兰德公司对生物识别和数字身份系统的警告

兰德公司的一份新报告为隐私倡导者多年来提出的担忧增添了新的分量：为某一目的而建立的身份系统很少会局限于该目的。根据该报告，采用生物识别、数字身份和人工智能系统的安全机构应当在获取技术之前就被要求证明其必要性。

这听起来可能像是一项基本的官僚保障措施，但它的缺失恰恰是兰德公司所强调的问题所在。一旦某个机构部署了面部识别、指纹数据库或数字身份基础设施，这些系统往往会被拖入远远超出其原始正当理由的用途。兰德公司的核心论点是，生物识别数字身份监控风险并非假设性的边缘案例。它们是这些工具一旦存在后被采用和扩展的可预测结果。

从验证工具到定位工具

兰德公司描述的模式很直接。生物识别或数字身份系统的引入是为了解决一个狭窄的问题：验证旅行者的身份、确认某项服务的资格，或检查某人的年龄。但底层基础设施——数据库、匹配算法、采集点——并不会在那个狭窄任务完成后消失。它成为一种常设能力，政府其他部门或其他机构完全可以加以利用。

这就是身份识别系统如何变成定位系统的方式。一个为确认某人身份而建立的数据库，同样可以轻易地被用来追踪某人去过哪里、与谁交往，或是否与监视名单匹配。兰德公司呼吁各机构在获取之前证明必要性，本质上是在试图在偏移发生之前就加以减缓，办法是在采用阶段而非系统已经根深蒂固且难以撤销之后，强制展开关于范围和限制的讨论。

数字身份和年龄验证已在将这一基础设施正常化

兰德公司报告的引人注目之处不仅在于它对海外安全机构的警告。它发布的时机恰逢类似基础设施正在美国国内建设，而且往往打着争议性小得多的旗号：保护儿童上网。

年龄验证法律和提案越来越多地要求平台或政府确认用户年龄，而在实践中确认年龄就意味着确认身份。一份关于年龄验证的CGO研究论文已经提出了一个问题：一旦迫在眉睫的儿童安全正当理由得到满足，这些系统收集的身份数据会何去何从。该论文认为，匆忙通过这些法律往往恰恰跳过了兰德公司所说的、在任何身份系统建立之前就应当强制进行的审查。

同样的动态也出现在诸如《儿童互联网设计与安全法案》（KIDS Act）等立法提案中。正如一篇分析所解释的，该法案以儿童安全措施为名推销，实际上却是一个监控系统，将适用于全体人口，而不仅仅是未成年人。年龄检查要求验证每个人，这意味着基础设施最终也会覆盖成年人。这就是兰德公司所描述的重新利用问题，只不过是在国内以儿童安全的框架而非国家安全的框架上演罢了。

这对你意味着什么

大多数人永远不会直接接触到兰德公司报告所关注的那种安全机构系统。但其中的基本教训具有广泛适用性：任何为某一既定目的收集生物识别或身份数据的系统，日后都可能被转向另一目的，而数据所属的人往往对此毫不知情。年龄验证系统、数字身份项目和生物识别登录工具都带有同样的结构性风险，无论最初的说辞听起来多么无害。

这并不意味着每一项数字身份或年龄验证提案暗地里都是监控项目。它意味着举证责任应当落在提出该系统的机构或公司身上，而不是落在试图预判数据在五年后可能被如何使用的公众身上。

政策制定者和公民应当要求什么

兰德公司的建议——各机构在获取生物识别或数字身份技术之前应证明其必要性——是一个合理的最低标准，而非上限。政策制定者在评估任何新的身份系统时，无论其框架是围绕安全、儿童保护还是便利性，都应当追问：该系统解决什么具体问题？还有谁将能访问其收集的数据？一旦原始任务完成，这些数据会怎样？有隐私意识的公民可以推动在这些系统部署之前——而非在它们已经成为永久性基础设施之后——公开提出同样的问题。

将兰德公司的报告与国内年龄验证辩论连接起来的主线很简单：一旦身份系统存在，其用途往往会扩展。从一开始就要求提供正当理由，并对二次使用设定明确限制，是阻止生物识别数字身份监控风险从警告变为现实的为数不多的可用工具之一。