Funksjonen vi nekta å bygga

Målet

Politikkradar publiserer kva som skjer i kommunestyremøte: kven som snakka, kva dei sa, korleis røystene fall. Kjeldematerialet er lange videomøte. Å gjera video til eit brukbart offentleg referat, er å løysa kven-sa-kvart: å kopla eit transkript med den som faktisk snakka på kvart tidspunkt.

Den freistande snarvegen

Rådsmedlemmer er offentlege personar med publiserte bilete. Å matche ansikta i videoen med desse bileta ville identifisere talarane med høg grad av tryggleik og lite ingeniørarbeid, og mesteparten av infrastrukturen fanst allereie. Det er den typen funksjon som ein kan få til på ei helg, og som verkar heilt sjølvsagt, fordi alt som er involvert allereie er offentleg.

Kvifor vi nekta

GDPR artikkel 9 omtalar biometriske data som vert behandla med det formål å eineståande identifisera ein person som ein særskild kategori, som er forbode med mindre eit snevert unntak gjeld. Ansiktsgjenkjenning mot eit referansegalleri er nettopp slik behandling, og ingen av unntaka passar for eit privat selskap som berikar offentleg video for eit kommersielt produkt. At dei involverte er folkevalde fjernar ikkje vernet: ei offentleg rolle gjer ikkje biometrisk behandling proporsjonal. Det er også ein enklare innvending. Eit overvakingsprodukt som normaliserer løpande ansiktsgjenkjenning over folkevalde er akkurat den typen infrastruktur eit sunt offentleg ordskifte bør vera på vakt mot.

Kva vart sendt i staden

Den kompatible rørleidningen skil to spørsmål som ansiktsgjenkjenning kollapsar til eitt: er ein synleg person som snakkar no, og kven er det? Aktiv talegjenkjenning svarer på det første frå rørsler i ansikt og lepper, utan å samanlikna eit ansikt med eit referansefoto. Det andre blir svart på av signal møtet sjølv gir. Sendinga viser eit namnebanner når nokon tar ordet, og rørleidningen les det som tekst på skjermen, ikkje som eit ansikt. Ordstyraren kunngjer talarar høgt, så overleveringane er der i transkripsjonen. Kvart namn som blir foreslått av eit av desse signala, blir validert mot det publiserte medlemsregisteret til rådet før det blir akseptert. I løpet av eit enkelt møte blir anonyme klynger av stemme og ansikt kopla til eit stadfesta namn. Klyngene er per-møte-etikettar: ingen biometrisk mal blir lagra, og det finst ikkje noko identitetsregister å samanlikna med.

Kvar tilskriving har sitt prov og ein status. Berre dei sterkaste statusane får kome på publiserte sider, alt svakare blir halde for menneskeleg vurdering. Kvalitet blir målt mot handkontrollerte treff og eit handskrive gullsett, ikkje mot gjetting.

Den same lina, brukt på stemme

Ansikt er ikkje den einaste biometriske snarvegen i dette problemet. Ei lagra stemmeprofil per rådsmedlem, hugsa på tvers av møta, ville auka attribusjonskvaliteten meir enn noko anna enkeltfunksjon; å kjenna att ei stemme du allereie kjenner er akkurat slik ein person i rommet gjer det. Det er òg same Artikkel 9-prosess med ein annan sensor, så same linje gjeld: røyrleidninga lagrar ikkje stemmeembedder, og ei stemmeklynge frå eit møte blir aldri matcha mot eit anna. Forskjellen er at her finst det ein lovleg veg, nemleg eksplisitt samtykke frå rådsmedlemmene sjølve. Innmeldings-koden er skriven og sit bak eit flagg som er av som standard, og sjølv med samtykke i hand vil eit stemme-match på tvers av møta berre koma opp som eit forslag til ein menneskeleg kontrollør, aldri som ei publisert attribusjon. Samtykke kan gjera prosessen lovleg, men det gjer han ikkje automatisk fornuftig.

Prisen, ærleg talt

Den etterlevingsvenlege utforminga tok lengre tid å byggja, har fleire rørsler, og kravde sitt eige evalueringsarbeid. Det er den verkelege definisjonen på personvern som standard: nokre gonger er svaret ei anna arkitektur, ikkje eit samtykkebanner. Alternativet var ein funksjon me måtte ha forsvart overfor brukarar, eit tilsyn, og oss sjølve.

Dette notatet beskriv ein lab sin tankegang. Det er ikkje juridisk rådgjeving.