Biometrinio privatumo dizainas: kaip kurti veido atpažinimo sistemas žmogui, o ne stebėsenai

Veido atpažinimas 2024 m. tapo kasdienybe: nuo telefono atrakinimo ir banko tapatybės patvirtinimo iki „išmanių“ miestų kamerų. Tačiau ta pati technologija gali tapti ir masinės stebėsenos, diskriminacijos bei piktnaudžiavimo įrankiu. Skirtumą lemia ne tik įstatymai ar algoritmai, bet ir tai, kaip mes kuriame ir dizainuojame šias sistemas.

Šiame straipsnyje – praktiškas žvilgsnis, kaip dizaineriai, produktų vadovai ir kūrėjai gali kurti veido atpažinimo sprendimus, kurie tarnautų žmogui, o ne stebėsenai. Akcentas – biometrinis privatumas pagal dizainą (privacy by design) ir etiškas UX.

Kas yra biometrinis privatumas ir kodėl jis kitoks?

Biometriniai duomenys – tai unikalios žmogaus savybės, kuriomis galima jį atpažinti:

• veidas ir veido bruožai,
• pirštų atspaudai,
• rainelė,
• balsas,
• eisena ar net klaviatūros paspaudimų ritmas.

Skirtingai nuo slaptažodžio, biometrinių duomenų negalima „pakeisti“. Jei nuteka jūsų slaptažodis – jį pakeičiate. Jei nuteka jūsų veido šablonas – jis gali būti naudojamas jus sekti metų metus, įvairiose sistemose ir šalyse.

ES GDPR ir Lietuvos teisė biometrinius duomenis laiko ypatingos kategorijos duomenimis. Tai reiškia:

• reikia aiškaus, informuoto sutikimo arba kito teisėto pagrindo,
• būtina duomenų kiekio minimizacija,
• reikia įvertinti rizikas (DPIA – poveikio duomenų apsaugai vertinimas),
• vartotojui turi būti suteiktos realios teisės: prieiga, ištrynimas, apribojimas.

Dizainas čia tampa ne tik estetika ar patogumu. Jis tampa pagrindiniu privatumo ir galios balanso įrankiu.

Privatumas pagal dizainą: pagrindiniai principai veido atpažinimui

„Privacy by design“ reiškia, kad privatumas integruojamas nuo pirmos idėjos, o ne „prilipdomas“ projekto pabaigoje. Veido atpažinimo kontekste tai gali būti išversta į šiuos principus:

1. Tikslų aiškumas ir ribotumas

Prieš piešdami pirmą sąsajos eskizą, atsakykite:

• Kam tiksliai reikalingas veido atpažinimas?
• Ar tikrai be jo neįmanoma pasiekti tikslo?
• Ar galima naudoti mažiau invazyvų sprendimą (slaptažodis, PIN, fizinis raktas)?

Geras praktinis filtras: jei sprendimą būtų galima įgyvendinti be biometrikos, dažnai verta bent suteikti alternatyvą tiems, kurie nenori dalintis veidu.

2. Duomenų minimizavimas ir „mažiausios žalos“ dizainas

Dizaino ir architektūros klausimai, kuriuos reikia spręsti iškart:

• Ar tikrai reikia nuolatinio stebėjimo, ar užtenka vienkartinio patvirtinimo?
• Ar būtina išsaugoti veido šabloną, ar pakanka laikyti jį tik įrenginyje?
• Ar galima naudoti lokalų apdorojimą (on-device), o ne siųsti duomenis į debesį?

Kuo mažiau duomenų renkami ir kuo trumpiau jie saugomi, tuo mažesnė žala nutekėjimo ar piktnaudžiavimo atveju.

3. Numatytoji būsena – privatumą saugantis režimas

Privatumas pagal dizainą reiškia, kad:

• veido atpažinimas pagal nutylėjimą išjungtas,
• papildomos, rizikingesnės funkcijos (pvz., automatinis atpažintų žmonių žymėjimas) reikalauja atskiro aktyvaus įjungimo,
• slaptesni nustatymai nėra paslėpti giliai meniu.

Jei žmogus nieko nekeitė, sistema turi elgtis taip, lyg jis pasirinko didesnį privatumo lygį.

UX dizainas: kaip atrodo etiškas veido atpažinimo sutikimas

Vartotojo sąsaja dažnai tampa riba tarp laisvo pasirinkimo ir prievartos. Dizainas gali tiek apsaugoti žmogų, tiek jį manipuliuoti. Veido atpažinimo atveju tai ypač jautru.

Aiškus, suprantamas paaiškinimas „žmogaus kalba“

Prieš prašydami sutikimo, aiškiai ir trumpai paaiškinkite:

• Kodėl prašote veido duomenų (konkretus tikslas, be miglotų formuluočių),
• Ką tiksliai saugosite (nuotrauką, šabloną, metaduomenis),
• Kiek laiko laikysite duomenis ir kur (įrenginyje, serveryje ES ir pan.),
• Su kuo dalinsitės (ar dalinsitės apskritai),
• Kaip išjungti ir ištrinti duomenis.

Venkite techninio žargono ir teisinio „smulkaus šrifto“. Jei paaiškinimo negalite sutalpinti į kelias aiškias pastraipas, greičiausiai pati sistema yra pernelyg invazyvi.

Sąžiningi pasirinkimai: be „dark patterns“

Etiškas biometrinio privatumo dizainas reiškia, kad:

• mygtukai „Sutinku“ ir „Nesutinku“ yra vienodai matomi ir lengvai paspaudžiami,
• atsisakius veido atpažinimo, žmogus vis tiek gali naudotis paslauga (su alternatyvia autentifikacija),
• nėra apgaulingų formuluočių („Greitas saugus prisijungimas“ be aiškaus paminėjimo, kad tai veido atpažinimas),
• nėra „prievartinio“ sutikimo, kai be jo paslauga iš esmės neveikia, nors techniškai galėtų.

Jei sistema skirta viešai erdvei (pvz., prekybos centrui), informacija turi būti:

• aiškiai matoma (ženklai, ekranai),
• pateikta keliomis kalbomis,
• su paprastu paaiškinimu, kokios teisės žmogui priklauso.

Valdymo skydelis žmogui, o ne inžinieriui

Naudotojo nustatymų skiltyje verta turėti atskirą „Biometrija ir veido atpažinimas“ bloką, kuriame:

• aiškiai rodoma, ar veido atpažinimas įjungtas,
• galima vienu paspaudimu jį išjungti,
• galima ištrinti visus biometrinius duomenis,
• paaiškinta, kas nutiks išjungus (pvz., prisijungsite tik su slaptažodžiu).

Svarbu: išjungimas ir ištrynimas turi būti tikri, o ne simboliniai. Jei dėl techninių ar teisinių priežasčių negalite ištrinti duomenų, tai turi būti aiškiai nurodyta ir pagrįsta.

Techninis dizainas: architektūra, kuri riboja stebėseną

Nors straipsnis orientuotas į dizainą, architektūriniai sprendimai tiesiogiai veikia vartotojo privatumą. Dizaineris turi bent bazinį supratimą ir gebėti kelti klausimus komandai.

Lokalus apdorojimas vs. debesija

Privatumo požiūriu pirmenybė teikiama:

• lokaliam apdorojimui – veido šablonas saugomas įrenginyje (pvz., telefone),
• šifruotam saugojimui – net ir nutekėję duomenys būtų beverčiai,
• pseudonimizacijai – veido šablonai atsieti nuo tiesiogiai identifikuojančios informacijos.

Debesijos naudojimas turi būti pagrįstas ir ribotas. Jei duomenis būtina siųsti į serverį (pvz., dėl modelio sudėtingumo), vartotojui tai turi būti aiškiai paaiškinta, nurodant:

• kur yra serveriai (ES / ne ES),
• kas yra paslaugos teikėjas,
• kokios apsaugos priemonės taikomos.

Skirtumas tarp autentifikavimo ir identifikavimo

Veido atpažinimas gali būti naudojamas dviem labai skirtingais būdais:

1. Autentifikavimas – „Ar šis žmogus yra tas, kuo prisistato?“ (pvz., atrakinti telefoną).
2. Identifikavimas – „Kas šis žmogus?“ tarp daugybės kitų (pvz., minios skenavimas stadione).

Autentifikavimas paprastai yra mažiau invazyvus, nes:

• vyksta žmogaus iniciatyva,
• dažnai ribojamas konkrečia paslauga ar įrenginiu,
• nebūtinai reikalauja centrinės biometrinių duomenų bazės.

Identifikavimas viešose erdvėse dažnai virsta masine stebėsena. Jei kuriate sistemą, kuri leidžia identifikuoti žmones iš srauto:

• labai aiškiai apibrėžkite naudojimo ribas,
• numatykite techninius stabdžius (pvz., privalomą žmogaus peržiūrą, logų auditą),
• įvertinkite, ar apskritai toks produktas suderinamas su žmogaus teisėmis ir ES reguliavimu (AI aktas, GDPR).

Kaip išvengti diskriminacijos ir šališkumo dizaino sprendimais

Veido atpažinimo sistemos istoriškai dažnai veikė prasčiau tam tikroms grupėms – tamsesnio gymio, moterims, vyresnio amžiaus žmonėms. Tai ne tik techninė, bet ir dizaino bei produkto atsakomybė.

Matomi įspėjimai apie ribotumus

Jei žinote, kad sistema turi didesnę paklaidą tam tikroms grupėms, sąsajoje verta:

• aiškiai nurodyti, kad veido atpažinimas gali būti netikslus,
• pateikti alternatyvius prisijungimo būdus,
• neleisti vien tik veido atpažinimu priimti negrįžtamų sprendimų (pvz., atsisakyti paslaugos, neleisti į erdvę be žmogaus peržiūros).

Grįžtamasis ryšys ir skundų mechanizmas

Etiškas dizainas numato ir klaidas. Sistemoje turi būti:

• lengvai pasiekiama forma pranešti apie klaidą (pvz., „Sistema mane neteisingai atpažino“),
• paaiškinimas, kaip bus nagrinėjamas skundas ir kokie terminai,
• galimybė išjungti veido atpažinimą po neigiamos patirties.

Praktiniai pavyzdžiai: žmogui draugiškos veido atpažinimo sistemos

1. Išmanus telefonas su lokalizuotu veido atpažinimu

Geras privatumo dizaino pavyzdys:

• veido šablonas saugomas tik įrenginyje,
• naudojamas tik autentifikavimui (atrakinti ekraną, patvirtinti mokėjimą),
• vartotojas gali lengvai išjungti funkciją ir grįžti prie PIN / slaptažodžio,
• aiškiai paaiškinta, kad duomenys nesiunčiami į gamintojo serverius.

2. Biuro įėjimo sistema su pasirinkimu

Biure įrengta veido atpažinimo sistema darbuotojų įėjimui:

• pateikiamas aiškus sutikimo langas su alternatyva – kortelė ar PIN,
• veido duomenys saugomi šifruotai ir tik vidinėje infrastruktūroje,
• darbuotojas gali bet kada atsisakyti veido atpažinimo ir pereiti prie kito metodo,
• prie įėjimo yra ženklai, nurodantys, kad naudojama biometrinė sistema ir kokios teisės taikomos.

3. Viešoji erdvė – kada geriau atsisakyti technologijos

Prekybos centras svarsto įdiegti veido atpažinimą „klientų srautų analizei“ ir „lojalumo programai“. Etiškas dizaino sprendimas gali būti:

• atsisakyti individualaus atpažinimo ir naudoti anoniminę žmonių skaičiavimo technologiją,
• lojalumo programai naudoti korteles ar programėles, o ne veidus,
• vengti paslėpto stebėjimo, kuris sunkiai suderinamas su GDPR ir žmogaus teisėmis.

Kaip pradėti: biometrinio privatumo kontrolinis sąrašas dizaineriui

Prieš paleisdami naują veido atpažinimo funkciją, pereikite šį sąrašą:

• Ar veido atpažinimas yra būtinas, ar tik „patogus“?
• Ar žmogus turi realų pasirinkimą (alternatyvą be biometrikos)?
• Ar aiškiai paaiškinote kodėl, ką, kiek laiko ir kur saugote?
• Ar numatytoji būsena maksimaliai saugo privatumą?
• Ar duomenys minimizuoti ir šifruoti?
• Ar sistema skirta autentifikavimui, o ne masinei identifikacijai?
• Ar lengva išjungti funkciją ir ištrinti duomenis?
• Ar atliktas DPIA ir pasitarta su duomenų apsaugos specialistais?
• Ar sąsaja vengia dark patterns ir manipuliacijų?
• Ar yra mechanizmas pranešti apie klaidas ir diskriminaciją?

Išvada: dizainas kaip atsvara stebėsenai

Veido atpažinimo technologija pati savaime nėra nei gera, nei bloga. Tačiau be aiškių ribų ji lengvai virsta nematoma stebėjimo infrastruktūra. Dizaineriai, produktų vadovai ir kūrėjai turi realią galią formuoti šios technologijos poveikį.

Biometrinio privatumo dizainas – tai pasirinkimas:

• rinktis mažiau duomenų, o ne daugiau,
• teikti pirmenybę žmogaus kontrolei, o ne patogumui bet kokia kaina,
• kurti sistemas, kurios būtų skaidrios, sąžiningos ir atskaitingos.

Jei veido atpažinimo sistema po jūsų dizaino sprendimų tampa mažiau tinkama stebėsenai ir labiau naudinga žmogui, vadinasi, einate teisinga kryptimi.

DUK: biometrinis privatumas ir veido atpažinimo dizainas

Ar veido atpažinimas visada yra blogas privatumo požiūriu?

Ne. Veido atpažinimas gali būti santykinai saugus, jei naudojamas lokaliai įrenginyje, tik autentifikavimui, be centrinės duomenų bazės ir su aiškiu vartotojo sutikimu. Didžiausios rizikos kyla, kai technologija naudojama masinei identifikacijai viešose erdvėse ir kai duomenys kaupiami didelėse, sunkiai kontroliuojamose bazėse.

Kaip dizaineris gali daryti įtaką techniniams privatumo sprendimams?

Dizaineris gali kelti konkrečius klausimus komandai (ar galima apdoroti lokaliai? ar tikrai reikia saugoti šablonus?), siūlyti privatumą tausojančias alternatyvas, kurti sąsajas, kurios skatina skaidrumą ir kontrolę, ir dalyvauti poveikio duomenų apsaugai vertinime. Dizainas čia yra ne tik apie ekranus, bet ir apie produkto strategiją.

Ar galima sukurti „visiškai saugią“ veido atpažinimo sistemą?

Visiškai saugios sistemos nėra. Visada išlieka techninių pažeidžiamumų, žmogiškų klaidų ir piktnaudžiavimo rizika. Tikslas – mažinti žalą: rinkti kuo mažiau duomenų, juos tinkamai apsaugoti, suteikti žmogui realų pasirinkimą ir užtikrinti skaidrumą. Biometrinio privatumo dizainas – tai nuolatinis procesas, o ne vienkartinis checkbox.