie w sierpniu uchwalił senat stanu Nowy Jork. Świętowałem z Rashidą, bo powiedziałem, Yay! Takie historie się zdarzają! Jest bardzo głęboko związany z historią rzecznictwa.

ukryć