来源:金融前线
2022年4月17日，清华五道口全球金融论坛于15日至17日举行，主题为“行稳致远，金融助力高质量发展”。清华大学金融科技学院金融安全研究中心主任周道旭出席并致辞。
周道旭指出，当前，金融业已经进入综合科技化阶段。科技金融安全是国家金融安全的重要内容之一。面对金融科技创新带来的多形式、多维度、多受众的风险，加快推进规范、系统、可预见的立法体系，既是宏观层面加强全面依法治国、提升国家治理水平的应有之义，也是微观层面维护金融行业秩序、规范金融机构业务、提供金融创新引导、稳定金融政策环境的必然要求。
周道旭强调，金融科技安全立法活动要立足金融科技转化引擎，定位防范化解风险利器，统筹国内外、各领域、各区域、各主体发展，更好引领金融科技安全创新。增强安全立法的普遍覆盖，逐步完善覆盖金融产品主要业务领域、技术环节和整个RD周期的综合立法体系，补充完善数据安全等监管标准；划清政府与市场的界限，变强制为引导，制定完善政务数据公开目录工程，合理制定定性和定量监管指标，科学制定运营商准入和业务评估监管要求，加强合规审核；逐步打破行业数据孤岛，关注长尾用户服务的标准化和风险性，统筹发展和安全。
以下为周道旭演讲全文:
各位领导、专家、老师、同学、线上线下的朋友们:
大家下午好！我今天演讲的题目是《加强金融科技安全立法保障金融业安全发展——中国金融科技安全立法的特点、难点和重点分析》。刚才，张建华总统做了一个非常有启发性的报告，其中也提到了立法问题。今天主要分享三个方面:中国金融科技安全立法的特点，中国金融科技安全立法的难点，中国金融科技安全立法政策建议的要点。
目前，金融业已经进入综合科技阶段。科技金融安全是国家金融安全的重要内容之一。面对金融科技创新带来的多形式、多维度、多受众的风险，加快推进规范、系统、可预见的立法体系，既是宏观层面加强全面依法治国、提升国家治理水平的应有之义，也是微观层面维护金融行业秩序、规范金融机构业务、提供金融创新引导、稳定金融政策环境的必然要求。
一，中国金融科技安全立法的特点
一是形成了以全国人大立法为纲，以行业主管部门、监管部门和地方政府规范为目的，涉及金融科技安全方方面面的立法体系。
近年来，党中央、国务院高度重视金融科技安全立法工作，为促进金融科技安全发展提供了有力保障。从全国人大、国务院、中央部委到地方人大，颁布了大量的专门法律，与修订后的相关法律和部门制定的各类规范性文件相配合，大体涵盖了金融机构安全、金融业务安全、网络安全、信息安全、数据安全、金融基础设施安全等领域。目前，我国金融科技安全法律体系由国家安全法、网络安全法、数据安全法、个人信息保护法、关键信息基础设施安全保护条例、网络安全审查办法、4月6日公开征求意见的《中华人民共和国金融稳定法》等目标明确、规定详细的附属法律，以及配套的法律、法规、规章、指导意见等组成。中国金融科技安全法律制度。
二是体现了总体国家安全观的精髓，勾勒了中国总体发展与安全的立法逻辑。
在与金融科技安全相关的立法活动中，统筹发展与安全的理念贯穿于许多法律之中，并在原则上有所表述。例如，《国家安全法》第二十条规定，“维护金融安全的任务是:国家完善金融宏观审慎管理和金融风险防范处置机制，加强金融基础设施和基础能力建设，防范和化解系统性、区域性金融风险，防范和抵御外部金融风险的冲击。”
又如《数据安全法》第十三条规定“国家统筹发展和安全，坚持以数据发展和产业发展促进数据安全，以数据安全保障数据发展和产业发展。”
三是划出金融科技安全的边界和红线，通过政策引导和重点管理内容，使安全体系日臻成熟。
首先是边界。相关立法活动划定了金融科技安全的边界，包括机构、业务、信息、数据、技术、用户、监管等多个维度的安全。例如，提供支付服务的机构不仅必须确保其金融业务必须符合资本、杠杆等要求。，而且还满足传统金融安全边界之外的安全需求，是由电信、网络信息等部门发布的，如移动系统等。，并且收集的数据在“必要范围”内。即所有与金融科技密切相关的内容，都将受到法律的规制，处于金融科技安全的“边界”之内。紧随其后的是红线。相关立法活动划出了涵盖个人隐私至上和系统性风险防范的金融科技安全红线。科技带来的风险最终会影响到特定的人或企业。对于用户而言，公民个人可能因为接受金融服务而成为隐私数据泄露、窃取、非法交易等行为的受害者，其最基本的权利直接受到非法活动的威胁。对于企业来说，可能会出现关联交易紧密、业务嵌套复杂、机构间算法和技术相似等现象。一旦关系密切的庞大机构出现严重问题，可能会以恐慌情绪猛烈冲击金融业声誉，进而引发恐慌性挤兑，造成企业连环倒闭等系统性损害。基于以人为本和对系统性风险“零容忍”的一贯监管取向，相关立法活动将对大量可能触及这两方面的内容进行限制或禁止，从而划定金融科技安全发展的“红线”。
第四，突出了对用户隐私的保护，多层次、多方面、多角度保护用户的合法权益。
用反垄断和反“杀”来降低用户群体的交易劣势，用有限收集和协议选择来降低用户群体的使用劣势，用有限推荐和反跟踪来降低消费者的认知劣势。这些规定实际上体现了以人民安全为宗旨，切实维护广大人民群众安全权益的安全管理要求。
二，我国金融科技安全立法的难点
首先是关于数据所有权、交易权、收益分配权和数据交易的法律问题。如今，全国各地都建立了许多数据交易所，但我们在数据相关权利方面的立法却一直滞后。可能有以下三个原因:
第一，单一数据很难确认交易价值。数据不是普通的排他性生产要素，它是非排他性的。只有大数据才有用，所以把数据单独拆分到用户手里用处不大。数据必须是大数据，活数据才有价值。当数据分散存储在用户身上时，这种小数据、一次性的截面数据是没有太大价值的。
第二，数据开发利用与个人隐私的矛盾。基于商业目的的数据交易往往伴随着侵犯用户隐私权的风险。但如果不能方便地使用数据，过度保护用户隐私，数据技术的进步就会变成空。
第三，数据本身是一种生产要素，围绕数据的交易会涉及到要素的分配，处理不好会影响社会公平。将数据交易产生的收入归属于运营方，无疑会扩大财富不平等，甚至诱发平台“掠夺性”收集数据的可能性。
然后是网络数据与司法证据之间的法律问题。
一是网络数据规模呈几何级膨胀，流通路径庞大复杂，导致溯源取证的客观问题。从信息收集方面来说，当同一机构的信息收集范围受到相同的约束时，不同的机构有可能向相同的用户提供服务并收集相似的信息。从信息流通方面来说，同样的信息被很多领域、地区、主体共享，外界很难知道机构对某个数据的实际掌握情况。一旦数据泄露，很难追踪被侵权数据段的来源进行取证，也很难被追究相应的责任。
第二，国际数据政策壁垒增加了跨境取证的难度。2018年生效的《美国澄清合法使用海外数据法案》规定，“在云上存储数据的美国企业”和“与美国有足够联系并受美国管辖的企业”必须应美国政府的要求向其转移数据，这构成了美国对海外数据实施“长臂管辖”的法律基础。针对这部法律，欧盟的《一般数据保护条例》中也有类似的规定。我国《资料保护法》第三十六条要求“应当向主管机关报告，经批准后方可提供”。这些反立法客观上增加了国际数据壁垒，增加了跨境司法取证合作的难度。
三是网络数据得出的分析结论难以满足成为司法证据的条件。基于证据的客观真实性、合法性和关联性，网络数据本身需要保证与事实相关的内容的全面性、完整性和真实性，不能存在通过故意隐瞒或增删原始材料而形成有利结论的依据；提供的网络数据应合法获取，数据处理和分析过程应真实、科学、严谨。分析方法和工具通常应得到行业的普遍认可或司法认证的批准。处理过程和得出的结论需要符合个人信息保护等要求，与事实认定相关的结论可以考虑作为司法证据。这一系列的限制，网络数据本身成为司法证据的门槛很高，而且很难实现，所以从网络数据到证据的路比更长。
之后是关于人工智能等金融科技参与交易决策的法律责任认定。
当人工智能等金融技术作为辅助或独立进行交易决策，存在歧视、损失或进一步损失的风险时，机构法律责任的确定可能会因为“技术中立”或“技术黑箱”而被规避。
“技术中立”是指技术本身没有善恶，没有目的性，客观的数学模型或程序在决策时不具备人类的主观思维能力。而看似消除主观偏见的算法，在构建之初可能隐含着操作者的价值取向和兴趣取向，最初设定的辨别倾向会在自主学习中逐渐成型，从而将主观问题正式包装成客观错误，剥离自身的主要责任。
“技术黑箱”有两层含义:一是“外部黑箱”，由于底层算法的交织和不透明，阻碍用户和监管部门及时了解和识别风险。第二，人工智能的深度学习和自动优化的算法，形成了一个“内部黑匣子”，可能对机构本身的风险进行管理。“技术中立”和“技术黑箱”两个因素，使我们难以认定有关主体是否具有主观恶意，难以履行保护责任。黑箱的存在使得归责难度陡然上升，我们很难进行法律认定。在这方面，人民银行进行了有益的探索，取得了积极的进展，受到了业界的好评。
为全面提升人工智能技术在金融领域的应用和管理水平，促进金融与科技的深度融合和协同发展，中国人民银行于2021年3月26日发布了《人工智能算法金融应用评价标准》。针对当前人工智能技术应用中存在的算法黑箱、算法同质化、模型缺陷等潜在风险问题。，建立了人工智能金融应用算法的评估框架，从安全性、可解释性、准确性和性能等方面系统地提出了基本要求和评估。因此，我们的监管机构正在引导人工智能在这方面的健康发展，在为金融赋能的同时，防范风险，保障安全。
最后是基于区块链的智能合约的法律问题。区块链是我们金融科技最重要的底层技术之一，它最终改变了信用的分布，从中心信用到分布式信用。智能合同是参与者基于双方的协议达成并自动执行的数字合同。基于区块链的智能合约具有不可篡改的特点。智能合约代码在链上编译完成并经双方确认同意后，代码可根据预设条件自动运行，无需修改或终止。
基于这一特点，智能合同的法律效力存在诸多问题。也就是说，区块链智能合同的法律纠纷存在三个难点:第一，智能合同是否应被视为法律意义上的合同。一种观点认为不应视为法律意义上的合同，另一种观点认为可以视为法律意义上的合同。所以关于智能合约存在巨大的争议。如果根据相关定义将智能合同视为专用于执行的代码或应用程序，则应将其视为合同履行工具。还有一种观点认为，智能合同如果符合主体平等、意思表示一致等全部合同特征，符合《民法典》关于合同成立和生效的规定，则可视为有效合同。第二，现有法律缺乏约束智能合约的能力。代码不可篡改、可自动执行的设计，凸显了智能合约中“代码即法律”的特点。这意味着，在区块链,《法典》并不依赖于司法机构提供的强制性保障，司法机构也没有能力直接干预合同的自动执行。这种代码至上、逻辑至上的设计，无疑对法律约束力提出了挑战。区块链在技术层面，法律是上层建筑，在国家制度层面，所以变成了技术和国家制度的冲突。第三，智能合同实施中的责任归属问题。代码是智能合约存在的基础。当合同双方当事人或其聘请的第三方编写的代码出现错误，导致交易无法执行或错误执行时，或一方当事人因发现合同漏洞而要求另一方当事人返还收益并重新订立合同时，造成的损失应由谁负责并不明确，但归责依据仍是基于智能合同的法律认定。智能契约是契约的问题吗？类似现在做的无人驾驶，一个不是技术问题，一个是法律问题，一个是能力问题。比如设计无人驾驶程序时，是优先考虑乘客还是保护程序？我觉得机器人是无法识别的，需要算法来决定。编写算法的人在决定谁的生命权最重要，这也是智能合约面临的法律问题。
这是金融科技立法面临的四大问题。
三、中国金融科技安全立法政策建议
一是坚持总体国家安全观的立法思想，走中国特色金融科技安全立法道路，防范化解重大金融科技安全风险。
金融科技安全立法活动应立足于金融科技转化引擎、防范化解风险利器的定位，统筹国内外、各领域、各区域、各主体发展，更好地引领金融科技安全创新。增强安全立法的普遍覆盖，逐步完善覆盖金融产品主要业务领域、技术环节和整个RD周期的综合立法体系，补充完善数据安全等监管标准；划清政府与市场的界限，变强制为引导，制定完善政务数据公开目录工程，合理制定定性和定量监管指标，科学制定运营商准入和业务评估监管要求，加强合规审核；逐步打破行业数据孤岛，关注长尾用户服务的标准化和风险性，统筹发展和安全。
第二，加快我国金融科技安全行业立法，更好地适应金融科技快速发展变化的需要，更好地保障金融科技行业的安全发展。
金融安全立法活动要突出对创新的包容和引导，形成宽严相济的环境，允许金融机构在绩效分类的基础上，在高风险、高危害的范围之外适度创新。要建立监管部门与市场的沟通对话机制，促进对行业发展趋势和监管要求的相互了解。
第三，借鉴国际金融科技安全立法理念和经验，把握世界金融科技安全趋势，共同推进金融科技全球安全。
加强全球金融科技发展评估和风险监测，探索建立金融科技监管信息共享、风险联动应对和危机处理机制，在网络安全、数据治理、跨境支付、反洗钱等重点领域加快国际金融科技标准规则体系建设，有效解决跨境金融科技监管和监管套利问题，努力形成百家争鸣、百花齐放的全球金融科技发展新格局。
谢谢大家！
