CV, đặc biệt là nhận diện khuôn mặt và con người, chạm trực tiếp đến quyền riêng tư và công bằng. Một sản phẩm CV kém đạo đức có thể gây thiệt hại pháp lý, uy tín, và tổn hại thật cho con người. PM là người gác cổng cuối cùng.
Vì sao đạo đức là việc của PM, không chỉ của pháp chế
Quyết định thu thập dữ liệu gì, dùng để làm gì, ai bị ảnh hưởng khi sai đều nằm trong tay PM khi thiết kế sản phẩm. Đợi đến khi pháp chế soát là quá muộn — rủi ro đã được "nướng" vào sản phẩm.
Bốn rủi ro đạo đức lớn
1. Bias (thiên lệch): Mô hình chính xác với nhóm này nhưng kém với nhóm khác vì dữ liệu train không đại diện. Ví dụ kinh điển: nhận diện khuôn mặt kém chính xác hơn với người da màu và phụ nữ do dữ liệu lệch. Hậu quả: nhận nhầm, buộc tội oan.
2. Quyền riêng tư: Thu thập và lưu hình ảnh con người mà không có sự đồng thuận (consent) rõ ràng. Khuôn mặt là dữ liệu sinh trắc học — không thể "đổi mật khẩu" khi rò rỉ.
3. Giám sát (surveillance) lạm dụng: Công nghệ theo dõi có thể bị dùng sai mục đích, xâm phạm tự do cá nhân.
4. Thiếu minh bạch & không có đường khiếu nại: Người bị hệ thống ra quyết định (từ chối vào cửa, bị đánh dấu gian lận) mà không biết vì sao và không có cách phản hồi.
Khung tư duy triển khai có trách nhiệm
Trước khi build một tính năng nhận diện, PM trả lời:
- Có thực sự cần nhận diện danh tính không, hay chỉ cần đếm/ẩn danh là đủ? (Nguyên tắc tối thiểu hóa dữ liệu.)
- Ai đồng thuận và bằng cách nào? Người bị chụp có được thông báo không?
- Đo bias trên các nhóm chưa? Có báo cáo hiệu năng tách theo nhóm không?
- Sai thì ai chịu hậu quả và có đường khiếu nại không?
- Dữ liệu lưu ở đâu, bao lâu, ai truy cập được?
- Có "human-in-the-loop" cho quyết định hệ trọng không?
Tối thiểu hóa dữ liệu (data minimization)
Một nguyên tắc mạnh: chỉ thu thập và lưu thứ thật sự cần. Cần đếm khách? Dùng mô hình đếm ẩn danh, không lưu khuôn mặt. Cần chấm công? Có thể xử lý on-device và chỉ lưu "đã điểm danh", không lưu ảnh. Ít dữ liệu nhạy cảm = ít rủi ro pháp lý và đạo đức.
Đo và giảm bias
- Đo tách nhóm (disaggregated evaluation): báo cáo precision/recall riêng cho từng nhóm nhân khẩu, không chỉ số tổng.
- Cân bằng dữ liệu train: chủ động thu thập cho nhóm bị thiếu.
- Đặt ngưỡng chấp nhận về khoảng cách hiệu năng giữa các nhóm, coi đó là tiêu chí nghiệm thu.
Ví dụ cụ thể: cổng an ninh bằng khuôn mặt
Một tòa nhà lắp face recognition ở cửa. PM có trách nhiệm sẽ: (1) thông báo rõ có camera nhận diện và mục đích; (2) cho phương án thay thế (thẻ từ) cho ai không đồng ý; (3) đo hiệu năng tách theo nhóm để không có nhóm bị từ chối oan nhiều hơn; (4) xử lý on-device và không lưu ảnh gốc; (5) khi hệ thống từ chối, có bảo vệ kiểm tra thủ công thay vì để người bị kẹt ngoài cửa. So với một sản phẩm chỉ chăm chăm "cho nhanh", cách này bền vững hơn nhiều.
Tuân thủ pháp lý
Nhiều nơi có quy định về dữ liệu cá nhân và sinh trắc học (ví dụ GDPR ở châu Âu, Nghị định về bảo vệ dữ liệu cá nhân ở Việt Nam). PM cần biết mình đang xử lý dữ liệu sinh trắc học nhạy cảm và làm việc sớm với pháp chế về đồng thuận, lưu trữ, và quyền xóa.
Checklist đạo đức trước khi go-live
- [ ] Có thật sự cần nhận diện danh tính, hay ẩn danh là đủ?
- [ ] Có cơ chế đồng thuận và thông báo rõ ràng không?
- [ ] Đã đo hiệu năng tách theo nhóm để kiểm bias chưa?
- [ ] Chính sách lưu trữ, truy cập, và thời hạn xóa dữ liệu?
- [ ] Có human-in-the-loop và đường khiếu nại cho quyết định hệ trọng?
- [ ] Đã rà soát pháp lý về dữ liệu sinh trắc học chưa?
Sai lầm thường gặp
- Coi đạo đức là việc của pháp chế và xử lý sau cùng.
- Chỉ báo cáo accuracy tổng, giấu chênh lệch hiệu năng giữa các nhóm.
- Thu thập và lưu khuôn mặt "để dành" dù không cần.
- Không có phương án thay thế cho người từ chối bị nhận diện.
- Để mô hình tự động ra quyết định hệ trọng mà không có con người kiểm tra.