Khuôn mặt đang trở thành tấm vé vào cửa

Đầu tháng 3, Nicole Nguyen, phóng viên của WSJ, bước vào trung tâm hội nghị của MWC 2023 - triển lãm di động lớn nhất thế giới tại Barcelona. Thay vì chìa thẻ có chứa tên, ảnh và mã QR, cô chỉ cần đứng trước một màn hình có camera để phần mềm nhận diện khuôn mặt.

MWC không phải sự kiện duy nhất áp dụng công nghệ nhận diện để kiểm tra khách ra vào. Trên khắp thế giới, nhiều trung tâm thương mại, sân bay, sân vận động, điểm hòa nhạc, khách sạn, khu vui chơi giải trí... đã trang bị hệ thống này. Chúng mang lại lợi ích về tốc độ xử lý, sự tiện lợi cũng như khả năng không cần tiếp xúc - điều cần thiết trong đại dịch.

Tuy nhiên, hàng loạt câu hỏi được đặt ra đối với nhận diện khuôn mặt: Dữ liệu khuôn mặt được lưu trữ ở đâu? Chúng được xử lý và bảo vệ thế nào sau khi sự kiện kết thúc? Người dùng thiệt hại gì nếu cơ cở dữ liệu này bị hack? Trong khi đó, nhiều nước chưa có các quy định cụ thể cho vấn đề này.

Hệ thống nhận diện khuôn mặt hoạt động thế nào?

Thông qua camera, khuôn mặt của một người dùng được ghi lại. Hệ thống sẽ tạo bản đồ khuôn mặt bằng cách tính khoảng cách giữa trán và cằm, giữa hai mắt, tỷ lệ mắt, mũi, miệng và các thông tin khác. Những chi tiết này sẽ được chuyển đổi thành dữ liệu sinh trắc học. Đây cũng là cách để Face ID hoạt động trên iPhone, hay Google Photos nhóm các ảnh chụp theo chủ đề, hay một robot giúp việc có thể nhận diện từng thành viên trong gia đình.

Hiệp hội thông tin di động toàn cầu GSMA, đơn vị tổ chức MWC 2023, dùng hệ thống nhận diện khuôn mặt Breez của ScanVis (Hong Kong). Những người tham dự sẽ gửi ảnh trước cho ban tổ chức để Breez nhận diện.

Theo Nicole Nguyen, có nhiều cách vào sự kiện mà không cần thông qua Breez. Tuy nhiên, ứng dụng cho phép khách tham quan xác thực nhanh chóng, trong khi cách kiểm tra thẻ thông thường mất nhiều thời gian hơn.

Dữ liệu khuôn mặt có được bảo vệ an toàn?

Trên lý thuyết, một công ty lưu trữ dữ liệu khuôn mặt phải tuân thủ nhiều bước, từ việc được người dùng đồng ý mới có quyền tiếp nhận hình ảnh đến việc phải đăng ký với cơ quan pháp luật và cam kết không được bán cho bên thứ ba. Dù vậy, thực tế người dùng không thể biết khuôn mặt của mình sẽ được chuyển đi những đâu.

Thời gian qua, không ít công ty đã bán công nghệ nhận diện khuôn mặt được đào tạo dựa trên hình ảnh thu thập từ Facebook, LinkedIn và các nguồn khác trên Internet. Chẳng hạn, năm 2020, Clearview AI đã bị kiện vì phân tích hàng tỷ bức ảnh trên mạng để xây dựng cơ sở dữ liệu khổng lồ về khuôn mặt. Tháng 10/2022, Pháp trở thành nước thứ ba thuộc Liên minh châu Âu, sau Italy và Hy Lạp, phạt Clearview AI số tiền 19 triệu USD vì vi phạm luật riêng tư của khối. Dù vậy, đến nay công ty này vẫn chưa xóa khuôn mặt nào khỏi cơ sở dữ liệu, cũng không nộp phạt.

Theo giáo sư Josef Kittler của Đại học Surrey, người dùng nên tìm hiểu ba điều trước khi cho phép một dịch vụ hoặc hệ thống thu thập dữ liệu khuôn mặt: mục đích thu thập, điều gì sẽ xảy ra với ảnh khuôn mặt sau khi dịch vụ chấm dứt, và cách thức xóa dữ liệu thế nào.

Khi gửi thắc mắc này đến ban tổ chức MWC 2023, WSJ nhận được câu trả lời rằng dữ liệu được Breez thu thập tại sự kiện sẽ được mã hóa và lưu trữ tại châu Âu. Sau 28 ngày, chúng được "hủy một cách an toàn" theo luật Bảo mật dữ liệu của EU. Tuy nhiên, đại diện GSMA lại nói dữ liệu được xóa sau ba ngày kể từ ngày sự kiện kết thúc vào ngày 2/3, còn ScanVis không bình luận.

Jennifer King, chuyên gia về chính sách dữ liệu và quyền riêng tư tại Đại học Stanford, cho rằng dù tính năng nhận diện khuôn mặt tiện lợi, người dùng có thể sẽ phải trả giá. Theo bà, hầu hết dạng dữ liệu này chưa được kiểm soát trên toàn cầu, trong khi luật pháp chưa có quy định chi tiết. Đây sẽ là nguồn dữ liệu lớn không chỉ để huấn luyện các mô hình AI, mà còn có nguy cơ bị lợi dụng để thực hiện các mục đích mờ ám khác phía sau mà người dùng khó lường trước được.