賀栩溪
(湖南工商大學法學院,湖南 長沙 410205)
隨著人工智能技術的快速發展和廣泛應用,由其帶來的侵權問題開始逐漸顯現。無論是物理性接觸侵權如自動駕駛汽車造成的交通事故,還是非物理性接觸侵權如隱私權、個人信息受侵害,算法“殺熟”、算法歧視和“信息繭房”等問題均開始逐漸進入社會關注的視野,并成為目前學界爭議的熱點和立法亟需解決的問題。
面對人工智能技術對人類權益的上述侵害,有學者認為現行民法的基本理念和基本規則足以應對而不需要發生斷層式的發展,并以自動駕駛汽車為例,認為現有機動車交通事故責任規則和產品責任規則能夠基本適用自動駕駛汽車侵權案件(1)楊立新.用現行民法規則解決人工智能法律調整問題的嘗試[J].中州學刊,2018,(7):40-48.。誠然,無論是具備物質實體的智能機器人,還是不具備物質實體的人工智能系統均往往與普通產品類似,一般都是先由開發者投入大量人力物力予以開發,然后以盈利為目的提供至使用者手中(2)不具備物質實體的人工智能系統往往被應用于大量軟件當中,通過“應用商店”向消費者供應,雖然大部分常見應用可免費獲得,但并不能改變這種行為的銷售性質:人工智能時代下的對價支付不一定需要金錢或其他傳統等價財物,聚沙成塔的流量,網絡足跡所形成的數據才是當代科技社會的寶貴資源。。因此在傳統侵權責任法律中,人工智能侵權的責任主體應當對應人工智能生產者、銷售者、使用者和第三人。按照普通產品侵權責任的歸責,上述主體已經具有一定全面性,尤其是“第三人”還具有一定的兜底特性,筆者亦認為產品責任、使用者責任和第三人責任可以并應當在人工智能侵權責任的歸責過程中繼續適用,但上述傳統主體能否完全滿足人工智能侵權責任的歸責需求,筆者仍持否定態度,主要理由如下:
第一,就以自動駕駛汽車為代表的具有物質實體形式的智能機器人來說,首先,自動駕駛技術的設計者與生產者往往不再為同一主體(3)例如華為造車消息曾不脛而走,引發社會廣泛關注和討論,但華為表示其不參與造車,只作為智能部件供應商,采用HUAWEI Inside模式,把華為的自動駕駛硬件、麒麟芯片、鴻蒙系統等帶進更多汽車制造商的產品里;百度與吉利汽車為戰略合作伙伴關系,百度提供智能駕駛專業知識和技術,吉利負責進行汽車制造。,而智能技術將成為自動駕駛汽車發生事故的主要原因之一,若仍然由生產者承擔因智能設計缺陷導致的侵權責任,該責任分配的公平性值得商榷;其次,自動駕駛汽車在行駛過程中不僅依靠自動駕駛系統本身,還需要大量行車數據、道路數據的實時更新和傳輸共享,以實現車與車、車與環境之間的信息交換,自動駕駛系統正是在此基礎之上進行運行從而作出各種決策。若上述數據出現問題導致自動駕駛系統決策發生錯誤從而造成交通事故,傳統產品責任能否涵蓋出廠及銷售后還在不斷更新變化的數據所引起的責任,筆者持有保留態度。
第二,以不具備物質實體形式而存在于虛擬空間中的人工智能來說,首先,大數據對這類人工智能的影響,相比具備物質實體的智能機器人來說有過之而無不及,其算法決策需要大量數據予以支撐,數據缺陷成為人工智能侵權的重要原因之一;其次,與智能機器人一般由生產者、銷售者直接交向終端使用者不同,不具備物質實體人工智能的開發者和終端使用者之間往往還有中間載體——算法應用平臺,平臺基于其強大影響力或強制應用需要而擁有眾多終端用戶,并往往容易成為侵權發生后的第一問責對象,但該主體難以被傳統侵權責任主體所包含。
第三,雖然第三人責任因具有兜底特征可涵蓋除產品責任和使用人責任之外的一切其他責任主體,但數據責任和平臺責任在人工智能侵權責任中的重要地位和特殊性使得將其從第三人責任中獨立出來具有現實需要。在傳統侵權責任中,第三人責任作為產品責任與使用人責任的補充,適用一般侵權責任規則,承擔的是過錯責任歸責原則。然而,大數據和平臺在人工智能應用中的影響力決定單純的過錯責任無法與其地位相匹配,需要基于大數據在人工智能中的作用方式和平臺應用領域適用更為嚴格的多元化歸責原則,構建與傳統第三人責任并不相同的特殊侵權責任規則。
綜上所述,除了傳統侵權責任主體之外,算法設計者、數據提供者和算法應用平臺在人工智能侵權中所產生的影響不容小覷,需要被正視并予以深入研究。在此背景之下,本文以上述三大新興主體作為研究對象,對其在人工智能侵權責任歸責過程中獨立于傳統責任主體的必要性、具體歸責原則的適用以及其與傳統責任主體之間的關系和責任分配等問題展開探討。
在傳統侵權責任法中,產品的開發責任僅由生產者向受害者承擔,產品設計者并不直接對外承擔責任。產品“缺陷”通常可以分為三種類型:設計缺陷、制造缺陷和警示缺陷,包括設計缺陷在內的三種缺陷均由生產者對外承擔責任。對于較為復雜的產品,生產者可能無法自主設計出該產品的所有配件構造,因此這類產品往往會有部分或全部設計來源于上游設計者。根據我國現有產品責任規定,即使產品缺陷來源于上游主體,向受害者直接承擔產品責任的主體亦是最終生產者而非上游主體。
現有法律的上述規定具有一定的客觀事實基礎和法律適用優勢。首先從產品生產的過程來看,生產者在整個加工、制作過程中仍然處于最有力的位置,其對于成品質量的控制和把握始終居于主導地位;其次,對于大部分產品來說,產品的設計者并不獨立而是隸屬于生產者存在,其屬于生產者的下設部門或者雇員,根據《民法典》侵權責任編第1191條的規定,設計者由于職務設計出現缺陷導致的他人損害應由用人單位承擔責任;再次,由生產者承擔責任有利于填補受害人損害,并一定程度上預防產品責任的發生。產品的生產一般需要經過設計、制造和組配等過程,由最終成品生產者承擔無過錯的產品責任,有利于促使其保證各個環節的質量和銜接,避免各自為政、互相脫節,以及損害出現后互相推諉的局面產生,而且從受害人角度來講,確定產品的最終生產者比確定產品是否具有某項設計缺陷,繼而確定該缺陷的設計者要容易得多。
然而,對于人工智能侵權所導致的產品責任而言,學界和立法界開始出現將設計者責任從生產者責任中剝離出來而由設計者單獨承擔的觀點和立法傾向。“基于人工智能產品的特殊性有必要充分考慮將設計者納入產品責任主體體系。因為人工智能產品不同于一般產品,其必然涉及大量的數據與復雜的算法基礎,專業要求度極高。”(4)胡元聰.我國人工智能產品責任之發展風險抗辯制度構建研究[J].湖湘論壇,2020,(1):76.還有學者認為人工智能產品的設計者應當獨立承擔過錯責任:“人工智能設計者過錯責任側重于設計師是否能在設計中謹慎行事,該分析采用合理標準來確定設計師是否合理地設計產品,如果設計師行為不合理,法院會認定為疏忽。”(5)Callier,M.& H.Callier.Blame it on the Machine:A Socio-legal Analysis of Liability in an AI World[J].Wash. J. L. Tech. &Arts,2018,14:49.2016年,美國密歇根州出臺關于自動駕駛機動車的法案,其中在侵權責任方面規定:“(1)為了分配事故責任,將機器定為“駕駛員”;(2)為提供AV(autonomous vehicle)系統的技術公司定義責任;(3)將汽車制造商從責任中隔離出來,除非損害是由車輛最初制造時存在的缺陷引起的,或者是由車輛轉化為AV機動車之前就存在的缺陷引起的。”(6)S.FISCAL AGENCY,S.B.996-F,(Mich.2016).該規定明確將自動駕駛機動車制造商的責任和技術開發公司的責任相區別,并被學者認為為未來立法分配人工智能侵權責任提供指導意義(7)Callier,M.& H.Callier.Blame it on the Machine:A Socio-legal Analysis of Liability in an AI World[J].Wash. J. L. Tech. &Arts,2018,14:47.。
產品設計是在產品被制造之前,預先形成的構思、計劃、方案、圖樣和安排等,設計是制造的前置階段,任何產品均需要經過設計才能投入生產和制造(8)冉克平.論產品設計缺陷及其判定[J].東方法學,2016,(2):13.。產品設計具有多樣性,就具有物質實體的智能機器人而言,基于其美觀或實用而產生的外觀設計,基于其安全性能而產生的機械安全設計,或基于其核心能力創造而產生的技術設計等都能稱之為智能機器人產品的設計,而且每種類型的設計者絕大可能并不是同一主體;就以電磁形式存在于虛擬空間的智能系統而言,其設計主要表現為核心智能功能技術。并不是人工智能產品上的所有設計均具有與其他產品相異的特殊性,人工智能產品與其他產品相區別的根本在于人工智能的核心技術設計,這種核心設計使人工智能擁有了其他產品無法企及的自主學習能力、自主改造能力及思維決策能力,而這種核心設計即人工智能算法。
筆者認為,人工智能算法系統所產生的設計缺陷責任應當從生產者責任中剝離出來而由設計者直接向受害人承擔,除非人工智能的生產者與算法系統的設計者屬于同一主體。理由如下:對于人工智能產品而言,算法的設計才是其得以誕生的根源,人工智能之所以能從其他法律客體中突出而被學界重點研究并被認為可能需要進行不同的法律應對,正是由于算法所帶來的類似人腦能力的出現,而這種能力來源于算法設計者的設計行為,與生產者的生產行為并無關系。算法設計的高度專業性阻隔了一般生產者對它的深入了解和掌握,因此生產者鮮能在設計過程中占據最有力位置,并控制和把握算法的質量。人工智能侵權的大部分原因可能源自算法設計出現了問題,讓完全無法理解算法的生產者承擔損害賠償責任有失公允,對于提高設計質量,減少侵權發生亦毫無意義。事實上,在一些高科技、高度專業化且復雜的產品中,已經存在對產品責任主體予以寬泛理解的先例,尤其體現在航空器產品侵權領域,部分學者早已主張航空器設計者應當作為航空產品責任的主體(9)Speiser,S.M.& C.F.Krause.Aviation Tort Law[M].the Lawyers Cooperative Publishing Co.,1978;郝秀輝,王錫柱.論航空產品責任的承擔主體及其歸責原則[J].北京理工大學學報(社會科學版),2016,(1):122.。在赫姆訴空中客車公司(Hemme v.Airbus)一案中,法航447號航班空難者家屬亦將飛機大氣數據慣性系統、飛翔控制計算機微處理器的設計者摩托羅拉公司起訴至法院(10)Hemme v.Airbus,S.A.S.,2010 WL 1416468(N.D.Ill.,2010).。
至于前述關于傳統產品責任之所以涵蓋設計缺陷的客觀事實基礎,在人工智能產品侵權中并未發生根本變化,以及其法律適用優勢在人工智能產品侵權中亦有繼續存在之現實需要。那么,如何在算法設計者獨立承擔責任的前提之下仍然尊重該客觀事實基礎及繼續保留該法律適用優勢,則需要通過構建算法設計者責任和傳統產品責任之間的不真正連帶責任予以解決。
由設計者直接向受害人承擔因算法設計缺陷所導致的損害,并不意味著人工智能生產者能夠完全置身事外。算法設計缺陷所導致的損害宜由設計者、生產者和銷售者一起對外承擔不真正連帶責任,即當受害者認為人工智能侵權是由算法設計缺陷導致的,可以將人工智能產品的銷售者、生產者和設計者同時訴諸法院,任何一方向受害人賠償后,均可向實際侵權人追償。該規則設計主要基于以下三個方面:
第一,雖然算法設計在人工智能產品中處于最核心地位,但傳統產品責任規則構建的客觀事實基礎仍然存在:生產者是將算法系統最終嵌入人工智能成品并投入市場的主體,其能夠最先了解該算法系統并決定是否予以應用,因此對于算法設計損害來說,生產者并非完全沒有責任;而且生產者雖然不具備設計者的專業能力,但也能以指示等類似方式影響和改變算法的設計,此時生產者與設計者之間的責任并非常態時涇渭分明,為其構建不真正連帶責任能有效解決在該情形下所產生的外部責任承擔問題。
第二,該構建能最大程度地保護受害人利益,極大提高受害人損害獲得填補的可能性,保留了傳統產品責任的法律適用優勢。即使由算法設計者獨立對外承擔責任,受害人亦無需因追責對象錯誤而耽誤救濟時間、增加救濟成本;新增算法設計者作為對外責任主體反而能夠提高受害人獲得救濟的幾率。
第三,算法設計缺陷所導致的損害由設計者、生產者和銷售者一起對外承擔不真正連帶責任符合不真正連帶責任規則的內核。不真正連帶是各債務人基于不同的發生原因而對于同一債權人負有以同一給付為標的的數個債務。當人工智能算法設計出現缺陷時,算法設計者基于該缺陷的設計行為負有給付義務,生產者則基于整個人工智能產品的生產行為負有給付義務,銷售者則基于該人工智能的銷售行為負有給付義務。因此僅從不真正連帶責任的內核來看,設計者、生產者和銷售者亦應對算法設計缺陷所導致的損害承擔不真正連帶責任。
從我國現有法律來看,無論是《民法典》還是《產品質量法》,均未對產品缺陷作出類型化的分別規范,而是籠統規定“因產品存在缺陷造成他人損害”的產品責任適用無過錯責任歸責原則。比較法上的相關規定自其產品責任產生之初亦大抵相近,但隨著設計缺陷案件逐步增多,有些國家立法開始將產品缺陷進行分類,并對不同的缺陷類型適用不同的歸責原則,其中最為典型的國家為美國。1965年美國《侵權法重述》(第二版)還沒有關于產品缺陷的分類,其在402A節中規定對所有產品缺陷統一適用嚴格責任,并在司法實踐中獲得較為嚴格的執行。但從70年代伊始設計缺陷產生并逐年增加,理論界開始出現對統一歸責原則的質疑(11)Davis,M.J.Design Defect Liability:In Search of A Standard of Responsibility[J]. Wayne L.Rev.,1993,39:1217.,有些法院雖然宣稱將嚴格責任適用于設計缺陷,但實際上使用的是類似過錯的歸責原則(12)Owen,D.G.Defectiveness Restated Exploding the “Strict”Product Liability Myth[J].U.ILL.L.REV.,1996(3):743,744.。1979年美國《統一產品責任示范法》出臺,其中第104條表明不同缺陷應適用不同歸責,規定對設計缺陷不再實行純粹的嚴格責任。如果說該法案是設計缺陷從嚴格責任走向過錯責任的過渡,那么1997年發布的《侵權法重述第三版:產品責任》則正式確定了設計缺陷的過錯責任歸責原則,其中第2節b款規定設計缺陷是指“通過采納合理替代性設計能減少或者避免可預見的損害風險,而沒有采納合理替代性設計致使產品不具有合理性安全。”該規定使設計缺陷的認定標準明確為傳統上用于判斷行為人是否存在過錯的合理性標準(13)[美]美國法律研究院.侵權法重述第三版:產品責任[M].肖永平等譯.北京:法律出版社,2006.4.。
究其原因,美國法律和司法實踐在設計缺陷歸責原則上的轉變主要基于以下幾個方面的思考。首先,設計缺陷的無過錯責任與人類認知規律相悖。設計隱含著創新和突破,設計者對自己設計是否具有缺陷的判斷,取決于設計時的科技發展水平和人類的認知能力。如果設計缺陷適用無過錯責任,意味著責任主體需要對無法知曉的風險承擔責任,其違背了人類的認知規律,無異于要求責任主體承擔絕對責任;其次,基于利益衡量與社會效用的考慮,雖然嚴格責任更有利于保護消費者,但設計者不得不因此考慮可能承擔的責任,在設計時通過犧牲產品功效的保守性方式以獲得更加安全的產品,最終損害的將是全社會失去獲得有效產品功用的自由和更多產品選擇的機會。另外還有學者指出,設計缺陷適用過錯責任并不會改變舉證責任要求的機理。原告欲證明設計缺陷的存在,往往需要提出一個合理的替代設計與原設計進行對照,當原告證實存在合理替代設計時,不僅能夠證明原設計具有缺陷,也能夠證明行為人在設計上具有過錯,因此兩者在舉證方面是重疊的,并沒有突破過錯責任的基石,以免除原告對被告過錯舉證義務之必要(14)梁亞.美國產品責任法中歸責原則變遷之解析[J].環球法律評論,2008,(1):107.。
盡管如此,設計缺陷的過錯責任原則并不被所有國家或地區所選擇,如歐盟在1985年的《歐共體產品責任指令》中明確規定所有缺陷應適用嚴格責任,盡管該指令在起草過程中已充分討論美國產品責任歸責原則在司法實踐中所發生的變化(15)梁亞.美國產品責任法中歸責原則變遷之解析[J].環球法律評論,2008,(1):108.。除此之外采取同樣歸責原則的還包括我國在內的大部分國家。嚴格責任以保護弱勢的受損害者為主要理念,其存在的價值基礎在于:第一,公平。過錯責任建立在原被告雙方風險具有相互性的基礎之上,而在產品責任中開發者能源源不斷地因缺陷產品獲得利益,打破了上述風險基礎,因受害者不能證明開發者過錯而使其免于承擔責任有違公平;第二,安全。嚴格責任促使開發者設計和制造更加安全的產品,從而降低對生命和健康損害的可能性已經成為學界和社會的共識;第三,損害轉嫁原則。嚴格責任下的開發者能夠將所需負擔的責任加入產品的成本之中,由此而由所有消費者分攤該損害代價。
作為此消彼長的相互關系,過錯責任與嚴格責任在設計缺陷上的爭議與膠著使算法設計缺陷的歸責原則成為難題。一方面,人工智能算法作為科技創新的最前沿領域,尤其符合上述適用過錯責任的理由;而另一方面,人工智能正值進入市場之初,人類對于新科技的不信任和恐懼尚在峰值,正如嚴格責任的產生離不開工業發展,新出現的人工智能算法似乎更需要嚴格責任予以保駕護航。然而兩者比較之下,筆者認為算法設計缺陷更宜適用過錯責任。主要理由在于:
首先,算法缺陷與其他設計缺陷不同,其責任的承擔者為設計者而非生產者。算法設計活動是人工智能技術發展的核心,是科技創新的靈魂,要求設計者承擔無過錯責任,無異于為人工智能技術發展套上沉重腳鐐,縱有萬般設計思路亦會在付諸實踐之時趑趄不前。而且,通過無過錯責任促使設計更加安全的目的在人工智能算法中較難實現,因為算法不安全更多的是客觀不能而非主觀不能。人工智能算法設計作為目前人類最尖端的科技領域之一,其每一次進步和創新都是在人類的認知盲點中摸索,設計者只能基于當時的研發水平在現有認知能夠延伸的范圍之內進行設計,類似于很多航空科技的重大進步都以空難為代價(16)郝秀輝,王錫柱.論航空產品責任的承擔主體及其歸責原則[J].北京理工大學學報(社會科學版),2016,(1):122.,人工智能算法在發生損害之前,其可能存在的威脅亦很難被設計者所識別。
其次,讓設計者承擔無過錯責任在一定程度上有違風險收益均衡原則。相對于生產者能從每一件人工智能產品的制造和銷售中獲利,設計者收入相對固定,其依靠設計的智力勞動獲得報酬。因此即使人工智能產品的產量和銷量在不斷增加,算法設計者的邊際收益變化也不會如生產者明顯,甚至可能為零,但由人工智能算法所帶來的風險和損害事故將會隨著人工智能產量和銷量的增長而增長。算法設計者的邊際風險呈現出的是與其邊際收益完全不符的變化態勢,讓設計者承擔無過錯責任對其有失公允,不符合風險收益均衡的原則。
再次,即使對算法設計缺陷適用無過錯責任原則,其責任亦極大可能因開發風險抗辯而免除。無論歐盟還是我國在構建產品缺陷的嚴格責任時,均認為“將產品投入流通時科學技術水平尚不能發現缺陷存在”情形是行為人的免責事由之一(17)分別規定于《歐共體產品責任指令》第7條e項和我國《產品質量法》第41條第2款。。然而,該開發風險抗辯有可能在人工智能算法設計缺陷的追責中被濫用,原因依然在于人工智能算法設計的尖端科技屬性,使該免責事由的適用可能會出現只能由算法設計者自身做自身缺陷的裁判者,而且使用的標準還是被評判的人工智能本身的矛盾情形,導致大部分人工智能算法設計缺陷都得以免責,無過錯責任的規定或將形同虛設,無法達到應有的立法目的。
綜上所述,算法設計缺陷適用過錯責任歸責原則更加符合人工智能算法本身的特征。至于因適用過錯責任可能導致的受害者損害填補不能問題,可以通過其他方式予以緩解或解決,如強制責任保險制度或人工智能算法系統使用協議等,使受害人損害由保險公司或合同責任主體合理分攤。
數據提供責任對于我國法律乃至比較法上任何一部法律來說,都是一個近幾年才出現并被關注的全新責任類型。大數據、大計算能力以及人工智能算法三者的結合,使數據對人類的影響能力大幅提升,宛如一個人品性的好壞很大程度取決于其所接受的教育,數據對于人工智能算法來說,就是其被培訓教育時所使用的素材或知識。因此,數據背后的主體——數據提供者成為了可能影響人工智能侵權的責任主體之一。
目前立法和學界對于數據提供者的名稱、內涵和外延規定均不一致。
自從我國《民法典》在“隱私權和個人信息保護”中使用了“信息處理者”稱呼后,我國法律開始沿用此概念。2021年11月起施行的《個人信息保護法》是我國目前在數據保護領域規定最為詳實的單行法,但兩部法律均未對“信息處理者”作出明確界定,僅規定個人信息的處理包括“個人信息的收集、存儲、使用、加工、傳輸、提供和公開等”。國內有研究者使用“數據服務提供者”概念,稱數據服務作為大數據時代的一種新型服務形態,是指“市場主體基于用戶對特定信息資訊的需求,為其提供相關數據的服務”。并主張數據服務提供者具有數據質量瑕疵擔保責任(18)齊英程.數據服務提供者的質量瑕疵擔保責任研究[J].大連理工大學學報(社會科學版),2022,(6):76.。有研究者則使用“外部數據供給”:“數據供給的質量和充足程度決定了人工智能算法在單位時間內迭代的次數和質量”,是一種“新興的社會力量”(19)王德夫.論人工智能算法的法律屬性和治理路徑[J].武漢大學學報(哲學社會科學版),2021,(5):29.。
歐盟《一般數據保護條例》(GDPR)使用的名稱為“數據控制者”和“數據處理者”,根據條例第4條的定義,“數據控制者”是指能夠“單獨或共同決定個人數據的處理目的和方式的自然人、法人、公共機構、行政機關或其他實體”;“數據處理者”則是指“為控制者處理個人數據的自然人、法人、公共機構、行政機關或其他實體”。英國教授維克托·邁爾·舍恩伯格(Viktor Mayer-Sch?nberger)在其暢銷著作《大數據時代》中將數據提供者稱為大數據公司,并將大數據公司分為三種類型:第一,基于數據本身的公司。這種公司擁有大量數據或可以收集大量數據,卻不一定擁有提取數據價值的能力,如美國Twitter;第二,基于技能的公司。通常為技術供應公司、咨詢公司或分析公司等,雖然不一定擁有數據,但具備分析、處理和抓取數據價值并提供決策的技能,如天睿公司(Teradata)為Pop-Tarts和沃爾瑪分析零售數據并提供營銷策略;第三,基于思維的公司。雖然不一定具備數據分析和處理技能,但能創新性地策劃出數據利用新方式以挖掘數據的潛在價值,如Jetpac的聯合創始人皮特(Pete Warden)通過用戶分享的旅行照片數據來為人們推薦旅行目的地。也有一些公司以上三種能力均具備,如谷歌和亞馬遜等“大數據先鋒”(20)[英]維克托·邁爾·舍恩伯格,肯尼思·庫克耶.大數據時代:生活、工作與思維的大變革[M].盛楊燕,周濤譯.杭州:浙江人民出版社(第一版),2013.。
雖然上述立法或觀點各有千秋,但仍然能達成一定共識:盡管數據的源頭無不來自于網絡社會中的參與者,但數據收集者、處理者、運營者等主體才是數據提供者。每一位網絡參與者雖然是數據來源之所在,但他們并沒有將數據進行再利用的意思表示,因此無論所產生的數據之好壞,都不具備被追責的法理基礎;相反,由于帶有他們個人標記的數據被大量收集和利用,數據源頭者反而可能成為受害者而向數據提供者追責。
侵權法意義上的“數據提供者”應當是能夠控制數據質量和交易的人,只有具有該權能才能對數據侵權產生實質性的影響。維克托教授對于“大數據企業”的分類實際上將數據提供者的范圍做了擴大化解釋,思維公司與技術公司中利用數據決策部分本質上不會對數據本身產生影響,而是為數據利用提供一種方法,其與人工智能技術結合即變成了人工智能算法系統,因此稱之為算法設計者更為妥當。而基于數據本身的公司和技術公司中的處理數據部分能實質性地影響數據質量,決定數據走向,才構成侵權法意義上的“數據提供者”。由此看來歐盟GDPR關于“數據控制者”和“數據處理者”以及我國《民法典》《個人信息保護法》關于“信息處理者”的規定更加符合數據提供者的本質。
而我國法律中的“信息處理者”概念并不能完全契合人工智能侵權的歸責主體需要,主要基于以下三個方面的原因:第一,我國法律之所以使用“個人信息”而非“個人數據”是因為“信息”涵蓋除電子方式記錄之外的其他方式所記錄的信息(21)見《個人信息保護法》第4條。,而對人工智能產生影響的信息必然需要電子記錄形式,因此在本文使用“數據”而非“信息”更為準確;第二,除了個人數據之外,企業數據亦是人工智能運行的重要數據來源之一。雖然企業數據與個人數據息息相關,但當數據不再具有可識別性時,數據將喪失個人數據屬性,而且還有部分數據從最初就與個人數據無關,而我國的“信息處理者”外延并不能涵蓋對該部分數據的處理;第三,隨著數據產業的深入發展,數據主體已逐步實現精細化分工,市場開始出現諸多專門的數據公司,數據處理者、控制者等主體或已實現剝離,不再為同一主體(22)例如全球金融數據提供商之一路孚特公司(Refinitiv)最近提供一款公司數據產品,該產品是涵蓋全球99%市場總值的公司數據的集大成者,該數據產品可用于人工智能并由其作出投資決策,路孚特公司通過提供該數據產品獲取收益。https://www.refinitiv.cn/zh/financial-data/company-data?utm_content=CompanyData-APAC-BU-MAN_Baidu&utm_medium=cpc&utm_source=Baidu&utm_campaign=434512_PaidSearchZHBaidu&elqCampaignId=13802&utm_term=%25E5%2585%25AC%25E5%258F%25B8%25E6%2595%25B0%25E6%258D%25AE&gclid=CN2g4bKvsvUCFWBBwgUdoqIIOQ&gclsrc=ds(訪問時間2022年1月15日),而人工智能侵權的歸責主體應當為對數據具有控制能力并最終提供給人工智能的數據主體,因此我國“信息處理者”概念在本文并不具有最優性。
值得注意的是,雖然歐盟GDPR認為數據處理者的行為是在數據控制者的指示或授權下所作出,并以將成果返還給控制者為目的,按照法理,所產生的數據侵權責任應當由數據控制者承擔,但其在第82條“享有賠償的權利和責任”條文中所規定的責任主體并非完全為控制者這么簡單:處理者在未遵守GDPR其他條款,或超出、違背控制者合法指令的情形下應對其侵權損害承擔責任;若控制者和處理者兩者均參與同一項處理的,為了確保對數據主體的賠償,兩者對外均應對全部損害承擔責任。由此可見,GDPR雖然承認控制者應對其控制的所有行為承擔責任,但同時為了確保受害人獲得損害賠償,以及行為人處理數據的規范性,GDPR又盡可能地將處理者納入數據責任主體的范疇,值得我國進行適當學習和借鑒。
綜上所述,數據提供者是指以盈利為目的,以收集、處理、存儲、管理和運營數據為手段,為人工智能算法提供數據信息資產的主體。數據提供者可因收集、處理、存儲等事項的不同而涉及多方主體,一般情形下,因數據缺陷導致人工智能侵權的對外責任承擔者應當是最終提供給人工智能的數據控制者,但當其他主體超出或違背數據控制者的合法指令,或者未遵守數據相關權利保護規范導致數據存在缺陷的,亦應當對其引起的侵權損害承擔賠償責任。此外,完全未經授權以更改、增加或減少數據的方式使人工智能侵權的第三人,亦應按照數據提供者責任的規定承擔侵權責任。
對于人工智能產品而言,數據作為產品的一部分起著不可或缺的作用。其具有與人工智能產品其他組成部分一樣的共同點:數據在產品被設計開發或制造時被嵌入,在銷售時已然存在。然而,其又存在與其他組成部分完全不同的特性:數據處于時刻變化和更新的過程之中。由數據引起的侵權責任是否應當納入產品責任成為首先需要解決的問題。
在銷售以后還能夠持續改變或更新的產品中,人工智能并非先例,最為典型的就是智能手機系統的升級以及各種軟件的更新。立法并沒有對這些更新部分的侵權責任作出調整,依然由生產者和銷售者按照現有法律承擔產品責任。即便如此,筆者仍然認為由數據導致的人工智能侵權責任宜由數據提供者而非產品責任主體承擔,理由如下:
首先,人工智能數據相較于人工智能產品其他部分來說具有相當的獨立性。對于智能手機或軟件而言,可更新的系統和軟件是產品的核心,構成了產品的最主要組成部分,缺少這些部分的“產品”還不可謂為完整產品;而人工智能數據雖然重要,但對于人工智能產品的創造而言具有相當的獨立性,且很多由生產者之外的其他主體供應。其次,人工智能數據的變化和更新極其必要且非常頻繁,人工智能對數據變動的依賴性強,一件人工智能產品的數據或許在消費者購買第二天就已經與購買時的數據完全不同。相對于人工智能數據,智能手機系統或軟件的更新較為緩慢,而且一般處于可更或不更的可選擇情形;而大部分人工智能運轉必須依靠不斷變化的實時大數據,沒有數據更新,人工智能算法將失去靈魂。再次,人工智能的自主學習能力使數據影響力巨大。人工智能具有自主學習從而自我改變的能力,這種能力使即使是算法設計者亦無法知曉或預測算法結果,其很大程度上取決于算法所學習的數據。因此當人工智能輸出因數據缺陷而脫離生產者和設計者創造產品的初衷時,讓生產者或設計者為數據所造成的侵權承擔責任將有失公允。
我國關于數據責任的歸責原則規定于《個人信息保護法》第69條,采取過錯推定責任原則,由個人信息處理者證明自己不存在過錯(23)《個人信息保護法》第69條:處理個人信息侵害個人信息權益造成損害,個人信息處理者不能證明自己沒有過錯的,應當承擔損害賠償等侵權責任。。歐盟GDPR沒有關于歸責原則的明確適用指引,其“享有賠償的權利和責任”條文(第82條)第3款只是較為模糊地規定“控制者或處理者若能夠證明其對引起損害的事件沒有任何責任,則免于承擔責任”。因此有學者認為GDPR“對于過錯問題有意保持開放,將其交由各成員國立法者自行安排”(24)BeckOK Datenschutzrecht,BDSG 2018,24.Edition,01.08.2017,Wolff/Brink,§83,Rn.19.。但也有學者基于GDPR第5條第2款的規定“控制者應該遵守本條第一款(‘合法性、公平性和透明性’‘目的限制’‘數據最小化’‘準確性’等),并能夠證明之。”,認為數據控制者所適用的是過錯推定責任原則(25)陳吉棟.個人信息的侵權救濟[J].交大法學,2019,(4):50.。2018年德國頒布《聯邦數據保護法》,其中第83條規定:控制人處理他人數據違反本法或其他可適用之法,導致損害的負有損害賠償義務;在非自動化數據處理場合,若損害不可歸因于控制人過錯,則可免除賠償責任。由此可見德國區分是否采取自動化數據處理技術,若采取該技術適用的是無過錯責任,若未采取則適用過錯推定。我國臺灣地區的《個人資料保護法》則區分公務機關與非公務機關,對于非公務機關主體違反本法造成信息主體損害的,負擔過錯推定責任。
各國家或地區立法在規定數據侵權的歸責原則時均開始傾向于構建多元歸責體系,學理研究亦不例外。葉名怡教授認為應當采取三元歸責:公務機關使用自動化數據處理技術的適用無過錯責任,非公務機關使用自動化數據處理技術的適用過錯推定責任,未使用自動化數據處理技術的主體則適用一般過錯責任(26)葉名怡.個人信息的侵權法保護[J].法學研究,2018,(4):93-95.。還有學者則認為應當構建二元歸責體系:對于采用自動數據處理技術的主體適用過錯推定責任,而未使用自動數據處理技術的主體則適用一般過錯責任(27)陳吉棟.個人信息的侵權救濟[J].交大法學,2019,(4):51.。
無論立法還是學界,都傾向于將是否采用自動化數據處理或是否為公務機關作為歸責原則體系建構的關鍵考量因素。筆者認為,相對于自動化數據處理技術而言,公務機關身份對數據的影響小得多,不足以為此構建不同的歸責原則。誠然,擁有公權力的公務機關在收集、挖掘數據等行為上具有行使便利性,但隨著政府信息的公開共享,企業之間因技術競爭所形成的不斷增強自身自動化數據處理技術的內在驅動力,公務機關的數據分析、處理和控制能力并不必然高于某些企業,甚至某些行業巨頭的自動化處理技術引領全球產業發展方向;而對于民事主體敏感,但因公務處理需要而不得不向公務機關披露的信息,其亦在法律上具有與普通信息不同的保護措施。因此僅就向人工智能提供數據而言,公務機關并無適用更高歸責原則之必要,至于公務機關應用人工智能輔助決策或直接決策的行為,與這里的數據提供行為完全不同,將在下部分予以詳述。
以自動化數據處理技術作為數據責任二元歸責體系的分界點具有相當的科學性。自動化數據處理是指依據計算機自動化裝置或系統,在沒有人類直接參與的情況下對數據進行采集、存儲、加工、檢索、傳輸和變換等過程。廣義的自動化數據處理還包括“自動化決策”,即人工智能算法經運行后輸出結果。由于本部分只討論數據提供者責任,因此此處所述“自動化數據處理”限于為給人工智能提供源源不斷大量數據而對數據進行的自動化處理。自動化數據處理技術能夠給人類帶來“自動化危險”,由于技術壁壘的阻礙,局外人幾乎難以追溯數據在自動化處理過程中的復雜工序,苛以受害人對數據提供者過錯的證明義務或將出現大量舉證不能情形,而技術永久存儲、即刻檢索和調取的能力卻使行為人具有舉證的天然優勢。在非自動化數據處理的情況下,技術帶來的上述風險并不存在,原被告之間的訴訟能力和舉證能力并無較大差異,無需進行特殊規制之必要,宜采用一般過錯責任原則。不過,鑒于大數據技術在實踐中的廣泛應用以及受害者舉證能力的欠缺,宜事先推定所有數據處理均為采用自動化技術。
采用自動化數據處理技術的數據提供者宜適用過錯推定責任原則而非無過錯責任原則,理由主要有二:第一,數據保護法興起的目的是為了遏制近幾年數據控制者對個體數據權利毫無規制的利用和侵犯,以達到對數據“合理”使用的目的。由于個體亦能從自動化數據處理中獲得一定利益,因此實際上社會對數據處理具有一定的容忍度,只要未超出合理的注意義務即可,并無建立無過錯責任的必要;第二,現有科技水平仍然處在大數據技術發展的初步上升期,適用無過錯責任將極大增加數據提供者的責任,并不利于科技產業的進一步發展。
對于大部分以電磁形式存在于虛擬空間的智能系統來說,在銷售者和終端用戶之間往往存在另一主體——算法應用平臺。該類人工智能由于缺乏有體的物質實體形式,因此大多需要在虛擬或現實空間中尋找能夠承載其運行和效用發揮的平臺,以服務終端用戶或為平臺控制者服務。常見的淘寶、百度等應用均是典型的算法應用平臺。除線上平臺之外,亦不乏應用算法進行輔助決策或直接決策的線下平臺,如政府使用算法輔助判斷其行政相對人的申請是否應當獲得批準。由此可見,算法應用平臺是指為提供服務或完成某一任務,對聚集在平臺上的用戶或相關主體應用人工智能算法系統,并使系統運行后的結果對用戶或相關主體的權益產生影響的線上或線下主體。
算法應用平臺具有如下特征:第一,平臺自身不受算法結果的直接制約。雖然平臺是算法系統的應用者,但是平臺所有者或經營者不是算法的終端用戶和目標人群,應用平臺的目標在于將算法作用于該平臺上的用戶,使平臺用戶受到算法結果的直接影響和制約;第二,算法應用平臺往往具有用戶量大,影響范圍廣的特點。平臺上用戶會受到平臺所使用的人工智能算法的影響,其在很大程度上擴大了算法的作用范圍。
根據不同標準,算法應用平臺可以進行不同的分類,并對責任承擔產生不同影響。首先,根據平臺控制者是否兼具算法系統開發者身份,可以區別出應用平臺是否會發生責任的競合:
有些應用軟件既為算法提供應用平臺,又作為一個整體產品提供給消費者,而且平臺控制者和算法系統開發者為同一主體,如淘寶、新浪微博和百度等行業巨頭。因此當因產品缺陷造成智能系統侵權時,往往會發生應用平臺責任和產品責任的競合。但應用平臺責任仍然有其存在的意義:對于不是由算法設計缺陷造成的人工智能侵權,如本應由算法輸出的微博熱搜常常被詬病具有人為操控,此時并不能適用產品責任歸責,需要應用平臺責任對該行為所造成的侵權損害進行救濟。
并不是所有應用平臺的控制者和開發者均屬同一主體,有些應用尤其是在公務機關、事業單位或其他非營利性組織下所控制的應用,往往會出現應用平臺控制者與開發者的分離,這時將不再發生責任競合。其中有些應用也會直接提供給消費者,如普通個體能夠下載的帶有人工智能算法的政務功能APP;還有一部分算法系統被設計開發或生產之后并不直接銷售給終端用戶,而是由應用平臺購買,應用平臺控制者利用該算法對目標人群進行排序、預測等以實現其特定目的。如某企業購買“人事管理算法”對應聘該企業的人員進行篩選,對在職員工升遷去留進行考核;銀行購買“信用管理算法”以決定是否通過特定個人所申請的貸款;法院購買“累犯預測算法”以輔助決策某被告人的量刑。
其次,根據平臺控制者是否為公務機關主體,將算法應用平臺區分為公務機關平臺和非公務機關平臺。公務機關作為國家職權的行使者,其使用智能系統意味著國家職權的行使方式將一定程度受到科技的制約。由于公務機關的公共屬性,其相對人并不能像非公務機關平臺用戶一樣具有可選擇性,因此,社會對公務機關算法平臺輸出結果的正確性具有更高期待。一旦公務機關所控制的算法對相對人造成侵權,是否應當承擔比其他算法平臺更加嚴格的侵權責任值得進一步的探討。
平臺是將算法系統與用戶連接起來的紐帶,是算法運行和輸出結果的承載地,亦是算法侵權行為的發生之所。因此平臺應當對算法結果承擔一定的注意義務,一旦發生算法侵權損害,將平臺作為可能的侵權責任主體之一進行追責考量,具有充分的法理基礎。現有立法也開始明確算法應用平臺的義務和責任:
2019年4月,美國參議院、眾議院兩院提出《2019年算法問責法案》(Algorithmic Accountability Act of 2019),其所規定的監管問責對象之一“擁有用戶數或控制的終端數超過100萬的企業、合伙和個人”直指算法應用平臺。我國亦不例外,2018年出臺的《電子商務法》第18條規定電商平臺推薦算法搜索結果時,應當同時提供不針對特定個人的選項,第40條規定平臺應以多種方式規定搜索結果并顯著表明廣告,被學者稱之為“實質上首次明確了對網絡交易平臺日常運行中算法的監督”(28)張凌寒.《電子商務法》中的算法責任及其完善[J].北京航空航天大學學報,2018,(6).,但該法律只規定了違反以上義務的行政責任而缺乏民事救濟路徑,實屬規范之局限。2021年12月底,我國國家網信辦等四部門聯合出臺的《互聯網信息服務算法推薦管理規定》于2022年3月實施,該規定以“算法推薦服務提供者”為對象,對算法服務行為首次進行了專門性地全面化規制,在人工智能算法監管中具有重要意義。作為一部部門規章,其以行政責任為主,但亦在第三章“用戶權益保護”中提及對用戶的“相應責任”。
然而,算法應用平臺的法律義務和責任依然還不夠具體完善,加上平臺相對于其他侵權主體在侵權責任中極具明顯之位置,使得實踐中開始出現對平臺過分追責的現象。平臺不僅成為算法侵權發生后最先被追責的主體,往往也是唯一被追責的主體。這種傾向既體現在行政規則和執法中,也體現在學界觀點及司法實踐中:如2016年我國國家互聯網信息辦公室明確提出對平臺服務提供者責任的強化(29)我國國家互聯網信息辦公室認為:“平臺對于第三方提供的內容,能夠證明盡到合理注意義務的可少負或不負責任”的歸責理念已經逐漸發生了變化,平臺服務提供者不僅需要對自己發布的內容負責,對于第三方提供的內容,在有些情況下也需要負完全的責任。參見中華人民共和國國家互聯網信息辦公室官網.強化網站主體責任正當其時[EB/OL].(2016-12-22)[2019-11-14].http://www.cac.gov.cn/2016-12/22/c_1120166441.htm.;上文提及的《互聯網信息服務算法推薦管理規定》對算法推薦服務提供者加以大量義務及責任,這些義務本需要算法應用平臺、算法設計者和數據提供者等多方主體共同履行,但由于《規定》并沒有對“算法推薦服務提供者”予以明確,因此該主體首當其沖指向了算法應用平臺;再如學界將美國《統一計算機信息交易法案》(The Uniform Computer Information Transactions Act)中的“電子代理”(30)該法案第2條第6款:“電子代理”系指非經人的行為或審核,全部或部分獨立發起某種行為或應對電子記錄或履行的計算機程序、電子手段或其他自動化手段。(算法所實施的行為)解讀為“運營商對外延伸獲取信息的長臂”(31)Chopra,S.& L.F.White.A Legal Theory for Autonomous Artificial Agents[M].Ann Arbor University of Michigan Press,2011:6.,其幫助和代替運營商進行分析判斷,因此雖然電子代理的被代理人為平臺上的客戶,但電子代理人行為應歸責于運營商而非被代理人(32)高絲敏.智能投資顧問模式中的主體識別和義務設定[J].法學研究,2018,(5):49.。此處的運營商即是本文所表達的算法應用平臺;2012年澳大利亞音樂人邁克(Michael Trkulja)因谷歌的搜索自動補足算法將其名字與謀殺聯系在一起而起訴谷歌獲得勝訴,理由在于谷歌為信息緩存與發布者(33)Sottek,T.C.Google Loses Australian Defamation Case After Court Rules That It Is Accountable as a Publisher[EB/OL].(2012-11-26)[2020-04-26].http://www.theverge.com/2012/11/26/3694908/google-defamation-australia-publisher.。上述觀點和做法的問題在于其表達出一種傾向:算法應用平臺之所以承擔責任,僅僅只是單純地因為平臺為受害者損害產生的原因或途徑,卻并沒有考慮平臺是否實施了違法行為或是否具有過錯,這無異于絕對責任的一種表達形式。
算法應用平臺并不具備“全能性”,智能算法系統不是能夠被應用平臺完全控制的普通工具。不能僅僅因為平臺是損害發生的原因或渠道就要求其承擔全部責任,應當通過適度引入過錯責任和平臺應負義務以限制對算法應用平臺的過度追責,充分考慮平臺與其他責任主體之間的責任分擔。有些學者亦意識到這點,認為應建立“風險防范下責任承擔的雙軌制:平臺責任與技術責任”(34)張凌寒.風險防范下算法的監管路徑研究[J].交大法學,2018,(4):58.;“面對天馬行空的代碼程序,利用算法提供服務的運營商和接受算法服務的消費者同為信息弱勢方。”(35)唐林垚.人工高智能時代的算法規制:責任分層與義務合規[J].現代法學,2020,(1):201.
就算法應用平臺的歸責原則來說,筆者認為應當以是否屬于公務機關職務行為作為標準,建立二元歸責體系:首先,非公務機關算法應用平臺宜適用過錯推定責任。算法雖然在應用平臺的管理和“控制”之下,但這種“控制”僅限于決定整個算法的應用與否,或對某個個別結果的刪除,而對于算法內部的運行及自動化輸出并不擁有實質性的掌控力。平臺利用算法的行為類似于普通經營者利用某特定產品幫助經營的行為,如美容院利用某光子嫩膚儀為顧客提供美容服務,因該儀器發生對顧客的侵權損害,美容院承擔的是過錯責任而非嚴格責任。算法由于具有自主學習和自我改變的能力,因此與美容儀器相比,其對于應用平臺來說更具不確定性和難掌控性,算法平臺沒有理由承擔更加嚴格的責任,其應當只需在具有過錯的情形之下才為算法侵權負責。但由于算法侵權的過錯相對于其他侵權來說更加難以證明,如美容院侵權極有可能是操作不當的疏忽,而算法平臺侵權過錯卻具多樣性:或是算法審核時的疏忽,或是指示算法設計,篡改某個算法結果的故意等。由于算法內部的黑箱屬性,這些過錯在外部看來難以分辨和甄別,并且難以與其他責任主體的過錯相區分,因此宜事先推定算法應用平臺具有過錯,由其證明自身不存在過錯以免除責任。
其次,公務機關算法應用平臺宜適用無過錯責任。通過賦予公務機關嚴格責任促使其審慎地使用智能算法系統,能盡可能地減少權力的異化風險。目前算法已從不同層面嵌入進公權力的運行,算法借助其構建監管體系,輔助甚至代替公務機關決策,卻缺乏公權力本身應有的規制,極易造成權力異化,甚至產生與公權力合謀的權力濫用:傳統限制公務機關權力行使的正當程序制度對算法運行過程無效;算法的黑箱性使本應公開的公權力行使缺乏透明度;公務機關對算法技術和外部科技資源依賴的加強極易造成對權力專屬原則的違背。個體在公務機關面前本就處于無法抗衡的弱勢地位,算法的使用實際上強化了公權力與個體既有力量的強弱差序格局(36)Schmitz,A.J. Secret Consumer Scores and Segmentations[J]. Mich.St.L.Rev.,2014:1411.。因此當發生算法侵權時,由公務機關承擔嚴格責任更加符合其自身的特定地位和職能。此外,相對于非公務機關平臺來說,公務機關具有財力、物力上的優越性,讓其承擔無過錯責任無需有像對普通平臺一樣的責任承擔過重而負擔不能,最終影響行業發展之擔憂(37)需要指出的是,由于公務機關算法應用平臺造成的侵權問題涉及的是行政法上的國家賠償責任,因此并不屬于侵權法意義上的責任主體。。
值得注意的是,上述歸責原則并不能影響算法應用平臺與其他責任主體對外責任的承擔規則。對于某些人工智能來說,算法應用平臺作為算法設計缺陷與數據提供者侵權等原因的必要條件,與銷售行為類似:如果沒有算法應用平臺的存在,人工智能將失去對其相對人進行作用的空間和舞臺,自然不會有侵權損害的產生。該情形符合不真正連帶責任的內核,算法應用平臺對外宜與直接原因的責任主體一起承擔不真正連帶責任。平臺賠償后有權向直接原因的責任主體追償,若平臺自身具有違法行為,則按照上述歸責原則予以歸責。
人工智能侵權往往是多個主體交錯作用的結果,隨著新興責任主體的增多,新興主體責任與傳統主體責任之間以及新興主體責任之間的混合將日益頻繁。一般來說人工智能侵權各責任主體之間的混合包含下述幾種:一是按份責任。如算法設計者設計具有缺陷與數據提供者提供不當數據行為之間無意思聯絡,卻共同造成受害人損害;二是連帶責任。如某電子商務平臺欲利用算法“殺熟”功能使自身利益最大化,因而與某智能公司達成以設計交付一項“殺熟”算法為內容的協議。三是不真正連帶責任。如上文所述生產者、銷售者和算法設計者對外承擔不真正連帶責任,以及算法應用平臺和直接原因責任人對外承擔不真正連帶責任。
除了本文內容之外,人工智能侵權新興責任主體在構成要件、責任承擔方式及配套制度等方面均有值得探討的特殊之處,如新興主體的具體違法行為、算法設計責任與人類責任的過錯劃分,某些算法應用平臺所涉及的數量巨大侵權行為的救濟方式等。受制于篇幅有限,本文只對人工智能新興責任主體的種類、歸責原則及其與傳統責任主體之間的關系進行了初步探索,未解決的問題將在今后的研究工作中進行更加詳細的探討。