FTC的Rite Aid和解案——安全部署AI工具的教训

2023年12月19日，联邦贸易委员会（FTC）解决了一起针对零售巨头Rite Aid的执法行动，揭示了企业在导航生物识别和人工智能（AI）工具复杂领域时的重要见解。该和解案由据称与Rite Aid使用面部生物识别相关的第5节违规行为触发，强调了围绕先进技术商业部署的风险和审查力度加大。

FTC的干预突显了企业重新评估利用生物识别和AI工具策略的紧迫性。Rite Aid和解案的余波为管理监管监督不断变化的格局提供了操作手册，特别是关于误报匹配风险以及可能对消费者（尤其是少数族裔客户）造成的伤害。

历史视角

Rite Aid是一家著名的零售药店连锁企业，因FTC对其使用面部生物识别来识别和威慑涉嫌犯罪意图的个人提出担忧而卷入法律程序。FTC指控Rite Aid的方法依赖于生物识别系统触发的警报，缺乏合理的保障措施，导致误报匹配，并对少数族裔客户构成更高风险。

委员会还援引了单独的第5节索赔，指出Rite Aid未能遵守2010年的一项命令，该命令要求在选择服务提供商时保持勤勉，获得合同保证，并维护书面信息安全计划。

和解条款

为解决此事，Rite Aid同意接受一项规定命令，施加严格的要求和限制：

禁止面部生物识别 – Rite Aid面临五年内禁止使用任何面部生物识别技术的禁令。

生物识别系统监控计划 – 该公司必须建立一个全面的计划，涵盖部署前的风险评估、持续评估以及针对已识别消费者风险的保障措施。

数据和算法剥离 – Rite Aid必须删除所有源自不当使用面部生物识别的数据，并通知第三方也这样做。

信息安全计划 –除了生物识别系统监控计划外，Rite Aid还必须实施更广泛的信息安全计划，并通过独立第三方评估进行验证。

评估和关键影响

Rite Aid案为参与或计划使用生物识别或AI工具的公司敲响了警钟。它提供了关于FTC关注领域的宝贵见解，为采取主动方法减轻法律风险奠定了基础。该和解案强调了委员会审查生物识别和AI的承诺，表明组织需要投入资源用于合规措施和治理计划。

Rite Aid执法行动的关键要点包括进行彻底风险评估、实施强大的监控计划以及解决FTC提出的具体关切的重要性。通过主动识别和解决这些问题，企业可以导航围绕生物识别和AI技术的不断变化的法律格局。

下一步——AI工具部署的实用合规建议

Rite Aid事件不仅突出了需要避免的陷阱，还为希望加强合规计划的公司提供了路线图。实用提示包括：

生物识别系统监控计划 – 遵循FTC的蓝图，纳入风险评估、持续评估以及针对已识别风险的定制控制措施。

通知机制：实施清晰透明的通知机制，包括个性化和通用通知，以告知数据主体有关生物识别系统和潜在不利行动的信息。

数据保留/销毁 – 建立并遵守生物识别数据保留时间表，确保永久删除敏感信息。

消费者投诉机制 – 创建渠道供消费者提交与生物识别系统输出相关的投诉，促进调查和解决的响应式流程。

信息安全计划 – 超越生物识别，实施全面的信息安全计划，并通过第三方评估定期验证。

随着企业应对生物识别和AI监管不断变化的格局，Rite Aid的和解案为主动合规提供了蓝图。现在的问题是，企业将如何适应这些教训，并将采取哪些额外措施，以确保在日益严格的监管审查下负责任地部署先进技术？