1. 问题的提出
近年来，人工智能技术飞速发展，自动驾驶汽车作为人工智能技术的重要应用场景，逐渐走入大众视野，为传统出行方式带来颠覆式的改变。但随着自动驾驶汽车的普及，其技术风险和安全隐患也逐渐暴露，自动驾驶汽车交通事故更是引发广泛关注。
现阶段，自动驾驶技术仍处于探索中，技术成熟度不足，侵权责任诉讼无可避免。为引导自动驾驶行业规范健康发展，有必要明确自动驾驶汽车的侵权责任规则。目前，即使是L5级的自动驾驶汽车，仍属于应用人工智能技术制造的产品，并未脱离“物”的范畴，是民事法律关系的客体而非主体。控制自动驾驶等人工智能技术发展、救济其事故损害的基本工具，就是产品责任。[1]相较于传统机动车，自动驾驶汽车可以进行深度学习和自主决策，具有行为的不可预测性和算法的难以解释性。这些特点将对产品缺陷的判断、因果关系的认定等问题提出新的挑战。为此，本文将针对自动驾驶汽车适用产品责任的困境进行探讨，并提出完善建议。
2. 自动驾驶汽车适用产品责任的困境
2.1. 现有标准和传统理论在自动驾驶汽车缺陷认定方面具有局限性
我国《产品质量法》第46条规定了产品缺陷认定的两大标准：“不合理危险标准”和“国家或行业标准”。其中，“不合理危险标准”具有根本性，若产品具有危及人身、财产安全的不合理危险，即使产品符合国家或者行业标准，仍可认定产品存在缺陷。[2]由于自动驾驶技术尚未成熟，并无充足的行业标准，国家也未出台相关准则，具体案件的判断将主要依据“不合理危险标准”，但这一标准又过于抽象模糊，在实践中需要依赖传统理论和测试方法进行填充。
传统理论根据引起缺陷的原因将缺陷分为设计缺陷、制造缺陷、警示缺陷和跟踪观察缺陷。制造缺陷是指产品不符合生产者原定的产品规格，并且与批量生产的同类产品不相同。警告缺陷是指生产者违反了警告和说明的义务。跟踪观察缺陷是指生产者违反应尽的跟踪观察义务。设计缺陷是指产品设计存在危及人身、财产安全的不合理危险。设计缺陷涉及算法解释，在实践和理论中争议较大。本文将主要针对设计缺陷进行讨论。根据《美国侵权法重述(第三版)》的规定，对产品设计缺陷的认定主要有消费者期望测试法和风险–效用测试法。这两种测试方法逐渐为我国理论界所接纳，但在面对自动驾驶汽车缺陷认定时却都稍显无力。
首先是消费者期望测试法。消费者期望测试法着眼于“设计所造成的危险是否大于普通消费者以合理可预见的方式使用该产品时的预期”。产品越复杂和前沿，就越难定义合理的消费者期望。自动驾驶汽车具有超现实主义色彩，其卖点即在于减轻驾驶员驾驶负担，解放驾驶员的双手。消费者大多对自动驾驶汽车怀有美好而不切实际的幻想。此时就会出现消费者期望测试的一个悖论：普通消费者由于对技术缺乏了解而无法产生合理期望，但若由专家出具意见，向消费者普及自动驾驶汽车的性能、技术等各方面的知识，使其在充分了解之后产生期待，那么这已经不能称之为普通消费者的期望[3]，因为普通消费者无法通晓专业知识。
其次是风险–效用测试法。风险–效用分析的目的是确定如果生产者使用了可行的替代设计，是否可以避免缺陷。风险–效用测试是对某事物是否具有不合理危险的整体性评估，具体包括七个因素：1) 产品的有用性和可获得性；2) 产品的安全性；3) 替代品的可获得性；4) 生产企业在保持产品必要功能的同时消除产品不安全特性的能力；5) 用户消除产品不安全特性的能力；6) 用户对产品潜在危险的预期意识；7) 制造商通过设定产品价格或投保责任保险来分摊损失的能力。[4]此测试在处理定期创建新模型的传统产品时最有效，因为有更多的历史数据可用于分析合理的替代设计。但对于新技术，如自动驾驶技术，这项测试的运用存在一定困难。自动驾驶汽车并没有得到广泛的应用，在如此小的公共使用样本中，很难采取合理的方法来比较不同公司的产品设计。[5]而如何确定替代设计的成本也是存在争议的。一些人认为，采取替代设计的成本是低廉的。因为在通常情况下，仅仅重写一小部分代码就足以消除漏洞。但其他专家指出，成本远不止加密数据和替换代码的成本，还包括“加强员工培训、外部安全咨询、数据监控和数据传输中的安全审计”的花费。[6]即便替代设计的安全效益从目前看超过了减轻危险的成本，仍需考虑替代设计的社会接受度和潜在风险。在应用软件的发展过程中，总会普遍存在旧的安全漏洞被修复而新的安全漏洞浮现的问题。[7]替代设计可能带来新的风险和新的不便之处，究竟是选择与现有设计的危险共存，还是选择让目前看来没有那么危险但存在不确定性的替代设计取代现有设计，是一个非常难以抉择的问题。此外，风险–效用测试法还因过于强调经济效益，将生命安全用经济利益衡量被质疑缺乏合理性。[8]
根据民事诉讼规则，原告方需举证证明自动驾驶汽车存在缺陷。无论采取何种测试方法，可以预见的是，由于自动驾驶汽车内部构造复杂且算法不透明，普通消费者往往无法举证证明缺陷的存在，面临因举证不能而败诉的风险。
2.2. 伦理规则构建缺失致使产品责任在特殊情形下无法适用
为人工智能产品设置伦理道德规范至关重要。物能够反映人的意识，也能反作用于人的思想，人工智能产品虽无法像人类一样具有善恶观念，但其行为和决策也不得违背人类道德底线[9]，不得阻碍社会良好道德风尚的形成。现阶段，学界主要从行政监管角度对人工智能伦理问题进行探讨，有学者建议由政府制定算法设计的标准，[10]也有学者建议将面对道德困境时的选择权交给自动驾驶汽车的人类驾驶员，法规应确定一个利己主义的基准线，超过此标准的利己选择将导致驾驶员承担刑事或民事责任。[11]但不可否认的是，除行政监管外，我国产品质量标准也亟待丰富。目前，我国的产品质量标准主要涉及产品的功能和性能，并不包含伦理价值观。这一标准在解决传统产品质量问题时具有适当性，如判断汽车发动机是否失灵，但却不足以规制人工智能产品。人工智能产品与以往产品的区别即在于人工智能产品可以依据算法进行自我决策。自动驾驶汽车常被迫处于两害相权的境地，面临衍生型电车难题。例如，当一只鹿跳到一辆自动驾驶汽车前面时，自动驾驶系统必须立即决策是撞上鹿还是撞上附近的另一辆车。再如，自动驾驶汽车需要在事故发生时权衡究竟是采取车内人员伤亡最小化的路径，还是事故涉及的所有人员伤亡最小化的路径。[12]这些抉择的最终结果取决于算法内含的利弊权衡与价值判断逻辑。
伦理规则应成为产品缺陷的判断标准，否则自动驾驶系统生产者的产品责任将处于真空地带。生产者从用户需求出发，极有可能将自动驾驶系统的算法设置为“绝对自我保护算法”，让算法在任何情况下都以车内人员的安全为先，而这种算法又很难被认定为产品缺陷。由于这种算法严格遵照设计商的意图，因此不属于制造缺陷。同时，包含这种价值取向的设计，也未必能够被称为设计缺陷。根据风险–效用测试法，假如在这辆汽车投放市场之前，存在某种避免事故的设计，既不会导致第三人死亡，又不威胁到本车人员生命安全，且不会对价格或者使用感造成不良影响，但在该自动驾驶汽车的设计阶段却没有被采用，那么该车可以被认定存在设计缺陷。[13]反之，就极有可能不被认定存在设计缺陷，生产者无需承担责任。但这种结果明显是令人无法接受的。
2.3. 缺陷与损害之间的因果关系难以论证
就法律上因果关系的判断，相当因果关系说占据主流地位。相当因果关系由两个条件构成，一个是条件关联，即原因是结果的必然条件；一个是相当性，即原因在通常情况下必须显著提升结果发生的可能性。[14]判断条件关联的前提是自动驾驶系统的行为和决策是可追溯和可解释的，以及自动驾驶系统和人类驾驶员的行为是可区分的。这对自动驾驶汽车数据记录设备提出了要求。而相当性的判断有赖于行为人的经验常识，蕴含着对事物通常运行规则的认知和理解。面对自动驾驶等新型人工智能技术，相当性的判断是非常困难的，原因有以下两点：其一，一般人根本无法清晰认知自动驾驶系统背后精密的仪器构造和复杂的算法设计，更无法判定相当性。其二，对结果提升程度的判断本身就受到判断者经验和立足点的影响，存在理性人视角、最佳观察者视角和最佳判断者视角的争议。不同人对于自动驾驶汽车的认识不同，产生的判断也就不相同。此外，由于目前大多数自动驾驶汽车尚未进入无人驾驶阶段，驾驶人和自动驾驶系统共同检测周边环境，控制车辆运行轨迹，事故的发生很可能具有驾驶人和自动驾驶系统共同的原因力，这将使因果关系的判断更加复杂。例如，某自动驾驶汽车的传感器存在缺陷，在暴雪天气精度会下降，无法识别障碍物，但自动驾驶汽车销售时已充分警示驾驶人应时刻保持警惕，注意周边环境。在某个暴雪天气，驾驶人超速驾驶，未能注意周围环境，传感器也未能监测出障碍物，导致碰撞发生。此时，驾驶人的行为是否可以作为介入因素，阻断产品缺陷致损的因果关系链条？若不能，驾驶人行为和产品缺陷各具有多大的原因力？这类问题都需要根据事故详情进行严密分析。
2.4. 发展风险抗辩的适用范围和条件有待明晰
发展风险抗辩是我国《产品质量法》规定的生产者的法定免责事由，以“产品投入流通时”为判断的时间节点，若依据此时的科学技术水平无法发现产品缺陷，生产者便无需对之后的缺陷致损承担责任。对于发展风险抗辩能否适用于自动驾驶汽车，学界存在较大的争议。
否定者认为，发展风险抗辩的适用有架空严格责任原则之嫌。在自动驾驶汽车等人工智能产品致损中坚持严格责任，就是为了在产品研发之初确保产品的安全性，从源头降低风险。而发展风险抗辩却以产品投入流通时的科学技术为基础，无法激励生产者在研发之初对产品性能严格把关，与严格责任的初衷背道而驰。[15]此外，发展风险抗辩将加剧消费者的弱势地位和在新技术发展中的边缘地位，加重消费者的维权负担。
赞成者则认为，从利益平衡和科技进步的角度考量，虽然智能产品的生产者相较消费者处于信息优势地位，但科学技术日新月异，生产者也无法掌握一切精密复杂的技术知识，面临着在前沿领域探索和试验失败的风险。在法律上对其失败给予适当的宽容更有利于实现公平正义。[16]产品责任制度的重要功能即在于构建合理有效的风险损失分担机制，发展风险抗辩有助于实现各方利益的动态平衡，确保风险的合理分散，避免产品责任由严格责任发展为绝对责任。[17]若否定发展风险抗辩，很有可能导致生产者在产品研发创新和革新升级方面畏手畏脚，不利于科技创新和进步。此外，许多学者主张对发展风险抗辩的适用条件进行完善和修正，但完善建议各不相同。有学者认为应采用“国际标准”，即以国际范围内最先进的技术来判断产品是否存在缺陷[17]，还有学者主张发展风险抗辩仅适用于设计缺陷和警示缺陷，而不适用于制造缺陷，因为制造缺陷与科学技术发展水平无关。[18]通过梳理学界观点，可得出自动驾驶汽车在抗辩事由方面有待明晰的两大问题：一是能否适用发展风险抗辩；二是若能适用，具体适用条件是否需要完善。
3. 自动驾驶汽车产品责任认定的完善路径
3.1. 明确自动驾驶汽车设计缺陷的认定规则
消费者期望测试法历时已久，也深刻影响着我国产品质量标准的形成。事实上，对任何类型缺陷的判断都暗含对于消费者期待的考量。例如制造缺陷所暗含的消费者期望为：被大规模生产的产品应当基本相同，不应存在某一产品比其他同类商品更危险的情况。设计缺陷所暗含的消费者期待便是产品内在设计应当确保消费者在合理使用产品的情况下不发生危险。在自动驾驶技术发展前期，在缺乏充足数据来分析合理替代设计的情况下，消费者期望测试法不应退出历史舞台，而应该被进行优化，对此可借鉴美国法院的做法。在波特诉芝加哥气动工具公司案中，法院便采用了一种“修正的消费者期望测试”。法院向陪审团说明产品的风险和效用，然后询问陪审团站在一个理性的消费者立场上是否会认为该产品存在不合理的危险。在确定合理期望时，陪审团应考虑各种因素，包括但不限于“产品的成本、声称的缺陷带来的潜在危害的严重程度以及消除或最小化风险的成本和可行性”1。修正后的消费者期望测试法可以被用于自动驾驶汽车领域，成为判断缺陷的重要标准。
而当自动驾驶技术进一步发展，各类算法模型充足后，风险–效用测试法将发挥更关键的作用。此方法是对各要素的整体性分析，消费者对风险的预期仅为要素之一。这种方法更加客观实际，也避免了法院自由裁量权过大的风险。但由于风险–效用测试法具有经济分析固有的弊端，这种测试方法不能一概适用于所有案件。在新技术发展的过程中，始终应将生命安全的保护放在第一位，不能过分因侧重经济效益而漠视生命。事实上，成本效益的经济分析在美国司法实践中也并不是绝对的。法院有时基于道德性的考量，如关照弱势者，而在某种特定案例中作出违背一般原则的判决。在这种情况下，不论企业曾花费多少金钱做预防，企业都一律要赔偿消费者。[19]在自动驾驶汽车领域，若因产品故障发生严重危及人类生命安全的恶性事件，如因算法突发错误致使汽车失控并出现自毁行为，即使企业能够证明已采用合理成本降低错误概率，仍应认定算法存在缺陷。
由于自动驾驶技术迭代升级极快，成文的行业标准和国家标准都不可避免地带有滞后性，制定一套绝对的标准并不现实。面对自动驾驶汽车等新技术，更理想的做法或许是采用一种相对的动态标准，让某一生产者仅在没有像其他生产者那样合理行为时才承担责任。[20]具体而言，如果某一自动驾驶汽车所采用的技术与同行业汽车相比具有明显差距，可据此认定汽车存在缺陷。
3.2. 在产品质量标准中增设伦理道德准则
如果人工智能产品的自我决策缺乏理论道德的约束，将对人类社会带来毁灭性的灾难。我国应明确人工智能产品发展的基本准则。人工智能产品应当充分保障人的尊严和自主性，其决策不得违反法律法规的强制性规定，也不得违背社会主义核心价值观。此外，应强调算法的透明度和可解释性原则。人工智能算法的行为和决策逻辑，尤其是有关伦理道德的重大决策的逻辑，都必须能够解释并且以可理解的通俗的方式告知公众。
具体到产品责任领域，现行产品缺陷的核心是产品具有危及人身、财产安全的不合理危险，强调产品外在的安全性，而伦理缺陷却是人工智能产品违背伦理道德底线，强调产品内在的规范性，二者并不完全等同。[9]因此，为突出伦理道德在人工智能发展中的核心地位，有必要扩充产品缺陷的定义。此外，有必要使伦理缺陷独立于设计缺陷，作为一种单独的缺陷类型存在。虽然从缺陷产生的原因看，伦理缺陷是由于算法设计不合规所致，本质仍是设计上的问题，但伦理缺陷却并不适合采取设计缺陷的认定标准。如前所述，“绝对自我保护算法”在一般人看来是自私冷血，缺乏道德的，但在风险–效用分析法下却可能是合理的、不存在缺陷的。即使不采用“风险–效益”分析法，不可否认的是，对于设计缺陷的考量始终内含经济和效益的权衡。产品在本质上是诸如安全、效用、成本、美观、经济性等多种功能或要求的有机体，而这些要素对于产品设计具有几乎同等的重要性[21]，设计方案致力于达成以上因素的最优化路径。但对于伦理缺陷而言，伦理具有底线作用，不能让位于生产成本和产品效用。伦理缺陷在某种程度上也并非事实存在的缺陷，而是一种价值观上的缺陷，因此应当将伦理缺陷与其他类型的缺陷进行区分。
3.3. 调整产品缺陷的举证标准
如前所述，普通消费者因缺乏专业知识，无法解析自动驾驶汽车的算法，更难以证明自动驾驶汽车存在缺陷。现行产品缺陷的举证规则将造成消费者和设计者、生产者的利益失衡，存在一定偏差。有学者提出，在制度设计上可采取举证责任倒置，由产品责任的被告方证明其产品符合质量标准，不存在缺陷或损害与缺陷间无因果关系。[22]这种制度设计的合理性有待商榷，我国产品责任本就属于无过错责任，若再实施举证责任倒置，很可能导致道德风险，间接促使消费者肆意对产品进行不合理的使用或故意损坏产品骗取赔偿。
更合理的做法或许是允许原告方在特殊情况下采用反面排除的方法推定产品缺陷的存在。《美国侵权法第三次重述：产品责任》第三节即规定，下列情形可以间接推断产品缺陷的存在：(a) 该种伤害通常由于产品缺陷引起；(b) 在具体案件中，不仅仅是由于产品销售或分销时存在的缺陷以外的原因引起的[23]。这种推定方法被称为“失灵原则”(malfunction doctrine)，由事实自证(res ipsa loquitur)理论发展而来，体现了缺陷自证(defect ipsa loquitur)的思想，即事故发生的事实可以在一定程度上说明产品存在缺陷。在这一情形下，原告方负有初步举证义务，需证明以下三点：1) 产品发生故障；2) 故障是在正常使用期间发生的；3) 产品没有被进行过可能造成产品缺陷的改变或滥用。失灵原则减轻了原告识别和证明特定缺陷的责任。在原告举证后，产品缺陷即处于推定的状态，被告可以通过“风险–效用”测试法或其他方法推翻这一推定，证明产品不存在缺陷。
我国司法实践中已经出现了间接推定产品缺陷的案例。在王泽与吉林省智逸汽车销售服务有限公司、东风柳州汽车有限公司产品责任纠纷一案中，法院认为，汽车所有人仅负担初步举证责任，即初步证实车辆非因自身驾驶原因，亦非外来因素介入发生自燃，即可推定车辆存在缺陷2。高海强、赵小兰产品责任纠纷案的二审法院也采取了相同的立场3。以上案例均表明失灵原则在我国具有适用的可行性。
3.4. 利用EDR和专家意见判断因果关系
在自动驾驶汽车交通事故中，区分事故原因究竟是驾驶员疏忽还是系统缺陷是非常关键的。此问题可以通过EDR (Event Data Recorder)汽车事件数据记录系统解决。存储在EDR上的数据将提供有关事故来源的信息。通过解析EDR，可以有效地确定驾驶员和自动驾驶系统在事故发生前的状态，从而重建事故发生过程，解析事故发生原因。2021年4月9日，我国工业和信息化部装备工业发展中心发布《关于实施GB 7258-2017第2号修改单相关事项的通知》，明确2022年1月1日之后生产的车辆应配备EDR或车载视频行驶记录系统，这为自动驾驶汽车事故原因的确认提供了有利条件。虽然EDR可以作为判断因果关系的重要证据，但EDR数据的储存和权属还需要进一步讨论。自动驾驶汽车与传统汽车的区别即在于生产者可以远程处理汽车数据，很多人担心生产者会在使用人不知情的情况下收集隐私信息，甚至在事故发生时故意销毁或篡改数据。在美国，有提案建议将EDR数据的全部所有权授予车辆的所有者。[24]但这种做法并不现实，数据的流动性和公共性决定了数据很难归属于某一个个体。考虑到数据的特点，采用政府监管模式或许是一个更好的选择。我国深圳市和上海市已对自动驾驶汽车数据收集问题进行了规定。其中《深圳经济特区智能网联汽车管理条例》规定，销售智能网联汽车产品时，应当将车载设备接入政府监管平台，并按照监管要求上传运行安全相关数据。这类规定确保了证据的可获得性和真实性，具有借鉴意义。
此外，因果关系的判断并不全是实然意义上的，而是内含价值取向和概率取舍。条件的范围有多大，相当性的程度为何，都需要详细论证。在具体案件的判断中，专家法律意见和专业机构的鉴定意见将具有很大的参考价值。
3.5. 完善发展风险抗辩的适用条件
在自动驾驶汽车等人工智能产品开发领域，彻底取消发展风险抗辩可能会导致产品研发投资减少，产品创新受阻。若无发展风险抗辩，研发公司将过分谨慎，只有在确定产品绝对安全的情况下，才会将产品投入市场，产品研发周期大大延长。而人工智能等新技术的发展又迫切需要市场的真实反馈，一味闭门研究将会进一步导致研发速度减慢，造成恶性循环。此外，发展风险抗辩具有一系列配套制度，如警示义务和跟踪观察义务。在配套制度的制约下，发展风险抗辩很难成为生产者的免死金牌，也不会动摇严格责任的根基。因此，本文认为，为促使人工智能产品的创新发展，不能全盘否定发展风险抗辩的适用，而是应该完善发展风险抗辩的适用条件。
首先，应采纳“国际标准”，明确产品投入流通时的科学技术水平以国际范围内最先进的科学技术为准。从人工智能技术的特性看，人工智能技术属于战略性新兴技术，将引导全世界范围内的科技革命和产业变革。在当前复杂的国际竞争局势下，我国应把握人工智能发展的战略主动。采用“国际标准”可以激励研发者努力钻研，不断突破技术瓶颈，形成我国人工智能产品的国际竞争优势。从平衡消费者和生产者利益的角度看，消费者处于劣势方，采用“国际标准”有助于提高产品的安全性能，保障消费者的权益。相对应地，生产者具有专业的技术团队和大量的物力财力，只要足够谨慎勤勉，其团队完全有能力获知国际最先进的技术水平。值得强调的是，发展风险抗辩不考虑生产者实际所具有的知识水平或已获知的知识内容，而是假定了生产者“应当获知”的客观状态。如果有关技术已经以某种形式公开，并且可以通过某种渠道，如互联网传播给生产者，那么生产者就应当知晓这种技术，而不能以自己实际没有获得或者没有能力获得为理由进行抗辩[16]。
其次，应将发展风险抗辩的适用范围限定于设计缺陷和警示缺陷。科学技术水平很大程度上决定了能否设计出更具安全性能的产品，因此设计缺陷可以适用发展风险抗辩。警示缺陷指未给予消费者安全使用的充分说明或未对消费者不正确使用所具有的危险给予警告。科学技术水平影响着风险的可认知性，因此发展风险抗辩也可适用于警示缺陷。制造缺陷具有个案性，往往指某一个产品由于制造不当而不符合生产者原定的产品规格，与科学技术水平无关。对于伦理缺陷，伦理道德是人工智能发展的底线，不能让步于抗辩事由。针对两难困境，即使现有技术水平无法避免和处理这种情况，自动驾驶系统也可以将决定权移交给人类驾驶员，因此生产者不能将发展风险抗辩适用于伦理缺陷。
4. 结语
自动驾驶汽车的诞生对现有的产品责任体系提出了挑战，但并未动摇其根基。可以通过法律解释和部分修法的方法，完善我国自动驾驶汽车的产品责任承担规则。在具体制度设计上，应充分考虑自动驾驶汽车的特点和利益平衡问题，严守生命安全保护和促进科学技术发展两大原则，通过完善缺陷认定规则、明确抗辩事由等方式，解决自动驾驶汽车产品责任的认定困境，引导我国自动驾驶行业健康发展。
NOTES
1Potter v. Chicago Pneumatic Tool Co., 694 A.2d 1319 (Conn.1997).
2(2019)吉0105民初1295号民事判决书。
3(2019)皖12民终851号民事判决书。