奇点临近:企业引入AIGC的风险与防控

发布时间:2023-03-21

文 | 史宇航 汇业律师事务所 顾问

一、背景:飞入寻常百姓家

伴随着ChatGPT的热度持续发酵,以及New Bing一票难求,AIGC已经走到门前按下了门铃。企业将AI引入到日常工作中也正在成为大的趋势。人工智能的奇点,已经近在眼前。

企业运用AIGC的能力,可能直接成为核心竞争力与吸引力的组成部分。但AIGC也同时会给企业的合规经营带来了巨大的挑战。与之前造成广泛影响的其他深度合成技术不同,ChatGPT、New Bing、Codex的AIGC已经展示出嵌入日常工作的能力,这意味着深度合成技术在未来可能会成为新的办公标准配置,就像电子邮件、无线网络、Office套件那样。

在办公场景下,起草邮件、撰写文案、绘制海报等场景都可能有AIGC的一席之地。在这样的背景下问题随之而来,网络游戏中能否为NPC添加ChatGPT式的交互功能,能否用AIGC去给编故事、编试题、画插图,能否借助Codex这样的系统写程序,不一而足。

面着以ChatGPT为代表的新技术冲击,新技术如何在法律框架下发挥最大的潜力,会是企业合规新的难题。而中国是最早对人工智能进行监管的国家之一,《互联网信息服务深度合成管理规定》已经于2023年1月10日施行。此外,此前在《互联网信息服务算法推管理规定》《网络音视频信息服务管理规定》《网络信息内容生态治理规定》等法律法规中均涉及深度合成内容。

二、AIGC的法律框架

在中国的法律框架下,设立了深度合成服务提供者、深度合成服务技术支持者以及深度合成服务使用者三类主体:

1690961221910.png

目前中国法律围绕着深度合成服务提供者为中心构建了监管义务,通过管理规则、平台公约与服务协议来拉平技术支持者与使用者的合规水位,而使用者会直面最终用户,甚至自己就是用户。如果深度合成技术支持者面向使用者提供服务,那么直接服务提供者与服务技术支持者将是同一主体。

1690961234326.png

根据以上框架,企业如果希望在服务中引入AIGC,则需要关注:

1.与深度合成服务提供者或技术支持者的协议条款。基于合同关系,重点需要关注在使用AI方面有何限制、免责场景。

2.深度合成服务提供者与技术支持者是否履行了《互联网信息服务深度合成管理规定》中的的合规义务。如果深度合成服务提供者与技术支持者无法履行相关义务,则需要法务合规人员将风险进行识别和标记,供公司领导层与业务部门决策是否承担该风险。

而对于计划在中国境内合规提供深度合成技术的机构来说,《互联网信息服务深度合成管理规定》中的各项义务,也是提供服务前的必答题,尤其是算法备案义务。

三、算法备案

算法备案仍是监管部门对算法安全进行管控最重要的方式,如未完成则会成为最明显的风险敞口。因为算法备案的公开性,第三方会将算法是否完成备案作为判断合规水位的一个重要角度。

截至2023年2月,共有三批共223个算法通过了算法备案并进行公示,其中生成合成类共有10个,在完成备案的233个算法中占比并不算高:

1690961252870.png

目前,通过备案的生成合成类算法主要被运用于智能客服、语音转化、图像识别、视频图像生成等领域。我们对通过算法备案的生成合成类算法进行了整理:

1690961269183.png

中国的算法备案制度,是基于公司与算法的“双层备案制”。所谓“双层备案制”,即首先需要通过公司层面的备案,对公司算法管理机构、岗位、制度等内容进行考察,并完成公司备案;在完成公司层面的备案后,再对算法本身的情况进行备案,如算法的名称、使用场景、风险防控机制,等等。因此,在备案清单中经常会看到公司对某一产品的不同算法进行备案。

四、隐私与数据保护

如果企业贸然在服务中引入AIGC,则会让用户的隐私与数据安全面临巨大的合规挑战。究其原因,AIGC的改变体现在以下方面:

1.传统聊天软件通常会声称不会收集聊天记录,聊天记录会点对点加密传输,但AIGC不可避免会收集聊天内容用于内容生成并反馈,以及用于算法的训练,所提供的隐私信息甚至可能在其他场景下被披露。简而言之,AIGC改变了隐私的边界与预期。

2.对非结构化数据的收集。传统网络产品对个人信息的收集是较为固定且结构化的,即企业通常会预先设置好计划收集个人信息的类别。但ChatGPT、New Bing这样的聊天机器人不会,它们会随着聊天不断获得用户的隐私与个人信息。会获得哪些数据很难提前预知。这也为隐私政策如何告知用户处理个人信息的类型带来了挑战。

3.信息处理的方式可能是黑箱,这也导致撤回、修改、删除等个人信息权利如何行使会有考验。

4.如果直接选用境外的AIGC技术,有较大可能性会涉及数据出境的问题,且该场景下如何开展数据出境合规可能仍有待探索和研究。

5.当然,通过聊天的形式也有可能更有助于个人信息的保护,比如告知聊天机器人让它帮我们整理个人信息处理规则,告知我们聊天过程中它收集了哪些个人信息,通过自然语言直接要求修改、删除,等等。

概言之,AIGC在交互方面的应用会改变个人信息的保护模式,而且会是算法评估、备案中重点关注的内容之一。企业在引入AIGC提供服务时,需要充分考虑个人信息处理情况的变更,有必要就AIGC到运用,开展个人信息保护影响评估。

五、合规建议

根据我们为提供算法合规的经验,企业如果决定在服务中引入AIGC,不妨:

1.采用敏捷治理模式控制AI风险。通过定向邀请、局部试点,以用户体验计划等灵活形式推出服务,确保使用的服务能够得到充分测试。比如微软在New Bing时就采用了该策略,避免未经充分测试的服务带来无法挽回的影响。

2.就员工内部使用AIGC,制定合规使用政策。在制定规则的过程中,充分与员工进行沟通,征求员工、法务、合规、管理层等利益相关方的意见。并且对规则及时进行更新、完善。在此基础上,就合规使用开展培训,要求使用相关服务的员工充分理解AIGC的使用场景与风险,严格限制使用AIGC时交互信息的范围,涉及个人信息、隐私、商业秘密的信息不得通过AIGC处理。

3.制定企业层面的AI治理架构、伦理政策与规章制度。在人员组成方面确保多样性,充分考虑性别、年龄、地域、学历、部门等多样性因素。引入外部资源,增加相关决策的客观性。

对算法进行动态自评估。算法自评估不是一锤子买卖,而是需要随着算法的调试、完善、不断迭代的一份文件,贯穿于算法的整个生命周期。

4.在与AIGC的外部供应商合作中,如与第三方技术支持者或服务提供者进行合作,应当要求第三方尽可能全面地披露风险与数据处理情况,并就责任承担事宜尽可能清晰地进行约定。

5.向可能被影响的人群告知AIGC的使用情况。如对外服务时告知内容是由AIGC生成,应当警惕内容的风险,或是在对内服务时提升相关内容生成于AICC,确保可能被影响人群的知情权,等等。

返回列表