人工智能时代公民个人信息的保护——以全国首例利用AI实施的特大侵犯公民个人信息案为视角

胡灵芝

（浙江省杭州经济技术开发区人民检察院， 浙江 杭州 310018）

2018年浙江省绍兴市公安机关破获了全国首例利用人工智能技术实施的“特大侵犯公民个人信息案”，彻底捣毁了一个集盗取、贩卖、利用个人信息实施诈骗的产业链，成功截留公民个人信息十亿组，共抓获173人，扣押追缴赃款600余万。①格尔生活：《全国首例利用AI侵犯公民信息犯罪案告破，黑客破解验证码快至毫秒级》，http://k.sina.com.cn/article_6423164131_17ed9b4e3001003k3s.html，最后访问时间：2019年6月4日14时33分。

该犯罪团伙主要是利用社交软件冒充好友实施代付诈骗，侦查之初，从诈骗嫌疑人员电脑中发现了大量的公民个人信息，经过追查发现，这些公民个人信息系从一黑客团伙处低价购买所得。随后一个名为“快啊”的打码平台浮出水面，该平台在破解网站、平台为防止黑客测试账户、密码而设置的“验证码”环节，运用人工智能的深度学习来自主操作识别图片验证码，轻松绕过互联网公司设置的验证码，大大提升了黑客人员获取公民个人信息的准确率和速度。

从这一犯罪团伙的作案手段可以发现，人工智能在获取、破解网站平台账号、密码等公民个人信息等犯罪链中起到了至关重要的作用，这是人工智能对法律与社会伦理的冲击、对个人隐私的侵犯。2017年7月国务院印发的《新一代人工智能发展规划》中将这种情况归纳为人工智能发展不确定性带来的新挑战。同时，该文件中也明确指出，人工智能是国际竞争中的新焦点，是经济发展的新引擎，为社会发展带来了新机遇。所以，人工智能是科技发展的新生物，且利弊共存于一体，我们绝不可因噎废食，弃而远之。笔者认为，应从技术和法律两个层面认识人工智能，探析人工智能与公民个人信息保护之间的辩证关系，探索人工智能时代加强公民个人信息保护的途径。

一、人工智能时代公民个人信息保护概述

（一）人工智能的概念及特点

对于大多数人而言，人工智能可能是出现在我们身边的智能家电、无人驾驶汽车，还可能是出现在科幻影视剧中的超能机器人，但对人工智能这一术语的理解，还需从其概念及特点谈起。

1.人工智能的概念

人工智能是Artificial Intelligence的中文译称，英文简称为AI，这一概念最早由约翰·麦卡锡（John McCarthy）在1956年提出，“是研究、开发用于模拟、延伸和扩展人的智能的理论、方法、技术及应用系统的一门新的技术科学。人工智能是计算机科学的一个分支，它企图了解智能的实质，并生产出一种新的能以人类智能相仿的方式做出反应的智能机器，该领域的研究包括机器人、语言识别、图像识别、自然语言处理和专家系统等。”这是从技术层面对人工智能含义所作的界定，人工智能根据技术发展水平不同，又可以分为弱人工智能、强人工智能和超人工智能三种。

人工智能在法律层面也有相关研究，如华东政法大学刑法学教授刘宪权就认为，人工智能是指使机器像人一样去完成某项任务的软硬件技术。同时，刘教授还根据人工智能是否具有辨认能力和控制能力，将其分为弱人工智能和强人工智能两类。①刘宪权：《人工智能时代的“内忧”“外患”与刑事责任》，https://www.sohu.com/a/215125849_786964，最后访问时间：2019年6月1日14时37分。

通过对人工智能技术和法律两个层面内涵及分类的研究，笔者认为，可以从结合技术和法律两方面出发，将“人工智能”界定为，被科研人员赋予了与人类智能相仿的具有辨识和控制能力的技术产品。

2.人工智能的特点

从人工智能的上述概念中可以看出，人工智能包含以下几个方面的特点：

第一，人工智能机体的无生命性。人工智能的本质是技术科学，而非具有生命意义的植物或者动物等生命体，因此，不能当然地认为人工智能如自然人一样具有生命性。时下，包括知识产权法、民法、刑法在内，已有学者呼吁比照“法人”的法律拟制的主体设立原则，赋予人工智能法律责任主体地位，在特定的情况下由人工智能承担起相应的法律权利和法律义务。这一探讨对于人工智能未来的发展具有重要意义，但笔者认为，对人工智能法律主体资格的探讨与人工智能机体本身的无生命性之间并不矛盾，无生命性仍是人工智能的一大特性。

第二，人工智能来源的人类性。人工智能虽然具有与人类智能相仿的智能，甚至在某些层面上拥有超越人类的智能，比如阿尔克戈（AlphaGo）战胜围棋世界冠军李世石。但人工智能的智能并非自动生成的，其智能仍来源于设计者、研发者的技术赋予。引言中所述的“快吧”平台上的智能软件虽具有自主学习、积累的能力，但该能力来源于设计者的程序设计。因此，学界一些主流观点认为，人工智能的设计、研发者应当对人工智能所实施的行为承担相应的法律责任，依据即在于此。

第三，人工智能行为模式的类人性。人工智能最初产生的目的就是模拟人的行为、思维方式，从而延伸和扩展人的力所能及或者力所不能及的范围，以帮助提高人类的认知和活动能力，所以，人工智能行为模式的类人性是人工智能设计者开发设计人工智能产品的目的性体现。如果人工智能失去了行为模式的类人性，其名称中的“人工”二字便无从谈起。

（二）人工智能时代公民个人信息的内涵和特点

我国虽然没有专门的个人信息保护法，但对于网络环境下公民个人信息保护的刑法规范在不断完善之中。从2009年刑法修正案（七）到2015年刑法修正案（九）对公民个人信息犯罪罪名的增设到相关内容修改，再到“两高”《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（以下简称《解释》）对侵犯公民个人信息犯罪认定予以细化，公民个人信息的保护朝着规范化的方向发展。

《解释》第一条就开门见山地对公民个人信息的概念做出明确规定，即“以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。”当人工智能技术介入公民个人信息的收集、使用和保护后，公民个人信息在收集、保存、使用环节中又有自身的一些新的特点，主要体现在以下方面：

第一，信息收集更具目的性和技术性。人工智能技术的最大优势即可根据研发设计者的需求，通过技术性手段，有针对性地抓取数据信息，从而使获取的信息在数量和质量上达到预期效果。因此，通过人工智能技术获取的公民个人信息具有先天的目的性和技术性，这是其得以产生的初衷所在。

第二，信息内容更具人身性和财产性。最具价值的公民个人信息无外于包含人身和财产内容的信息，通过人工智能技术获得的公民个人信息也多为关乎网络信息主体身份识别及账户财产安全的最隐私的内容，这便是人工智能时代公民个人信息具有人身性和财产性的原因所在。

第三，信息使用更具责任性和可罚性。因人工智能获取的公民个人信息数量多，且有较强的人身性和财产性，所以掌握公民个人信息的主体在保管、使用和提供过程中需承担更大的责任，故应严格按照法定及信息主体授权的范围进行转让、共享或披露，如果实施了非法获取或非法提供公民个人信息的行为，则应受到相应法律的惩罚。

二、人工智能技术与公民个人信息保护的关系

引言案例反映出人工智能技术成为了公民个人信息犯罪的“帮凶”，但人工智能与公民个人信息犯罪的关系仅限于消极对抗吗？笔者认为，对于人工智能技术和公民个人信息保护的关系应辩证看待，首先需认清人工智能技术在公民个人信息保护中的中立性，进而才能分析人工智能时代公民个人信息保护的紧迫性和必要性。

（一）人工智能技术在公民个人信息保护中的中立性

人工智能与公民个人信息保护之间的关系归根到底是科学技术与法律制度之间的关系问题。科学技术具有中立性，一项科学技术的产生、发展对法律制度而言，并不必然带来消极影响。相反，科学技术是生产力发展的直接体现，而任何规则制度的产生都得益于生产力的发展，法律自然也不例外。①任婷婷：《法与科技之关系的全新解读》，载《山西科技》2007年第5期，第66页。概括而言，科技发展对法律制度完善的作用主要体现在三个方面：

第一，科技为法律提供技术支持。法律是一门开放性的社会科学，科技领域现有成果的融入，有利于提高法律的运行质量和效率，例如智能办案系统的研发和运用。

第二，科技发展扩充了法律调整的社会关系内容。因科技发展导致了一些新型社会关系的产生，为更好地适应科技给社会生活带来的变化，法律也增设了相关内容对这些新的社会关系予以调整，例如网络安全方面法律规定的产生就是为了调整网络环境下新生的社会关系。

第三，科技发展导致了法律制度的变迁。为适应其他因素带来的社会环境的变化，一些法律方面的制度也在不断更新之中，例如刑事诉讼法对于电子数据这一证据种类的罗列，以及学界对于人工智能主体地位的探讨等。

从上述分析中，我们不难看出，科技自始自终保持着技术中立性的特点，对于法律制度发展的总体影响是积极的、向前的，但当其为不法分子所掌握和使用之后，就会诱发严重的消极后果。因此，可以概括而言，人工智能技术对公民个人信息的保护而言有两方面的影响：一方面，人工智能技术为更快速、便捷地获取公民个人信息提供了技术支持，另一方面，人工智能技术也在一定程度上被不法分子所获取，用于实施违法犯罪行为，从而产生了侵犯公民个人信息以及其背后的个人人身及财产安全的违法犯罪行为。

（二）人工智能时代加强公民个人信息保护的紧迫性

在大数据的信息海洋中，我们通过网络查询、浏览自己需要的信息，同时也通过各种网络平台上发布信息，而各种平台则通过人工智能技术对信息加以搜集、存储和分析利用。在这个过程中，个人信息不可避免地被不法分子获取和非法利用，我们每个人既可以是信息的使用者，也可以是信息的创造者，我们更肩负着信息的守护者的重任。虽然人工智能技术具有先天的中立性，但是，从现实情况来看，人工智能技术对于公民个人信息保护的巨大冲击是客观存在的，一定程度上助推了侵犯公民个人信息的行为。因此，加强公民个人信息保护极具迫切性，主要体现在以下三个方面：

第一，人工智能导致公民个人信息被侵犯数量大幅增加、被侵犯速度加快。公民个人信息被泄露或被非法提取并非人工智能时代才出现，泄露、非法获取和出售公民个人信息的行为其实早有发生，且多发于传统的金融、电信、交通、教育、医疗等具有先天优势合法获取公民个人信息的行业中。这些领域获取的一手公民个人信息一般都是在不断积累客户资源后形成的，其形成时间相对较长，且因领域限制，其信息总量也是有限的，但是，在人工智能技术被用于公民个人信息的获取、泄露等行为之后，数量巨大的公民个人信息可能仅因黑客侵入而在瞬间被获取，其获取速度之快、信息量之大是传统非人工智能手段方式获取公民个人信息所无法相比的。引言案件中，人工智能对非法获取公民个人信息的犯罪行为来说如虎添翼，不仅大大提升了破解获取平台用户账号、密码等公民个人信息的速度，而且也使被非法获取的公民个人信息的真实性和准确性得以强化。

第二，人工智能导致现有网络平台公民个人信息安全度降低。网络技术的快速发展，最大限度地解放了人们的生活方式，使得人们的生活更简单易行，但同时，越来越多的个人信息也不可避免留在了网络平台上，如常见的网购APP、外卖APP上个人姓名、电话、收货地址等，这些信息的真实性、准确性、即时性极高，均为信息时代个人最重要的信息内容。设想一下，如果有不法分子通过人工智能技术匹配获取该些后台数据，之后该些数据信息被不法转让和利用，其后果之严重性可想而知。引言案例中所述的巨大涉案金额只是公民个人信息被侵犯后果的冰山一角。

第三，人工智能导致公民个人信息泄露后其他关联犯罪多发。纯粹的公民个人信息对于他人而言其实并无太大利用价值，所以实际案例中，以购买、交换、出售、泄露等非法方式获取和提供公民个人信息之人的目的并不单纯。近年来备受人们痛恨、公检法常打不懈的电信诈骗案件中，非法获取的公民个人信息就体现出了重要价值。嫌疑人均根据非法获取的公民个人信息联系被害人，被害人多因对自身信息真实性的信任而放松了对于嫌疑人的警惕，并基于错误认识而处分财产，使嫌疑人的诈骗目的得逞。山东女大学生徐玉玉因个人教育信息等被泄露遭遇电信诈骗身亡案、甘肃某乡村教师遭遇电信诈骗自杀案、清华大学教师因购买房产的交易信息被泄露遭遇电信诈骗1700万等案件都是个人信息泄露的鲜活教训。除此之外，侵犯公民个人信息犯罪还与抢劫、绑架、非法拘禁、敲诈勒索等暴力犯罪以及盗窃、信用卡诈骗等财产犯罪联系紧密。①邓漫银：《侵犯公民个人信息犯罪之现状》，http://blog.sina.com.cn/s/blog_15e18e8100102wyjc.html，最后访问时间：2019年6月4日14时45分。目前，以侵犯公民个人信息为中心的犯罪产业链初步成型，对公民合法权益以及社会信任造成了严重危害。

三、人工智能时代公民个人信息保护的应对举措

人工智能技术的发展是大势所趋，但人工智能技术如被不法分子利用，对公民个人信息保护带来的消极影响是不可估量的。所以，人工智能时代，防范侵犯公民个人信息犯罪、维护公民个人信息安全，任重道远。当下，应多管齐下，在强化公民自我保护意识、打击关联犯罪、利用技术手段防范和完善法律制度保障等四个方面进一步努力，共同实现人工智能时代公民个人信息的合理利用和保护。

（一）强化公民自保意识

面对人工智能技术发展给公民个人信息带来的重大侵害，公安司法部门作为违法犯罪行为的打击主体，应通过宣传帮助公民不断增强个人信息的自我保护意识。公民自身是个人信息保护的重要主体，要构筑起公民个人信息保护的有效屏障，必须做到以下两点：一方面，增强公民个人自身安全意识。如尽量不浏览、登录一些不可信的网站，必须登录时，尽量不要提交或者留下个人信息，如必须填写或注册网络账号时，如无特殊身份验证需求，应尽可能避免使用真实姓名、详细住址等信息，以避免被钓鱼网站骗取个人信息。另外，除特殊情况外尽可能不连接公共场所免费WIFI，不扫可疑二维码，不下载非官方应用的APP。另一方面，引导公民在发现信息泄露时及时提供案件线索。当公民在日常生活中接到一些能确定自己身份信息的推销电话或者可疑电话时，应提高警惕，必要时及时报警，以帮助侦查机关发现案件线索，如不幸发生了钱款被骗等情况则应及时止损，防止损失进一步扩大，尽快制止犯罪，以避免犯罪分子利用非法获取的公民个人信息实施其他犯罪。

（二）强化打击关联犯罪

利用人工智能技术获取的公民个人信息一般是其他下游犯罪的前端行为，上游非法获取的公民个人信息主要被用于下游的电信诈骗、绑架、敲诈勒索等犯罪目的。因此，侦查机关在发现电信诈骗、绑架等下游犯罪线索之后，应高度重视，利用个案分析和类案比较的方式对案情信息进行整合，发现侦查突破口，利用侦查手段顺藤摸瓜，探寻相关案件中公民个人信息的来源，以拔出整个犯罪链条，严厉打击侵犯公民个人信息的犯罪。另外，当接到一些公民个人信息被侵犯的违法犯罪线索后，侦查机关应高度重视，深挖涉案公民个人信息的去向和用途，以便及时控制、阻止下游电信诈骗等犯罪行为的发生。

（三）强化技术防范手段

俗话说“魔高一尺，道高一丈”。以技术手段来应对违法犯罪技术不失为一项良策。就如腾讯安全专家周正所述，互联网行业的安全防范主要是对抗有规律、有特点的恶意行为，对抗这种有深度学习能力的人工智能犯罪，有必要提升防范等级，增加多维度的安全验证环节。比如，登录时使用字符型验证码，二次登录用短信或邮件验证，辅助以滑块解锁等方式，“对抗不断升级的入侵攻击，提高犯罪门槛，强化动态机制，是互联网安全行业一直在做的事情。”①刘甦：《人工智能犯罪细节首次披露：你的个人信息是这样被破解的》，载《财经杂志》2017年10月30日版。而公安机关在利用技术防范措施方面不断探索，有报道称公安部在防止公民个人信息泄露方面，将电子身份标识载入手机卡。这项电子身份标识（简称eID）是以密码技术为基础、以智能安全芯片为载体的网络身份标识，能够在不泄露身份的前提下在线远程识别身份。②《身份证将迎大变革：电子身份标识让你安全“隐身”》，http://www.chinaz.com/news/2017/0926/807994.shtml，访问时间：2019年5月4日14时7分。所以，随着技术防范手段的升级、推广，技术隔离防护网的构建将在一定程度上为保护公民个人信息筑起技术围墙。

（四）强化法律保护屏障

为了打击和惩治侵犯公民个人信息犯罪，《刑法》以及最高人民法院、最高人民检察院《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中根据情节轻重对各类侵犯公民个人信息行为作出了相应的处罚规定。而从侵犯公民个人信息的现状来看，该类案件一直处于“野火烧不尽，春风吹又生”的状况，严重影响了社会经济发展和不特定广大人民财产安全。通过个案处理追责打击，往往难以应对现有公民个人信息受侵害的严峻形势，所以，只有从类案中总结经验教训，再从源头上采取治理措施，才能最大限度地保护公民个人信息。根据我们现有制度设计，笔者认为，适时将侵犯公民个人信息行为纳入公益诉讼制度范畴，通过检察机关介入追责的方式，赋予公民个人信息在法律上更大的保护空间。从理论上看，这一做法具有一定的合理性和必要性，是建立全方位公民个人信息保护法律制度的有效途径。