Title: 你的脸不是密码
菲律宾国家隐私委员会推出了一项基于风险的框架，用于管理生物识别数据的收集和使用，使人脸识别系统立即面临监管审查。开发扫描、存储或比对人脸软件的开发者现在必须重新设计流水线、加强审计追踪并重写数据保留政策。
为什么这一转变至关重要
直到现在，菲律宾的隐私影响评估还只是“清单式”的工作——填个表，拿个签字，然后继续。新框架在定义上将生物识别数据归类为高风险，尤其是在人群中识别身份时。泄露的密码可以重置；但一旦面部模板遭到泄露，就无法更改，从而造成永久性的安全隐患。委员会的指南强制要求组织在开始收集图像之前，必须证明他们已经降低了相关风险。
人脸识别 vs. 人脸比对
规则在人脸 AI 的两种常见用途之间划清了界限：
- 人脸识别 (Facial recognition) – 扫描人群并将每张脸与庞大的数据库进行匹配。这属于高风险。
- 人脸比对 (Facial comparison) – 将两张特定的图像进行比对，例如通过自拍解锁设备。这属于较低风险，且在审计时更容易证明其合理性。
开发者必须做出哪些改变
| 要求 | 对代码库意味着什么 |
|---|---|
| 数据清理钩子 (Data-clearing hooks) | 每个捕获或处理人脸的模块都必须包含一个内置函数，以便在原始图像、特征向量及任何衍生数据不再需要时立即将其擦除。 |
| 细粒度审计日志 | 系统必须记录谁在何时出于何种目的访问了哪条生物识别记录，甚至要精确到导致匹配的算法决策。 |
| 禁止无限期存储 | 生物识别模板不能永远留在数据库中。保留政策必须定义精确的删除窗口并触发自动清理。 |
| 可解释的数学逻辑 | 团队必须记录相似度阈值、人脸的数学表示（即“向量化逻辑”）以及错误接受率 (False Acceptance Rate，即冒充者被错误接受的概率)。 |
| 采集前的隐私评估 | 在捕获任何图像之前，必须完成并批准正式的风险评估，将隐私工程集成到 CI/CD 流水线中。 |
| 同意流程 | 需要清晰的“选择加入” (opt-in) 机制，并将用户许可记录与生物识别数据一同存储。 |
这些变化不仅仅是一次性的审计清单。它们要求将隐私考量融入开发的每一个阶段，从模型训练到部署，再到最终的退役。