保“算法向善”，数据安全治理应从三方面入手

伴随着人类社会数字化程度的不断提升，算法已经成为影响世界运行的基础性规则。以机器学习算法为代表的第三次人工智能发展浪潮的兴起，使得算法实现了自我生产，通过基于大数据集的自我学习过程形成规则集并应用于不同场景下的感知和决策。算法性能的提升及其应用的普及在极大提高人类社会运行效率的同时，也带来了新的治理风险与挑战。

例如算法的设计或许可以在数学逻辑上做到完美，但缺乏对人性和社会环境的综合考虑，从“真空”环境中诞生的算法本身带有机械性。一味追求效率、不断压缩配送时间的外卖配送算法，即体现了算法程序的不尽合理之处。

对此，清华大学公共管理学院教授、清华大学人工智能国际治理研究院副院长梁正认为，面对算法缺陷及其产生的问题，应将算法嵌入到整个社会体系中评估，分析算法运行所牵涉的各个环节，以体系化的思维为算法向善提供解决方案；南开大学法学院教授、竞争法律与政策研究中心执行主任陈兵也表示，应加快构建科学合理、高效有序、完整统一的数据安全治理体系，为我国数字经济和产业市场化、规范化、国际化的发展提供有力的制度保障。

算法治理的基本解决路径是什么？

1

设计算法应该走出“真空”接受社会实验。算法评价机制中也应该引入其他考量因素，忽视人性的算法无法为人类带来福祉；

2

制定算法规则需要多方参与尽量避免不合理之处。应赋予主体知晓及理解算法运行逻辑的权利，多方参与规则制定是正当程序的必然要求；

3

算法的负外部性需要多种公共政策相互补充。不能将算法视为单纯的技术问题进行治理，而要匹配不同政策工具进行综合治理；

4

为算法建立法律监管与道德约束机制。特别是在算法设计和研发的标准、规则和透明度等方面出台法律规范。

数据安全治理应从哪三个方面进行完善？

1

补齐多元主体共治机制短板。应当根据不同主体自身的特性，在明确治理主体定位的基础上，构建数据安全共治体系；

2

针对数据生命周期各环节制定差异化安全保障策略。应当基于数据生命周期各环节的不同特点，制定相应的安全保障策略；

3

加强跨境数据安全保护。应当从具体规则完善、技术发展和国际合作等方面探索国家数据安全保护的制度进路。

更多精彩观点

01

算法治理的基本路径与核心理念

1、算法缺陷及其产生的问题

以外卖配送系统为例，外卖平台利用大数据分析计算最优配送路径，极大缩短了骑手的配送时间，提高了配送效率。但也存在诸多问题，有些是算法本身缺陷所导致的，有些则因其他社会问题与算法相伴而产生。

• 算法程序中可能存在不尽合理之处

算法中的程序几乎是算法控制者单方设定的，即使程序中可能有不尽合理之处，算法相对方也只能被动接受。例如，外卖配送系统中设定了骑手等级，骑手需要通过每日登录APP、分享邀请有礼活动链接、上传健康证、完成各种订单配送等方式获取晋升等级所需要的积分。其中也有减分项目，比如配送超时减3分，获得一星差评或不满意评价减5分等，甚至一个差评或延时会直接扣除骑手工资。在这种规则之下，配送时间成为非常重要的考核指标，骑手面临很大压力。尽管这些规则在人性化、合理性上还值得商榷，但骑手只能被动适应，接受算法规则的约束，甚至对算法产生依赖。

• 算法容易使个体失去自主性

自泰勒提出标准化管理模式之后，工作逐渐被标准化和简单化，工人操作的自由度降低了，简单重复的动作让人越来越像机器。正如媒体曾经报道的富士康工厂的情况一样，在高度标准化的生产中，工人的工作效率以秒来计算，工人往往处于高度疲态和枯燥之中。算法的运行与此相似，算法具有隐蔽性和高度专业性的特征，每个参与算法的个体就是一个数据节点，在算法高速运转中，个体只能被动接受信息并执行算法命令。骑手属于劳动密集型职业，工作中需要耗费大量精力，若只受算法支配而丧失自主性，他们作为劳动者的休息权则无法得到保障。同时，骑手与社会其他群体具有紧密联系，一旦发生事故不仅会伤害自己，还会伤及他人。从这一点来看，保障骑手休息的权利也在一定程度上意味着保护社会公共利益。

• 仅靠算法的自我迭代难以有效解决问题

算法的设计或许可以在数学逻辑上做到完美，但缺乏对人性和社会环境的综合考虑，从“真空”环境中诞生的算法本身带有机械性。在外卖配送算法中，为了追求效率，可以对所有阻碍因素进行优化，把配送时间不断压缩。但如果因为计算最优路径而忽视了实际道路状况、实时天气状况和小区管理情况等影响因素，计算结果往往就会不准确，算法不断迭代的过程也就可能演变成了加大骑手困难的过程。实际上，其他社会因素会深刻影响算法的运转情况。现实中经常可以看到，由于城市交通违章查处、电动车限速标准执行不够严格，大量违章、超速外卖骑手电动车上路等现象。除了交通规则外，一些小区的管理也需要调整，如一些商务楼、医院、小区等不允许骑手进入，骑手只能在外等待或者步行送餐，最后导致送餐延迟。如果忽视这些问题，单靠算法本身的迭代是无法有效解决问题的。

2、算法治理的路径

为应对上述算法的缺陷，可以从内部的算法自我优化与外部的监督规范中找到解决路径。

• 设计算法应该走出“真空”接受社会实验

算法背后是代码，代码是“冰冷”的，没有人文温度，忽视人性的算法无法为人类带来福祉。在现行外卖配送算法中，如果骑手因偶然因素实现了快速送餐，算法就会提供奖励，让骑手接到更多订单。这样一来，骑手出于利益最大化的动机，肯定会追求速度越快越好，订单越多越好，由此陷入恶性循环。为了避免速度成为唯一的考量因素，算法评价机制中也应该引入其他考量因素，比如为从来没有发生交通事故的骑手提供奖励，引导骑手更加注意安全。

• 制定算法规则需要多方参与尽量避免不合理之处

基于机器学习的算法具有“黑箱”特征，算法相对方无法就算法规则提出建议或意见，只能被迫“追赶”算法设定的目标。多方参与规则制定是正当程序的必然要求，比如一些电商平台推出“规则众议院”，平台上的买卖双方都可以通过众议院机制就规则制定发表意见。也有学者提出算法解释权，即赋予主体知晓及理解算法运行逻辑的权利。该观点认为，受到自动化决策不利影响的人应有权知晓决定的内容与理由，并拥有申诉和申辩的机会。算法解释权是赋予个体对抗“算法权力”的重要武器，因为个体知悉算法规则后才能就其不合理之处提出建议，并参与到规则的制定之中。

• 应对算法的负外部性需要多种公共政策相互补充

算法实际是嵌入在社会的多样应用场景中的，各个场景所牵涉的主体、外部因素和行为规范都不相同。因此，不能将算法视为单纯的技术问题进行治理，而要匹配不同政策工具进行综合治理。对于“困在系统”中的骑手，国家应该重视对这部分人群劳动权益的保障，特别是休息、薪酬、安全等合法权益。外卖平台应该参照其他平台的举措，设置强制骑手休息的规则，保障骑手安全，进而维护社会安全。为了应对骑手闯红灯、超速等问题，交通管理部门也应该严格制定和执行交管规则，对骑手进行外部约束。社区管理部门也应参与其中，对外卖、快递进社区等管理规范进行完善细化，如允许骑手安全送餐，或者配置取餐柜等，缓解骑手“最后一公里”送餐难的问题。

• 为算法建立法律监管与道德约束机制

2017年1月，美国计算机协会专门发布了算法治理伦理原则，涵盖利益相关者责任、救济机制、算法使用机构责任、鼓励可解释算法研发、数据治理、算法审查要求、实时检查责任等七个方面的内容。2019年4月，美国参议员提出《2019年算法问责法案》，要求美国联邦贸易委员会对企业进行算法审查。欧盟也在《人工智能时代：确立以人为本的欧盟人工智能战略》《通用数据保护条例》和《人工智能道德准则》等多个文件中，强调以价值观引导人工智能技术的发展。需要从外部规范的角度为算法制定伦理标准，并建立相应的伦理审查制度。特别是在算法设计和研发的标准、规则和透明度等方面出台法律规范，并建立算法问责机制，保障个体权利，包括算法解释的权利、更正或修改数据的权利、退出算法决策的选择权等。

3、算法治理的理念

治理算法需要以基本原则和理念为指导，并根据情况的变化适时调整算法治理的具体方法。

• 算法治理应坚持利益平衡原则

利益平衡既包括算法内部所涉主体之间的利益平衡，也包括算法使用者与社会公众之间的利益平衡。通常外卖平台将消费者置于首位，而商家次之。在这种机制下，平台为了消费者的满意只能“压迫”骑手。算法使用者应该平衡好这三方的利益，对算法的治理也应该平衡好企业与社会公众之间的利益，在尊重企业逐利天性的基础上为算法立规矩，保证算法在正确的轨道上运行，只有这样才不会因噎废食。

• 算法治理应坚持人本主义

在算法时代，尊重个体主体性、自治性和人格尊严始终是发展底线，算法治理也应该注重保护人类尊严、公民权利以及社会公平。特别是要加大对弱势群体的关注，避免“数字鸿沟”，实现实质公平。可以通过强化企业社会责任的方式在算法治理中体现人文主义，比如从社会福利的角度评估企业在关怀弱势群体、保护用户隐私、尊重个体人格以及劳动者休息权利等方面作出的努力。

总之，算法治理是一项长期工程，算法在不断演进，对算法的治理也应该不断迭代，其中算法问责机制、算法评估机制、算法监督机制都是需要继续讨论的重要话题。对算法的治理不应局限于算法本身，而是需要将算法嵌入到整个社会体系中评估，分析算法运行所牵涉的各个环节，以体系化的思维为算法向善提供解决方案。

02

完善数据安全治理的三个方面

1、补齐多元主体共治机制短板

多元主体的共同参与有助于构建良好的数据安全治理秩序，而数据安全的有效维护又反过来使各方主体共同受益，应当根据不同主体自身的特性，在明确治理主体定位的基础上，构建数据安全共治体系。

一是明确政府部门权责。应当厘清政府部门对数据安全的监管权责，构建涵盖数据运行全过程的全方位监管体制，同时还应合理界定政府监管范围，在保障安全的基础上，限制政府公权力对产业发展的过度介入，避免权力滥用。政府还应制定相关政策或者行动计划，从宏观上确定数据安全的治理目标、基本原则、行动步骤和具体制度，细化数据安全的内容。同时，大数据安全并非某一部门或者某一地区的责任，还需要加强各部门、各地区之间的协作，建立中央统一领导、各部委分别负责、各地方具体落实的自上而下的完整治理体系；还可以考虑构建部门、地方之间的联席会议机制，并促使其在大数据安全治理中发挥主导性作用。

二是推动行业自治。企业、行业组织、第三方机构以及其他数据组织或者涉数据主体不仅享有数据安全权益，同时也负有数据安全责任。因此应当在厘清企业、行业组织等数据组织定位的基础上，通过行业规范、标准制定、内控机制等方式确定主体权责，同时还可以通过第三方机构安全认证等方式激发行业自治的积极性，激励数据市场主体强化安全保障措施，完善内部管理。

三是深化公众在大数据安全治理中的作用。社会公众既是大数据的重要来源，也是大数据应用的受益对象。应当细化公民个人享有的数据安全权利和应承担的数据安全义务，为公民在数据安全治理中发挥作用筑牢法治根基。同时还应通过政策宣传，提升公众对个人隐私及信息安全的重视，增强自律意识和自我保护意识，为数据安全治理奠定群众基础，并充分发挥公众的监督职能。另外，畅通数据安全群众意见反馈渠道，可以考虑构建政府、行业、公众三方代表协商机制或者听证机制，定期或不定期召开会议讨论数据安全问题，对数据安全治理建言献策，为维护数据安全提供有力保障。

2、针对数据生命周期各环节制定差异化安全保障策略

应当基于数据生命周期各环节的不同特点，制定相应的安全保障策略。

数据采集是数据安全治理的第一道关口。可按照数据的重要程度对不同数据进行分级，从上到下分为涉密数据、敏感数据、重要数据、一般数据。在分级基础上，根据不同级别的数据设置不同的采集程序要求，级别越高的数据，采集程序要求越严格，所需获得的授权标准也就越高，由此保障数据的采集安全。

在数据传输环节，应当以传输加密为核心。将不同数据的专线传输、传输证书、文件内容过滤、网关审查、敏感性检查等内容纳入数据安全法律法规，明确其技术标准、责任主体、监管方式等。

在数据存储方面，应从内外两方面入手加强安全保障。在内部管理上，应当明确数据库的访问主体、访问权限，建立专门的数据库或数据平台管理机制，部署专门的管理人员，防止泄露；在外部防御上，通过加强技术防范，采取有力措施阻止非法攻击和侵入，同时还应赋予用户查看、修改、删除自身数据的权利以及时发现潜在的数据安全风险。

在数据使用环节，应当从数据的加工处理入手，推动数据加工处理的规范化。应当重点解决数据使用的授权认证、权限范围、运维权责、用户监督等问题，在保障安全的基础上推动数据高效合理使用。

在数据共享环节，应当厘清参与共享主体之间的协议制定和履行、风险分担、收益分配、责任界定等问题，加强对数据平台运行和管理的监管，平衡共享主体之间的利益，在此基础上保障数据的安全高效流动。

在数据销毁阶段，重点在于数据是否得到真实有效的销毁。因此，应当着力于数据销毁清单建立和记录保存制度建设，可以考虑通过数据销毁全程录音录像以及不定期检查制度的构建，确保数据得到真实有效的销毁。

3、加强跨境数据安全保护

数字经济时代，数据作为新型基础性战略资源日益得到各国重视，日渐成为国际竞争与合作的重要对象。面对当前跨境数据流动的发展现实，我国应当直面安全挑战，抓住时代机遇，积极推动我国数字经济和产业的发展水平更上一层楼。同时，还应当从具体规则完善、技术发展和国际合作等方面探索国家数据安全保护的制度进路。

首先，在具体规则上，应当细化各项规则内容，增强其可操作性。应在明确部门、地区权责范围基础上，抓紧构建各地区、各部门的数据清单和数据名录制度，合理制定数据的分级分类标准，并加强协调以避免重复和矛盾。具体列举数据跨境流动过程中所涉及的重要领域和行业，针对关键节点和重要领域开展多层次重点保护。同时，加强数据安全风险评估，明确负责数据安全风险评估机构，完善评估主体、评估标准、评估流程、评估频次、费用承担、评估结果等规定，可在规范资质认定、测评程序、责任承担等事项基础上，加强与第三方数据评级机构的合作，以提升评估效果，提高治理效率。此外，还应完善国家数据安全治理体系内部的监督和问责机制，明确监督主体、问责范围、责任处理等方面规定，可通过开展定期巡视、随机抽查等方式，保证国家各部门、各地区依法履行保障数据安全的职责。

其次，应当积极采取措施推动数据安全技术创新。对此，可加大资金、技术和人才投入，推进数据研究院、数据实验室等科研机构建设，加强与国内外科研院所、技术组织的合作，为数据安全治理创新提供技术基础。同时，应鼓励和扶持一些大型互联网或数据企业开展自主研发，通过技术奖励、税收优惠等措施，激发企业创新数据安全技术的积极性。此外，还应加快数据治理人才的培养和引进，加强数据治理人才储备，打造覆盖全方位、多领域的数据人才治理队伍。

最后，应当加强数据安全方面的国际交流与合作，积极参与国际数据安全治理规则体系的制定。可通过建立国际数据安全合作小组、信息交流共享、备忘录签署以及民间组织往来等多元化、多层次形式，推动国家间数据安全治理的交流。还应当在考虑国际通行标准和做法的基础上，制定合理的跨境数据安全执法规则，加强与其他国家和地区规则的衔接，促进数据安全跨境执法合作。积极参与国际数据治理规则的制定，构建国际数据治理多边机制，在国际数据治理中展现大国担当。