美国一家零售商被禁止使用 AI 面部识别

Rite Aid 被禁止使用 AI 面部识别，此前 FTC 表示零售商在没有合理保障措施的情况下部署了技术

Rite Aid将被禁止在五年内使用面部识别技术进行监控，以解决联邦贸易委员会的指控，即该零售商未能实施合理的程序，并防止在数百家商店使用面部识别技术时对消费者造成伤害。

“Rite Aid鲁莽地使用面部监控系统，使其客户面临羞辱和其他伤害，其违反命令的行为使消费者的敏感信息处于危险之中，”联邦贸易委员会消费者保护局局长塞缪尔·莱文（Samuel Levine）说。“今天的开创性命令清楚地表明，委员会将保持警惕，保护公众免受不公平的生物识别监控和不公平的数据安全做法的影响。

拟议的命令将要求Rite Aid实施全面的保障措施，以防止在部署使用生物识别信息跟踪或将其标记为安全风险的自动化系统时对消费者造成此类伤害。它还将要求Rite Aid停止使用任何此类技术，如果它无法控制对消费者的潜在风险。为了解决其未能充分监督其服务提供商而违反2010年委员会数据安全命令的指控，Rite Aid还将被要求实施一项强大的信息安全计划，该计划必须由公司的高层管理人员监督。

在向联邦法院提交的一份起诉书中，联邦贸易委员会表示，从 2012 年到 2020 年，Rite Aid 部署了基于人工智能的面部识别技术，以识别可能从事入店行窃或其他有问题行为的客户。然而，投诉指控该公司未能采取合理措施防止对消费者造成伤害，结果，消费者被员工错误地指控为不当行为，因为面部识别技术错误地将消费者标记为与以前被认定为扒手或其他麻烦制造者的人相匹配。

防止滥用生物识别信息是联邦贸易委员会的重中之重，该委员会今年早些时候发出警告，该机构将密切关注这一部门。根据投诉，Rite Aid的行为使消费者感到尴尬，骚扰和其他伤害。该公司没有告知消费者它正在其商店中使用该技术，并且不鼓励员工透露此类信息。根据投诉，员工根据误报警报采取行动，跟踪消费者的商店，搜查他们，命令他们离开，打电话给警察与消费者对峙或带走消费者，并公开指控他们，有时在朋友或家人面前，入店行窃或其他不法行为。此外，联邦贸易委员会表示，Rite Aid的行为对有色人种的影响尤为严重。

根据起诉书，Rite Aid与两家公司签订了合同，帮助创建一个个人图像数据库 – 被认为是“感兴趣的人”，因为Rite Aid认为他们在其零售地点之一从事或试图从事犯罪活动 – 以及他们的姓名和其他信息，例如任何犯罪背景数据。根据起诉书，该公司收集了数以万计的个人图像，其中许多是低质量的，来自Rite Aid的安全摄像头，员工电话摄像头，甚至新闻报道。

FTC表示，该系统产生了数千个误报匹配。例如，根据投诉，该技术有时会根据数千英里外的活动将客户与最初在数据库中注册的人进行匹配，或者在美国各地的数十家不同商店标记同一个人。具体来说，投诉称 Rite Aid 未能：

考虑并减轻消费者因错误识别而面临的潜在风险，包括因种族或性别而增加某些消费者的风险。例如，Rite Aid 的面部识别技术在位于多元黑人和亚裔社区的商店中比在多元白人社区的商店中更有可能产生误报;
在部署面部识别技术之前，测试、评估、测量、记录或询问其面部识别技术的准确性，包括未能向其用于提供面部识别技术的任何供应商寻求有关该技术准确性测试程度的任何信息;
防止使用与其面部识别技术相关的低质量图像，从而增加误报匹配警报的可能性;
在部署技术后定期监控或测试其准确性，包括未能实施或执行任何程序来跟踪误报匹配率或基于这些误报匹配采取的操作;和
对负责在门店操作面部识别技术的员工进行充分培训，并指出该技术可能会产生误报。即使在 Rite Aid 改用一种技术，使员工能够报告“不匹配”并要求员工使用它，该公司也没有采取行动确保员工遵守这一政策。

联邦贸易委员会在投诉中还表示，Rite Aid违反了2010年与委员会签订的数据安全令，未能充分实施全面的信息安全计划。除其他事项外，2010 年的命令要求 Rite Aid 确保其第三方服务提供商有适当的保障措施来保护消费者的个人数据。例如，投诉称，该公司对服务提供商进行了多次口头安全评估，但未能获得或拥有此类评估的备份文件，包括被视为“高风险”的服务提供商Rite Aid。

除了对自动生物识别安全或监控系统的禁令和必要的保障措施外，拟议命令的其他条款禁止 Rite Aid 歪曲其数据安全和隐私做法，并要求该公司：

删除并指示第三方删除他们因 Rite Aid 的面部识别系统以及使用这些图像和照片开发的任何算法或其他产品而收集的任何图像或照片;
当消费者的生物识别信息被注册到与生物识别安全或监控系统相关的数据库中时，以及当 Rite Aid 根据此类系统生成的输出对他们采取某种行动时，通知消费者;
调查并以书面形式回应消费者对消费者采取的与自动生物识别安全或监控系统有关的行动的投诉;
向消费者提供清晰和显眼的通知，说明其商店使用面部识别或其他生物识别监控技术;
在五年内删除其收集 的任何生物识别信息;
实施数据安全计划，以保护其收集、存储和与供应商共享的个人信息;
获得对其信息安全计划的独立第三方评估;以及
向委员会提供其首席执行官的年度证明，证明 Rite Aid 遵守该命令的规定。

委员会以 3-0 的投票结果授权工作人员对 Rite Aid 提出投诉和拟议的规定命令。专员阿尔瓦罗·贝多亚（Alvaro Bedoya）发表了一份声明。

投诉和命令是在宾夕法尼亚州东区提交的。Rite Aid目前正在进行破产程序，该命令将在破产法院和联邦地区法院批准以及委员会修改2010年命令后生效。

这些事项的主要律师是联邦贸易委员会消费者保护局的罗宾·韦瑟里尔、莉亚·弗雷泽、戴安娜·张、克里斯托弗·埃里克森和布莱恩·韦尔克。