伴随着人工智能技术的快速发展,人脸识别作为人工智能技术的图像处理技术的一种,也取得了巨大的进步,在人们生活的许多场景中提供便捷的服务,大大提高了社会生活的效率。但在商业应用范围的不断扩大过程中,人脸识别技术带来的诸多问题也不断地暴露出来,面部信息泄露等风险引起了大众的广泛关注。特别是在数字社会建设快速发展的背景下,商业主体为了追逐利益,不仅希望对人们在网络上活动的信息进行采集和分析,还试图对人们在网络之外的现实生活的信息进行采集和分析,而人脸识别技术恰恰能帮助识别分析人们生活的方方面面。这就使得依法规范人脸识别技术商业应用势在必行,否则不利于保护人们享有的个人信息权益,也不利于人脸识别技术产业的良性发展。由面部信息的特征和人脸识别技术人脸识别技术特征所决定,人脸识别技术商业应用过程中,存在个人信息泄露、识别错误和人脸识别技术滥用三类风险。与此同时,我国目前相关法律规制存在合理必要原则有待细化、告知同意规则针对性不足和个人信息保护影响评估制度有待完善三方面的问题。本文认为,在合理必要原则的细化方面可以适当借鉴欧洲对部分高风险应用场景的禁止态度。在告知同意规则方面,可以适当借鉴欧美对告知内容、告知方式和同意质量方面的要求,细化告知同意规则。在个人信息保护影响评估制度方面,也可适当借鉴欧美的实践经验,细化评估内容、公开评估报告并制定评估报告复核规则。