歐盟法院判決在歐盟境內網路下載出售之電腦軟體適用權利耗盡原則說明
歐盟法院（Court of Justice of the European Union）於2012年7月3日對於UsedSoft GmbH v. Oracle International Corp.案作出判決，判定電腦程式法律保護指令（Directive 2009/24/EC of the European Parliament and the Council of 23 April 2009 on the legal protection of computer programs）第1條第2款規定，指令適用於任何形式的電腦程式，第4條第2款進一步說明，指令對於電腦程式的保護不區分實體載具（例如CD或DVD）或網路下載，均有權利耗用原則（exhaustion right）或稱第一次銷售原則（first sale doctrine）的適用。授權人的權利在第一次出售軟體並換以價金時即耗盡，權利轉移至被授權人。因此，在歐盟境內網路下載購買無限期專屬授權的數位軟體之被授權人，可將所有的軟體再出售，而在歐盟境內不受授權條款中「權利不可移轉」等文字的限制。不過，被授權人再出售軟體時必須不可再使用該軟體，歐盟法院允許軟體提供商利用類似產品金鑰（product keys）的保護技術管理其權利。
本文為「經濟部產業技術司科技專案成果」
- Stephen G. Charkoudian, Joe; E. Lehrer and Achal Oaz, Enropean, Goodwin Procter Newsletter, EU Court of Justice Rules First Sale Doctrine Applies to Software Downloads
- Directive 2009/24/EC of the European Parliament and the Council of 23 April 2009 on the legal protection of computer programs
- Case C-128/11, UsedSoft GmbH v. Oracle International Corp., Judgment of the Court (Grand Chamber)
日本內閣府於2023年5月26日召開第2次「AI戰略會議」（AI戦略会議），並公布「AI相關論點之初步整理」（AIに関する暫定的な論点整理）。鑒於AI對於改善國人生活品質、提高生產力無疑有相當助益，考量生成式AI甫問世，社會大眾對其潛在風險尚心存疑慮，內閣府遂以生成式AI為核心，延續先前已公布之「AI戰略2022」（AI 戦略 2022）、「以人為中心的AI社會原則」（人間中心の AI 社会原則），以「G7廣島峰會」（G7広島サミット）所提出之願景—「符合共同民主價值的值得信賴AI」為目標，提出「風險因應」及「應用與開發」兩大關注重點，供政府有關部門參考之同時，並期待可激起各界對於生成式AI相關議題之關注與討論： 一、風險因應：AI開發者、服務提供者與使用者應自行評估風險並確實遵守法規及相關指引；政府則應針對風險應對框架進行檢討，對於已知的風險，應先以現有的法律制度、指引與機制進行處理，假如現有法制等無法完全因應這些風險，則應參考各國作法盡速對現行制度進行修正。 AI的透明度與可信賴度於風險因應至關重要。若能掌握AI學習使用哪些資料、所學習資料之來源、AI如何產生結果等，就能針對使用目的選擇適合的AI，也較易因應發生之問題，並避免AI產生錯誤結果或在對話中洩漏機密資訊等。對此，本文件呼籲AI開發者及服務提供者依據現行法令和指引主動揭露資訊，政府則應對透明度和可信賴度相關要求進行檢討，並應依普及程度及各國動向對既有的指引進行必要之修正。 二、應用與開發：本文件建議政府部門積極使用生成式AI於業務工作上，找出提升行政效率同時不會洩漏機密之方法，並向民眾宣導AI應用之益處與正確的使用方式，以培養民眾AI相關技能與素養，藉以更進一步建構AI應用與開發之框架，如人才培育、產業環境準備、相關軟硬體開發等。
論ENUM服務推動與應用之法制議題 因應使用「生成式AI（Generative AI）」工具的營業秘密管理強化建議2024年7月1日，美國實務界律師撰文針對使用生成式AI（Generative AI）工具可能導致的營業秘密外洩風險提出營業秘密保護管理的強化建議，其表示有研究指出約56%的工作者已經嘗試將生成式AI工具用於工作中，而員工輸入該工具的資訊中約有11%可能包含公司具有競爭力的敏感性資訊或客戶的敏感資訊，以Chat GPT為例，原始碼（Source Code）可能是第二多被提供給Chat GPT的機密資訊類型。系爭機密資訊可能被生成式AI工具提供者（AI Provider）用於訓練生成式AI模型等，進而導致洩漏；或生成式AI工具提供者可能會監控和存取公司輸入之資訊以檢查是否有不當使用，此時營業秘密可能在人工審查階段洩漏。 該篇文章提到，以法律要件而論，生成式AI有產生營業秘密之可能，因為營業秘密與著作權和專利不同之處在於「發明者不必是人類」；因此，由生成式 AI 工具協助產出的內容可能被視為營業秘密，其範圍可能包括：公司的內部 AI 平台、基礎的訓練算法和模型、輸入參數和輸出結果等。惟基於目前實務上尚未有相關案例，故生成式AI輸出結果在法律上受保護的範圍與條件仍需待後續的判例來加以明確。 實務專家提出，即使訴訟上尚未明確，企業仍可透過事前的管理措施來保護或避免營業秘密洩露，以下綜整成「人員」與「技術」兩個面向分述之： 一、人員面： 1.員工（教育訓練、合約） 在員工管理上，建議透過教育訓練使員工了解到營業秘密之定義及保護措施，並告知向生成式AI工具提供敏感資訊的風險與潛在後果；培訓後，亦可進一步限制能夠使用AI工具的員工範圍，如只有經過培訓及授權之員工才能夠存取這些AI工具。 在合約方面，建議公司可與員工簽訂或更新保密契約，納入使用生成式AI的指導方針，例如：明確規定禁止向生成式AI工具輸入公司營業秘密、客戶數據、財務信息、未公開的產品計劃等機密資訊；亦可增加相關限制或聲明條款，如「在生成式AI工具中揭露之資訊只屬於公司」、「限制公司資訊僅能存儲於公司的私有雲上」等條款。 2.生成式AI工具提供者（合約） 針對外部管理時，公司亦可透過「終端使用者授權合約（End User License Agreement，簡稱EULA）」來限制生成式AI工具提供者對於公司在該工具上「輸入內容」之使用，如輸入內容不可以被用於訓練基礎模型，或者該訓練之模型只能用在資訊提供的公司。 二、技術方面： 建議公司購買或開發自有的生成式AI工具，並將一切使用行為限縮在公司的私有雲或私有伺服器中；或透過加密、防火牆或多種編碼指令（Programmed）來避免揭露特定類型的資訊或限制上傳文件的大小或類型，防止機密資訊被誤輸入，其舉出三星公司（Samsung）公司為例，三星已限制使用Chat GPT的用戶的上傳容量為1024位元組（Bytes），以防止輸入大型文件。 綜上所述，實務界對於使用生成式AI工具可能的營業秘密風險，相對於尚未可知的訴訟攻防，律師更推薦企業透過訴訟前積極的管理來避免風險。本文建議企業可將前述建議之作法融入資策會科法所創意智財中心於2023年發布「營業秘密保護管理規範」中，換言之，企業可透過「營業秘密保護管理規範」十個單元（包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理，甚至是後端的爭議處理機制，如何監督與改善等）的PDCA管理循環建立基礎的營業秘密管理，更可以透過上述建議的做法（對單元5.使用管理、單元6.1保密約定、單元6.4教育訓練、單元7.網路與環境設備管理等單元）加強針對生成式AI工具之管理。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
歐洲網路暨資訊安全局發布「重要資訊基礎設施下智慧聯網之安全基準建議」歐洲網路暨資訊安全局(European Union Agency for Network and Information Security, ENISA)於2017年11月20號發布了「重要資訊基礎設施下智慧聯網之安全基準建議」。該建議之主要目的乃為歐洲奠定物聯網安全基礎，並作為後續發展相關方案與措施之基準點。 由於廣泛應用於各個領域，智慧聯網設備所可能造成之威脅非常的廣泛且複雜。因此，了解該採取與落實何種措施以防範IOT系統所面臨之網路風險非常重要。ENISA運用其於各領域之研究成果，以橫向之方式確立不同垂直智慧聯網運用領域之特點與共通背景，並提出以下可以廣泛運用之智慧聯網安全措施與實作: (一) 資訊系統安全治理與風險管理 包含了與資訊系統風險分析、相關政策、認證、指標與稽核以及人力資源相關之安全措施。 (二) 生態系管理 包含生態系繪製以及各生態系的關聯。 (三) IT安全建築 包含系統配置、資產管理、系統隔離、流量過濾與密碼學等資安措施。 (四) IT安全管理 帳戶管理與資訊系統管理之相關安全措施。 (五) 身分與存取管理 有關身分確認、授權以及存取權限之安全措施。 (六) IT安全維護 有關IT安全維護程序以及遠端存取之安全措施。 (七) 偵測 包含探測、紀錄日誌以及其間之關聯與分析之安全措施。 (八) 電腦安全事件管理 資訊系統安全事件分析與回應、報告之資安措施。