“Cookies”—餅乾或是毒藥？
英國作為歐洲金融重鎮，不論各行業均有蒐集、處理、利用歐盟會員國公民個人資料之可能，歐盟一般資料保護規則（General Data Protection Regulation，簡稱GDPR）作為歐盟資料保護之重要規則，英國企業初步應如何自我檢視組織內是否符合歐盟資料保護標準，英國資訊委員辦公室（Information Commissioner's Office, ICO）即扮演重要推手與協助角色。 英國ICO於2017年4月發布企業自行檢視是否符合GDPR之12步驟（Preparing for the General Data Protection Regulation（GDPR）-12 steps to take now），可供了解GDPR的輪廓與思考未來應如何因應： 認知（Awareness）：認知GDPR帶來的改變，與未來將發生的問題與風險。 盤點資料種類（Information you hold）：盤點目前持有個人資料，了解資料來源與傳輸流向，保留處理資料的紀錄。 檢視外部隱私政策（Communicating privacy information）：重新檢視當前公告外部隱私政策，並及時對GDPR的施行擬定因應計畫。 當事人權利（Individuals'rights）：檢視資料處理流程，確保已涵蓋GDPR賦予當事人如：告知權、接近權、更正權、刪除權、製給複本權、停止處理權、不受自動決策影響等相關權利。 處理客戶取得資料請求（Subject access requests）：GDPR規定不能因為客戶提出取得資料請求而向其收費；限期於1個月內回覆客戶的請求；可對明顯無理或過度的請求加以拒絕或收費；如拒絕客戶請求則限期於1個月內須向其說明理由與救濟途徑等。 處理個人資料須立於合法理由（Lawful basis for processing personal data）：可利用文書記錄與更新隱私聲明說明處理個人資料之合法理由。 當事人同意（Consent）：重新檢視初時如何查找、紀錄與管理取得個人資料的同意，思考流程是否需要做出任何改變，如無法符合GDPR規定之標準，則須重新取得當事人同意。 未成年人（Children）保護：思考是否需要制定年齡驗證措施；對於未成年人保護，考慮資料處理活動是否需取得其父母或監護人的同意。 資料外洩（Data breaches）：有關資料外洩的偵測、報告與調查，確保已制定適當處理流程。 資料保護設計與影響評估（Data Protection by Design and Data Protection Impact Assessments）：GDPR使資料保護設計與影響評估明文化。 資料保護專責人員（Data Protection Officers）：須指定資料保護專責人員，並思考該專責人員於組織中的角色與定位。 跨境傳輸（International）：如執行業務需跨越數個歐盟會員國境域，企業則須衡量資料監管機關為何。
美國2015年「消費者隱私權法案」簡介 國際海事組織公布自駕船規則制定期程表國際海事組織（International Maritime Organization, IMO）於2018年6月5日第99次海上安全委員會（MSC 99）上，根據日本等國提案，開始進行監理範圍之界定與檢討等相關工作（Regulatory Scoping Exercise, RSE）。於MSC 99之會議上，IMO已暫定自駕船之定義與自動化等級，並於2018年12月3日至12月7日於英國倫敦召開之MSC 100會議上進一步確定RSE框架，公布自駕船規則之制定期程表，具體措施將分為兩階段實行。第一階段預計在2019年9月前釐清可能妨礙自駕船航行，或者有修正和確認必要之IMO規定。第二階段則規劃在2020年5月召開之MSC 102前，檢討為實現自駕船所需修正及制定之IMO規則。此外，MSC 100亦批准2018年5月IMO人為因素、訓練和值班小組委員會（Sub-Committee on Human element, Training and Watchkeeping, HTW）提出之船員「疲勞指引」（Guidelines on Fatigue）修正案，並預計在2019年6月召開之MSC101上，進一步針對燃料油品質所引發之安全問題進行討論。
日本發布《資料品質管理指引》，強調歷程存證與溯源，建構可信任AI透明度2025年12月，日本人工智慧安全研究所（AI Safety Institute，下稱AISI）與日本獨立行政法人情報處理推進機構（Information-technology Promotion Agency Japan，下稱IPA）共同發布《資料品質管理指引》（Data Quality Management Guidebook）。此指引旨於協助組織落實資料品質管理，以最大化資料與AI的價值。指引指出AI加劇了「垃圾進，垃圾出（Garbage in, Garbage out）」的難題，資料品質將直接影響AI的產出。因此，為確保AI服務的準確性、可靠性與安全性，《資料品質管理指引》將AI所涉及的資料，以資料生命週期分為8個階段，並特別強調透過資料溯源，方能建立透明且可檢核的資料軌跡。 1.資料規劃階段：組織高層應界定資料蒐集與利用之目的，並具體說明組織之AI資料生命週期之各階段管理機制。 2.資料獲取階段：此步驟涉及生成、蒐集及從外部系統或實體取得資料，應優先從可靠的來源獲取AI模型的訓練資料，並明確記錄後設資料（Metadata）。後設資料指紀錄原始資料及資料歷程之相關資訊，包含資料的創建、轉檔（transformation）、傳輸及使用情況。因此，需要記錄資料的創建者、修改者或使用者，以及前述操作情況發生的時間點與操作方式。透過強化來源透明度，確保訓練資料進入AI系統時，即具備可驗證的信任基礎。 3.資料準備階段：重點在於AI標註（Labeling）品質管理，標註若不一致，將影響AI模型的準確性。此階段需執行資料清理，即刪除重複的資料、修正錯誤的資料內容，並持續補充後設資料。此外，可添加浮水印（Watermarking）以確保資料真實性與保護智慧財產權。 4.資料處理階段（Data Processing）：建立即時監控及異常通報機制，以解決先前階段未發現的資料不一致、錯漏等資料品質問題。 5.AI系統建置與運作階段：導入RAG（檢索增強生成）技術，檢索更多具參考性的資料來源，以提升AI系統之可靠性，並應從AI的訓練資料中排除可能涉及個人資料或機密資訊外洩的內容。 6. AI產出之評估階段（Evaluation of Output）：為確保產出內容準確，建議使用政府公開資料等具權威性資料來源（Authoritative Source of Truth, ASOT）作為評估資料集，搭配時間戳記用以查核參考資料的時效性（Currentness），避免AI採用過時的資料。 7.AI產出結果之交付階段（Deliver the Result）：向使用者提供機器可讀的格式與後設資料，以便使用者透過後設資料檢查AI產出結果之來源依據，增進透明度與使用者信任。 8.停止使用階段（Decommissioning）：當資料過時，應明確標示停止使用，若採取刪除，應留存刪除紀錄，確保留存完整的資料生命週期紀錄。 日本《資料品質管理指引》強調，完整的資料生命週期管理、強化溯源為AI安全與創新的基礎，有助組織確認內容準確性、決策歷程透明，方能最大化AI所帶來的價值。而我國企業可參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範（EDGS）》，同樣強調從源頭開始保護資料，歷程存證與溯源為關鍵，有助於組織把控資料品質、放大AI價值。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）