“仅需一张照片，出演天下好戏。”8月30日，一款叫做ZAO的AI换脸APP上线，并瞬间成为网络热点。用户只需上传一张正脸照，就可以替换为影视作品或者小视频中的人物，“出演”以自己为主角的电影片段。但ZAO的用户协议将用户肖像权至于危险境地，极易引发隐私泄露。8月31日晚，ZAO对其极具争议的用户协议进行了部分修改，但修改之后的用户协议并没有以弹窗的形式通知用户。
为了进一步印证类似的人脸APP安全性，北京晚报记者体验了40多款涉及人脸信息识别的APP，发现问题不少。
调查
用户极易忽略“霸王条款”
8月31日晚，ZAO在用户协议开头增加了“特别提示”，“您基于本协议及您使用ZAO的相关服务而授权给ZAO的相关内容（您上传的短视频及您的人脸等），ZAO仅限用于为您提供上传/发布短视频以及利用技术对平台上的短视频进行局部修改生成新的短视频的服务，相关的内容将严格按相关法律法规的规定保留在ZAO上，除非为了改善ZAO为您提供的服务或另行取得您的再次同意，否则ZAO不会以任何其他形式或目的使用上述内容。”
而且，ZAO将用户协议中最受争议的第6条进行了修改，原文中要求用户须授予 ZAO“完全免费、不可撤销、永久、可转授权和可再许可的权利”的内容，被替换成“免费的、可以对用户内容进行部分的修改或编辑（如将短视频中的人脸换成另一个人脸等）以及修改或编辑前后的用户内容进行信息网络传播的权利。”
记者体验了40多款涉及人脸信息识别的APP后发现，与ZAO类似的“霸道”条款屡见不鲜。例如，在一款名叫“人脸识别系统”的APP的《用户协议》中，第3.1.2款规定，“您是您的用户内容唯一的责任人，您将承担因您的用户内容披露而导致的您或任何第三方被识别的风险。”又如在换脸类APP“ Face link”的《用户协议》中第2.4款规定，“ Face link”为用户提供合法的、健康的产品及服务，但是用户应对其使用自行承担责任及风险，在任何情况下不就因使用或不能使用提供的服务所发生的特殊的、意外的、直接或间接的损失承担赔偿责任。”
这40多款APP中，没有一款在注册登录页有勾选按钮，都是通过手机号或者微信等社交媒体账号注册。着急登陆并试玩用户，可能并不清楚一闪而过的注册页面后，自己接受了哪些“霸王条款”，注册之后用户必须同意授权提供设备信息等权限，才可继续使用。并且，其中仅有不到10款APP的《用户协议》，在协议开头就人脸信息的收集和使用规范做出特别提示，并在用户协议里设置了有关人脸信息的条款。
有些APP甚至没有《用户协议》
记者还发现数十款换脸类APP根本没有《用户协议》和《隐私政策》，用户直接通过手机号验证注册，最终的生成的换脸图片和视频均可以分享至微信朋友圈和微博等社交媒体，个人图像跟社交媒体账号等个人信息匹配后可识别度非常高。例如，记者通过App Store下载的三款换脸APP“换脸2”、“换脸王”、“我的明星朋友”，均没有用户协议。打开后弹出索取视频和图片权限窗口，然后自拍或者从图片库中选择图片进行换脸编辑。但是当记者完成后出现了分享至“朋友圈”和“微博”等窗口。
用户面部隐私采集乱象多，个人账户想要注销同样难。记者发现，“ZAO”的“用户协议”中并没有告知用户如何注销账户。有网友说，“ZAO”的注销入口藏在“隐私协议”的底部。不过，用户却发现注销并非易事。注销账户需要输入手机验证码，但是不少用户反映，页面总是提示验证码过期或者验证码错误。但是当记者点击“开始注销账户”后，弹出了“注销账号须知”，提示用户“注销账号30天后才可重新注册”等等。随后“ZAO”提醒需要先“手动解除好友关系”（删除好友即解除面孔授权），然后需要进行“账号安全验证”。
预警
互联网专家：肖像和密码、身份证号一样重要
“其实可以这么理解，肖像就是你的身份证，或者说就是你身份信息数据库的一部分。”DCCI互联网研究院院长刘兴亮表示，随着人脸识别的应用越来越广泛，每一个普通的肖像都成为身份信息的重要组成部分，不可轻易放松警惕。
刘兴亮说：“现在有些无人超市，就是通过人脸识别，关联到消费者肖像绑定的支付手段。这只是人脸识别的一小部分应用，以后还会越来越多。通俗地讲，肖像就和身份证号、你的手机解锁密码、声音、指纹等等一样重要。”
信息安全工程师范屹曾是一名“白帽子”（正面的黑客），他表示，在人脸识别领域，尤其要警惕一些第三方应用，这些应用的数据尤其容易被黑客、不法分子利用，而官方应用更值得信赖，“我们比较常遇见的，像铁路系统，这是官方背景的、比较安全的人脸识别应用。”但他同时强调：“我们已经习惯了，密码不能告诉别人，身份证号、银行卡号不能随意泄露。但是我们自己的人脸，却没有足够重视。换脸APP玩起来开心，背后的隐患却不被重视。”范屹透露，被盗用的肖像会被应用到何处，现在还不明确，但是其潜在隐患无法忽略，“现在网约车平台要求司机必须进行完人脸识别才可以接单，以保证安全。如果被换脸的司机通过了人脸识别，乘客安全就无从谈起了。”
对于一些APP在安全协议中保证“不会产生任何缓存到文件或上传到云端等其他任何记录用户面部信息的操作”，范屹说，服务器会有记录，这种保证没有实质意义。
法律专家：谨慎使用“换脸” 尽量少用或不用
中国社会科学院法学所副研究员陈根发告诉记者，《个人信息安全规范》规定，个人上传的可以识别面部特征这类敏感的个人信息，在收集个人敏感信息时，应取得个人信息主体的明示同意。应确保个人信息主体的明示同意是其在完全知情的基础上自愿给出的、具体的、清晰明确的愿望表示。“中央网信办今年5月份出台的《App 违法违规收集使用个人信息行为认定方法（征求意见稿）》也明确规定在 App 安装、使用等过程中需通过弹窗、链接等方式提示用户阅读隐私政策，隐私政策链接和文本也要正常显示。人脸采集等敏感个人信息还应该在协议开头做出特别提示。”
融商律师事务所合伙人王颖律师，向记者强调了严格监管肖像使用的必要性：“监管是不能超前而必须滞后的，因为过于超前的监管，肯定会阻碍科技的发展。但是科技的应用，应该是有限制的。在相关监管暂时没有跟上的时候，企业也应当负起自己的社会责任。”
王颖认为，信息被滥用，侵害无辜人的肖像权，名誉权和个人隐私等问题是必然会出现的，而其中使用者必须默认同意的设置也肯定是错误的，涉嫌霸王条款。“具体可以参照参照2017年支付宝的《芝麻服务协议》的那个争议。”王颖律师说，《消费者权益保护法》中明确规定，消费者有选择权，默认同意必须是法律规定，或双方事先约定。“如果这两条都没有，程序选择了自动勾选，那肯定是错误的。涉嫌平台逃避责任，限制消费者权利。”
北京市京剑律师事务所主任律师金翔仔细解读了ZAO用户协议的条款，其中已经写明了，肖像来源并不是唯一的来源于肖像本人亲自提供，也可能来自于他人提供。因此，用户若使用这款App，则有可能导致自己的肖像被他人复制，以后在自己不知情的情况下被他人使用。用户会面临自己的名誉权被侵犯、侵犯影视作品著作权、肖像被利用损害自己合法权利等风险。
“总之，只是为了娱乐，随意提供自己的肖像在上述App上使用，在目前的网络环境和此类新生事物法律监管几乎处于空白的状态下，实在是弊大于利。”金翔律师建议使用者谨慎使用，在自己没有弄清楚使用它的法律后果之前，尽量少使用或者不使用。