三菱電機子公司三菱電機informationsystems公司所研發的圖書館系統發生個資外洩事件
三菱電機informationsystems公司所研發用於圖書館的系統封包MELIL/CS造成引進系統的圖書館發生個人資訊外洩與Web館藏檢索系統當機的系統障礙。從2010年7月到9月因系統障礙，總共有3間圖書館，共2971人的姓名、出生日期、住址、電話及圖書名稱等個人資料外洩。
有關個人資料外洩的經過，是因為三菱電機informationsystems公司在研發MELIL/CS系統時，先在引進系統的圖書館進行系統測試，於測試之後再將系統程式帶回公司修改，此時就不知情的將存有個人資料的程式帶回公司，也把這些資料登錄到產品的原始碼上。因此將進行測試的2間圖書館使用人約210人的個人資料登錄於該產品的原始碼上。
但發生個資外洩的直接原因更在於負責三菱電機informationsystems公司產品運作、維修的銷售伙伴千代田興產公司，該公司所設置的伺服器完全沒有設定權限區分，甚至不需密碼就可以連接該公司伺服器存取資料。因此發生第三人進入該公司伺服器，下載3個引進該系統圖書館約3000人的個人資料。
另外對於Web館藏檢索系統當機的發生，是因為圖書館使用人為了獲取圖書館新增加館藏圖書的資訊，以自動蒐集資訊程式直接存取館藏資料庫所發生。三菱電機informationsystems公司當初在設定網路連接圖書館系統，是以一次存取可以連接10分鐘的方式，所以只要以連接頻率高的機械性存取，只要超過資料庫的同時連接數的設定數值，就會發生存取障礙。
對於三菱電機informationsystems公司系統設計失當及千代田興產公司未設定伺服器存取權限所造成個人資料外洩事件，因為這兩家公司都是屬於財團法人日本情報處理開發協會（JIPDEC）的取得隱私標章企業，所以由JIPDEC依據隱私標章營運要領中的「有關賦予隱私標章規約」第14條規定，各處以由2011年1月起3個月的隱私標章停權處分。
美國聯邦貿易委員會(Federal Trade Commission，以下簡稱FTC)在2016年2月針對一款宣稱能矯正視力之Ultimeyes App處罰。此款App由Carrot Neurotechnology公司研發，以美金9.99元於平台上販售供民眾下載。App宣稱具有提升及改善視力功能，透過App使用即可在日常生活中的各種活動中，感受視力恢復而不需使用眼鏡。然而，FTC起訴認為，App所稱之使用療效，缺乏充分的文獻資料佐證說明。其必須具備完整及可信賴的科學證據來證明，包含臨床試驗或盲測等方式，且該科學證明必須符合相同領域專家所認定之標準，否則，該款App內容所標榜之效果即屬不實陳述，將造成民眾誤認。為此，Carrot Neurotechnology公司最終以美金15萬達成和解，並且經FTC要求，若將App說明當中未經科學證明的療效部份予以刪除，即可繼續再繼續販售此款App。此案並非美國FTC首度針對mHealth App處罰之案例，然而，可能造成mHealth App發展業者對FTC與FDA角色之間之混淆，後續兩者主管機關之間之角色如何調和將是未來關注之重點。反觀我國，目前雖無相關案例發生，然在鼓勵發展之際，亦應考量是否有違反消費者保護之情形。
美國上訴法院營業秘密判決關於軟體功能之合理保密措施認定2022年3月9日美國聯邦第二巡迴上訴法院（下稱上訴法院）於Turret Labs USA, Inc. （下稱Turret） v. CargoSprint, LLC（下稱CargoSprint）案，維持紐約東區聯邦地區（下稱原審法院）的結論，駁回Turret的請求。依照上訴法院判決的結論，確認在原告主張軟體功能被盜用時，必須證明其與軟體供應商及使用者均簽訂保密協議，始符合保護營業秘密法（Defend Trade Secrets Act，DTSA）所定之營業秘密。 2021年2月Turret指控CargoSprint及其CEO，以詐欺的方式，進入其授權Lufthansa Cargo Americas（下稱Lufthansa）使用的Dock EnRoll軟體，並對於軟體的技術資訊及演算法，進行逆向工程，盜用其營業秘密。CargoSprint則抗辯Turret所主張者，不成立營業秘密。 對於軟體功能的合理保密措施認定標準，不論是原審法院及上訴法院均指出，應在於「誰被允許接觸」及「保密協議」。首先，對於「誰被允許接觸」之認定，原審法院指出Turret完全把軟體控制權委由Lufthansa，而Lufthansa使其顧客了解Dock EnRoll軟體功能。上訴法院則指出雖然Lufthansa已限制僅得貨運代理相關的使用者，能夠接觸軟體，但Turret並不能證明其與Lufthansa達成協議，由Lufthansa作出前述的軟體使用者限制。其次，對於「保密協議」之認定，不論原審法院及上訴法院均指出Turret未能證明其與Lufthansa及其他軟體使用者已簽訂保密協議。綜上所述，兩審級法院均認為Turret未採取合理保密措施。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
德國針對企業聯網資訊安全及資料保護相關法律提出建議文件德國經濟及能源部於2018年3月8日為企業聯網資訊安全保護措施建議及資料保護、資料所有權相關法規提出建議文件，協助中小企業提升對於組織及特別領域中的資安風險之意識，並進一步採取有效防護檢測，包括基本安全防護措施、組織資安維護、及法規，並同時宣導德國資料保護法中對於資安保護的法定要求。 資通訊安全及其法規係為企業進行數位化時，涉及確保法的安定性（Rechtssicherheit）之議題。例如：應如何保護處理後的資料？如何執行刪除個人資料權利？各方如何保護營業秘密？如果資料遺失，誰應承擔責任？唯有釐清上述相關等問題時，方能建立必要的信任。而在德國聯邦資料保護法，歐盟一般個人資料保護法、歐盟網路與資訊安全指令等規範及相關法律原則，係為數位創新企業執行資安基礎工作重要法律框架。但是，由於數位化的發展，新的法律問題不斷出現，目前的法律框架尚未全面解決。 例如，機器是否可以處理第三方資料並刪除或保存？或是誰可擁有機器協作所產生的資料？因此，未來勢必應針對相關問題進行討論及規範。鑑於日益網路化和自動運作的生產設備，工業4.0的IT法律問題變得複雜。一方面，需要解決中、大型企業的營業祕密，資料所有權和責任主題之實際問題，以促進相關數位化創新。另一方面，為了能夠推導出現實的法律規範，需要更多具體實施案例討論，例如，企業家對產品責任問題，人工智慧使用，外包IT解決方案，及雲端計算等核心等問題，政府應協助為所有公司在安全框架下展開數位計畫合作的機會，並充分利用網路的潛力，而中小企業4.0能力中心也將為中小型公司在數位化目標上提供IT法問題方面的支持。
落實完善數位資料管理機制，有助於降低AI歧視及資料外洩風險落實完善數位資料管理機制， 有助於降低AI歧視及資料外洩風險 資訊工業策進會科技法律研究所 2023年07月07日 近年來，科技快速發展，AI(人工智慧)等技術日新月異，在公私部門的應用日益廣泛，而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出，隨著由OpenAI開發的ChatGPT取得成功，更促使各領域對於AI應用的高度重視與投入[1]，與此同時，AI歧視及資料外洩等問題，亦成為社會各界的重大關切議題。 壹、事件摘要 目前AI科技發展已牽動全球經濟發展，根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力：下一個生產力前沿(The next productivity frontier)》研究報告指出，預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中，45%受訪者認為ChatGPT問世，增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險，僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料，將可能複製人類偏見，造成AI歧視問題，而且若程式碼有漏洞或帳戶被盜用時，亦會造成資料外洩問題。 貳、重點說明 首先，關於AI歧視問題，以金融領域為例，近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時，如決定是否能取得貸款，應確保申請人不受性別或膚色等歧視[4]，同時亦有論者認為若用於訓練AI的歷史資料，本身存有偏見問題，則可能導致系統自動拒絕向邊緣化族群貸款，在無形之中加劇，甚至永久化對於特定種族或性別的歧視[5]。 其次，關於資料外洩問題，資安公司Group-IB指出因目前在預設情況下，ChatGPT將保存使用者查詢及AI回應的訊息紀錄，若帳戶被盜，則可能洩露機敏資訊。據統計在2022年6月至2023年5月間，在亞太地區有近41000個帳戶被盜，而在中東和非洲地區有近25000個帳戶被盜，甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時，ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外，甚至發生個人資料外洩問題，即用戶可能知悉他人的姓名、電子郵件，付款地址，信用卡到期日及號碼末四碼等資料[7]。 參、事件評析 對於AI歧視及資料外洩等問題，應透過落實完善數位資料治理與管理機制，以降低問題發生的風險。首先，在收集訓練資料時，為篩選適合作為模型或演算法基礎的資料，應建立資料評估或審查機制，減少或避免使用有潛在歧視問題的資料，以確保分析結果之精確性。 其次，不論對於訓練資料、分析所得資料或用戶個人資料等，均應落實嚴謹的資料保密措施，避免資料外洩，如必須對於資料進行標示或分類，並依照不同標示或分類，評估及採取適當程度的保密措施。同時應對於資料進行格式轉換，以無法直接開啟的檔案格式進行留存，縱使未來可能不慎發生資料外洩，任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時，亦應採取適當加密傳送機制，避免遭他人竊取，盜取帳戶或個人資料。 財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善，於2021年7月發布「重要數位資料治理暨管理制度規範（Essential Data Governance and Management System，簡稱EDGS）」，完整涵蓋數位資料的生成、保護與維護，以及存證資訊的取得、維護與驗證的流程化管理機制，故對於不同公私部門的AI相關資料，均可參考EDGS，建立系統性數位資料管理機制或強化既有機制。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023). [2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023). [3]Gartner, supra note 1. [4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023). [5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023). [6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023). [7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).