【德】弗兰克·彼得·舒斯特著 李倩译 |自动驾驶下生产商的刑事责任

内容摘要:在自动驾驶领域，技术的进步不可阻挡危险的发生。但人类司机只需在他所能掌握和控制的自动化系统范围内承担责任。在自动驾驶下，由于机器不能自己做出“正确”的决定，从刑法视角看，生产商可能需要对过失致人伤害、过失杀人、间接故意杀人、危害道路交通等罪承担刑事责任。生产商在此需要承担谨慎义务和个人责任。另外，生产商和研发人员在“两难处境”之下，如何编制紧急算法，也是一个无法回避的话题。与韦尔策尔提出的扳道工案完全不同，程序员对于“两难处境”的编程，并没有创设法律上不被许可的危险。我们可以在不打破德国刑法教义学传统原则的基础上，对其进行理性的讨论。

关键词：自动驾驶；紧急避险；谨慎义务；容许的风险；算法

DOI：10.19563/j.cnki.sdfx.2021.03.005

随着2017年6月16日《道路交通法（StVG）》的修订，立法者宣布原则上允许高度和完全自动驾驶的车辆上路行驶，道路交通将因自动化而变得更加安全。在这方面，我们可期待技术的进一步发展。尽管有积极的风险平衡，但在未来，事故的发生仍无法避免。在这种情况下，在确定刑事责任时，重点应更多地放在生产商和其员工身上。

在民法中成功实现物质利益适当平衡的解决方案，只能有限地转用至刑法中：因此，车主的无过错责任从一开始就不存在。在刑法中，适用罪责原则（nulla poena sine culpa）——没有罪责就没有刑罚。此外，根据德国法，只有自然人能够承担刑事责任，协会不可以，汽车生产企业也不行。这是与民法中生产者责任的本质区别。如果公司高管实施了与公司有关的刑事犯罪或行政违法行为（特别是《违反秩序法》第130条），我们当然可以根据《违反秩序法》第30条对公司处以罚款。而在其他情况下，我们应当查明确认那些真正可以被指控为个人过失的公司经理、研发团队以及生产线上的员工等。

(一)符合条件的刑法构成要件

1.一般的实害犯

在刑法规定的产品责任方面，主要是指对生命和身体造成损害的责任，即对过失造成他人身体伤害和过失杀人的指控（《刑法典》第222条和第229条）。在刑法实践中，涉及产品缺陷造成财产损失的相关案件通常不太重要。这样一种过失的财产损害行为终究是不可罚的（见第二部分（一）2.（2））。另一方面，对“（间接）故意”的指控，可能只在特殊情况下发挥作用，如转售产品、有缺陷的车辆或在可以事先计算的两难困境中（见下文第三部分）。

上述构成要件（Tatbestand）都是结果犯；它们以实际发生的损害结果归责于某原因为前提。因此，在典型的产品责任方面，除了个人违反谨慎义务的问题外，还经常存在着因果关系证明和义务违反关联的问题。然而，与产品责任案件中的其他情况相比，这两方面的问题在这里似乎不大，特别是相较于那些“对毒理学作用机制的阐明会一次又一次地引起问题”的情况。根据《道路交通法》第63a条的强制性的数据存储（包括对刑事和监管机构读取数据的授权），也有利于证据调查。

2.特殊的交通犯罪

（1）如开头第一部分所述，如果汽车是由具有行为能力的人类司机驾驶，我们首先要考虑《刑法典》第315c条第1款规定的危害道路交通的情况。另外，它也在法医实践中发挥着重要作用（2016年，据刑事诉讼统计，共有13 412起被定罪）。然而，《刑法典》第315c条是一种亲手犯：行为人需要自己驾驶汽车才可实施。即使是生产商的员工，如产品设计师或程序员，即便他们对车辆在具体路况下的行为有决定性的影响，我们也不能根据文本（《基本法》第103条第2款）将其简单解释为他们本人（产品设计师或程序员）“驾驶”了该汽车（第1项）、“错误超车”（第2项b）、“错误驾驶”或“超速行使”（第2项c、d）。毕竟，产品设计师或程序员并没有坐在车内，也并没有实时控制汽车的可能性。

（2）在自动驾驶的情况下，《刑法典》第315b条可能具有难以想象的重要意义。到目前为止，与其他道路交通犯罪相比，该罪发挥的作用相当小（2016年有1 005起被定罪）。在实践中，它主要用于：司机故意“滥”用其汽车作为武器或破坏性工具，对交通的内部运行造成损害。这里因为《刑法典》第315c条明确规定了正常的交通违法行为，所以必须具有造成损害的间接故意。鉴于其实施的方式和危险性，《刑法典》第315b条经常会涉及严重的刑事犯罪（如：驾车冲撞警察设置的路障）。

然而，该条款的最初构想与现在的版本并不相同。首先，《刑法典》第315b条第1款第1—3项与《刑法典》第315条并列，旨在将道路交通中的外部干预行为界定为犯罪，如：拆除警告标志、打开井盖、向行驶中的汽车投掷石块、松动车轮螺栓、操纵制动系统，但也包括未关闭铁路护栏、未消除危险物（浮油）或虽没有明确的伤害意图，但将行人推到汽车道上。这些影响道路交通安全的外部干预行为也可能表现为过失（第5款）。自动驾驶汽车的错误程序，也可能是安装了错误的摄像头和传感器等，作为“类似但同样危险的干扰”（第1款第3项），当然与上述例子相吻合。根据传统的解释，《刑法典》第315c条的阻断作用在任何情况下都只会给交通参加者带来特权（参见上文第二部分（一）2.（1））。

只有当他人（如：司机、其他交通参加者，以及不在公共交通区域内的人）的生命或身体或者有“有重要价值”的他人财产，作为一种独立的犯罪结果而受到威胁时，行为才是具有可罚性的。然而，根据主流观点，财物价值和面临危险的损害金额的下限很容易就能达到，仅仅750欧元就够了。因此，在目前的情况下，必须对（上文第二部分（一）1.）过失造成财产损失不受刑事处罚的说法提出质疑。因为就连对财产的具体危险（这是真实发生的财产损害事件的必要过渡阶段）都足以入罪。然而，就法律政策而言，这样一种范围广阔的刑事责任是否可取，似乎令人怀疑。

（二）生产商的谨慎义务和个人责任

过失犯承担刑事责任的前提是行为人违反谨慎义务以及损害结果的可预见性和可避免性。刑法视角下生产商的谨慎义务与民法视角下生产者责任中提到的生产商的谨慎义务基本相同。一般来说，设计、制造和说明义务是有区别的，生产商还要承担产品监测和召回的义务。然而，这些义务并不完全一致，因为民法致力于实现刑法以外的其他目标，即对财产利益予以平衡。除其他事项外，如果我们假设损害风险可投保，则人们往往能够将民法中谨慎义务的标准设定得比刑法中的标准更高一些，而刑法中的标准被称为国家“最锋利的剑”。

1.一般标准——对具有高度或完全自动驾驶功能的可上路行驶的机动车的要求

如果一个行为违反了国家的法律规范，那么它就违反了谨慎义务。一旦消除了道路交通法下的障碍，就不能把在德国市场投放自动驾驶汽车看作是违反了应有的谨慎义务。《道路交通法》第1a条规定了具有高度或完全自动驾驶功能的机动车所须满足的前提条件：已达到最高自动化水平、完全自主的“机器人”汽车，如果只有乘客在车里的话，仍然不允许上路行驶。《道路交通法》第1a条要求每辆机动车都要有一位人类司机（第4款），他可以手动操控和关闭系统（第2款第1句第3项）。否则，该系统必须能够在高度或完全自动化的车辆行驶过程中处理所有的驾驶任务（包括纵向和横向引导）（第1项），并能遵守道路交通法规（第2项）。该系统必须能够识别何时需要司机自己驾驶车辆（第4项），并且必须能够以视觉、听觉或触觉向司机作出提示，给其留有足够的时间储备（第5项）。该条款假定，系统总是会出现无法自行控制交通状况的情况此外，如果司机（疏忽大意之下）想要在系统说明所规定的框架之外使用自动驾驶系统，系统应提供特殊的指令（Instruktionspflichten）（第6项）。

《道路交通法》第1a条第2款第1句第2项所指的有关车道的使用、速度、距离、超车、转弯等方面的谨慎义务也已基本标准化（《道路交通条例》第2条及以下条款）。然而，这并不能解决所有问题。汽车是经久耐用的产品，自动驾驶汽车将继续面对传统汽车的冲击，但驾驶传统汽车的人类司机会犯驾驶错误（上文第一部分）。行人和骑自行车的人，不管是成人还是儿童，也会一直参与到道路交通中，并且通常更加难以预测。因此，我们会遭遇的问题是，必须在多大程度上考虑到“人类共同行为者”可能出现的不当行为。当他人明显违反交通规则时，自动驾驶汽车当然不能不惜一切代价地主张自己的路权（即使只是为了保护车上的乘客）。

然而，在正常情况下，即使是自动驾驶汽车也可以而且必须依靠其他交通参加者遵守交通规则的行为，否则任何快速的道路交通都会陷入停滞。过马路时不必要的犹豫，或对每辆临近但需等待的汽车过于谨慎且不合理的刹车，绝对是不可取的，这些行为反而会被视为违反了交通规则（《道路交通条例》第3条第2款和第4条第1款第2句）然而，对于儿童、需要帮助的人和老年人，需要更加谨慎（《道路交通条例》第3条第2a款）。这里，我们正面临艰难的“走钢丝（Gratwanderung）”局面。在有疑问的情况下，必须在几分之一秒内做出决定的人类司机不能被指控为过失。对于自动驾驶汽车而言，这个问题就更难以解决，因为我们必须在决策算法的框架内提前做出明确（和透明）的决定。

2.容许的风险和生产商的下游义务

（1）通过《道路交通法》第1a条及以下条款，特别是授予运营许可、个人许可或型号许可，国家和社会各界皆表达出希望利用（系列生产的）自动驾驶汽车优势的强烈愿望，尽管其推广还存在一定风险。在非自动驾驶的道路交通中，我们可以接受“人被撞死”。这被称为“容许的风险”，在风险被容许的情况下，行为人没有违反谨慎义务，也无须为后果承担刑事责任。作为回报，汽车行业一直不断努力使道路交通更加安全。自动化正是这些努力的一部分。

产品须达到多高程度的安全性能，取决于谨慎的生产商在权衡用户面临的风险和增加安全性成本后会得出什么样的结论。当然，受到侵害的法益越重要，安全方面的努力就越大。若已被接受的风险因自动化而减少，我们也不能期待自动驾驶汽车在任何情况下都能绝对遵守规则和安全。即便产品已经做了大规模的测试，生产商和审批机构也不能预见到其产品与各类交通参与者以及所有可想象的交通状况、环境条件、能见度和天气条件之间，会发生何种相互作用。根据联邦交通和数字基础设施部设立的自动驾驶道德委员会的说法，我们所需要的只是一个明确的积极的风险平衡。

是否符合《道路交通法》第1a条第2款第1句第1—6项的法律要求，是否按照《道路交通条例》掌握了驾驶任务等问题，必须以生产商将产品投放市场时的科技水平为依据。诚然，在较早的时间点上，什么是可预见的，回过头来看并不容易确定。自主控制系统是一种复杂但具有相当大的破坏潜力的新设计。当非常明显的结果不法（大量人员受到严重伤害）和不太明显的行为不法同时出现时，则肯定存在过度且因此不公平分配责任的风险。人们在有疑问的情况下，若知道了结果，就会高估破坏性事件的可预见性。这种效应（“事后偏见”）已经在一般认知心理学中被多次经验性地予以证明。即便专业人员（法官、检察官、鉴定人）在刑事诉讼中能够做出决定性的判断，人们也应该始终意识到典型的追溯错误的风险，以防止个别案件中的责任标准被违反法律地（contra legem）从过错责任转为严格责任。

（2）如果法秩序在一定程度上接受了与设计或软件相关的错误，则在产品投放市场后，那些从销售中获利的产品负责人的刑事责任可能就无法完全被免除。作为免除其直接损害责任的交换条件，刑法要求生产商继续监测其产品，并在发现迄今为止未知的危险时，采取保护客户和第三方的行动。因此，许可并不意味着免除责任。生产商毕竟是最有可能对产品的危险采取有效预防措施的人。另外，由于新出厂的机动车通常与工厂保持联网，这一点就变得更加容易。根据《道路交通法》第63a条的规定，数据存储器也为研究事故原因开辟了新的可能性。

如果生产商在履行产品监测义务的过程中，发现以前未知的危险隐患，则生产商根据损害结果重复出现的概率和损害金额，有警告、停止销售和召回义务。这是否还包括免费的故障排除（例如：更新操控软件），可能不仅仅是合同法下的问题。如果考虑到个案的所有情况，“排除故障”对有效回避产品危险看上去是有必要的，那么，这样一种义务至少在侵权法（与刑法中的产品责任一样，涉及诚信利益）中也应得到讨论。在新系统交付之前，生产商在任何情况下都有义务对缺陷进行补救。

3.分工和对公司的信赖原则

若个人不得不违反他应尽的谨慎义务，那他必须被告知通过什么措施可以避免损害结果。然而，从分工原则中也可以看出，团队中每位认真工作的员工都可以相信（关于信赖原则，见上文第二部分（二）1.），其他人会谨慎地来完成其所需承担的任务。依赖指令行事的员工也可以信赖上级的正确指令，而上级信赖下级会正确执行其指令。

考虑到这些原则，最理想的情况是找到那些直接导致犯罪结果的员工，无论是匆忙之下发布产品的研发部门负责人、程序员，还是最后检查中犯错的技术人员。很少会出现完全由某一人对损害负责的情况，相反，损害结果可能是由几个人造成的。然而，也有可能仅因为事后无法再现内部流程，最终不追究任何人的刑事责任。此外，还要考虑违反选任义务、监督义务和控制义务的行为，在这方面，主要会影响管理层，《违反秩序法》第130条也可以被视为是一个兜底的构成要件。

（一）讨论案例

对于普通大众、道德哲学家、社会学者和刑法学者来说，最大的“魅力”在于如何解决可能出现的两难处境下的难题（即使汽车行业承诺这种情况几乎不会出现）。毕竟，它们一直是西方伦理学的关键问题之一。想想“卡尔涅阿德斯的木板案（Brett des Karneades）”、“木犀草号(Mignonette)的食人惨案”、科勒（Kohler）未引起关注的“汽车司机案”或击落被恐怖分子劫持的飞机的讨论。但在人类历史上，绝不应该让机器决定一个人的生死。

美国研究人员主持的一项名为“道德机器”的互联网调查目前正引起轰动、其结果最近发表在《自然》杂志的一篇文章中。在随机生成的13个案例中，事故原因都是自动驾驶汽车的刹车失灵。测试人员（到目前为止：n=3 960万）必须决定汽车是否继续直行（这可能会撞死前方的四个人，包括两个孩子），还是向左转弯（只撞死一位此前尚未参与交通的行人）。此外，还要考虑一个人的性别、社会地位以及行为是否符合规则等其他因素。

如果自动驾驶汽车被专门编程为在紧急情况下碾压行人，即便是为了拯救更多人的生命，生产商或个别员工也要根据《刑法典》第212条，以过失杀人罪被起诉。人们可能还得考虑“间接故意”，即研发者同意启动一条导致他人死亡的指令。即便发生损害事件的概率很低，紧急算法也对此进行了精确编程。

（二）扳道工案可否作为比较情形？

乍一看，我们所讨论的情况类似于汉斯·韦尔策尔（Hans Welzel）提出的扳道工案，在英国哲学家菲利帕·福特（Philippa Foot）的作品中也同样出现了“电车难题”。由于定位错误，一列货运列车加速驶向一列满载乘客的静止客运列车。一名扳道工意识到了危险，扳动开关、将货运列车转轨让其冲向“侧轨”上工作的轨道工人，最后，“侧轨”上工作的轨道工人全部被撞死了。德国的主流观点是，扳道工不能借由《刑法典》第34条（正当化紧急避险）出罪。我们要注意，每个人的生命都具有相同的等级，且无法量化。

当然，这还不能解释为什么必须优先保护轨道工人的生命：这里，占据一个受保护的法律地位（站在侧轨上没有危险）比纯粹的期待（通过“转轨”而获救）应得到更高程度的保护。只有为了保障更高价值的利益，才允许侵犯“受保护的法律地位”。如果侵犯的法益是双方当事人的生命价值，则另当别论。

一些著名的德国学者想将这些原则原封不动地转移到自动驾驶汽车和自动化的紧急行为中。由于通常情况下都不存在密切关系以及严重的心理困境，我们也很难以《刑法典》第35条的宽恕罪责事由或超法规的紧急避险来免责。因此，汽车生产商必须根据当前的法律状况对汽车编程，以便在进退两难的情况下，由人类操控汽车（《道路交通法》第1a条第2款第5项）。当然，这样做并不会有什么收获，恰恰相反，在大多数情况下，人类司机缺乏必要的时间来做出明智的决定。毕竟，一个准备用于批量生产的系统，在理想情况下应当明显优于人类的感知和反应能力。

(三)程序员制定紧急算法时的偏差

由联邦交通和数字基础设施部设立的道德委员会明确规定，在事故无法避免发生的情况下，不能根据个人特征（年龄、性别、身体或精神状况）对人类分级。“减少人身伤害数量的一般化编程”可能是“合理的”，尽管这个说法仍然没有弄清到底所针对的是哪些情况。

在“道德机器”调查中，绝大多数被试者都允许对人的生命进行定量权衡，大多数人还表现出强烈的倾向——希望拯救儿童而不是老人（尽管这方面存在文化差异），并根据有关人员本身的行为是否符合规则来进行判断。现在，人们可以说，至少美国的参与者更倾向于从自己的刑法出发，其中类似紧急避险的刑罚阻却事由（choice of evils defense或者necessity）通常更多地是基于对目的的理性思考，至少从一开始就没有排除对人类生命的权衡（偏离于普通法传统）。在这一点上，对于欧陆法系的参与者来说，调查结果也没有本质上的不同。我们提出疑问：法律和公民道德感之间是否存在着明显的分歧？

德国的法律状况绝非像乍看之下那么清晰；同时，人们提出越来越多的替代性的解决方案。在我看来，自动驾驶与扳道工案有本质的区别：车辆如何行驶的实际指令不是在事故发生的那一刻或之前作出的。相反，考虑到在未来某个时间点可能发生（但绝不是确定发生的）危险事件以及不确定的交通参与者，就要提前几个月或几年预设该指令。这里，并没有人妄想决定他人的“命运”，这与韦尔策尔的扳道工案完全不同。在编程时，还没有人拥有一个“受保护的法律地位”。通常，在发生潜在事故时，某个人可能会在某个时刻扮演什么角色（作为被碾过的行人，抑或是作为被预编程的转向信号所拯救的人群中的一个），这几乎是不可预见的。同时，也不存在车辆必须行驶的“当然”路径。一位程序员，无论他做什么，都会积极地影响随后的交通参与者的命运。在编程中，会发生若干不作为义务的冲突。从事前的角度来看，我们要通过尽可能多地拯救人的生命，并奖励符合规范的行为，来降低个体成为事故受害者的概率，以此作为减少交通事故和受害者遇难人数的最优方案。在我看来，这个问题应该从刑法教义学构成要件符合性的角度来考虑。程序员为每个个体降低了迄今为止被认定为“容许的”事故风险（第二部分（二）2.）（也没有其他更好的选择），程序员在行为时点上（这仅取决于犯罪行为（Tathandlung），参见《刑法典》第8条）并没有创设法所不容许的危险。给予特定群体（老人或孩子，男人或女人，囚犯）特权，不符合这种思考方法，因为他们所面临的风险增高与其他人所面临的风险增高没有什么不同。由于已经被定位在构成要件符合性阶段，因此，牺牲“单个路人”的问题就与积极的合法性判断不再有任何联系。