然而，自动驾驶汽车具有与传统汽车不同的特征，必然会对传统法律体系造成严重冲击：要对传统交通法进行修改，正式确立自动驾驶系统的法律地位;自动驾驶汽车造成人身伤亡或者财产损失，应当由谁承担对被害人的赔偿责任?是否应当追究相关责任人的刑事责任?如何有效地保护利害关系人的隐私和数据安全?智能网联的自动驾驶汽车面临被黑客攻击或恶意侵入的风险，如何确保网络安全?

　　自动驾驶汽车的等级划分

　　在讨论自动驾驶汽车相关的法律问题之前，有必要了解自动驾驶汽车的等级划分。

　　所谓自动驾驶汽车，是指能够在某些具有关键安全性的控制功能方面(如转向、油门或制动)无须驾驶员直接操作即可自动完成控制动作的汽车。目前普遍采用的国际汽车工程师学会(SAE)的分类标准，将汽车的智能等级分为六级。从L0级，无自动化，需要驾驶员完成全部驾驶任务，到L5级，完全自动驾驶，汽车能够在任何条件下进行自动驾驶。

　　在L1、L2等级，汽车的自动驾驶系统只作为驾驶员的辅助，不在自动驾驶技术范围之内。L3是一个具有重要意义的过渡阶段，进入这个阶段之后，汽车开始主要由自动驾驶系统监控车辆的行驶，但驾驶员应当根据系统提示随时接管汽车。真正意义上的无人驾驶专指L4、L5等级，在这两个阶段，汽车能够在限定环境乃至全部环境下完成全部的驾驶任务。

　　自动驾驶的法律地位

　　传统的交通法律体系以人类驾驶员为主体建构，各种责任规则以及保险制度都是围绕人类驾驶员来设计的。在自动驾驶时代，必须首先确立自动驾驶系统本身的法律地位，否则就会给路测和法律责任认定等造成困难。

　　汽车驾驶领域通行的国际公约是《维也纳道路交通公约》(以下简称《公约》)，联合国欧洲经济委员会于2016年3月通过修正案修改了《公约》。新的《公约》规定，在自动驾驶系统全面符合联合国车辆管理条例以及驾驶员可以手动选择关闭自动驾驶系统的前提下，驾驶员可以将车辆的驾驶职责交给自动驾驶系统。

　　近年来，欧美各国不断通过立法确立自动驾驶的法律地位。2017年，德国联邦议会颁布了《道路交通法第八修正案》。在美国，截至2017年4月，已有13个州(特区)生效了31条针对自动驾驶汽车的交通法规。英国、法国、加拿大、澳大利亚、芬兰、瑞典等国家也纷纷在立法层面上展开探索，颁布了关于自动驾驶汽车的法律。

　　从目前我国的现行立法来看，全面部署自动驾驶汽车仍然存在诸多法律障碍。据不完全统计，自动驾驶汽车的全面部署，至少需要修改我国七个领域(包括交通安全管理、测绘、运输、信息、通讯、质检、标准化)24部以上的法律。

　　为了解决自动驾驶汽车上路的合法性问题，北京和上海关于路测的规范性文件，确立了自动驾驶的合法性地位。但是，根本的解决之道仍在于全面修订《道路交通安全法》的相关规定，以便适应未来自动驾驶汽车的全面部署。

　　自动驾驶的民事归责

　　从我国现行法的角度，自动驾驶汽车造成人身伤亡或者财产损失时，有两种可能的民事归责路径：第一是以未尽到合理注意义务为由追究使用者的侵权责任;第二是以产品具有缺陷为由追究生产者的产品缺陷责任。

　　对L3等级的自动驾驶汽车而言，驾驶员被期望能及时响应系统请求接管车辆。因此，如果驾驶员没有响应系统请求及时接管车辆造成事故的，应当由驾驶员承担侵权责任。如果因系统没有发出请求要求驾驶员接管车辆而发生事故，根据我国《侵权责任法》第41条“因产品存在缺陷造成他人损害的，生产者应当承担侵权责任”的规定，制造商应当对事故造成的损失负责。此外，即使系统没有发出请求，但如果驾驶员应当意识到或者已经意识到危险，也应当接管车辆，否则驾驶员应与制造商共同承担责任。

　　当自动驾驶汽车发展到L4和L5等级的时候，传统的侵权责任和产品责任的规则可能就会面临极大的挑战。

　　首先，即使人类处于驾驶的位置，其身份也不再是驾驶员而是乘客，就不需要尽合理的注意义务。自动驾驶汽车造成损害时，无法以侵权法上的过错责任原则来追究人类的责任。其次，从产品责任的角度上看，只要产品存在缺陷，生产者就应当承担责任。我国《产品质量法》第46条规定了产品缺陷的认定标准 “不合理危险”标准和产品质量标准。此外，《产品质量法》也为产品生产者提供了免责事由。

　　在《侵权责任法》与《产品质量法》均无法提供有效救济的情况下，可以考虑的是参考英国的相关立法，设立专门针对自动驾驶汽车的保险。2017年2月，英国政府出台新的汽车保险法规，要求汽车强制性保险必须覆盖自动驾驶汽车，这是全球首部关于自动驾驶汽车保险的法案。当然，自动驾驶汽车可能会对保险制度产生颠覆性影响，保险产品具体如何设计，仍然需要深入研究。

　　自动驾驶的刑事归责

　　在自动驾驶汽车造成人身或者财产损害的时候，是否应当考虑刑事责任的问题?应当由谁来承担刑事责任?如果行为人故意利用自动驾驶汽车实施法益侵害行为，我们当然可以借助现有理论如间接正犯理论来说明行为人承担刑事责任的根据。但如果所涉及的是过失犯罪，情况就会变得比较复杂一些。

　　在L3等级的自动驾驶汽车的情况下，由于驾驶员仍然被期待随时接管汽车，如果因为驾驶员疏忽大意或者过于自信而未能接管汽车，最终导致侵害，应当由驾驶员承担过失犯罪的责任。如果是因为生产者或者设计者违反国家标准或行业标准，将自动驾驶汽车投放市场，因而造成侵害，那么应当由生产者或者设计者承担刑事责任。

　　如果所涉及的是L4和L5等级的自动驾驶汽车，过失犯罪的刑事责任认定就会出现困难。如果自动驾驶汽车暂时不能作为过失犯罪的刑事责任主体被追责，那么是否可以考虑追究其背后的使用者、生产者或者设计者过失犯罪的刑事责任呢?这里需要探讨的核心问题在于，使用者、生产者或者设计者是否违反了注意义务，必须证明使用者、生产者或设计者对法益侵害的发生存在预见可能性或避免可能性。只有当使用者违反了操作规程，或者生产者、设计者违反了国家标准或行业标准的情况下，才能认定其违反了注意义务。

　　隐私与数据保护

　　为了保证安全行驶，自动驾驶汽车必须不断地收集各种数据，这些数据既包括与人身安全、交通安全相关的汽车及其周围环境数据、汽车功能状态数据、汽车行驶、位置和环境数据等技术数据，也包括驾驶员或乘客的个人数据信息，如娱乐信息设置、便捷设置、导航目的地以及常用地址等，甚至包括其他无关的行人的数据。如果这些个人数据信息被企业或者个人不当利用，就可能产生对个人隐私的侵害。

　　在美国和欧盟的相关立法中，个人隐私与数据的保护具有非常重要的地位。在2017年美国众议院通过的《自动驾驶法案》中规定：自动驾驶汽车的生产厂家必须制定“隐私方案”，说明其如何收集、使用、分享和存储自动驾驶汽车用户的信息。对不希望共享自己数据的用户，生产厂家应当有相应的处置方案。已经正式生效的欧盟《通用数据保护条例》也为个人信息的收集和使用规定了多项权利。

　　近年来，我国个人信息立法不断推进， 2012年全国人大常委会通过《关于加强网络信息保护的决定》，确立了个人信息保护的若干原则。2013年通过修订的《消费者权益保护法》，对消费者信息保护作出了相关规定。2009年、2015年先后通过《刑法修正案七》和《刑法修正案九》对侵犯公民个人信息的犯罪行为作出规定。

　　我国2016年通过的《网络安全法》确立了个人信息保护的基本规则：合法正当，知情同意，目的限制，安全保密，删除改正。2017年通过的《民法总则》第111条规定：自然人的个人信息受法律保护。这些法律规范为自动驾驶汽车场景下的个人信息和数据的保护提供了基本法律保障。

　　除了法律规范本身提供的保障以外，通过立法确立“匿名化处理”等技术手段，以便更好地保护个人信息和数据，已经成为一种重要的国际趋势。

　　自动驾驶与网络安全

　　随着互联网、人工智能、云计算和大数据等技术的应用，自动驾驶汽车的网络安全已经成为互联网安全的重要组成部分。

　　除了可能的远程攻击，基于获取商业利益的目的，或者企图控制自动驾驶汽车系统以获得赎金，甚至为了通过控制自动驾驶汽车达到造成大规模损害的目的，在未经授权的情况下监控并获取汽车定位数据等网络信息，都会对自动驾驶汽车的网络安全造成极大的危害。

　　美国国家公路交通安全管理局(NHTSA) 2017年9月发布了《自动驾驶系统2.0：安全展望》，建议汽车行业投入资源评估风险和测试车辆的网络安全隐患。2017年1月，欧盟网络和信息安全部门(ENISA)发布了《智能汽车网络安全与适应力》的研究报告(ENISA指南)，提出了应对网络威胁，保障智能汽车安全的最佳实践和建议。

　　我国目前没有专门针对自动驾驶汽车网络安全的法律。《网络安全法》对“网络运营者”在网络安全方面提出了一系列要求和应当承担的责任，引入了“关键信息基础设施”这一新概念，并给网络产品和服务提供者设定了规范。但是，由于《网络安全法》并非专门针对自动驾驶汽车，因此可能无法有效应对自动驾驶汽车的网络安全问题。

　　2017年12月29日，我国发布了《国家车联网产业体系建设指南(智能网联汽车)》(最终指南)，明确将建立95个标准，其中20个标准与信息安全相关。

　　最后，应该强调的是，在完善自动驾驶相关的法律规范之时，我们应当特别注意避免刻舟求剑的作法，应当根据科技发展的实际需求，制定既合乎人工智能本身的特征，又确保人类安全的规范。

　　(作者为北京大学法学院副教授)