国际隐私保护专业协会2024全球峰会专题—— 组织与监管面临与日俱增的数字治理复杂性

翻译: Mandy Zhu, CIPP/E, CIPP/US, CIPP/A, CIPP/C，CIPM, CIPT，FIP

越来越多的人呼吁隐私与数据保护专业人士和监管机构发挥更重要的作用，以应对不断变化的数字环境所带来的挑战。随着个人数据与人工智能技术、商业监控、生物识别、网络安全以及更多概念之间发生越来越多的碰撞，隐私和数据保护不再是单一的使命，其焦点已经转向到一个包罗万象的数字治理理念。

隐私和数据保护的从业者和监管机构如何应对数字治理新范式是2024年IAPP全球峰会主题演讲的开场话题。在主旨演讲中各位演讲人传递的一致信息是，虽然存在诸多政策考虑，但隐私和数据保护领域的专业人士以及监管机构有能力引领强大的数字综合治理实践并提升消费者信任。

美国联邦贸易委员会专员丽贝卡·凯利·斯劳特（Rebecca Kelly Slaughter）在主题演讲中表示：“我们并不局限于隐私保护或者聚焦某一方面或仅针对某一行业，所以我们能够以它们在市场上出现的综合方式来思考这些问题。”

近几个月来，美国联邦贸易委员会在人工智能、数据经纪人、位置隐私和儿童隐私方面的执法经验使其在数字治理领域具备灵活性。斯劳特说，联邦贸易委员会在人工智能方面的工作，以及它如何“影响到我们机构的几乎每个部门”，是该机构所采用的全方位方法论的真实实践，而不是“在现实世界中不存在的市场上强加人工孤岛”。

跨越数字空间对澳大利亚隐私专员卡莉·凯恩德（Carly Kind）来说并不是什么新鲜事，在2月份成为专员之前，凯恩德是Ada Lovelace研究所的主任，并在欧盟委员会和欧洲委员会从事数字政策工作。根据凯恩德的说法，成功穿越数字治理的交叉点需要回顾之前的经验教训。良好的人工智能治理实践的关键可以从以前为隐私和数据保护而建立的组织中复制。

在监管机构方面，凯恩德表示，促进良好的人工智能治理取决于“我们如何通过法律和治理制度重新分配和重新平衡权力”。然而，实现平衡和最佳实践不限于一个具体的框架。她补充说，“我认为我们不需要规定一条前进的道路，我们应该尝试就原则达成一致并定义什么是好的人工智能治理，其中一些原则包括将公民或消费者置于起点。

机构协同

对于需要管理和明确责任以应对数字治理责任的企业（机构）而言，首要问题是缺乏一致的监管体制。各种类型的公司比此前更多地面临来自不同行业、不同司法管辖区的不同的法律要求。

欧盟也存在很多不确定和混乱。

近年来，随着《数字市场法》、《数字服务法》、《数据法》和《数据治理法》与此前的欧盟《通用数据保护条例》和其他现有数字法律相结合，欧盟的数字规则规模显著增长。《人工智能法案》将很快加入其中，从而引发更多关于法律间的相互作用以及哪些合规措施需要优先适用的问题。

万事达卡首席隐私和数据责任官 Caroline Louveaux （CIPP/E，CIPM）表示，企业对欧盟以及其他司法管辖区数字法规综合治理要求的回应始于明确的价值观声明。例如，万事达卡（Mastercard）多年前就推出了“以消费者为中心”和“用数据和技术指导一切”的数据责任原则。

Caroline Louveaux 进一步表示， “它们适用于任何地方，无论各国具体的法律要求如何。为了简单起见，我们有一个流程和一个工具来审查我们所有的产品和解决方案；我们还成立了一个治理委员会，公司内部所有关键的利益相关者都参与其中。因为只有拥有众多团队、多样化的技能和专业知识，才能实现有效的治理。”

IBM正在使用类似的协作模型来确保整合的治理实践：副总裁兼首席隐私和信任官克里斯蒂娜·蒙哥马利（Christina Montgomery）表示，她的公司也有类似的委员会，既有广泛的也有针对特定主题的，这些委员会让IBM业务的各个条线都了解情况并参与决策。

在解释IBM的人工智能产品方法时，Montgomery表示，虽然包罗万象的讨论至关重要，但引导该组织讨论的专业技能是首要的。“你需要了解你的人力资源团队如何使用（人工智能），然后是你的财务团队等，”她说。“各领域的专业知识是另一个非常重要的因素，在某些领域你的结论取决于你的商业模式。”

合规桥梁

对于没有普适的合规方法论的企业来说，新产品部署将会面临前所未有的挑战。确定一项法律是否适用于公司或其新产品是合规难题的关键因素。

斯劳特专员对评估需要如何进行合规操作的企业负担表示理解，但也承认企业“有责任”进行尽职调查，并首先成为市场的参与者。

“我认为我们的目标是尽可能透明地向企业说明法律要求，以便企业提前知晓并可以据此为自己的产品进行合规准备”斯劳特说。“进行预测、计划和映射，而不是试图在事后清理。这正是法律的要求，也是我们希望帮助企业做好的事情。”

Caroline表示，为了进行有效的事实核查和预先进行风险评估，特别是在人工智能的背景下，企业不应该从零开始，而是应该利用现有的风险结构和治理规则。隐私和数据保护的专业人员就是公司高管最好的可用资源，让他们知晓这些现有工具和流程仍然适用。

“我们比任何人都更了解数据和技术，” Caroline说。“我们知道如何平衡不同的观点、不同的利益，以及如何管理随之而来的风险，我们擅长于说服整个公司的利益相关者参与协作，并有效地完成合规工作。”