朱琳：经营AI换脸平台，存在哪些法律风险和如何防范？

一、引言

继“AI孙燕姿”翻唱事件后，近日，因“AI换脸”导致的刑事和民事案件也频频发生，故，本文就经营AI换脸平台，一起分析其法律风险和合规边界。

二、相关案件分析

原告楼某是一名古风模特，2022年3月，其在某短视频平台发布过一段古风汉服短视频。被告上海某公司是一款AI换脸App的运营主体。该App宣传“仅需一张照片，立即变成视频主角”“只需一张自拍，马上改头换面”。用户通过支付68元至198元不等的会员费，即可使用全部“换脸”视频模板。

图片来源网络

原告楼某发现，被告上海某公司运营的AI换脸App中有她拍摄的古风造型视频模板。用户可通过上传个人照片，将视频模板中的人脸替换成用户上传的人脸，除五官发生实质性变化外，其余内容都与原视频保持一致。软件生成换脸后的古风造型视频，用户可以将其保存并分享到其他平台。

楼某认为，被告上海某公司的行为侵害其肖像权，请求法院判令该公司承担停止侵权、赔礼道歉并赔偿损失的责任。

法院审理认为，民法典明确将“不得利用信息技术手段伪造等方式侵害他人的肖像权”作为侵害肖像权的一种典型形态予以规制。在这起案件中，楼某对案涉要素模板视频及替换后视频中所载对应形象的人物肖像均享有肖像权。被告上海某公司未经楼某同意，通过技术手段提取涉案古风肖像视频，并擅自上传至其运营的换脸App中供用户选择使用，该行为已侵害楼某肖像权，依法应认定为构成对楼晓云肖像权的侵害。

自然人的肖像权具有绝对性、专属性、排他性，人脸信息属于个人信息保护法予以特殊保护的生物识别信息，面部形象的主人有权拒绝将其面部移转至他人面部形象或身体形象中。因此，深度合成服务提供者提供人脸等生物识别信息编辑功能的，必须具有特定的目的和充分的必要性，采取严格保护措施，并取得被编辑的个人信息主体的单独授权才行。没有获得授权就是侵权。被告上海某公司败诉。

三、法律风险分析

从上述案例可以看出，虽然上海某公司经营AI换脸平台，热度很高，下载量也不少，但是其中涉及诸多法律风险，具体如下：

1.侵犯肖像权

根据《民法典》第一千零一十八条：“肖像是通过影像、雕塑、绘画等方式在一定载体上所反映的特定自然人可以被识别的外部形象。”

由此可以明确，肖像并不仅仅指人的面部特征，戴着口罩的脸、侧影、形体动作等等，只要能够识别特定自然人，都属于肖像权保护的范围。

同时，《民法典》明确了侵犯肖像权的具体行为，包括未经肖像权人同意，丑化、污损、或者利用信息技术手段伪造等方式侵犯他人的肖像权，如“AI换脸”；未经肖像权人同意，制作、使用、公开肖像权人的肖像，如“扫街”“街拍”。对此，经营AI换脸的经营者，如不做好相关公司合规的法律风险防范，很容易侵犯用户的肖像权。

特别是在换脸App中，有人将自己的脸换成明星的脸，将明星的脸换成自己的脸，或者将甲明星的脸换成乙明星的脸。如果换脸后仍然保留了明星的主要面部特征，公众据此可以直接辨认出明星的身份，那么用户的这种行为就有可能侵犯明星的肖像权。

2.侵犯著作权

目前，市面上AI换脸平台会提供部分影视、短视频等作为模版，供用户创造。如果相关作品未经著作权人授权和许可，提供给用户或者将换脸后的作品通过网络提供给公众，甚至其中涉及恶搞者歪曲、篡改的行为，不仅侵害了保护作品完整权，同时侵害了著作人身权。另外，将作品进行表演，并形成视频在互联网传播，也侵害了作品的表演权、信息网络传播权。侵犯上述权利均需承担相应的民事责任。

3.侵犯名誉权

如果通过“AI换脸”，尤其是一些具有社会影响力的名人，并对他人进行恶意丑化，或者通过互联网传播换脸后的图文、视频等，导致他人社会评价受损的，则可能侵犯他人的名誉权。

4.侵犯公民个人信息

“AI换脸”APP除了给用户提供海量的影视片段、网络视频外，同样也在不断收集用户的个人信息，正如以上案例，APP运营者滥用用户个人信息的现象也时有发生，平台需因此承担相应的民事责任。

当上，上述仅是平台目前已经需要重视的或者已经涉及的民事法律风险，随着技术不断发展以及使用范围的增加，平台所涉及的法律风险也会不断攀升。

四、律师合规建议

1.平台搜集用户人脸信息，需单独同意且充分告知

首先，《个人信息保护法》明确指出生物识别信息属于敏感个人信息，收集此类信息需要获取单独同意，且具有特定的目的和充分的必要性，并采取措施保护个人信息安全。

其次，根据全国标准信息公共服务平台显示，由国家标准化管理委员会主管，全国信息安全标准化技术委员会归口、执行的《信息安全技术 个人信息处理中告知和同意的实施指南》于2023年5月23日发布，将于2023年12月1日起实施，相关规定表示：

图片来源网络

收集敏感个人信息应明确告知收集敏感个人信息的目的（如仅用于识别个人身份）、范围、处理必要性、对个人权益的影响、传输方式（是否传输原始图像，或仅传输经去标识化、加密等处理后的人脸特征等）、存储方式（存储期限，完成识别后是否删除原始人脸图像信息等）、安全措施、删除已被收集人脸信息的方法等关键信息，使得用户可以对人脸信息的收集使用方式有基本的认知。

相关敏感个人信息，所以需要用户在知情的基础上给予单独同意。在个人作出单独同意之前，需通过增强告知的方式，针对需要单独同意的情形专门向个人进行充分告知，可设置独立界面，并支持个人通过点击、勾选等肯定性动作表示同意意愿。比如先通过弹窗提示人脸信息处理规则，然后再获取单独同意。

再次，对于敏感的个人信息的处理权限做详细规定，并定期对相关人员进行安全教育和培训；采取的安全防护措施，以防范内部的人脸信息泄露、篡改、丢失、损毁或被非法获取、非法利用等安全风险。

最后，企业应该遵守最小必要原则来处理人脸信息，建议尽量不直接存储人脸图像，重点关注人脸信息收集、存储、传输、使用、删除等全生命周期的合规性，不违规向第三方提供个人信息，并采取相关技术和管理手段保证相关信息不外泄。

2.生成内容显著标识

首先，对于用户编辑的可能导致公众混淆或者误认的相关作品，平台公司应当在生成或者编辑的信息内容的合理位置、区域进行显著标识，向公众提示深度合成情况。并且确保任何人不得采用技术手段删除、篡改、隐匿此合成标识。

其次，显著的标识可以有效提醒其他用户此图片或视频为人工合成产物，且相关企业应确保下载下来的合成图片或视频也带有标识，起到告知作用。

最后，平台也需要发布管理规则、平台公约、服务协议等形式告知使用者不得利用人脸合成技术来实施诈骗等犯罪行为，并对相关免责条款予以特别声明和显著标识。

3.建议反诈溯源机制

首先，根据《互联网信息服务深度合成管理规定》提出了用户实名认证的要求，即相关企业应基于移动电话号码、身份证件号码、统一社会信用代码或者国家网络身份认证公共服务等方式，对使用者进行真实身份信息认证。实名认证机制方便后续一旦发生问题追溯源头。

另外，平台还应当逐步建立反电信网络诈骗、投诉举报、安全评估、监测鉴真、应急处置等制度来防范违法滥用人脸合成技术的行为从事违法的活动。

4.平台数据安全合规建设

数据安全风险源复杂且动态，需要App开发者、应用分发商、操作系统、终端厂商、SDK和API等多环节多场景多主体共力协同，行业自律与监管要求相结合，才可助力平台稳定发展。

五、写在最后

随着AI换脸APP的兴起，经营者要长期稳定的发展，除了商业和技术层面的突破外，对于法律风险，尤其是合规边界应严格防范，只有合法合规经营，并得到用户的支持及监管部门的认可，平台的发展才可以稳健长青。

或许您还想看

朱琳：元宇宙非法集资骗局的解读和分析

朱琳：数藏平台存在侵权作品，平台需要担责吗？

作者简介

朱  琳

北京德和衡（上海）律师事务所执业律师、国际注册会计师（ACCA）

朱律师专注协助公司商事纠纷处理，擅长为企业提供专项法律服务和担任企业常年法律顾问，包括提供建章立制、规范及审查合同、法律咨询、重大事项谈判、清理债权债务、合规建议、劳资纠纷等法律服务，为企业经营管理中重大决策的可行性、风险预测提供法律意见等。

擅长领域：公司法、民商事纠纷。

手机：15202196991

邮箱：zhulin-sh@deheheng