Một Trang Web Nhận Diện Khuôn Mặt Đã Lục Lọi Internet để Tìm Ảnh của Những Người Mất

Việc khám phá ra Taylor Swift là họ hàng thứ 11 của mình không phải là phát hiện gây sốc nhất mà Cher Scarlett có khi khám phá lịch sử gia đình của mình. “Trong gia đình tôi có nhiều điều kỳ quặc và lạ lùng mà chúng tôi sẽ không biết nếu không có Ancestry,” Scarlett, một kỹ sư phần mềm và nhà văn đóng cư tại Kirkland, Washington, chia sẻ. “Thậm chí tôi không biết ông bà ngoại của mẹ tôi là ai.”

Ancestry.com không phải là trang web duy nhất mà Scarlett thường xuyên kiểm tra. Tháng 2 năm 2022, công cụ tìm kiếm khuôn mặt PimEyes lục lọi ra những bức ảnh số không đồng thuận của cô khi cô 19 tuổi, làm tái phát trauma từ hàng thập kỷ trước. Cô cố gắng để loại bỏ những bức ảnh khỏi nền tảng, nơi sử dụng hình ảnh được lục lọi từ internet để tạo ra “bản in khuôn mặt” sinh trắc học của cá nhân. Kể từ đó, cô đã theo dõi trang web để đảm bảo những hình ảnh không quay trở lại.

Tháng 1, cô nhận thấy rằng PimEyes đang trả lại những bức ảnh của trẻ em có vẻ như đến từ URL của Ancestry.com. Như một thí nghiệm, cô tìm kiếm một phiên bản trắng đen của một trong những bức ảnh em bé của mình. Nó trả về một bức ảnh của bà mẹ cô, khi còn là em bé, trong vòng tay của ông bà—được chụp, cô nghĩ, từ một bức ảnh gia đình cũ mà mẹ cô đã đăng trên Ancestry. Tìm kiếm sâu hơn, Scarlett tìm thấy những hình ảnh khác của người thân, cũng có vẻ như được lấy từ trang web. Chúng bao gồm một bức ảnh trắng đen của bà ngoại tám lần của cô từ thế kỷ 19 và một bức ảnh của em gái Scarlett, người qua đời ở tuổi 30 vào năm 2018. Các hình ảnh này có vẻ đến từ khuôn mẫu kỷ niệm số của cô, Ancestry, và Find a Grave, một thư mục nghĩa trang do Ancestry sở hữu.

PimEyes, theo Scarlett, đã lục lọi hình ảnh của người đã chết để điền vào cơ sở dữ liệu của mình. Bằng cách lập chỉ mục các đặc điểm khuôn mặt, các thuật toán của trang web có thể giúp những bức ảnh này xác định người sống thông qua kết nối dòng họ, đặt ra nhiều vấn đề về quyền riêng tư, bảo vệ dữ liệu cũng như đạo đức.

“Em gái tôi đã chết,” Scarlett nói. “Cô ấy không thể đồng thuận hoặc rút lại sự đồng thuận để tham gia vào điều này.”

Đại diện của Ancestry, Katherine Wylie, cho biết với MYTOUR rằng khách hàng của trang web giữ quyền sở hữu và kiểm soát dữ liệu của họ, bao gồm cả cây gia đình, và rằng các điều kiện sử dụng của họ “cấm việc lục lọi dữ liệu, bao gồm ảnh, từ các trang web và dịch vụ của Ancestry cũng như việc bán lại, sao chép hoặc xuất bản bất kỳ nội dung hoặc thông tin nào được tìm thấy trên Ancestry.”

Giorgi Gobronidze, Giám đốc PimEyes, cho biết với MYTOUR: “PimEyes chỉ lục lọi các trang web mà chúng tôi được phép làm theo cách chính thức. Đó là … một tin rất không vui khi những con crawler của chúng tôi đã nào phá luật một cách nào đó.” PimEyes hiện đang chặn tên miền của Ancestry và các chỉ mục liên quan đang bị xóa bỏ, anh ta nói.

Cơ sở dữ liệu của Ancestry là lớn nhất trong ngành công nghiệp nghiên cứu dòng họ ngày càng mở rộng, với hơn 30 tỷ bản ghi—bao gồm ảnh và tài liệu từ hồ sơ công cộng—bao phủ 20 triệu người. Người dùng có thể truy cập các bản ghi này để tạo cây gia đình. Mỗi khi một người dùng đưa cây gia đình của họ công khai trên trang web, ảnh của những người đã mất có thể được nhìn thấy bởi bất kỳ người dùng đăng ký nào. Người sống không thể được nhìn thấy trong cây gia đình trừ khi người tạo cây ủy quyền cho các tài khoản cụ thể để nhìn thấy họ. Người dùng có thể quyết định cái gì là riêng tư hoặc công khai trên hồ sơ của họ, mà có thể tìm kiếm trong danh bạ thành viên của Ancestry.

PimEyes định vị bản thân là một công cụ giúp mọi người theo dõi sự hiện diện trực tuyến của họ. Công ty tính phí người dùng 20 đô la để tìm các trang web nơi hình ảnh của họ đã được tìm thấy, từ 30 đô la trở lên mỗi tháng cho nhiều lần tìm kiếm và 80 đô la để loại trừ các hình ảnh cụ thể khỏi kết quả tìm kiếm trong tương lai.

Công ty này, sau khi đã lục lọi mạng xã hội để lấy hình ảnh nhưng bây giờ nói rằng nó chỉ lấy từ các nguồn có sẵn công khai, đã bị chỉ trích vì thu thập hình ảnh của trẻ em và bị buộc tội hỗ trợ việc theo dõi và lạm dụng. (Gobronidze, người đã lãnh đạo PimEyes từ tháng 1 năm 2022, nói rằng chỉ trích này là từ trước khi ông lên làm việc tại PimEyes và rằng các chính sách của công ty đã thay đổi kể từ đó.)

“Họ rõ ràng đang lục lọi đủ loại trang web ngẫu nhiên,” nói Daniel Leufer, một chuyên gia chính sách cấp cao tại tổ chức quyền số Access Now. “Có điều gì đó rất u ám, đặc biệt là với những trang nghĩa vụ.”

Người đã chết thông thường không được bảo vệ theo luật quyền riêng tư, nhưng việc xử lý hình ảnh và dữ liệu của họ không tự động là trò chơi công bằng, theo Sandra Wachter, một giáo sư về công nghệ và quy định tại Viện Internet Oxford. “Chỉ vì dữ liệu không thuộc về một người nữa không tự động có nghĩa là bạn được phép lấy nó. Nếu đó là một người đã mất, chúng ta phải xác định ai có quyền sở hữu nó.”

Công ước Quyền con người Châu Âu đã quyết định rằng hình ảnh của những người đã chết có thể có quyền riêng tư đối với những người sống, theo Lilian Edwards, giáo sư luật, sáng tạo và xã hội tại Đại học Newcastle ở Vương quốc Anh, người nói rằng việc sử dụng ảnh của những người sống được khai thác từ web mà không có sự đồng thuận cũng có thể là một vi phạm tiềm ẩn của Nghị định bảo vệ dữ liệu chung của Liên minh châu Âu (GDPR), cấm xử lý dữ liệu sinh học để nhận diện người mà không có sự đồng thuận của họ.

“Nếu như theo một cách nào đó, hình ảnh của người đã chết … có thể dẫn đến khả năng nhận diện một người đang sống, thì nó có thể được bảo vệ theo GDPR,” Edwards nói. Điều này có thể được thực hiện bằng cách kết hợp hai mẩu thông tin, cô thêm vào, chẳng hạn như một bức ảnh từ PimEyes và thông tin từ Ancestry. PimEyes làm chính nó có sẵn ở châu Âu, nên nó phải tuân theo pháp luật.

Scarlett lo lắng rằng công nghệ của PimEyes có thể được sử dụng để nhận diện người và sau đó tiến hành dox, quấy rối hoặc lạm dụng họ—điều mà các tổ chức quyền con người cũng chia sẻ lo ngại. Cô nói rằng tên, địa chỉ và số điện thoại của mẹ chỉ cách một tìm kiếm ảnh ngược và ba cú nhấp chuột từ bức ảnh gia đình được thu thập từ Ancestry.

Mặc dù nó tự đặt mình là một công cụ bảo vệ quyền riêng tư, nhưng hiện có rất ít rào cản ngăn chặn người dùng PimEyes tìm kiếm bất kỳ khuôn mặt nào. Màn hình chính của nó ít cho thấy rằng nó được thiết kế để người ta chỉ tìm kiếm về chính họ.

Gobronidze cho biết PimEyes đã ra mắt một “giao thức bảo mật đa bước” vào ngày 9 tháng 1 để ngăn người ta tìm kiếm nhiều khuôn mặt hoặc trẻ em; tuy nhiên, các đối tác của PimEyes, bao gồm một số tổ chức phi chính phủ, được “thêm vào danh sách trắng” để thực hiện tìm kiếm không giới hạn. Cho đến nay, PimEyes đã chặn 201 tài khoản, Gobronidze nói.

Tuy nhiên, một cuộc tìm kiếm của MYTOUR cho Scarlett và mẹ cô—được tiến hành với sự cho phép của họ—đã lấy ra các kết quả mà không gặp thách thức. MYTOUR cũng tìm thấy bằng chứng về người dùng diễn đàn trực tuyến có đăng ký đang chấp nhận yêu cầu từ người khác để xác định phụ nữ có hình ảnh được tìm thấy trực tuyến.

Gobronidze nói rằng hệ thống vẫn đang trong “quá trình đào tạo”.

Tại tiểu bang Washington, Scarlett đã gửi khiếu nại của người tiêu dùng về PimEyes đến người đại diện công tố của tiểu bang và đã từ chối sử dụng mẫu “tự loại trừ” của nó, hứa sẽ loại bỏ dữ liệu của người khác khỏi hệ thống của mình, hai lần—một lần vào tháng 3 năm 2022 và một lần nữa vào tháng 10 sau khi khuôn mặt của cô xuất hiện lại. 

Mẹ của Scarlett cũng từ chối sử dụng tính năng này vào tháng 1 năm 2023, cô nói. Tuy nhiên, tìm kiếm của MYTOUR đã chỉ ra rằng cả hai khuôn mặt của họ vẫn được hiển thị bởi nền tảng vào ngày 1 tháng 3.

Gobronidze nói rằng PimEyes đã xóa hơn 22 kết quả của Scarlett sau khi cô yêu cầu lần đầu và 400 sau lần thứ hai, và thực hiện tìm kiếm bằng bức ảnh mà cô đã loại trừ, nhưng không thể định vị bất kỳ hình ảnh nào của cô trong cơ sở dữ liệu của mình. Tuy nhiên, nếu người dùng loại trừ với một bức ảnh cụ thể, những hình ảnh khác vẫn có thể xuất hiện. “Bộ máy loại trừ sẽ không hoạt động với hiệu suất 100% luôn,” Gobronidze nói.

Sự kiểm tra pháp lý đang trở nên nghiêm ngặt đối với các công ty AI xây dựng cơ sở dữ liệu của họ bằng cách lướt web để tìm kiếm khuôn mặt. Clearview AI, một công ty chủ yếu bán dịch vụ nhận diện khuôn mặt cho cơ quan chức năng, đang đối mặt với một vụ kiện tổng đại diện tại Illinois và bị phạt vì vi phạm các luật bảo vệ dữ liệu trên khắp châu Âu, bao gồm cả Vương quốc Anh, nơi Văn phòng Quản trị Thông tin (ICO), một cơ quan giám sát độc lập, đã yêu cầu công ty xóa tất cả dữ liệu của cư dân. Clearview đã từ chối hành vi sai trái và đã lý luận rằng nó không nên phải tuân thủ các luật bảo vệ dữ liệu châu Âu hay sự quản lý của ICO.

Vào tháng 11, tổ chức quyền Big Brother Watch có trụ sở tại Vương quốc Anh đã gửi một khiếu nại pháp lý về PimEyes đến ICO về “xử lý bất hợp pháp” của dữ liệu người dùng. Ủy ban bảo vệ dữ liệu của Đức đã mở đợt điều tra chống lại trang web về xử lý dữ liệu sinh trắc học. Gobronidze nói rằng công ty đã “chủ động gửi” thông tin đến ICO.

Gobronidze nói rằng việc xác định danh tính bằng cơ sở dữ liệu của họ là “tuyệt đối không thể”. “Chúng tôi thu thập dữ liệu chỉ mục, kết nối các bức ảnh không phải với cá nhân con người mà là với địa chỉ URL xuất bản những bức ảnh đó.” PimEyes nói rằng nó chỉ làm chỉ mục cho các bức ảnh mà không lưu trữ chính bức ảnh. Gobronidze thêm rằng PimEyes không xử lý ảnh để xác định danh tính mà chỉ để tìm địa chỉ trang web. “PimEyes không xác định con người mà chỉ là URL,” ông nói.

Tuy nhiên, Leufer nói rằng PimEyes đang “được cung cấp và hỗ trợ đáng kể cho quá trình xác định danh của những người” dựa trên ảnh. “Mặc dù tôi nghĩ ông ấy đúng khi nói rằng PimEyes sẽ không trực tiếp thông qua trang web của họ cung cấp danh tính của bạn, nhưng bạn chỉ cách một cú click để đến một trang web có tên của họ,” ông nói. “Nó sẽ cung cấp cho bạn một loạt các URL mà trong nhiều trường hợp sẽ cho phép bạn xác định người đó.”

Scarlett lo ngại rằng những liên kết đó có thể làm lộ toàn bộ gia đình cho việc vi phạm quyền riêng tư.

“Tôi đã sử dụng [Ancestry] cho mục đích nó được thiết kế—để tìm hiểu nơi tôi đến từ đâu. Điều này thực sự là thú vị cho đến khi không phải như vậy,” cô nói. “Không ai tải ảnh lên Ancestry với suy nghĩ rằng họ sẽ được đăng ký vào một công cụ nhận diện sinh trắc học cho phần mềm nhận diện khuôn mặt mà không có sự hiểu biết hoặc sự đồng ý của họ… Nó chỉ đơn giản là cảm giác bị xâm phạm một cách không tưởng.”