NIH公布最新GWAS基因型與表現型數據資料庫分享近用方針
經過了一整年向各界諮詢與彙整各方意見後，美國國家衛生研究院（NIH）於今年8月底，公布其所資助之GWAS基因型與表現型數據資料庫（genotype-phenotype datasets）之分享近用方針。此方針希望在保障研究參與者的個人隱私前提下，協助科學研究社群取得相關基因數據資料。GWAS數據資料對科學有顯著的幫助，並具有龐大的潛在公共利益，然而，提供個人的基因型與表現型資料進行科學研究，涉及個人隱私與秘密之保護，故具有高度的敏感性而受到大眾關切。
因此，NIH在訂定這項方針時，為了搜集各方意見，首先於去年5月，宣布計畫更新GWAS的數據資料分享政策，後於去年8月公開徵詢大眾對方針之意見，次又依據所蒐集之各方意見，於去年12月針對此分享政策舉辦會議進行討論，根據這些討論所形成之共識，併同NIH內部討論之結果，最後形成此項分享政策。
方針中指出，如何在促進科學研究之目的，與保護相關參與人的權利間取得平衡，是相當重要的議題，故本方針分別對研究人員近用之程序、基因數據資料的處理與參與者權利之保護進行詳細規範。舉例來說，本方針要求欲近用資料庫的研究人員，提供其研究必須使用此資料庫的書面說明資料；另外也會對所有存放在資料庫的數據資料進行去個人化處理，使該項資訊無法再以技術判別，並使用隨機方法加密，以確保參與者的隱私與保密資料不遭外洩。根據NIH表示，此方針雖然僅是對GWAS數據資料庫的近用作規範，但未來亦有意將其作為近用其他類似資料庫的規範參考架構。
本文為「經濟部產業技術司科技專案成果」
劉憶成
法律研究員 編譯整理
NIH Seeks to Balance Open Access and Privacy with Final GWAS Data-Sharing Policy，http://www.genomeweb.com/issues/news/141916-1.html，最後瀏覽日：2007年09月06日
Policy for Sharing of Data Obtained in NIH Supported or Conducted Genome-Wide Association Studies (GWAS)，http://grants.nih.gov/grants/guide/notice-files/NOT-OD-07-088.html，最後瀏覽日：2007年09年06月
歐盟科學與新科技倫理委員會（European Group on Ethics in Science and New Technologies, EGE）在今（2009）年11月18日公布合成生物學（Synthetic Biology）公布相關之倫理、法制與社會議題之意見，其中指出合成生物學具有可大幅降低生技藥品生產成本的極大潛力，但也可能帶來的風險，故應予注意。 對很多人來說，合成生物學是一個相當新穎的概念，經濟合作發展組織（Organisation for Economic Co-operation and Development , OECD）在其所公布的2030生物經濟發展議程中，將其列為最具有發展潛力的新興生物技術之一，近來更被歐美先進國家視為生物技術產業的未來重點發展方向。 根據OECD的定義，所謂合成生物學，是以工程方法為基礎，以改進微生物的新興領域，此技術使設計與建構新生物元件（part）、裝置（device）及系統（system），及對於既存的自然生物系統，使其更具有使用性。合成生物學的目的，在於藉由設計細胞系統，使其具備特定功能，從而消除浪費細胞能量之非期待的產物，以增進生物效率。目前合成生物學與市場較為接近的案例，乃一種將青蒿（sweet wormwood herb）、細菌與酵素等基因、分子路徑（molecular pathway）作結合，製造出可以生產治療瘧疾（malaria）的青蒿酸之細菌，此項開發成功突破過去僅能透過植物青蒿獲得，並產量有限的瓶頸。 正由於看好和成生物學的發展潛力，美國、英國與歐盟都開始對此項技術可能帶來的倫理、法制與社會爭議進行評估，歐盟EGE更公布意見以作為未來訂定法規範時的參考。EGE在意見中表示合成生物學使用於能源技術、生物製藥、化學工業或材料科學等都深具前景，故建議歐盟執委會應對此技術發展給予支持，並在歐盟架構計畫下，以產業利用為前提，給予經費的支持；然也必須重視其ELSI問題，包括使用合成生物產品的安全性、對環境的長期影響、惡意使用之防免、專利與公共財的爭議等，為了解決此等問題，其也要求各會員國必須針對合成生物學的各種議題，加強與民眾、利害關係人及社會的對話。由於我國一直將生技產業視為發展重點，合成生物學關係著生技產業未來發展，其未來發展實不容為我國所忽略。
「巨量資料應用」當工業的製造生產過程經過一連串自動化、產量化以及全球化之變革歷程之後，智慧工廠的發展已經成為未來各國的重點目標。生產力4.0的設計中，巨量資料(Big Data)是重要的一環，以製造業為例，傳統上將製造生產取得的數據僅用於追蹤目的使用，鮮少做為改善整體操作流程的基礎，但在生產力4.0推進之後，則轉變為如何藉由巨量資料來提升生的效率、利用多元資源的集中化與分類處理，並經過分析取得改善行動方式，使生產最佳化，再結合訂單需求預期分析，依市場變化調整製造產量，達成本控制效果。 在我國104年9月公布之「2015行政院產力4.0科技發展方案」，亦提及智慧機械、智慧聯網、巨量資料、雲端運作等技術開發，使製造業、商業服務業、農業產品服務等，提升其附加價值。除此之外，經濟部積極規劃佈建巨量資料自主技術研發能力並且促成投資，落實應用產業智慧化與巨量資料產業化之目標。然而，巨量資料的應用因涉及大量的資料蒐集與利用，因此，未來應著重於如何將資料去辨識化，顧及隱私與個人資料之保護。目前，針對此部分，法務部將研擬個人資料保護法修正案，制訂巨量資料配套法規。
歐盟執委會制定《高風險AI系統分類指引》草案，提供適用說明與案例清單協助風險判定歐盟執委會制定《高風險AI系統分類指引》草案，提供適用說明與案例清單協助風險判定 資訊工業策進會科技法律研究所 2026年09月10日 今（2026）年5月19日，歐盟執行委員會（European Commission，下稱歐盟執委會）發佈《高風險AI系統分類指引》草案（Draft Guidelines on the classification on high-risk AI，下稱指引草案），分別針對「產品嵌入型高風險AI」（Annex I）、「獨立型高風險AI」（Annex III）提供更詳細的條款說明與應用案例，以協助供應商、部署者和利害關係人可以清楚地判斷其使用之AI系統是否為高風險範疇。 壹、事件摘要 《歐盟人工智慧法》（EU AI Act，下稱AIA）於2024年6月13日制定通過，並於2024年8月1日正式生效。其中，AIA第6條主要規範高風險AI系統之分類規則，例如「產品嵌入型高風險AI」、「獨立型高風險AI」與高風險應用豁免條款，並於第6條第5款要求歐盟執委會諮詢歐盟人工智慧委員會（European Artificial Intelligence Board）意見後，依AIA第96條規定制定指引，並提供一份包含屬於高風險與不屬於高風險之AI系統使用情境的完整應用案例清單。 因此，歐洲執委會基於上述的法律義務而制定指引草案，原定於2026年6月23日前邀請各方利害關係人完成公眾諮詢意見，包括AI系統的供應商與開發者、企業、公共機構，以及學術界、研究機構與一般公民等[1]。然而，歐洲執委會收到來自多個產業協會及其他利害關係人的請求，希望將期限進一步延長4週。歐洲執委會為了讓利害關係人有更充分的時間提交意見，決定將截止日期延長至2026年7月23日[2]。同時，歐洲議會（European Parliament）於6月16日通過「第七號數位綜合法案」（Omnibus VII）下對AIA的修正案，調整AIA設定的合規時程，包括延後高風險AI系統的義務期限，將「獨立型高風險AI」延至2027年12月2日適用，而「產品嵌入型高風險AI」則延至2028年8月2日[3]。於是，歐洲執委會為配合法遵義務的時程規劃，並針對蒐集的公眾諮詢意見，就指引草案做最後的檢討修正，預計於2026年底前公布正式版的《高風險AI系統分類指引》[4]。 貳、重點說明 指引草案主要有三份文件，包括一般原則主文件、「產品嵌入型高風險AI」文件（下稱Annex I文件）與「獨立型高風險AI」文件（下稱Annex III文件），以下就高風險AI分類之一般性原則、Annex I文件和Annex III對高風險AI的系統判定、實例說明和豁免條款進行介紹。 一、高風險AI分類之一般原則 （一）「AI系統」之法律定義 指引草案指出評估AI系統是否屬於高風險的前提，是該系統必須先該當AIA第3條第1款對「人工智慧系統」的法律定義，即該系統必須是：「基於機器的系統，其設計旨在以不同程度的自主性運行，且在部署後可能表現出適應性；為了明確或隱含的目標，該系統從其接收到的輸入指令中進行推論動作，以產生預測、內容、建議或決策等輸出內容，進而影響物理或虛擬環境」。因此，若僅為一般無適應性或推論特質之傳統軟體或自動化決策系統，則不屬於AIA的管制範疇[5]。 （二）「預期用途」（intended purpose）的定義 依據AIA第3條第12項，「預期用途」係指提供商在使用說明、行銷文宣及技術文件中所提出之使用情境與條件，確保「言行一致」的一貫性審查原則。針對通用型AI（General Purpose Artificial Intelligence, GPAI），指引草案確立了「擴張推定原則」，若AI供應商未在所有公開資料中「一致、具體且連貫地」限制或排除高風險用途，在該用途具備技術可行性與合理可預見的前提下，系統將被直接推定涵蓋高風險用途而定性為高風險AI[6]。不僅如此，指引草案強調「實質重於形式」原則，供應商僅於商品或服務條款中進行形式宣告排除高風險，在法律上不足以規避合規義務，只要產品定位或功能演示實質上仍明示或暗示高風險用途，監管機構將直接判定其為高風險系統並進行監督[7]。 二、Annex I文件：產品嵌入型高風險AI之判斷基準 （一）「安全組件」（safety component）之判定邏輯 依據AIA第3條第14款，「安全組件」採獨立自主之法律定義，作為「產品嵌入型高風險AI」的判斷要件之一，即「產品或AI系統之組件，其履行安全功能，或其失效或故障會危及人身健康安全或財產」。指引草案闡釋了兩大判定路徑，一為「意圖導向」，依主觀判定其功能是否為「預防或減輕」健康、安全或財產之風險；二為「後果導向」，採客觀風險判定，只要該AI系統在客觀上會實質增加危害、危及自然人生命、健康或財產，仍會定性為安全組件[8]。 （二）「第三方符合性評估」（third-party conformity assessment）的轄管產品 另一個要件為「第三方符合性評估」的轄管產品，若產業或產品法規有針對特定產品的安全性要求履行「第三方符合性評估」的送檢程序時，原則上該產品在AIA的架構下會被視為高風險AI系統。指引草案指出，有些產品法規（如玩具、機械）基於程序的便利性，允許廠商可以「自主宣告」符合歐盟的規格標準，而免除「第三方符合性評估」的義務，但不代表該產品沒有安全性的監管要求。換言之，指引草案闡釋有需要「第三方符合性評估」（包括以自主宣告代替）的AI產品並同時為安全組件時，即被納入「產品嵌入型高風險AI」的範疇[9]。 三、Annex III文件：獨立型高風險AI之判定基準 （一）八大敏感領域之AI應用 依據AIA第6條第2款規定，獨立運作之AI系統，其高風險判定完全取決於供應商所宣告之「預期用途」是否落入Annex III所列之八大敏感領域，包含生物識別、關鍵基礎設施、教育、就業、服務提供、執法、移民與邊境管理、司法與民主程序等[10]。 （二）評估對象僅限於「自然人」 指引草案澄清，AI系統是否為高風險除取決於其預期用途之敏感領域外，亦必須僅限評估「自然人」，如僅為法人或公司，因不涉及個人權利，原則上不會被判定為高風險，但其系統判定涉及之實質利害關係人為自然人時，仍屬於評估「自然人」之範疇。比如，產品保險的AI應用相較於人壽或健康保險的AI應用不涉及自然人評估，原則上不會判定高風險。此外，指引草案補充供應商不能僅透過「在系統部署時加入人類審查／監督要求」，就主張該系統可以被降低為非高風險[11]。 （三）複雜系統與代理式AI（Agentic AI）之整體性評估 為防範供應商透過系統設計或分拆架構規避監管，指引草案強調，若數個AI 模組共同構成一複雜架構（或代理式AI setup），且其合併輸出實質影響了最終決策，涉及敏感領域與自然人權益，則整體系統必須被視為單一高風險AI應用進行評估[12]。 （四）「豁免機制」之除外條款 指引草案說明，依AIA第6條第3項規定，就程序性任務（不對資料進行價值判斷）、改善既有成果（不影響已做成之決策）、偵測決策偏差（檢視已做成之決策）或準備性任務（提供背景輔助資料）等，因不具實質影響力，供應商或部署者得豁免適用高風險AI規定，但針對「剖繪／貌相」（profiling）技術，採取絕對高風險AI認定，由於涉及自然人之個人特徵（如工作表現、經濟狀況、健康、個人偏好、行為模式等）與自動化評估、分析或預測，而例外不適用豁免條款[13]。另外，指引草案以體育賽事或演唱會的「群體地理分析」或「人流密度監測」AI應用為例，如僅就非個人資料或特定區域的人群密度進行分析，則不屬於針對個人特徵之剖繪技術，也就非高風險應用，以此說明「非特定的群體統計」和「針對性的個人特徵分析」之技術差異[14]。 參、事件評析 歐盟執委會公布的指引草案，其三份文件加起來長達165頁左右，僅就AIA第6條的高風險AI相關規定提出詳細的法規解釋與案例清單，協助AI系統的供應者和部署者了解高風險AI應用的定義和適用範圍。整體而言，因歐盟採取以風險分類的治理規範架構，於AIA明定高風險AI的規範要件，並一體適用歐盟會員國，其工程浩大需要長期的準備與作業時間才能完成，但其內容就高風險的定義、案例與適用說明對於臺灣的風險治理均具有一定的參考性。 無獨有偶，行政院於今年7月函頒《人工智慧風險分類框架》，就高風險AI應用的判定雖未採取Annex III之敏感領域進行判斷，而係參考《人工智慧基本法》第17條之立法理由與第5條第1項規定，檢視AI應用是否會對國家安全、基本權利、生命安全、財產保障、社會秩序或生態環境造成嚴重危害為判準。但究其實質，兩者的規範結構並不存在衝突，依《人工智慧基本法》第16條第2項規定，各目的事業主管機關基於人工智慧應用風險管理之需要，得對轄管產業制定管理規範。因而，目的事業主管機關在盤點轄管產業的高風險AI應用情境時，本就可依產業領域的專業特性和需求參考國際經驗或相關規範協助其風險判定，故參酌歐盟執委會發佈之指引草案如對目的事業主管機關有所幫助，亦無不可。 總的來說，歐盟執委會的指引草案可視為一份實務操作清單，我國對於產業的AI應用在判定高風險有困難或疑義時，不妨可以參考以獲取更充分的資訊進行相關判斷。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1] European Commission, Draft Commission guidelines on the classification of high-risk AI systems, https://digital-strategy.ec.europa.eu/en/library/draft-commission-guidelines-classification-high-risk-ai-systems(last visited August 27, 2026). [2] European Commission, Targeted consultation on the draft guidelines for the classification of high-risk artificial intelligence systems, https://digital-strategy.ec.europa.eu/en/consultations/targeted-consultation-draft-guidelines-classification-high-risk-artificial-intelligence-systems(last visited August 27, 2026). [3] European Commission, Guidelines for providers and deployers of AI high-risk systems, https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems(last visited August 27, 2026). [4] 同前註2。 [5] European Commission, Draft Guidelines on the classification of high-risk AI: General principles, 2026, p2-3. [6] id. [7] id. [8] European Commission, Draft Guidelines on the classification of high risk AI systems: Annex I of AI Act, 2026, p5. [9] id. at 9-11. [10] European Commission, Draft Guidelines on the classification of high risk AI systems: Annex III of AI Act, 2026, p4. [11] id. at 5-6. [12] id. [13] id. at 8-13. [14] id. at 104.
美國國家標準暨技術研究院發布「人工智慧風險管理框架：生成式AI概況」美國國家標準暨技術研究院（National Institute of Standard and Technology, NIST）2024年7月26日發布「人工智慧風險管理框架：生成式AI概況」（Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile），補充2023年1月發布的AI風險管理框架，協助組織識別生成式AI（Generative AI, GAI）可能引發的風險，並提出風險管理行動。GAI特有或加劇的12項主要風險包括： 1.化學、生物、放射性物質或核武器（chemical, biological, radiological and nuclear materials and agents, CBRN）之資訊或能力：GAI可能使惡意行為者更容易取得CBRN相關資訊、知識、材料或技術，以設計、開發、生產、使用CBRN。 2.虛假內容：GAI在回應輸入內容時，常自信地呈現錯誤或虛假內容，包括在同一情境下產出自相矛盾的內容。 3.危險、暴力或仇恨內容：GAI比其他技術能更輕易產生大規模煽動性、激進或威脅性內容，或美化暴力內容。 4.資料隱私：GAI訓練時需要大量資料，包括個人資料，可能產生透明度、個人資料自主權、資料違法目的外利用等風險。 5.環境影響：訓練、維護和運行GAI系統需使用大量能源而影響碳排放。 6.偏見或同質化（homogenization）：GAI可能加劇對個人、群體或社會的偏見或刻板印象，例如要求生成醫生、律師或CEO圖像時，產出女性、少數族群或身障人士的比例較低。 7.人機互動：可能涉及系統與人類互動不良的風險，包括過度依賴GAI系統，或誤認GAI內容品質比其他來源內容品質更佳。 8.資訊完整性：GAI可能無意間擴大傳播虛假、不準確或誤導性內容，從而破壞資訊完整性，降低公眾對真實或有效資訊的信任。 9.資訊安全：可能降低攻擊門檻、更輕易實現自動化攻擊，或幫助發現新的資安風險，擴大可攻擊範圍。 10.智慧財產權：若GAI訓練資料中含有受著作權保護的資料，可能導致侵權，或在未經授權的情況下使用或假冒個人身分、肖像或聲音。 11.淫穢、貶低或虐待性內容：可能導致非法或非自願性的成人私密影像或兒童性虐待素材增加，進而造成隱私、心理、情感，甚至身體上傷害。 12.價值鏈和組件整合（component integration）：購買資料集、訓練模型和軟體庫等第三方零組件時，若零組件未從適當途徑取得或未經妥善審查，可能導致下游使用者資訊不透明或難以問責。 為解決前述12項風險，本報告亦從「治理、映射、量測、管理」四大面向提出約200項行動建議，期能有助組織緩解並降低GAI的潛在危害。