Funksjonen vi nektet å bygge

Målet

Politikkradar publiserer hva som skjer i kommunestyremøter: hvem som snakker, hva de sier, hvordan voteringer faller. Kildematerialet er lange videomøter. Å gjøre video til et brukbart offentlig referat, er å løse hvem-sa-hva: å koble transkripsjon med den som faktisk snakker til enhver tid.

Den fristende snarveien

Rådsmedlemmer er offentlige personer med publiserte bilder. Å matche ansikter i videoen mot disse bildene ville identifisere talerne med høy grad av sikkerhet og med liten ingeniørinnsats, og mesteparten av infrastrukturen fantes allerede. Det er den typen funksjon som kan lages på en helg, og som føles helt opplagt, fordi alt som er involvert allerede er offentlig.

Hvorfor vi nektet

GDPR artikkel 9 behandler biometriske opplysninger som en særlig kategori, som er forbudt med mindre det foreligger et snevert unntak. Ansiktsgjenkjenning mot et referansegalleri er nettopp slik behandling, og ingen av unntakene passer for et privat selskap som beriker offentlig video for et kommersielt produkt. At de involverte er folkevalgte, fjerner ikke beskyttelsen: en offentlig rolle gjør ikke biometrisk behandling forholdsmessig. Det er også en mer åpenbar innvending. Et overvåkingsprodukt som normaliserer løpende ansiktsgjenkjenning over offentlige personer, bygger akkurat den typen infrastruktur et sunt offentlig rom bør være på vakt mot.

Hva ble sendt i stedet

Den kompatible rørledningen skiller to spørsmål som gjenkjennelseskollapser til ett: er en synlig person som snakker akkurat nå, og hvem er den personen? Aktiv høyttalerdeteksjon svarer på det første fra ansikts- og leppebevegelse, uten noen gang å sammenligne et ansikt med et referansebilde. Det andre blir besvart av signaler som selve møtet gir. Sendingen viser et navnbanner når noen tar ordet, og rørledningen leser det som på-skjermtekst, ikke som et ansikt. Stolen kunngjør talere høyt, så overføringen er rett der i transkripsjonen. Hvert navn som foreslås av et av disse signalene, blir validert mot rådets publiserte medlemsliste før det godtas. Innenfor et enkelt møte bærer deretter anonym klynging av stemme og ansikt en bekreftet navn gjennom resten av den personens svinger. Klyngene er per-møte-etiketter: ingen biometrisk mal lagres, og det finnes ingen identitetsdatabase å matche mot.

Hver kreditering har sitt bevis og en status. Bare de sterkeste statusene får komme på publiserte sider, alt svakere holdes for menneskelig vurdering. Kvalitet måles mot håndsjekkete møter og håndtranskribert gullsett, ikke antatt.

Samme linje, anvendt på stemme

Ansikt er ikke den eneste biometriske snarveien i dette problemet. En lagret stemmeprofil per representant, husket på tvers av møter, ville heve attribusjonskvaliteten mer enn noen enkeltfunksjon; det å gjenkjenne en stemme du allerede kjenner er akkurat slik en person i rommet gjør det. Det er også den samme Artikkel 9-prosessen med en annen sensor, så den samme linjen gjelder: pipelinen lagrer ingen stemme-embeddinger, og en stemmeklynge fra ett møte matches aldri mot et annet. Forskjellen er at her finnes det en lovlig vei, nemlig eksplisitt samtykke fra representantene selv. Innmeldings-koden er skrevet og sitter bak et flagg som er skrudd av som standard, og selv med samtykke i hånden vil en stemme-match på tvers av møter kun dukke opp som et forslag til en menneskelig kontrollør, aldri som en publisert attribusjon. Samtykke kan gjøre behandlingen lovlig, men det gjør ikke automatisk publisering klokt.

Prisen, ærlig talt

Den etterlevelsesvennlige utformingen tok lengre tid å bygge, hadde flere bevegelige deler og krevde mer evalueringsarbeid. Det er den virkelige formen for personvern ved design: noen ganger er svaret en annen arkitektur, ikke et samtykkebanner. Alternativet var en funksjon vi måtte forsvare overfor brukerne, overfor et tilsynsorgan og overfor oss selv.

Dette notatet beskriver én labs resonnement. Det er ikke juridisk rådgivning.