下面是小编为大家整理的算法评估制度如何平台问责中发挥作用,供大家参考。
算法评估制度如何在平台问责中发挥作用 2021 年 4 月末，《中华人民共和国个人信息保护法（草案）》（以下简称“《草案》”）征求意见，其中第 55 条明确提出：个人信息处理者应当对个人信息处理活动在事前进行风险评估。这一制度借鉴了其他国家的个人信息保护司法实践，尤其是《欧盟通用数据保护条例》（以下简称“GDPR”）第 35 条规定的“数据保护影响评估”（Data Protection Impact Assessment，以下简称“DPIA”）制度。近年内，世界主要国家均确立了数据处理活动（或称算法自动化决策）评估的相关制度，评估已经在数据与算法治理框架中占据重要位置。
算法是数据处理的工具，算法自动化决策 是 算 法 对 大 数 据 处 理 的 结 果 。
数 据 处 理（data processing）是对数据的采集、存储、检索、加工、变换和传输的统称。数据体量的指数级增长使得数据处理的环节只有算法能够胜任，而数据处理者的算法能力决定了其数据处理水平能力。因此，数据处理活动
的评估与算法自动化决策评估虽然略有制度范围、广度的差别，但在大多数语境下指向内涵相同。
那么，算法评估制度在平台问责中应起到何种作用？近年来学者们提出的算法治理解决方案要么侧重于技术，如区块链技术可无篡改地记载；要么侧重于提高算法系统的透明度，使得权利个体和监管部门更易理解算法的决策过程，以防止或者检测不公平自动化决策的结果；要么侧重于自动化决策不当结果的说明和救济。然而，这些都仅侧重于算法自动化决策过程的某个特定方面。基于算法自动化决策主体的复杂性、过程的长期性，以及参与因素的多样性，有必要将“负责任”的算法制度设计目标置于一个覆盖整个算法自动化决策生命周期的框架内。即从设计、部署、运行到结果输出的整个算法自动化决策流程中，均应对相关责任主体的权利与义务予以一定的法律控制。然而，在现有的制度中，算法评估与平台算法问责衔接
失调，对于其认定和追究平台责任的制度优势未能被充分发挥。
在构建算法治理时代的合理平台责任体系中，算法评估制度应占据核心地位。本文围绕算法评估制度应在平台问责中如何发挥作用的问题展开，梳理现有算法评估制度在平台治理中的作用，探讨算法评估制度面临的“软化”与“泛化”问题，并提出应从算法评估标准、制度之间协调与事后追责衔接等方面发挥算法评估制度在平台治理中的重要作用。
一、算法评估制度的演进及确立
算法影响评估制度起源于 20 世纪 90 年代的隐私影响评估制度。算法影响评估制度是以风险预防为目的，意在解决智能科技带来的事后问责的滞后性，以事前评估来避免损害事后的弥散化。
（一）算法评估制度的演进
DPIA 从 20 世纪 90 年代隐私影响评估制度发展而来，经历了三个主要阶段成为世界通行做法，并被《草案》所采纳。个人数据保护影响评估制度适应了数据处理风险预防对治理时点前移的需求，制度价值在于解决了数据处理活动事后追责滞后的困境。数据保护影响评估制度来源于欧盟的隐私影响评估制度，经过 20 余年的发展，成为了 GDPR第 35 条规定的数据保护影响评估制度，并被世界多个国家的立法采纳。数据保护影响评估制度的发展可大致分为三个阶段。
第一，A DPIA 是 的前身是 0 20 纪 世纪 0 90 年代隐私影响评估制度。隐私影响评估是一种评估信息系统和收集的数据隐私的实用方法，主要要求系统开发人员和信息处理者记录并充分解决隐私保护问题。1998 年，加拿大的不列颠哥伦比亚省率先广泛采用隐私影响评估制度指南；1999 年，加拿大安大略省内阁通过信息技术项目的隐私影响评估制度指南。随后，新西兰、澳大利亚、英国、美国等多
个国家和地区相继推动各国（地区）建立起适合本地的隐私影响评估制度。2002 年，美国颁布的《电子政务法案》第 208 节规定了各机构对电子信息系统和收集的数据进行隐私影响评估制度的要求。该流程旨在指导 SEC系统所有者和开发人员在开发的早期阶段和整个系统开发生命周期中评估隐私，以确定其项目将如何影响个人隐私以及是否可以在满足项目目标的同时保护隐私。
入 第二，进入 1 21 第 世纪第 2 2 个 个 0 10 年，欧盟等国进一步细化了隐私影响评估制度，并将主体从信息处理者扩展至利益相关者。
2011年 1 月 12 日，欧盟出台了一个针对无线射频识别技术（RFID）的隐私影响评估制度框架文件，其将隐私影响评估制度定义为：通过设计系统化程序以评估特定 RFID 应用对隐私和数据处理产生的影响，并采取适当的行动以防止或至少最小化这些影响。2013 年英国 信 息 委 员 办 公 室 （ Information Commissioner"s Office，以下简称“ICO”）发布的《隐私影响评估制度操作指南》中称，
隐私影响评估是一种工具，可以帮助数据控制者确定最有效的方式来遵守其数据处理义务并满足个人对隐私的期望。2014 年澳大利亚 信 息 专 员 办 公 室 （ the Office of the Australian Information Commissioner ，OAIC）编写了《隐私影响评估制度指南》，其认为隐私影响评估是对项目的系统评估，用于确定项目对个人隐私可能产生的影响，并提出管理、最小化或消除影响的建议。
随后，设计信息处理信息系统需隐私影响评估，并且应将评估贯彻整个处理流程成为 共 识 并 被 广 泛 接 受 。
世 界 标 准 组 织（ International Organization for Standardization，ISO）在 2015 年发布的《隐私影响评估制度指南》中称，隐私影响评估制度是评估信息系统，程序或流程，软件模块，设备或处理个人身份信息的其他计划对隐私的潜在影响的工具，包括与利益相关方协商，采取应对隐私风险的必要行动。隐私影响评估制度不仅是信息处理过程不可或缺的工具，还是一个过程：只要仍有机会影响
其结果，就仍保持通过设计确保隐私的理念，从提议的最早阶段开始持续到项目部署甚至之后。
第三，8 2018 的 年颁布实施的 R GDPR 第 第 5 35 条了 正式确立了 DPIA ，并通过一系列指南性文件将个人数 据处理影响评估作为数据处理者合规的必经程序。如欧盟第 29 条工作组的指导方针将其描述为“建立和证明合规的过程”，并强调这是“一个持续的过程，而不是一次性的实践”。数据保护影响评估制度鼓励对数据处理活动进行结构化评估，以识别活动中固有的数据处理风险，并确定其是否符合法律规定。组织可以采取适当的措施来减轻和管理所识别的风险。数据保护影响评估制度（DPIA）是第一个被纳入欧盟数据处理法的风险管理工具，旨在描述数据处理行为，评估其必要性和适当性，并通过评估内容确定这些问题的应对措施，帮助管理个人数据处理活动对自然人带来的威胁和风险。DPIA作为欧盟数据处理框架中的核心内容，受到国内外企业和监管机构的广泛关注，为各国
应对日益增长的数据安全风险问题提供了理想的立法范本。
（二）算法评估制度的确立
随着人工智能时代算法在社会资源分配和权力运行中逐渐占据主导地位，学界提出了应进一步发展数据保护影响评估制度为算法 影 响 评 估 制 度 （ Algorithm Impact Assessment），并逐渐得到了世界各国立法与实践的响应。
算法评估制度是要求在算法设计、部署与运行期间，算法治理的相关利益主体如政府、平台、社会公众与第三方力量，对算法可能造成的风险及其对社会的影响进行充分的评估。算法是一种结构化的决策过程，它将计算程序自动化，根据数据输入生成决策结果。对于算法系统的设计、部署或者采购者来说，算法评估制度可以使其了解和减轻算法系统可能造成的风险或者负面影响；同
时有利于建立公众对于算法自动化决策系统的信任和信心。
数据保护影响评估在某些国家如加拿大、美国发展为专门的算法影响评估制度，主要缘起于算法广泛嵌入政府、公共部门甚至司法机关，直接影响甚至决定了公民福利、财产甚至人身自由等权利。嵌入算法的监管部门行政活动汇总，算法通过收集规制环境中各类主体产生的实时数据，计算并分析相关行为以及可能产生的风险，为达到预定监管目标形成算法自动化决策，甚至可以实时动态调整政策执行方式。算法已经可以对个人或群体产生重大影响，并为政府规制的决定提供实质性信息的操作。政府公权力的行政公开原则、权力监督原则，从本质上要求嵌入行政活动的算法向公众披露并受到公众监督。正如法国数字事务部长表示：“如果政府不能解释其决定，政府就不应该使用算法。”因此，域外率先开展的算法规制活动多围绕政府公共部门的算法展开。2017 年年底，纽约市政府开展了世界首次算法监管，成立了
纽约市算法监管工作组。2018 年，新西兰政府出具报告，对政府 14 个机构算法开发和使用的情况进行分析，在整个政府数据系统中提高政府算法使用的透明度和问责制。
因此，相比数据保护影响评估，算法评估制度有了更进一步的价值意蕴。首先，算法评估通常超越了对隐私或个人数据保护的考虑，而转向更广泛的社会考虑。从制度目标上来说，算法影响评估关注权力运行对公民从财产到人身等更为广泛的权利的影响，并关注算法运行对社会公共利益的影响。其次，算法评估制度不仅是传统的政策或技术影响评估（如环境保护评估与立法评估），而且是因算法嵌入的政府、公共部门以及数字平台所涉利益的广泛性，具有了比数据保护影响评估更广泛的影响、更深入的价值。
在算法系统的开发与部署中，政府公共部门与平台私营部门之间的界限往往模糊不清。平台作为私营部门不仅自身是算法系统的主要开发者和使用者，同时是政府公共部
门使用算法时的主要采购对象。平台设计、开发和运行的算法系统，也可能关系到公民财产、人身等多项权利，以及社会公共利益。如网约车平台的算法直接关系到一个城市的交通运输资源调度，而社交媒体的推荐算法又具有制定社会舆论议程的重要功能。因此，算法评估制度虽缘起于对公共部门算法的公众监督，但基于平台算法所涉利益的广泛性，也被适用于平台等私营部门设计、开发与部署算法的活动。如德国数据伦理委员会提出的算法风险评估方案，主张对数字服务企业使用的算法进行五级的风险评级制度，对不同级别的算法采取不同强度的监管。我国法律规则将某些算法应用定义为“具有舆论属性或社会动员能力的互联网信息服务”，并要求其进行自行安全评估。
二、算法评估制度与平台问责的衔接不畅
算法评估制度的制度优势面临着智能科技时代的挑战，首要的问题是其在数据治理框架中究竟定位如何？《草案》中也明确规
定了数据处理者在进行数据处理活动前应进行评估，各国也有着不同的立法实践。面对技术日益成为主宰社会权力与经济运行的核心力量，算法评估制度的局限性也日益显现，而这些局限也均导致了与技术问责的衔接失调。《草案》中的算法评估制度可能面临着“软化”与“泛化”风险。“软化”是指法律并未规定评估制度的法律后果，可能由于第三方服务的提供者与评估对象的妥协而流于形式。“泛化”则是指由于我国未明确规定算法评估制度的适用范围与等级，普遍要求开展的算法评估制度可能既造成资源浪费提高企业合规成本，又没有发挥应有的效用“好钢用在刀刃上”。
（一）地位不明：算法评估可能的“泛化”
《草案》中的算法评估制度并未明确应被评估算法的范围。而实际上，根据不同风险等级来确立不同的监管制度已经成为世界通行的做法。
算法应用极为广泛，对所有的算法进行监管既无必要也不现实。算法系统的多样性、复杂性和动态性给监管带来了主要挑战，必须根据系统的关键性，在不同的监管级别上实施非常不同的纠正和控制手段以实现监管目标。各国制度中有多重划分不同算法风险等级的标准，最常见和最简单的划分标准是形式标准，将“完全的自动化决策”与“对当事人有法律效力及重大影响”作为高风险算法。例如 GDPR 第 22 条规定“完全的自动化决策”，但由于此条广为诟病，各成员国则进行了不同的界定。德国联邦法院采用了限制性解释，认为任何最低限度的人为干预都会排除 GDPR 第 22 条的适用性。相反，英国的数据保护的权威（ICO）则采取了扩大性解释：如果涉及不相关的人为干预，第 22 条应该适用。即使在 GDPR 第 22 条所涉的算法中也有不同的风险等级划分。如 GDPR 第 22条 中 对 数 据 主 体 产 生 “ 实 质 性 影 响（substantially affects）”的算法系统。欧盟第 29 条工作组指南中列举了示例，对个
人的评分算法和具有重大影响及法律效力的算法，直接被认为是风险算法，需要接受较为严格的监管。此外，还可根据算法处理对象的敏感程度确定算法的风险程度。如欧盟和美国均把儿童数据的算法列为敏感类算法进行特殊规制。
对所有算法系统进行评估既不现实也无必要，各个算法系统所涉的个人权利和公共利益并不相同。例如，支付宝的芝麻信用评级 算 法 可 能 会 对 个 人 产 生 潜 在 的 财 产 影 响（如申领护照或贷款）。但是同为推荐算法，头条的新闻推荐可能影响新闻议程而落入监管视野，QQ 音乐的推荐算法则并不敏感。同理，用户手机进行人脸识别可能只是为了解锁，而公共部门进行人脸识别则有可能为了抓捕逃犯，相同的技术在不同的应用领域也意味着不同的风险等级。
不区分风险等级的算法评估势必走向评估机制的“泛化”。我国已经存在多种个人信息保护的评估制度，仅仅 2020 年影响较大
的就有三类：其一，较为权威的是 2020 年 3月国家标准化管理委员会制定的《个人信息安全规范》，要求企业进行个人信息安...
