供應鏈數字化轉型與企業(yè)人權盡責
（中國）唐穎俠
一、問題提出
傳統(tǒng)數據治理路徑下的數字化供應鏈管理側重于關注企業(yè)自身的數據安全和內部的經營風險，往往忽略了企業(yè)對于利益相關方造成的負面影響，即外部的人權風險。因此，有必要在數字化供應鏈管理中納入人權的視角，通過實施人權盡責方法有效防范和全面應對數字化供應鏈中的人權風險。那么，在人工智能與大數據等數字技術的背景下，能否直接適用國際人權法中關于人權盡責的已有方法呢？縱觀既有工商業(yè)與人權領域的人權盡責規(guī)制，無論是得到聯(lián)合國人權理事會核可和各國廣泛認同的《聯(lián)合國工商業(yè)與人權指導原則》（以下簡稱《指導原則》），還是正在談判過程中的聯(lián)合國工商業(yè)與人權條約草案，以及各國關于人權盡責的強制性立法和自愿性規(guī)范，都是基于礦產、紡織、食品加工等傳統(tǒng)行業(yè)領域的經驗。這套經驗在數字化背景下能否繼續(xù)適用還有待實踐檢驗和理論研究。
目前，并沒有專門針對數字化供應鏈的人權盡責的國際規(guī)范和國內立法。因此，本文試圖討論在數字化浪潮席卷全球的背景下，數字技術如何賦能供應鏈并助力人權保護？供應鏈的數字化轉型對人權盡責構成了哪些新的挑戰(zhàn)？以《指導原則》為核心的工商業(yè)與人權領域的既有規(guī)則是否足以應對這一科技革命帶來的挑戰(zhàn)？又將如何構建適應數字化供應鏈的人權盡責方法？
二、數字化供應鏈對企業(yè)人權盡責的新挑戰(zhàn)
（一）數字化供應鏈人權盡責的特點
第一，人權盡責是一個量身定制的過程，因此當應用于數字化供應鏈的環(huán)境時，可能表現(xiàn)形態(tài)各異，具體取決于企業(yè)的規(guī)模和位置，他們正在開發(fā)的產品類型，其在價值鏈中的位置，其產品造成的傷害類型，其客戶是誰，以及許多其他因素。
第二，人權盡責也是基于風險的，這意味著企業(yè)為進行盡職調查而采取的措施應與不利影響的嚴重程度和可能性相稱。當影響的嚴重性和可能性很高時，例如所開發(fā)的產品具有以有害方式使用的能力，那么盡職調查必須更廣泛。
第三，人權盡責是靈活、漸進、協(xié)商和透明的。對公司的期望是他們啟動并繼續(xù)盡職調查過程；沒有人期望在一夜之間完全規(guī)劃出人權無害的運營和供應鏈。企業(yè)需要對他們優(yōu)先考慮的問題做出艱難的選擇，他們需要隨著時間的推移逐步改進。這是一種協(xié)商和透明的做法，在盡職調查過程的每一步都希望與利益攸關者協(xié)商，以確保努力有效。隨著強制性人權盡責立法的發(fā)展，預計公司還將公開報告其進行盡職調查的努力。這些步驟并不相互排斥，可以同時進行。
（二）數字化供應鏈對人權盡責的挑戰(zhàn)
數字化供應鏈的參與者面臨著更大的人權侵犯風險。與實物資產不同，數據資產具有非競爭性，因為它們可能有多個副本，并且在不同司法管轄區(qū)的不同地點同時進行處理。工廠和制造資產的這種地理分布導致了覆蓋傳統(tǒng)制造價值鏈的網絡物理供應鏈的出現(xiàn)。數字化供應鏈的參與者，例如工程承包商、云制造服務提供商、數據服務提供商等，越來越意識到他們有責任尊重和為侵犯人權行為提供補救措施。在《指導原則》的框架內，這一責任主要通過要求進行企業(yè)實施人權盡職調查來履行。在數字化供應鏈的背景下，人權盡責可能變得更具挑戰(zhàn)性。
1.由第三方數據風險帶來新的人權風險
在數字化供應鏈中，數據在流轉過程中面臨著來自企業(yè)內部和外部供應鏈的雙重風險。內部風險是指當數據在企業(yè)的內部運作時，因信息系統(tǒng)、企業(yè)員工接觸到敏感數據可能產生的數據風險；外部風險則指當數據在供應鏈中流轉的過程中，由供應商和其他合作伙伴接觸到敏感數據而產生的風險。當有人利用供應商或其他合作伙伴竊取企業(yè)的數據，發(fā)起對供應鏈的攻擊，就可能產生來自第三方的數據風險，并可能由此帶來相應的人權損害。數字化供應鏈深刻改變了傳統(tǒng)供應鏈中企業(yè)所面臨的風險來源和類型。第三方風險是企業(yè)在供應鏈數字化轉型過程中最薄弱的環(huán)節(jié)，因為數據在供應鏈流轉過程中所面臨的外部風險來自供應商或第三方合作伙伴的應用，此時數據已經脫離了企業(yè)的控制范圍。由于第三方數據風險導致的人權風險，增加了企業(yè)在人權盡責中風險識別的難度。
2.商業(yè)關系具有不可預測性
由于云計算、大數據、物聯(lián)網、區(qū)塊鏈等技術的應用，數字化供應鏈改變了網絡和實物資產的地域分布，也使得“事前”人權盡責的過程復雜化。在傳統(tǒng)的供應鏈中，制造商已經明確建立了業(yè)務關系，通常通過長期合同協(xié)議來構建。因此，理論上說，事前人權盡責對特定業(yè)務關系可以具有一定程度的可預測性。然而，在數字化供應鏈背景下，超出了由同一制造商運營的一個或多個工廠的物理邊界，制造商可能不再知道所提供的特定資源或所提供服務的確切供應商。此外，數據資產最終可能是多個數據交易和處理操作的結果，這些操作并不總是易于追蹤。
3.多參與方導致責任確定難
即使在傳統(tǒng)供應鏈中也存在著“多手”問題，而數字化供應鏈獨特的設計和運營特征使得責任方的確定更具挑戰(zhàn)性。當前，供應鏈已從單純的上游供應商到下游客戶的單一鏈狀結構，演變?yōu)橐环N從上游多重供應商到下游多重客戶的復雜網絡結構，而且，供應鏈成員之間的關系已從單純的兩個企業(yè)的關系（供應商與零售商關系）演變?yōu)榧扔锌v向、又有橫向的網絡依存關系。然而，無論傳統(tǒng)供應鏈的結構如何復雜，供應鏈上游和下游的供應關系都是層次清晰的。因此，人權盡責的風險追溯有據可查。數字化供應鏈改變了傳統(tǒng)供應鏈的物理基礎，突破了傳統(tǒng)供應鏈的邊界。既有基于供應、制造和零售的關系的相互交叉，又有基于生產復合的數字、服務和產品包的相互補充，形成了相互依賴的、網絡化、動態(tài)化的供應鏈生態(tài)系統(tǒng)，不同供應鏈之間具有共生關系，而且所有的參與者都協(xié)同進化。數字化發(fā)展為供應鏈帶來了新的角色，即第三方數字合作伙伴，從而根本上改變了傳統(tǒng)供應鏈關系。
4.取證技術障礙導致補救措施難
進行有效的人權盡職調查取決于供應鏈的端到端視圖。在數字化供應鏈中，適用技術取證可以幫助發(fā)現(xiàn)對降低風險至關重要的證據。然而，目前可用的取證技術在協(xié)作智能制造環(huán)境中運行不佳。在這些環(huán)境中，商業(yè)敏感信息和操作技術設備分布在許多人工制品中，例如現(xiàn)場設備、協(xié)作機器人等。相反，這些設備可能受到分布在多個地理位置和司法管轄區(qū)的參與者的控制，這可能會嚴重阻礙獲得補救的機會。
三、健全適應數字化供應鏈人權盡責的多維治理方案
為應對供應鏈中企業(yè)人權盡責的強化趨勢和供應鏈數字化過程中的新挑戰(zhàn)，有必要構建適應數字化供應鏈的人權盡責方法。《指導原則》為塑造數字經濟的任何國家行動提供了權威和務實的基石，數字化供應鏈人權盡責方法不能脫離《指導原則》確立的“保護、尊重和補救”的法律框架，應在既有人權盡責方法的基礎上進行適應數字化的改造。
（一）明晰數字化供應鏈人權盡責中國家的保護義務
《指導原則》“保護、尊重和補救”框架的第一個支柱重申了各國在國際法下的現(xiàn)有義務，以防止包括工商企業(yè)在內的第三方侵犯人權，并提供了指導各國實踐的路線圖。數字化供應鏈也包含在工商企業(yè)之內。三個支柱彼此聯(lián)系、相互支撐。國家的保護義務是企業(yè)人權盡責的基礎和保障。國家有責任通過巧妙的措施組合來防止與工商業(yè)相關的人權損害，包括國家法律法規(guī)、指南等自愿標準和公共采購激勵措施。
1. 國家對數字化供應鏈人權盡責立法的考量要素
“區(qū)分、排序和分類”的人工智能技術本質上是“歧視系統(tǒng)”。在數字化供應鏈中，必須考慮受到影響的運作方式、制造產品的類型、它們的設計目標是為誰服務，以及誰從它們的發(fā)展中受益。這并不是說所有依賴人工智能的商業(yè)模式實際上都會破壞平等和不歧視原則。但是，從這些工具的使用或銷售中獲利的公司需要采取積極主動的措施來防止歧視性的結果。
第一，與數字相關的法律（如人工智能法案、算法規(guī)則等）應普遍納入人權影響評估（HRIA）。人權影響評估應該在數字化供應鏈生命周期的所有階段以不同的方法進行，從構思階段開始直到實施適用后，并且可以包括以迭代和持續(xù)的方式審查影響的過程。為此必須分配適當的資源和能力，以確保充分地分類和評估。
第二，確定評估對人權影響的標準和范圍。該立法應明確確定哪些事件或情況需要進行人權影響評估。人權影響評估應優(yōu)先考慮減少傷害和對邊緣化和弱勢群體的不利人權影響，采取整體方法并評估人工智能系統(tǒng)對廣泛人權的影響，包括集體權利、經濟、社會和文化權利以及環(huán)境權利。此外，還應根據具體情況對審查領域進行評估，同時注意具體情況，包括地理位置、語言、人口群體、社會政治因素和時間因素。
第三，包容性。將外部利益相關者納入人權影響評估流程至關重要，應盡可能考慮到少數民族、種族、女性、LGBTQ+、殘障人等處于社會弱勢地位的人，以及來自受影響和邊緣化社區(qū)代表的利益，在此過程中確保公眾訪問。
第四，采用整體的方法。人權影響評估與數據保護影響評估、人權和環(huán)境盡職調查和合格評估、算法審計、透明度登記等其他問責機制相結合，在分析中應集中關注對個人、社區(qū)、社會和環(huán)境的潛在和實際傷害。
2. 中國關于數字化供應鏈人權盡責的制度進路
盡管近十年來歐美發(fā)達國家開始嘗試通過立法的方式整體規(guī)制供應鏈中的人權盡責問題，但中國對于供應鏈人權盡責的關注主要在實務領域，相關法律和政策還比較分散。
第一，頂層設計中的人權盡責。決定智能社會性質特征的是以算法為中心、以數據為先導、以區(qū)塊鏈和人工智能為集成、以互聯(lián)網和物聯(lián)網為鏈接的當代科學技術。在供應鏈的數字化轉型過程中，算法居于核心地位，數據則為算法的開發(fā)、設計和應用提供了原材料。因此，數據法和算法規(guī)范構成了數字化供應鏈的治理基礎。在頂層設計方面，《法治社會建設實施綱要（2020-2025年）》提出制定完善對算法推薦、深度偽造等新技術應用的規(guī)范管理辦法，加強對大數據、云計算和人工智能等新技術研發(fā)應用的規(guī)范引導。《網絡安全法》《數據安全法》《個人信息保護法》等法律先后相繼頒布實施，搭建起中國數據法的基本框架。新一期《國家人權行動計劃（2021-2025）》在“個人信息權益”部分提出“加強個人信息保護，完善有關法律制度、監(jiān)管執(zhí)法和宣傳，切實維護網絡和數據安全” ，從而為個人信息和數據的保護賦予了人權內涵。此外，值得一提的是，《國家人權行動計劃（2021-2025）》在“促進全球供應鏈中的負責任商業(yè)性行為”部分，明確規(guī)定了促進工商業(yè)在對外經貿合作、投資中，遵循《指導原則》，實施人權盡責，履行尊重和促進人權的社會責任。這是供應鏈人權盡責的要求第一次明確出現(xiàn)在中國的人權政策中，也標志著《指導原則》被全面納入中國的人權政策，為構建數字化供應鏈人權盡責的具體方法提供了政策支持和法理基礎。
第二，具體算法規(guī)則中的人權路徑。繼九部委聯(lián)合制定的《關于加強互聯(lián)網信息服務算法綜合治理的指導意見》（以下簡稱《意見》）之后，國家互聯(lián)網信息辦公室、工業(yè)和信息化部、公安部、國家市場監(jiān)督管理總局聯(lián)合發(fā)布了《互聯(lián)網信息服務算法推薦管理規(guī)定》（以下簡稱《規(guī)定》），第一次在部門規(guī)章界定了“生成合成類、個性化推送類、排序精選類、檢索過濾類、調度決策類”五類算法，《規(guī)定》的內容體現(xiàn)了基于權利的路徑。
盡管以往的中國數據法律政策與人權法律政策對于人權盡責的規(guī)定呈現(xiàn)隱含式和碎片化的特點，但令人欣慰的是，新一期《國家人權行動計劃（2021-2025）》對人權盡責的明確規(guī)定和《指導原則》的全面納入，新的算法治理規(guī)范采納了人權保護的視角，這些都為數字化供應鏈人權盡責的構建提供了制度基礎。
（二）企業(yè)在數字化供應鏈中適用人權盡責的方法
1. 制定企業(yè)人權政策。數字化供應鏈中的企業(yè)應制定和公開其人權政策，以使其承諾與《指導原則》保持一致，包括承諾避免造成人權損害，并進行供應鏈盡職調查以解決損害問題。作為這一步的一部分，公司應將其保護人權的期望納入與供應商，客戶和其他業(yè)務關系的接觸中。公司應向供應商和客戶明確告知，其技術的某些使用或無意影響是不可接受的，并可能對商業(yè)關系產生影響。政策也應不斷更新，同時考慮到利益相關者的觀點和公司應對風險的努力所吸取的教訓。此后，谷歌在其網站上突出顯示了其AI原則。這些原則是人工智能應該：（1）對社會有益，（2）避免創(chuàng)造或加強不公平的偏見，（3）安全地構建和測試，（4）對人負責，（5）納入隱私設計原則，（6）堅持科學卓越的高標準，（7）可用于符合這些原則的使用。這并不要求公司必須遠離高風險活動，例如國防部門的活動。相反，公司應尋求設計適合其自身風險偏好的策略，并加強盡職調查，以識別和預防或減輕人權風險，并根據其嚴重程度優(yōu)先考慮實際或潛在的危害。在這方面，透明度和利益相關者參與原則尤為重要。
2. 界定不同供應鏈參與者的角色或責任。與傳統(tǒng)供應鏈中制造商、銷售商和消費者之間的關系是線性的不同，在數字化供應鏈中技術開發(fā)人員、供應商和最終用戶之間存在顯著的重疊和交換。因此，所有供應鏈參與者都將進行廣泛的范圍界定，以確定人權風險最有可能存在和最重要的地方，由此對最重要的風險領域進行初步優(yōu)先排序，以便進一步評估人權風險。（1）技術開發(fā)人員。雖然盡職調查應涵蓋產品生命周期的所有階段，但在數字化供應鏈的產品開發(fā)過程中的風險可能性最大。通過應用“人權設計策略”，開發(fā)人員可以在開發(fā)的每一步預防/減輕技術的潛在風險，因此確定相關參與者并讓他們盡早參與該過程至關重要。（2）供應商。一旦產品開發(fā)出來，供應商就會將其出售給最終用戶，由最終用戶實施和操作該技術。供應商有責任在銷售點對與使用產品相關的風險進行盡職調查。供應商應審查關于接受者人權記錄或濫用產品歷史的可靠報告。（3）最終用戶。最終用戶可以是任何人，包括政府、政府承包商、其他公司或民間社會組織。對于許多授權給最終用戶的人工智能技術，開發(fā)人員有能力監(jiān)控產品，從而為開發(fā)人員和最終用戶之間的人權盡職調查創(chuàng)造機會。例如，開發(fā)人員和供應商可以限制最終用戶的許可續(xù)訂。
3. 生命周期不同階段的風險防范或緩解。根據最初的范圍界定和風險評估，公司應采取行動，制止、預防或減輕所確定的影響。這涉及制定和實施適合目的的計劃。預計所有影響都將得到解決，最嚴重的影響將得到優(yōu)先考慮。利益攸關方應有意義地參與這一過程。如果產品正在開發(fā)中，預防或緩解不利影響可以在設計階段進行；如果產品已經售出之后，則可以在采購或銷售階段進行。公司已經可以通過合同和程序保障以及強大的申訴機制來減輕潛在的人權不利影響。
4. 針對補救措施方面的障礙，需要加強數字化供應鏈中的透明度，可采取協(xié)同方法搭建統(tǒng)一平臺。該平臺把企業(yè)的研發(fā)生產、材料庫存管理和供應商、承運商等產生的數據集合在一起，鏈接供應鏈各個環(huán)節(jié)中的相關人員，覆蓋供應鏈的全部用戶，使產品生產流通中各種影響因素透明化，從而可以鎖定具體產生人權負面影響的環(huán)節(jié)，減緩數字化供應鏈網狀特點導致的救濟分散、復雜性。
（作者唐穎俠系南開大學人權研究中心副主任）
京公網安備 11010102003980號