生体認証監視の影響を調査する任務を負っている下院議員グループは水曜日、国民のプライバシーをほとんど考慮せずに米国政府が広く採用している顔認識やその他のツールの将来について証言するため、専門家3人を招集した。
専門家たちは、生体認証センサーが国、そして世界に浸透しつつある現状を描写しました。法的境界がほとんど、あるいは全く存在しない状況下で、企業や政府は見知らぬ人物を特定する目的で膨大な量の個人データを収集しています。こうした収集の理由は多岐にわたり、しばしば説明がつきません。多くの場合そうであるように、人々の監視を容易にする技術の発展は、個人のプライバシーの尊重を保障する法律や技術の進歩をはるかに上回っています。政府監査院（GAO）によると、現在、18もの連邦政府機関が何らかの形の顔認識技術に依存しており、そのうち6機関は国内法執行機関として明確に利用されています。
調査・監視小委員会の筆頭共和党議員、ジェイ・オバーノルテ氏は、ある調査で14機関中13機関が職員の顔認証技術利用頻度に関する情報を提供できないと知り、当初は「不安」に思ったことを認めた。オバーノルテ氏はその後、「提供された情報のほとんどは、スマートフォンのロック解除などに顔認証技術を利用していた」ことに気づいたと述べた。
政府監査院（GAO）の科学技術評価・分析担当ディレクター、キャンディス・ライト氏は、公聴会で多くの訂正のうち最初の訂正を余儀なくされた。「各機関が職員がどのようなシステムを使用しているか把握していなかったことが判明した事例の一つは、法執行目的などで顔画像検索を行う際に、連邦政府以外のシステムを使用していたことです」とライト氏はオバーノルテ氏に語った。
こうしたケースでは、「本社の人たちは、地域や地方の事務所で何が起こっているのかをあまりよく把握していなかったのかもしれない」と彼女は語った。
調査・監視小委員会の委員長を務めるビル・フォスター下院議員は冒頭の発言で、ロー判決の覆しによって「憲法上のプライバシー権が大幅に弱まった」と述べ、中絶反対法の対象となる女性に対する訴訟では生体認証データが証拠として用いられる可能性が高いと付け加えた。
「生体認証によるプライバシー強化技術は生体認証技術と並行して導入できるし、そうすべきだ」とフォスター氏は述べ、個人データを難読化するために設計された一連のツールを指摘した。
ミシガン州立大学教授であり、著名な機械学習の専門家であるアラン・ロス博士は、過去10年間の人工ニューラルネットワークの飛躍的な進歩が、生体認証が優位に立つ新たな時代を到来させたと証言しました。ロス博士は、プライバシーへの悪影響を定量化できない限り、いかなる生体認証ツールも今日では実用的であると見なすべきではないという認識が、学術研究者の間で高まっていると述べました。
ロス氏は特に、人工知能（AI）の急速な進歩により、年齢、人種、性別、さらには健康状態といった身体的特徴のみに基づいて人間を分類できるツールが開発されていると警告した。かつての携帯電話（今日ではほぼすべての携帯電話に何らかの生体認証機能が搭載されている）と同様に、生体認証による監視は一夜にして事実上どこにでも見られるようになり、顧客サービスや銀行取引から国境警備や犯罪現場の捜査に至るまで、あらゆる場面に適用されている。
下院議員たちは、時折、政府による生体認証データの使用に関する法律や手続きだけでなく、連邦政府の監視の兆候がないまま連邦政府職員がアドホックに顔認識技術を広く使用していることにも精通していないようだった。
オバーノルテ氏は続けて、連邦政府機関が民間所有の顔認識データベースにアクセスする場合、一般的な調達プロセスを経る必要があるのかどうかを尋ねた。これは、規制当局が安全策を講じる際に焦点を絞る可能性のある潜在的なボトルネックとなる可能性がある。ライト氏は、既に委員会に提出されている自身の機関の調査結果を繰り返し、連邦政府職員が州および地方の法執行機関のデータベースに定期的にアクセスしていると説明した。これらのデータベースは、それぞれの機関とは何の関係もない民間企業が所有している。
彼女はさらに、場合によっては、新規顧客を獲得しようと躍起になっている民間の監視会社が無料で配布する「テスト」または「トライアル」アカウントを通じてアクセスが取得されることもあると付け加えた。
法執行機関による機密データベースの悪用は悪名高い問題であり、顔認識技術は、誰にも監視されることなく警察官や連邦捜査官の手に渡る最新の監視技術に過ぎません。警察はデータベースを悪用し、近隣住民、ジャーナリスト、恋人などをストーキングしてきました。政府のスパイも同様です。ロー対ウェイド判決の撤回により、医療を求める女性が次に標的になるのではないかという懸念が高まりました。ロン・ワイデン上院議員も同様の懸念を表明しています。
一方、オベルノルテ氏は、自身の身元確認に用いられる生体認証データと、他者の身元確認に用いられる監視技術に関して、異なる考え方を採用するべきだという考えを強く主張した。米国立標準技術研究所（NIST）の情報技術ディレクター、チャールズ・ロマイン博士は、オベルノルテ氏の指摘は「リスクレベルを理解するには、利用状況が極めて重要だという意味で」的を射ていると述べた。
NISTは、科学者とエンジニアで構成され、「DNAから指紋分析、エネルギー効率、ピーナッツバター1瓶の脂肪含有量やカロリーまで、あらゆるもの」のパラメータを標準化する任務を負っている機関で、リスク管理に関する新たな考え方に影響を与えるガイドラインの導入に取り組んでいるとロマイン氏は述べた。「プライバシーリスクは通常、そのガイドラインには含まれていませんでした。そこで私たちは、ある目的で収集されたデータが、別の目的（生体認証の場合）に転用されると、全く異なるリスクプロファイルが伴う可能性があることを理解するためのツールを組織に提供しています。」
共和党のステファニー・バイス下院議員は、連邦政府機関に対し、生体認証ソフトウェアの使用状況を追跡することを義務付ける現行法が存在するかどうかについてGAOに質問した。ライト氏は、政府による個人情報の利用に制限を設けるプライバシー法や、連邦政府機関に対し、使用しているシステムに関するプライバシー影響評価の実施を義務付ける電子政府法など、「広範なプライバシーの枠組み」が既に整備されていると述べた。
「議会が、こうしたタイプの生体認証を利用している機関に対して、こうした評価を定期的に実施するよう義務付けることを検討することは有益だと思いますか？」とバイス氏は尋ねた。
「繰り返しになりますが、電子政府法は各機関にそのようにすることを求めていますが、各機関がどの程度それを実行しているかは実にさまざまです」とライト氏は答えた。
GAOは1年間で、政府による顔認識技術の利用状況に関する報告書を3つ公表しました。最新の報告書は2021年9月に発表されました。監査役は、顔認識技術の導入が広範囲に及んでいることを明らかにしました。その中には、国内法執行を専門とする6つの機関も含まれています。17の機関は、最大27の連邦顔認識システムを所有または共同で利用していると報告しました。
GAOはまた、顔認識ソフトウェアが連邦政府機関以外の機関によって所有されていたにもかかわらず、13もの機関が顔認識技術の使用状況を追跡していなかったことを明らかにした。ある報告書は、「職員による連邦政府機関以外の機関による[顔認識技術]の使用に関する認識不足は、プライバシーに影響を与える可能性がある」と指摘し、「プライバシー法を遵守しないリスクや、システム所有者が捜索に使用される機密情報を共有するリスクなどが含まれる」と述べている。
GAOはさらに2020年に、米国税関・国境警備局（CBP）が義務付けられたプライバシー保護の一部を実施しておらず、監査もほとんど実施されていなかったと報告した。「CBPは20社を超える商業航空会社のパートナーのうち1社のみを監査しており、プログラムのプライバシー要件の遵守状況についてすべてのパートナーを監査する計画はなかった」とGAOは述べている。
同局はまた、連邦政府の管轄外で運用されている顔認識システムへの連邦捜査官のアクセス権が付与されている州や都市を示す初の地図も作成した。
ロス博士は、生体認証のプライバシーを現実的に確保するために必要だと考えるいくつかの実践と技術を概説した。例えば、準同型暗号のような暗号化方式は、基盤となる生体認証データが「決して漏洩されない」ことを保証するために必要となるだろう。NISTの専門家であるロメイン氏は、暗号化は生体認証データを保護する手段として大きな可能性を秘めているものの、「実質的に実用的」とみなされるまでには、まだ多くの課題が残されていると指摘した。
「たとえデータベースが難読化されていても、十分なクエリを発行し、その応答を分析できる機械学習バックエンドがあれば、クエリ可能な暗号化によってある程度の情報を推測できる場合があります」とロマイン氏は述べた。「そのため、準同型暗号などの暗号化技術が提供できる具体的な機能についてはまだ理解の段階にあるのです。」
ロス氏はまた、「キャンセル可能な生体認証」の発展を訴えた。これは、数学関数を用いて例えば人の指紋を歪めた画像を作成する手法である。歪んだ画像が盗まれた場合、即座に「キャンセル」され、別の独自の方法で歪めた画像に置き換えることができる。元の生体認証データが複数のアプリケーション間で広くアクセス可能になる必要がないシステムは、理論的には、傍受と詐欺のリスクの両面においてはるかに安全である。
ロス氏は、最大の脅威の一つは、生体認証データが複数のシステムで再利用されることだと指摘した。「オープンウェブから抽出した顔データセットの利用については、正当な懸念が表明されている」とロス氏は指摘した。クリアビューAIのような企業がソーシャルメディア画像を同意なしに利用すること（現在、戦場における敵兵の識別に利用されている）をめぐる倫理的問題は、同じ個人データが次から次へと生体認証製品に吸い上げられるリスクによってさらに複雑化している。
ロス氏は、生体認証システムが存在し、プライバシーが適切に尊重される環境を作るには、公共のウェブサイトから顔画像がスクレイピングされるのをより困難にすることが鍵となるだろうと述べた。
最後に、新しいカメラ技術が進歩し、広く普及していく必要があります。その目的は、記録された画像を人間の目には判読不可能なもの（一種の視覚的暗号化）にし、かつ、撮影された映像が撮影目的のプログラムにのみ適用できるようにすることです。ロス氏によると、このようなカメラは、特に公共の場では「撮影された映像は、これまで特定されていなかったいかなる目的にも使用できない」可能性があります。
