汇业评论

文 | 史宇航 汇业律师事务所 顾问  

一、背景

随着算法推荐技术的日益普及，对算法推荐技术的监管和治理已成为一项迫在眉睫的工作。在2021年11月，习近平总书记主持召开的中央政治局会议强调，加快提升生物安全、网络安全、数据安全、人工智能安全等领域的治理能力。推荐算法涉及网络安全、数据安全以及人工智能安全等多个领域，其重要性可见一斑。

在2022年1月4日，网信办、工信部、公安部与市监总局四部委联合发布《互联网信息服务算法推荐管理规定》，该规定将于2022年3月1日正式施行。

《互联网信息服务算法推荐管理规定》的颁布，意味着算法推荐技术的治理进入新的阶段，也标志着算法合规正在成为一项新的合规类别，成为数据合规的组成部分，并可能在未来成为一个单独的门类。

二、管辖范围

《互联网信息服务算法推荐管理规定》将算法推荐技术定义为：“利用生成合成类、个性化推送类、排序精选类、检索过滤类、调度决策类等算法技术向用户提供信息”。具体来说，算法推荐有以下场景： 

从以上场景、示例中可以看出，算法推荐的范畴已经涵盖企业经营的各个方面，无论是内容平台借助算法生成并分发内容、零售品牌向顾客发送促销信息，或是电子商务平台优化搜索结果、外卖平台规划“外卖小哥”的送餐路线，只要在中国境内使用算法推荐功能，都需要根据《互联网信息服务算法推荐管理规定》部署合规工作。

三、监管机构与监管措施

2021年8月的征求意见稿规定由网信部门负责监管，相比之下，此次正式发布的《互联网信息服务算法推荐管理规定》中的明显变化在于，监管机构加入了工信部门、公安部门、市监部门等部门，而网信部门将主要负责统筹协调的工作。这也意味着在常规网络安全、数据保护的日常检查中，这些部门检查的内容可能会一并加入算法监管内容。

《互联网信息服务算法推荐管理规定》中明确由监管机构建立算法分级分类安全管理制度，根据算法推荐服务的舆论属性或者社会动员能力、内容类别、用户规模、算法推荐技术处理的数据重要程度、对用户行为的干预程度等对算法推荐服务提供者实施分级分类管理。

此前，在《关于加强互联网信息服务算法综合治理的指导意见》中，相关部门就已提出“坚持风险防控，推进算法分级分类安全管理，有效识别高风险类算法，实施精准治理”。此次分类分级的要求，将为进一步备案管理做准备。目前，备案仅涉及具有舆论属性或者社会动员能力的算法推荐服务，不排除未来更多高风险的算法被要求备案的可能。

在法律责任方面，《互联网信息服务算法推荐管理规定》也相较征求意见稿提升了处罚力度，将原有的最高3万元罚金提高至10万元。但需要关注的是，10万元并非处罚的上限，监管部门还可以依据《网络安全法》《数据安全法》《个人信息保护法》等法律法规对算法推荐的违规行为进行处罚。

四、合规建议

根据我们服务相关企业的经验，企业如果在相关服务中使用算法推荐技术，我们建议可以从以下角度开展合规工作：

1.更新合规清单

企业可以针对《互联网信息服务算法推荐管理规定》的新要求，对自己的业务进行梳理，判断哪些业务或场景可能涉及《互联网信息服务算法推荐管理规定》中的合规义务，进而定位风险，有针对性地采取合规措施。

2.完善制度文件

开展合规工作向来需要制度先行，我们建议企业建立的算法机制机理审核规范应当包括以下内容：

1) 明确触发推荐算法审核的具体场景；

2) 理清推荐算法可以使用的数据类型，确保所使用的数据具备相应的合法性基础；

3) 对提供推荐算法的第三方进行资质审核，确保其具备提供服务所必需的资源和资质，且相关人员没有相关违法或犯罪记录；

4) 在与第三方协议审核的过程中，对数据处理的责任以及产品质量责任进行准确划分，明确约定知识产权（如有）归属；

5) 要求推荐算法在上线运营前进行充分测试，测试应考虑不同背景人群的参与情况；

6) 在运营过程中部署人工审核、巡检工作，定期进行审核；

7) 其他需要规定的事项。

3.完善科技伦理审查机制

我国正在构建从上至下的科技伦理审查制度，科技部在2021年8月发布了《关于加强科技伦理治理的指导意见 （征求意见稿）》，推进科技伦理的治理工作。

企业可以通过构建跨部门的科技伦理委员会，并引入外部专家，对新技术、新业务的伦理风险进行评估，评估内容应当包括：

1) 具体场景算法推荐技术的使用目的、方式以及必要性；

2) 算法推荐技术是否合法合规；

3) 算法推荐技术可能对个人、社会、国家带来的安全风险，尤其是判断相关技术是否会对长者或未成年人的权益造成侵害；

4) 对相应安全风险所采取的防控措施；以及

5) 其他需要评估的内容。

4.算法的解释说明

算法透明是算法推荐合规的重要组成部分，《互联网信息服务算法推荐管理规定》第16条规定“算法推荐服务提供者应当以显著方式告知用户其提供算法推荐服务的情况，并以适当方式公示算法推荐服务的基本原理、目的意图和主要运行机制等。”

在实践中，我们推荐：

1) 在《隐私政策》中新设章节，对算法推荐的使用情况进行介绍，主要介绍算法推荐的使用场景、基本原理、目的意图和主要运行机制；

2) 将用户关于推荐算法的申诉与投诉纳入企业的用户个人信息权利响应机制；

3) 如果算法推荐是产品（服务）的核心功能，建议通过单独的《算法推荐政策》说明算法的使用情况；

4) 企业还可以通过“白皮书”“年度报告”或线下（线上）沙龙等形式，对相关产品、服务中推荐算法的使用情况、投诉数据和投诉处理反馈进行说明。