人脸识别供应商准确率高达99%，却整天误标无辜顾客
该供应商的算法在美国政府自己的基准测试中位列第一梯队。在一个包含一千二百万张面部照片的图库上，领先的人脸识别系统如今的准确率已超过99%。这个数字是真实的，认证也是真实的，我曾用它来向一位试点客户保证，他们的防损部署是可靠的。
然后我们跑了他们门店的真实数据，系统整天都在标记无辜的顾客。
这道鸿沟——横亘在99%的基准分数与一个在第六货道拦错祖母的系统之间——正是这篇文章的全部主题。人脸识别合规几乎从来都不是算法问题。它是一个采购问题、一个数据问题，也是一个披着算法外衣的治理问题。我付出了昂贵的代价才明白这一点，这也是为什么我在Veriprajna的团队最终走上了依据真正重要的法规、基准和运营标准来审计生物识别系统，而不仅仅是给供应商的准确率打分。
我最先搭建的评分卡是一件错误的工具
起初，我以为这次审计一目了然。读一读NIST人脸识别供应商测试（美国国家标准与技术研究院开展着该领域最受推崇的独立基准测试），查出供应商的排名，打个分，然后递给客户一个绿色的对勾。我搭建的正是这样一套东西：一份整洁的供应商准确率评分卡。
试点客户是一家零售连锁店，持有一份已知有组织盗窃嫌疑人的监控名单。他们的供应商在FRVT上确实是顶尖表现者。按我的评分卡，他们干净利落地通过了。所以当他们的门店不断对明显不在任何名单上的人发出警报时，我以为这是个调校问题，于是去阈值里找那个bug。
根本没有bug。这套数学完全在按设计运作——只是我审计错了对象。
基准测试告诉你的是一个算法在实验室里的表现。它几乎没有告诉你它在你的门店里会如何运作。
这是我当时忽略的地方。NIST那个亮眼的准确率来自闭集匹配：给定一张面孔，在已知图库中找到它的匹配。那是手机解锁的问题——这是不是机主，是或否。但零售监控名单是一个开集问题，两者并非近亲。在一家每天有8,000名访客、监控名单为200人的门店里，每次扫描中有97.5%针对的是根本未被录入名单的人。闭集算法会竭力为它看到的每一张面孔寻找最佳匹配。把它对准那样的流量，即便只有0.1%的误报率，每家门店每天也会抛出大约8次错误警报。分布在500个门店里，那就是每天有4,000名无辜者被标记。我为一套系统做了认证，可它回答的完全是错误的问题。
正是那次失败重塑了公司的做法。我们不再给供应商打分，而开始审计部署。
误报一直藏在相册里
第二个意外，是那些错误匹配究竟从何而来。我原以为一次错误匹配意味着模型薄弱。然后我坐下来查看一位客户的录入图库——也就是系统用来比对面孔的那套实际监控名单图像——调出了缩略图网格。
那简直一团糟。只有寥寥几张干净、受控的证件照。然后是几十张颗粒粗糙的闭路电视截图、手机快照，以及十年前的入案照片。你无法可靠地把一张2026年的活体面孔与一张低分辨率的2014年入案照片相匹配，世界上任何算法排名都解决不了这一点。污染在数据里，而非模型里。
这是没人去审计的部分。企业执着于该采购哪家供应商，却从不检查他们喂给系统的那个图库——那些未经筛剪的监控名单、陈旧的采集图像、以及驱动了大多数现实世界误报的分辨率不匹配。当我们开始把录入数据库的卫生状况当作审计中头等重要的一环时，试点中的误报率在我们动任何一个阈值之前就已经下降了。
而那些误报并非均匀分布。NIST的人口统计学测试发现，组内误报率在不同人口群体之间相差高达7,203倍——儿童、老年人，以及亚裔和美洲印第安人受试者都出现了偏高的误报率，部分原因是较深的肤色对动态范围捕捉提出了更高的要求，而廉价摄像头无法满足。这并非纸上谈兵。当美国联邦贸易委员会审查Rite Aid的部署时，发现位于黑人和亚裔为多数的社区的门店，产生的误报明显多于白人为多数的社区的门店。员工未受过关于系统局限性的培训，把每一次警报都当作事实，并据此上前盘问顾客。
真正应该让零售风控官夜不能寐的问题，不是"我们的供应商准不准"，而是"我们的图库对谁的面孔识别得最差，以及当屏幕亮起时我们的员工会做什么"。
在监狱里待108天是什么样子
如果你想知道我为什么认为人工复核这一步是整场比赛的全部，那就读一读Angela Lipps的案卷。
Lipps是一位50岁的祖母。2025年7月，法戈警方用人脸识别把她认定为嫌疑人，美国法警随即将她逮捕。她当时距离案发现场1,200英里。她在狱中度过了108天，直到2025年圣诞前夜指控才被撤销。法戈警察局长于2026年3月27日公开道歉。民权索赔正在准备之中。
一套系统给出了一个数字。没有人核查，鉴于图像质量、探测照片与图库图像之间的年龄差距，或该算法在她所属人口群体上的表现，这个数字是否可靠。那个匹配分数被当作了证据。它不是证据——它是一个没有附带任何校准置信度的概率，而有人把它读成了一个名字。
Lipps并非个例。《华盛顿邮报》已记录到至少八名美国人在人脸识别匹配后被错误逮捕，且每一起案件的调查人员都跳过了诸如核对不在场证明这样的基本步骤。Harvey Murphy的错误羁押持续了十天，其间遭到身体袭击，并演变为一桩1,000万美元的诉讼。在里诺，Jason Killinger的赌场人脸识别错误逮捕案正走向庭审，一名警官有记录在案地表示这"本就不该发生"。
这就是为什么监管机构已不再把人工监督当作一个打勾项来接受。如今在各司法管辖区正趋于一致的标准是有实质意义的、而非仪式性的复核——而"有实质意义"恰恰是大多数部署所伪装的。我审阅过一些人在环流程，其标准操作规程里有一个标着有实质意义的监督的框，下面却空无一物。一名复核员若以机器产出的相同速度给机器的输出盖橡皮图章，那不是监督。验证复核工作流是否真正达到了监管门槛——即一个人能够并且确实会推翻系统，且拥有做到这一点所需的信息——最终成了我们所做的每一次审计中最难、也最重要的环节之一。
你实际承担责任的那片拼凑法规
人们总是向我索要他们需要遵守的那部"人脸识别法"。并不存在这么一部法。没有任何美国联邦成文法规管辖人脸识别。取而代之存在的是一片拼凑，而处罚绝非象征性的。
伊利诺伊州的BIPA是有牙齿的那一部，因为它赋予了私人诉讼权——任何人都可以起诉。每次违规的赔偿金，过失违规为1,000美元，故意违规为5,000美元，仅在2025年，和解金总额就达到了1.366亿美元，分布在107多起新的集体诉讼中。历年累计的数字还要更大：Facebook以6.5亿美元和解，Clearview AI以5,175万美元和解。得克萨斯州的CUBI对每次违规处以最高25,000美元的罚款，并促成了一桩13.75亿美元的谷歌和解案，尽管得克萨斯州仅通过其总检察长执法，且其2025年的TRAIGA法为安全和欺诈防范开辟了豁免。
还有欧盟《人工智能法案》，其禁止性做法——包括对实时远程生物识别身份识别的禁令——已于2025年2月起可强制执行，处罚最高可达3,500万欧元或全球营业额的7%。在欧洲议会投票通过延期后，其高风险系统的合规期限被推迟到了2027年12月2日，这争取到了时间，但对已经生效的那些禁令毫无改变。再叠加上科罗拉多州修订后的《隐私法》、华盛顿州的生物识别法，以及包括旧金山、波士顿、奥克兰和波特兰在内的16座以上美国城市的彻底禁令——预计到2026年底还会有10个或更多的州通过生物识别保护法——于是你就有了一套部署，它在一个邮政编码区里合法，到了隔壁就成了集体诉讼的磁石。亚马逊于2025年12月推出的Ring"熟面孔"功能，在发布后数周内就在伊利诺伊州、得克萨斯州和波特兰被封禁。
一次真正的审计必须把单个部署同时对照所有这些法规逐一映射。没有任何现成工具能做到这一点，而这恰恰是我们不得不自己构建这项能力的原因。
为什么买排名最高的供应商还不够？
早期，一位顾问告诉我整件事比我搞得要简单得多：买排名最高的NIST供应商，你就合规了。我信了大约一周——直到试点证明，一家在优秀基准上排名靠前的顶级供应商，仍然会制造出一整家满是误报的门店。
供应商格局值得抱持怀疑。全栈领导者——NEC、IDEMIA、Thales——都是货真价实的FRVT顶尖表现者，而像Paravision和Rank One Computing这样的软件专家也跻身最佳之列。但排名遗漏了合同中最要紧的那一行：供应商惯常地拒绝对准确率作出任何担保。企业为自己无法独立审计的输出承担全部责任。几家大型云服务商看清了形势便抽身而退——亚马逊对警方使用Rekognition下达了无限期暂停令，微软对Azure Face也如法炮制，IBM则早在2020年就彻底退出了人脸识别。Clearview AI，那个最激进的数据采集者，在欧盟被彻底封禁。
如果你的供应商不肯为准确率担保，而监管机构又让你为输出负责，那么供应商的基准排名就是关于你部署最无趣的一个事实。
还有一个大多数买家从未看到的更深的采购陷阱。FTC对Rite Aid的处置不仅仅是禁止其使用人脸识别五年——它还下令进行模型追缴：销毁所有生物识别数据以及基于这些数据训练出的每一个模型。追缴正在成为一种标准手段；2025年5月的一起案件也迫使一家教育科技公司删除了它的模型。其原则是，你不能从你无权采集的数据、或从该数据衍生出的算法中获利。所以采购负责人应当向供应商提出的问题，不是"你有多准"，而是"你能否证明你卖给我的准确率不是建立在可能导致模型本身被删除的数据之上"。那是一个尽职调查问题，而几乎没有人会去问。
银行面临着相反的问题——以及同样的鸿沟
零售是那个鲜明的案例，但金融机构从另一个方向陷入了同样紧绷的境地。他们的生物识别不是监控名单筛查——而是电子化的"了解你的客户"核查：将身份证件验证与人脸匹配及活体检测相结合，以确认是一个真实的人在开一个真实的账户。这种部署是经过同意且范围狭窄的，听起来更容易。其实不然，因为门槛已经移动了。
自2026年1月1日起，FinCEN扩大了其反洗钱要求，而更广泛的2026年监管转变，是从控制措施的存在，转向控制措施的可证明的有效性。仅仅说你在运行活体检测已经不够了。你必须证明它有效——你的活体检测能挺过呈现攻击（一张打印的照片、一段回放的视频、一副举到摄像头前的硅胶面具），你的错误匹配率在各人口群体间都能守得住，那项控制措施做了某种可衡量的事情，而不只是存在着。一家使用像FacePhi这样的供应商来做银行活体检测的银行，处境与那家零售商相同：为一套自己无法独立评估的系统承担全部责任，如今却被其监管机构要求去证明它从未衡量过的有效性。
把防损经理与银行合规官联系起来的那根线，是同一道鸿沟。两者都基于供应商的说辞采购了一套生物识别系统。两者都无法足够充分地读懂一份NIST FRVT报告，以便将其转化为一项采购决策、审计他们喂给系统的数据质量，或证明他们的人工复核流程是有实质意义的而非仪式性的。随着生物识别决策被交给自主AI智能体，这道鸿沟正在扩大——只有23%的组织对管理智能体身份有任何正式的策略，而身份验证公司iProov一直在警告，当智能体做出高影响力的决策却无人对其明确负责时，会出现一种"问责真空"。
经过校准的怀疑究竟能给你带来什么？
最要紧的那个修正，是最不光鲜的一个。人脸识别供应商报告一个匹配分数——一个数字——却不附带围绕它的经过校准的置信区间。系统说"0.94"，操作员就读成"就是她"。但针对一张干净的影棚证件照的0.94，与针对一张十年前的、算法处理得很差的某人口群体某人的入案照片的0.94，并不是同一个论断，而原始分数掩盖了其中的差别。
缺失的是一个不确定性层：一种为每次匹配附上诚实、经过校准的置信度的方法，好让一个临界结果自报家门地宣告自己是临界的，并转交给一个人，而不是转到保安的对讲机上。那种中间件在商业上并不存在。为它构建那套评估——那个本可以告诉法戈警官"鉴于图像质量和受试者的人口群体，这次匹配置信度偏低，不要仅凭它采取行动"的东西——正是我希望在Lipps案之前、而非之后就已存在的工作。
你可以看到那些已经明白这一点的机构。英国埃塞克斯警方在信息专员办公室的一次审计之后，因偏见风险而暂停了他们的人脸识别项目。他们没有等到一次错误逮捕才发现自己的系统存在人口统计学上的盲点。那才是应有的姿态：把系统当作一项责任负担看待，直到一次独立审计证明并非如此，而不是反过来。
基准分数是你拿给供应商销售演示看的东西。每次匹配上一个经过校准的置信区间，才是你拿给监管机构和法庭看的东西——而这两者中只有一个经得起交叉盘问。
带到你下一次供应商通话中去的真正问题
如果你已经部署了人脸识别，那个令人不安的真相是：你的基准认证所衡量的，是一套不同于在你的门店或你的入职流程中运行的系统。那个准确率是真实的，却几乎无关紧要。真正决定你风险敞口的，是你所处环境的开集数学、你所构建图库的卫生状况、你的各司法管辖区是否已被映射，以及一个人在机器拦错人之前能否真正抓住它。
这些没有一样会出现在供应商排名里。而它们全都会出现在一桩集体诉讼、一份FTC同意令，或一位祖母在牢房里的108天中。我们打造了我们的生物识别与人脸识别合规审计，是为那些宁愿在一份报告里、而非在一场诉讼里发现这些漏洞的买家而准备的。
所以下一次当供应商递给你一个99%的准确率数字时，别问他们是怎么得来的。要问它没有覆盖什么——然后去数一数，每天从你的摄像头前走过的那些面孔，有多少从一开始就根本不在任何名单上。