人脸识别技术具有重要的商业效益和社会治理功能,但其泛化使用也有损害自然人权利的风险。人脸识别技术的使用会带来个人信息权益减损、决策权力异化等风险,对既有法律规制的价值定位、法律规范、客体认定造成挑战。对该技术予以法律规制的现有理论基础存在局限性,难以应对这种挑战。有必要引入风险预防理论,实现法律规制转向,以有效规制人脸识别技术。我国对人脸识别技术予以法律规制主要借助个人信息保护规则,但由于风险预防理论应用程度不深,法律规则及其实施整体上呈现出分散化、碎片化的特征。一方面,一般保护规则与特别保护规则比例失衡,法律规则与标准规则等推荐性规则的协调性较低。另一方面,风险治理逻辑尚未贯穿事前、事中、事后规制的全过程,导致法律规制的各阶段相对割裂。相较而言,域外人脸识别技术法律规制对风险预防理论的应用已经相对体系化,可提炼提供有益的经验,以基于风险区分的事前预防为规制逻辑。同时,在域外法律规制中,法律规则与非正式规则能够相对独立地发挥作用,这一点值得国内法律规制借鉴。具体的借鉴思路是软治理与硬治理相结合,其路径是构建以法律规则为基础的多元治理体系。这是风险规制的必要途径,也是社会治理的应然选择。将风险预防理论嵌入人脸识别技术法律规制中,是为了以理论转向驱动法律规制的完善,其最终目标是构建人脸识别技术的多元治理体系。法律规制的完善具体涵盖法律关系的明晰、法律规则的完善、治理规则的协调三个层面。在明晰法律关系时,首先要扩大规制面向的主体,除使用者外,还要将研发者等纳入规制体系中;其次应细化规制的客体,除了个人信息权益之外,还要兼顾隐私权、平等权等法益;最后应构建特殊的权利义务框架,根据多元场景明确被识别者的权利,基于多重主体明晰研发者、提供者等的义务。在完善法律规则时,一是要构建人脸识别技术及相关产品的授权评价体系,建立相应的许可、认证与评估规则;二是要完善分类监管制度,依据使用目的划分使用场景的类别,根据风险程度对使用场景予以分级,形成以风险区分为基础的分类监管机制;三是要保障被识别者获得救济的权利,通过协同自力救济与公力救济得以实现。在协调治理规则时,通过法律规则合理援引或吸收标准规则,以便将个人信息保护标准纳入规制体系的同时,还应将隐私政策纳入监管依据以提高隐私政策的规范性及实施效果,并借助激励与惩戒的制度安排促进信息保护设计的实施。对于构建人脸识别技术的多元治理体系来说,风险预防理论的嵌入不仅是出发点,而且是落脚点。