P4.05.3Age assurance设计
年龄验证本身涉及隐私权衡
别名: 年龄保证 · age verification · age estimation
概念解释
年龄保证（age assurance）是一组按侵入性递增排列的手段：自报年龄（零验证）、声明确认、基于设备或账号信号的概率推断、人脸或语音的年龄估计、以及身份证件核验。没有一种同时满足准确与无侵入——每种手段都在「把未成年人识别出来」与「为所有用户制造新的数据暴露」之间做交换。年龄验证的隐私权衡指的就是这道选择题：保护机制的入口本身是一个隐私决策。
机制
权衡沿两个轴展开。准确性轴：自报年龄可被随意谎报，高年龄门槛的服务反而激励谎报低龄或高龄（未成年人报成年、成人无碍）；人脸年龄估计对发育差异与肤色存在系统误差；证件核验最准但要经过第三方验证服务，产生证件影像的副本流转。数据轴：验证环节产生的数据（出生日期、人脸影像、证件照片、推断置信度）比一般使用数据敏感得多，验证方的集中存储构成高价值目标，且「谁在何时验证了什么」本身是行为画像。更深的一层是准入效应：强验证要求会把部分用户挡在门外（无证件者、不愿交出人脸者、隐私意识强者），被挡者转向无验证的替代服务，风险不降反升。因此权衡的真实形态是三方交换——准确性、隐私、可及性——任何一方的提升都以另两方为代价。
边界
权衡的解取决于风险等级：高伤害服务（博彩、成人内容、大额金融）可以接受强验证的隐私与准入代价；低伤害服务（绘画工具、知识问答）用强验证是保护错位。法域差异大：一些市场已就特定服务强制年龄保证并规定了数据最小化与及时删除义务，另一些市场禁止收集生物特征用于一般服务——同一策略跨市场必须重估。技术演进也在移动边界：设备侧的本地年龄估计（不出设备、只回传通过/不通过位）正在降低隐私轴的代价，但准确性与准入的代价仍在。
怎么落地
- 按服务伤害等级匹配验证强度，写成矩阵：伤害等级 × 验证手段，低档默认自报 + 行为信号抽查，高档才用证件或生物估计。
- 采用「最小充分」原则：能判定「是否达到阈值」就不要留存出生日期；估计类只回传布尔结果与置信度，不回传原始生物数据。
- 验证数据的生命周期单列：即用即删或短期保留，禁止并入画像与任何业务数据流，删除有日志可审计。
- 验证：审计验证环节的数据流与保留策略，模拟「验证方被攻破」场景，评估泄露物仅限布尔位还是含原始影像；含原始影像即重新设计。