美國通訊委員會拍賣位於700MHz頻段之頻譜
美國聯邦通訊委員會(Federal Communications Commission, FCC)預計於2008年1月24日開始Action 73之頻譜拍賣程序，以釋出位於700MHz頻段之頻譜，此一頻譜拍賣程序預計將為期數週甚或數月。
根據規劃，美國政府將在2009年年初完成無線廣播電視數位化，屆時廣播電視業者將繳回目前使用之700MHz頻段。又由於此一頻段之電波具有傳輸距離遠與穿透力強之特質，此次之頻譜拍賣活動廣受各方業者矚目，符合競標資格之業者包括電信業者、網路服務提供業者、有線電視業者及衛星電視業者，如AT&T、Verizon Wireless、Google、EchoStar Communications及Cablevision Systems等。據估計，此一頻譜拍賣所得之競標價格可能將會突破百億美元。
此次拍賣之頻譜包括5個頻段，每一個頻段的拍賣規則與用途均有所不同。其中D頻段必須與公共安全機構共用，未來得標者必須與公共安全機構溝通並達成協議，其所建立之全國性網路在緊急狀況發生時，亦必須優先提供公共安全相關機構使用。職是之故，D頻段之競標價格目前仍遠低於聯邦通訊委員會所開出之底價，未來若無業者出價達競標底價，則聯邦通訊委員會將更改底價與競標規則後，重新開放競標。
德國聯邦最高法院(Bundesgerichtshof, BGH)在2018年2月20日的判決(Urt. V. 20.02.2018 – Az. VI ZR 30/17)中認定，網路評價網站(Bewertungsportale)之業務雖未違反聯邦資料保護法(Bundesdatenschutzgesetz, BDSG)規定，但其評價立場必須維持中立。醫師評價平台「Jameda」(www.jameda.de)之商業行為違反此項原則，故須依原告要求，刪除其在該網站之所有個人資料。 本案中，原告為執業皮膚科醫師，且非醫師評價平台「Jameda」之付費會員。然「Jameda」不僅將該醫師執業簡介列入其網站，且同時在其個人簡介旁，列出與其執業地點相鄰，具競爭關係之其他同為皮膚科醫師之付費會員廣告。反之，付費會員不但可上傳個人照片，且在其執業簡介旁，不會出現與其診所相鄰之競爭者廣告。 聯邦最高法院依據聯邦資料保護法第35條第2項第2款第1號 (§35 Abs. 2 S. 2 Nr. 1 BDSG) 規定，並經衡量同法第29條第1項第1款第1號 (§29 Abs. 1 S. 1 Nr. 1 BDSG) 規定之效果後，同意原告對「Jameda」提出刪除網頁所列個資之請求。法院見解認為，「Jameda」的廣告策略使其失去資訊與意見傳遞者之中立角色，並以自身商業利益為優先，故其言論自由不得優於原告之資訊自主權(informationelle Selbstbestimmung)。 該判決強制網路評價平台嚴格審查本身之廣告供應商務，並與聯邦憲法法院(Bundesverfassungsgericht)見解一致，用於商業目的之言論表達僅有低於一般言論自由的重要性。儘管如此，評價平台仍被視為介於患者間不可或缺的中介者(unverzichtbare Mittelperson)，可使互不相識的病患，藉此獲得經驗交流的機會。 儘管本案判決同意原告刪除評價網站中所儲存個人資料之請求，但見解中，仍肯定評價網站具有公開醫療服務資訊之功能，符合公眾利益，受評價醫師被公開之個人簡介亦僅涉及與社會大眾相關之範圍。針對網站評分及評論功能之濫用，醫師仍可對各種不當行為分別採取法律途徑保障自身權益。由此可知，德國聯邦最高法院仍認定，評價網站之評分與評論機制，仍符合聯邦資料保護法規範之宗旨，惟若該評價網站以評價機制作為商業行銷手段，則不得主張其言論及意見表達自由高於受評價者之資訊自主權。
從日本山崎案談營業秘密不法取得之管理從日本山崎案[1]談營業秘密不法取得之管理 資策會科技法律研究所 法律研究員 駱玉蓉 105年05月25日 壹、前言 為強化營業秘密的保護，日本從2003年開始，於不正競爭防止法（以下稱本法）中導入刑事保護的相關條文，爾後經過多次修法，在2011年調整刑事訴訟程序的同時，於本法導入了即使行為者不使用或揭露所示的營業秘密，但只要以獲取不當利益為目的，且「以複製」等方式「取得營業秘密」，亦為刑事處罰的對象[2]。2014年名古屋地院的日本山崎Mazak案件（ヤマザキマザック事件，以下稱本案）則是在此修法背景中，於少數公開判決中最先單獨引用該法條的案件。 面對層出不窮的營業秘密侵害案件，為遏止及處罰不法取得、使用或洩漏他人營業秘密的行為，我國營業秘密法亦於2013年的修法中增訂侵害營業秘密的刑事責任，將「知悉或持有營業秘密，未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密」的行為[3]納入刑罰範疇，以期可有效遏阻營業秘密侵害案件。 有鑒於營業秘密外洩情形與不法取得手法的多變，本文將先從本案營業秘密侵害行為、存取/接觸權限控管的漏洞出發，接著探討應如何從控管員工的接觸/存取權限以強化營業秘密的保護，最後從落實營業秘密管理的面向，彙整本案受法院判決肯定之營業秘密保護措施及可進一步強化之配套，期給予我國企業營業秘密管理的省思。 貳、事件概要 中國大陸籍的被告Y，於2006年4月進入工具機大廠山崎Mazak（以下簡稱原告公司）任職，於2011年8月轉調連結業務部門與研發部門的業務技術部，於2012年3月因獲得其他公司聘書而提出離職申請，預定離職日為同年4月20日。 檢察官於一審的起訴內容提到，被告Y在無業務需求的狀況下，將三萬件以上的設計圖面等由公司內部伺服器下載至私人硬碟中，更於提出離職的當月，下載約一萬件與轉職企業相關機種的設計圖面等技術資料。雖然被告Y辯稱取得該等資料的目的在於工作上的學習需求，但根據被告Y與其中國大陸友人的往來訊息可知被告Y亟欲脫手所取得的技術資料以換取現金。 原告公司在本案當時，對技術資料的權限控管為將技術資料儲存在公司內部伺服器的資料夾內，僅業務上有需要的員工才能進行存取、下載，此外，原告公司配發給員工的業務用電腦亦設定有員工個人的帳號、密碼來進行認證，並藉由IP位址來辨識存取網路資料的員工所屬部門及該員工的存取權限。有關前述IP位址的分配，為一個部門配發255個IP位址對應255台電腦，當一部門未達255台電腦時，將會有未被電腦對應的IP位址存在，被告Y便是將自己電腦的IP位址切換成未被電腦對應的IP位址，再進行檔案的存取與複製。經由上述一連串的證據與事實證明，一審法院認定被告Y以不當得利為目的而複製（取得）原告公司的營業秘密，處以拘役兩年、併科罰金50萬日幣的判決。 參、判決評析 從本案可知，原告為保護其營業秘密，針對存取/接觸營業秘密者設有相關限制管理。亦即，藉由IP位址辨識存取網路資料的員工所屬部門及存取權限，再透過存取權限的帳號、密碼進行認證管理，該種管理方式立意良好，但在實施時，卻因為有未被電腦對應的IP位址存在，而讓被告Y取巧以切換IP位址的方式逾越權限接觸並取得原告公司的營業秘密。此外，雖然原告公司有留存電腦log紀錄，因而最後能證明被告Y曾進行六千次以上的資料存取，但若能在事前做好防備，強化管理措施，例如禁止濫用IP位址越權存取或限定存取次數等方式，增加意圖竊取營業秘密者的取得困難，相信能更遏阻潛在或食髓知味的不法行為。 以下從本案原告公司對於員工接觸權限的控管為啟發，例示限制員工存取/接觸營業秘密，可採取的強化對策。 一、適當賦予一定範圍之存取/接觸權。 例如在企業的研發單位，可依專案或產品線而拆分成多個範圍，依據範圍設定可存取/接觸的權限，藉此可避免出現如本案中，僅限定存取/接觸權、卻未區分範圍，導致一人手持帳號密碼便可通行無阻存取/接觸全部資料，造成外洩時損害程度的提高。 二、在上述對策一的基礎上，於資訊系統中註冊存取/接觸權者的帳號。 除了落實一帳號一密碼的原則，針對單一帳號的存取/接觸權限來限制其可閱覽、存取的資料範圍或內容外，若是員工有離職、轉調等情況時，亦要配合以刪除ID、更改存取/接觸權限的方式來應對，避免如本案因作業方便而導致有空的IP位址等開後門的情況，而造成營業秘密管理功虧一簣。 三、以區分保管來限制對營業秘密的存取/接觸權限。 區分保管可大分為「空間分離保管」以及「資料區分保管」。以空間分離保管為例，可依進出人員區分為訪客可進入的區域、持有門禁卡員工均可進入的區域、僅限定該部門員工才可進入的區域、針對保管高機密性資訊區域，實施指紋等生物認證的門禁管制。而以資料區分保管為例，常見的做法有高機密性文件與一般文件區分保管。 例如在本案中，隸屬於業務技術部的人員，便不應該擁有自由存取/接觸其他部門—研發部門之研發資料的權限，建議企業可透過前述的空間分離保管、資料區分保管，兩種方式雙管齊下，實施跨部門資料存取權限的控管。 四、禁用私人紀錄媒體、落實紀錄媒體的使用及保管。 嚴禁使用外接式的私人紀錄媒體，企業除了須備足員工所需的紀錄媒體之外，更需制訂與落實紀錄媒體的使用及保管措施。在本案中，即因原告公司當時的業務技術部部長（下稱部長Q）發現到部門內的紀錄媒體使用不受控管，導致私人紀錄媒體濫用的現象，便於其轄下部門制定如：建立可攜式紀錄媒體管理清單及使用規定，落實借出/返還管理、以及明訂禁止攜入或使用私人的外接式紀錄媒體的規範等，法院因而認定原告公司已採取合理保密措施。 然而，除了明定紀錄媒體的禁止使用或限制使用等規定外，還應透過週會、組會、課程宣導等方式周知可攜式紀錄媒體的使用規則，同時透過定期稽核確保該使用規則的確實執行，避免徒有管理規範卻未落實控管。 肆、結論 本案原告公司雖明定營業秘密相關的管理規定，例如權限設定、禁用私人紀錄媒體、公司紀錄媒體使用及保管等各種管理措施，而在本案獲得勝訴判決。但除了管理措施有可強化之處外，主要的原因仍發生於管理機制於實際運作上未嚴格落實，而有部門員工長期持有企業配置的硬碟與USB隨身碟而未歸還，甚或違反禁止使用私人可攜式紀錄媒體的規定，使用私人硬碟等的狀況，造成被告Y有機可乘使用私人硬碟儲存原告公司上萬筆設計圖面等資料。 從此可知，即便企業已建立各種營業秘密相關的管理措施，仍須定期追蹤掌握管理機制的落實，例如定期內部檢視和外部稽核、不定期抽查員工電腦使用紀錄等，確保營業秘密的有效管理。同時間，企業亦應隨時預警任何不符規定的異常警報，透過log異常行為的警示設定，提早發現問題並採取證據保全措施，將營業秘密外洩風險或損害降至最低。 企業歷經營業秘密的盤點、分級、達成管理措施共識，到形成各部門遵循的管理制度等繁複流程，始確認營業秘密保護標的及合法合理的管理措施，若是未落實執行管理，除了增加營業秘密外洩的風險，於後續訴訟階段也難以處於有利舉證的立場。所謂魔鬼藏在細節裡，無論是何種對策，確實落實而不流於形式，更是保護營業秘密的不二法則。 本文同步刊登於TIPS網站（http://www.tips.org.tw） [1] 名古屋地裁平成26年8月20日判決。 [2] 2011年日本《不正競爭防止法》第21條第1項第3款。 [3] 2013年我國《營業秘密法》第13條之1第1項第3款。
新加坡個資保護法責任指南新加坡個人資料保護法(Personal Data Protection Act 2012, PDPA)的基本原則之一在於可歸責性(Accountability)之建立，原因在於個資保護的責任歸屬，是組織對個資的持有與控制所為的承諾與責任表示。因此，PDPA第11、12條之法遵責任，組織必須對所持有或控制的個資負責，並且需制定並實施資料保護政策、溝通並告知員工相關政策、及履行PDPA義務所必須施行之流程與作法。於組織責任而言，PDPA雖有強制性義務責任，但應忖量組織內部責任歸屬的措施，而非僅將責任落於遵守法律的程度，組織必須從合於法規的方法轉為基於責任歸屬的方法來管理個人資料。 從而，該指南在政策、人員、流程等領域中透過資料生命週期的循環，確立組織責任歸屬。從落實良好的責任制始於組織領導力的概念出發，設定組織管理高層之職責與調性，繼而規劃處理個資及管理資料風險的方法。並由組織人員治理面向，確立溝通資訊與員工培訓知識與資源。除此之外，也在特定流程設置上，紀錄個人資料流動，了解如何收集、儲存、使用、揭露、歸檔或處理個人資料為流程的首要任務，繼而確認資料保護層面主要的差距與需要改進的領域。再將資料保護實踐於業務流程、系統、商品或服務。
歐盟公布人工智慧法，建立全球首部AI全面監管框架歐盟公布人工智慧法，建立全球首部AI全面監管框架 資訊工業策進會科技法律研究所 2024年07月12日 歐盟理事會於2024年5月22日正式批准《人工智慧法》（Artificial Intelligence Act，下稱AIA）[1]，該法於2024年7月12日公告於歐盟的官方公報上，將自8月1日起生效，成為全球首部全面性監管AI的法律框架。 壹、事件摘要 人工智慧技術的應用廣泛，隨著使用情境增加，潛在的風險也逐一浮現。歐盟於2018年就提出「可信任的人工智慧」（Trustworthy AI）的概念[2]，認為透過妥善的制度管理人工智慧的研發與使用，即使人工智慧具有多種風險，也可以使民眾享受人工智慧帶來的福祉。因此，歐盟執委會提出全球第一部全面監管人工智慧的法案，為人工智慧的設計、開發、部署、及使用建立適當的規範，希望法律的確定性能促進該技術的創新，並建立各界對於該技術的信心，擴大其採用，使該技術能造福人群。 自從歐盟執委會於2021年4月提出人工智慧法草案以來，其後續發展備受全球矚目，也吸引歐洲的人權組織、學術團體以及大型科技公司的關注。在多方利益關係者的遊說與介入下，該法案一度陷入僵局，其中生成式人工智慧（Generative AI）亦為爭議焦點。歐洲議會和理事會的AIA草案修正版本中，曾經納入生成式AI的定義與監管條款，然最後拍板定案以AI系統與基礎模型為監管對象，並未針對生成式AI。理事會、執委會和歐洲議會經過多次三方會談，終於在2023年12月8日就內容達成協議[3]，草案在2024年3月13日交由歐洲議會大會表決，最終以壓倒性的票數通過該法。[4] 貳、重點說明 AIA全文分為13個章節，總計有113個條文以及13個附件。[5]AIA採分階段實施的方式，該法在生效三年後才可能完全實施。[6]本文擬就該法建立的AI監管框架，包括其適用範圍與規範、管理方式、治理組織、實施和配套措施等規定，擇重點說明如下。 （一）規範對象 AIA的規範對象分為兩類，其一為AI系統；另一為通用人工智慧模型（General Purpose Artificial Intelligence Model, GPAI，下稱通用AI模型）。 1. AI系統 為與國際接軌，歐盟修改AIA有關AI系統的定義，使其與「經濟合作暨發展組織」（Organisation for Economic Cooperation and Development，OECD）的定義一致，令該法更具國際共識基礎。AI系統被定義為「一種機器的系統，它以不同程度的自主性運作，在部署後可能展現適應性，並且對於明確或隱含的目標，從接收到的輸入推斷如何產生預測、內容、建議或可能影響實體或虛擬環境的決策等輸出。」[7] AIA設有豁免規定，涉及國安和軍事領域、科學研究和開發目的、純粹個人非專業活動使用的AI系統、以及大部分的免費及開源軟體並不適用AIA規範。免費及開源軟體只有屬於高風險或生成式AI系統、或涉及生物特徵和情緒識別目的，才須遵守AIA規範。[8] 2. 通用AI模型 執委會的草案原本不包含通用AI模型，在歐洲議會和理事會的建議下，AIA最後亦將通用AI模型納入監管。所謂通用AI模型，係指具有顯著通用性的AI模型，它可以勝任各種不同任務的執行，並且可以與下游的系統或應用程式整合。[9] 值得注意的是，AIA只約束已經在歐盟上市的通用AI模型，在上市前用於研究、開發和原型設計活動的通用AI模型並不包括在內。 （二）以風險為基礎的分級管理方式 AIA採取風險途徑監管AI系統和通用AI模型，視潛在風險和影響程度決定義務內容，對於兩者建立不同的分類規則，並針對AI系統整個生命週期進行規劃、建立AI系統和通用AI模型在各階段應符合的要求，由AI價值鏈的參與者分別承擔相應責任，其中以提供者（provider）和部署者（deployer）為主要的責任承擔者。[10] 1. AI系統的分級管理 根據風險程度對系統進行分類，以具有高風險的AI系統為主要規範對象，該類系統在投入市場或使用前必須通過合格評估，並遵守嚴格的上市後規範；而具有不可接受風險的AI系統則禁止使用。另外，AIA還訂有透明性義務，舉凡與人互動、具生成內容能力之AI系統提供者皆應遵守；如果AI產生內容具有深偽（deep fake）效果，其系統部署者還應遵守額外的規定，揭露該內容係人工生成或操縱的結果[11]。 2. 通用AI模型的分級管理 AIA訂有通用AI模型的共通義務[12]，並根據模型的能力判定其是否具有系統性風險（systemic risks）。[13]所有的通用AI模型提供者都須公開模型訓練內容的詳細摘要，並遵守歐盟著作權法的規定[14]；而具有系統性風險的通用AI模型提供者，還須負擔額外的義務。[15] （三）治理組織 1. AI辦公室 為順利實施AIA，執委會已成立一「人工智慧辦公室」（AI Office，下稱AI辦公室），負責促進、監督AIA落實，它同時也是通用AI模型的監管機構。[16]AIA框架下，會員國市場監管機構僅負責AI系統的監管工作。 2.人工智慧委員會 除了AI辦公室外，還設有一「人工智慧委員會」（AI Board），由歐盟會員國派代表成立，主要負責協調各國的作法、交換資訊、以及提供各國市場監管機構建議。[17] 3.「獨立專家科學小組」與「諮詢論壇」 歐盟層級還有兩個支持性的組織：「獨立專家科學小組」（Scientific Panel of Independent Experts）和「諮詢論壇」（advisory forum），可提供落實AIA規範所需之專業技術知識與實施建議。 獨立專家科學小組的成員係由執委員會指定，執委會將視任務所需的最新科學或技術專業知識進行挑選，該小組最重要的任務在於支援通用AI模型和系統相關規定的實施和執行，包括向AI辦公室通報存在系統性風險的通用AI模型、開發通用AI模型和系統能力評估的工具和方法等。[18] 諮詢論壇成員亦由執委會指定，執委會應顧及商業和非商業利益間的平衡，從AI領域具有公認專業知識的利害關係人當中，尋找適當的人選。諮詢論壇主要任務是應理事會或執委會的要求，準備意見、建議和書面報告，供其參考。[19] 4.會員國內部各自之市場監管機關 在會員國層級，由各國市場監管機關負責督導AIA規定之實施[20]，各國並將成立或指定公告主管機關（notifying authority），負責進行公告合格評估機構（notified bodies）評選與指定事宜，日後將由各公告合格評估機構負責AIA下的第三方合格評估業務。[21] （四）實施與配套措施 1.分階段實施 AIA的規定將在該法生效24個月後開始實施，然考慮到歐盟和會員國的治理結構尚在討論中，且業界在法遵上也需要時間調適，因此AIA的部分條文將分階段實施。 (1) AIA通則以及不可接受風險的AI系統禁令在該法生效6個月後即實施； (2) 通用AI模型、第三方認證機構和會員國公告合格評估機構、以及違反AIA的罰則等相關規範，於該法生效12個月後開始實施； (3) AIA附件III清單之高風險AI系統相關義務，要等該法生效36個月後才開始實施； (4) 而AIA生效前已上市之通用AI模型提供者，應在該法生效36個月內，採取必要行動使其模型合乎AIA規定。[22] 2.罰則規定 AIA訂有罰則，在AIA措施正式實施後，違規者可能面臨鉅額罰款[23]。 3.配套措施 由於AIA以建立監管框架為主，相關規定之實施細則或標準，這仍待執委會逐步制定。因此，在AIA各配套辦法提出之前，AI辦公室將以「實踐守則」（codes of practice）[24]和「行為守則」（codes of conduct）之訂定與推動為主，另外又提出「人工智慧公約」，希望藉由此些配套措施協助受AIA規範的各方，使其在最短時間內能順利履行其應盡義務。 (1) 「實踐守則」 實踐守則（codes of practice）針對的是通用AI模型提供者。AI辦公室將鼓勵所有通用AI模型提供者推動和參與實踐守則的擬定，AI辦公室亦將負責審查和調整守則內容，確保反映最新技術及利害關係各方的觀點。實踐守則應涵蓋通用AI模型和具系統性風險的通用AI模型提供者的義務、系統性風險類型和性質的風險分類法（risk taxonomy）、以及具體的風險評估和緩解措施。[25] (2) 「行為守則」 行為守則（codes of conduct）之目的在於推動AIA的廣泛適用，由AI辦公室和會員國共同推動，鼓勵高風險AI系統以外的AI系統提供者、部署者和使用者等響應，自動遵循AIA關於高風險AI的部分或全部要求。AI系統的提供者或部署者、或任何有興趣的利害關係人，都可參與行為準則。[26] (3) 「人工智慧公約」 AIA中的高風險AI系統以及其他重要規定需待過渡期結束才開始適用[27]，因此執委會在AIA的框架外，另提出「人工智慧公約」（AI Pact，下稱AI公約）計畫，鼓勵企業承諾在AIA正式實施前，即開始實踐該法規範。 AI公約計畫有兩個行動重點，其一是要提供對AI公約有興趣的企業有關AIA實施流程的實用資訊，並鼓勵這些企業進行交流。AI辦公室將舉行研討會，使企業更了解AIA以及如何做好法遵的準備，而AI辦公室也可藉此收集企業的經驗反饋，供其政策制定參考。 另一個重點是要推動企業承諾儘早開始實踐AIA，承諾內容包括企業滿足AIA要求的具體行動計畫和行動時間表，並且定期向AI辦公室報告其承諾進展；AI辦公室會收集並發布這些報告，此作法不僅有助提高當責性和可信度，亦可增強外界對該些企業所開發技術的信心。[28] 參、事件評析 執委會希望透過AIA提供明確的法律框架，在推動AI創新發展之際，也能確保民眾的安全權利保障，並希望AIA能夠複製GDPR所創造的「布魯塞爾效應」（Brussels Effect），為國際AI立法建立參考標竿，使歐盟成為AI標準的領導者。然AI技術應用的革新發展速度驚人，從AIA草案提出後的兩年內，AI技術應用出現顛覆性的變革，生成式AI的技術突破以及該技術已顯現的社會影響，使得歐盟內部對於AIA的監管格局與力度有了更多的討論，看法莫衷一是。因此，AIA最後定案時，內容有多處大幅調修與新增。 （一）AI系統定義與OECD一致 首先，執委會的原始草案中，強調AI系統的定義方式應根據其關鍵功能特徵，並輔以系統開發所使用之具體技術和方法清單。[29]然AIA最後捨棄詳細列舉技術和方法清單的作法，改採與OECD一致的定義方式，強調AI的技術特徵與運行模式。採用OECD的定義方式固然係因OECD對AI系統的定義更具彈性，更能因應日新月異的AI新技術發展；這樣的作法亦有助AIA與國際接軌、更為國際社會廣泛接受。 （二）規範通用AI模型並課予生成式AI透明性義務 其次，生成式AI衍生的眾多問題和潛藏風險引發全球熱議，在AIA的三方會談過程中，生成式AI的管制也是談判的焦點議題。原本外界以為歐盟應該會在AIA嚴加控管生成式AI的應用，尤其是「深偽」（deep fake）技術的應用。然而「深偽」技術在AIA的分類方式下，卻僅屬於有限風險的系統，雖負有透明性義務，卻僅需揭露若干資訊即可。「深偽」的問題暴露出生成式AI系統的監管難題，最後AIA拍板定案，僅在透明性義務的章節中提及生成式AI，並且以技術描述的方式取代一般慣用的「生成式AI」(Generative AI)一詞。 歐盟另闢途徑管理生成式AI。AIA的原始草案僅針對AI系統，並無管制AI模型的條文[30]，然有鑑於生成式AI模型係以通用AI模型開發而成，因此AIA新增「通用AI模型」專章，從更基礎的層次著手處理生成式AI的問題。在AIA生效後，歐盟境內的通用AI模型將統一由歐盟的AI辦公室負責監管。考慮到生成式AI應用的多樣性，歐盟從通用AI模型切入、而不針對生成式AI進行管理，可能是更務實的作法。 （三）推出多項配套措施強化AI治理與法遵 最後，歐盟在AIA框架外，針對不同的對象，另建多項配套措施，鼓勵非高風險AI系統提供者建立行為守則、推動通用AI模型提供者參與「實踐守則」的制定和落實、並號召AI業者參與「AI公約」提早遵循AIA的規定。這些措施可指導相關參與者採取具體的步驟與作法達到合規目的，俾利AIA之實施獲得最佳成效。 AIA眾多執行細則尚待執委會制定，包括高風險AI清單的更新、通用AI模型的分類方式以及標準制定等，這些細節內容將影響AIA的實際執行。我國應持續關注其後續進展以因應全球AI治理的新格局，並汲取歐盟經驗作為我國AI監管政策與措施的參考。 [1]Regulation Of The European Parliament And Of The Council Laying Down Harmonised Rules On Artificial Intelligence (Artificial Intelligence Act) And Amending Certain Union Legislative Acts, 2024, OJ L( 2024/1689), http://data.europa.eu/eli/reg/2024/1689/oj (last visited July. 12, 2024). [2]High-Level Expert Group on AI of the European Commission, Ethics Guidelines for Trustworthy Artificial Intelligence, April 8, 2019. https://digital-strategy.ec.europa.eu/en/library/ethics-guidelines-trustworthy-ai (last visited June 25, 2024). 該小組在2018年12月提出草案並徵求公眾意見，並於2019年4月正式提出該倫理指引。 [3]European Parliament, Press Release: Artificial Intelligence Act: deal on comprehensive rules for trustworthy AI, Dec. 9, 2023, https://www.europarl.europa.eu/news/en/press-room/20231206IPR15699/artificial-intelligence-act-deal-on-comprehensive-rules-for-trustworthy-ai (last visited June 25, 2024). [4]European Parliament, Press Release: Artificial Intelligence Act: MEPs adopt landmark law, March 13, 2024, https://www.europarl.europa.eu/news/en/press-room/20240308IPR19015/artificial-intelligence-act-meps-adopt-landmark-law (last visited June 25, 2024). [5]European Parliament, Position of the European Parliament adopted at first reading on 13 March 2024 with a view to the adoption of Artificial Intelligence Act, https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138_EN.html# (last visited June 25, 2024). [6]AIA, art. 113. [7]AIA和OECD對AI系統的定義的差異僅在於用字遣詞及語句編排方面，兩者在意涵上其實是一致的。See AIA, art. 3(1). [8]AIA, art. 2. [9]AIA, art. 3(63). 執委會原先認為，AI模型無法獨立使用，僅需鎖定AI系統監管即可，然而生成式AI衍生的諸多問題，令人擔憂放任通用AI模型發展可能產生無法預期的後果，因此歐盟最後決定在AIA條文中加入通用AI模型規範。 [10]但AIA訂有豁免適用的規定，包括國安和軍事領域、科學研究和開發目的、以及純粹個人非專業活動使用的AI皆不受AIA約束。AI價值鏈的其它參與者還包括進口商、授權代表、經銷商等。See AIA, art. 2. [11]AIA, art. 50. [12]AIA, art. 53. [13]AIA, art. 51. 「系統性風險」是指通用AI模型特有的高影響力所造成的風險。由於其影響範圍廣大，或由於其對公共健康、安全、公眾的實際或合理可預見的負面影響，進而對歐盟市場產生重大影響。See AIA, art. 3(65). [14]AIA, art. 53. 在上市前用於研究、開發和原型設計活動的通用AI模型除外。 [15]AIA, art. 55.例如進行模型評估、進行風險評估和採取風險緩解措施、確保適當程度的網路安全保護措施。 [16]Commission Decision On Establishing The European Artificial Intelligence Office, C(2024) 390 final, 2024, https://ec.europa.eu/newsroom/dae/redirection/document/101625 (last visited June 25, 2024). [17]AIA, art. 65. [18]AIA, art. 68. [19]AIA, art. 67. 該條款規定，歐盟的基本權利局（The Fundamental Rights Agency）機構、歐盟網路安全局（The European Union Agency for Cybersecurity）、歐洲標準化委員會 (CEN)、歐洲電工標準化委員會 (CENELEC) 和歐洲電信標準協會 (ETSI) 應為諮詢論壇的永久成員。 [20]AIA, art. 70. [21]AIA, art. 28 & 29. [22]AIA, art. 113. [23]AIA, art. 99. [24]AIA, art. 56. [25]AIA, recital 116 & art. 56. [26]AIA, art. 95. [27]AIA有關治理組織、罰則、通用AI模型的規定於該法生效12個月後才開始實施，屬於附件二範圍的高風險AI系統的相關規定則遲至該法生效36個月後才實施。AIA, art. 113. [28]European Commission, Shaping Europe’s digital future: AI Pact, (last updated May 6, 2024) https://digital-strategy.ec.europa.eu/en/policies/ai-pact (last visited June 25, 2024). [29]Proposal for a Regulation Of The European Parliament And Of The Council Laying Down Harmonised Rules On Artificial Intelligence (Artificial Intelligence Act) And Amending Certain Union Legislative Acts, COM(2021) 206 final, recital (6). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021PC0206 (last visited June 25, 2024). [30]執委會的原始草案中，僅於第四章關於AI系統透明性的條文中提及具有「深偽」（deep fake）能力的系統應負揭露義務。