紐西蘭IT專家組織2012年5月發布雲端運算實務準則
紐西蘭最為歷史悠久的IT專家組織（Institute of IT Professionals NZ）於2012年5月發布雲端運算實務準則（Cloud Computing Code of Practice），藉此彌補實務上缺乏雲端運算標準與實務指針的問題；本準則為自願性遵循規範，以紐西蘭為市場的外國雲端業者、及紐西蘭的業者皆可適用之，並可向公眾宣示其已遵行此準則，然倘若未遵行而為遵行之宣示，則屬誤導或詐欺行為而觸犯公平交易法（Fair Trading Act 1986）。本準則有四個主要目標：1. 促進紐西蘭雲端產業的服務標準；2. 確立應揭露（disclosure）的標準；3. 促進雲端服務提供者與用戶間就資料保護、隱私與主權等事項的揭示；4.強化紐西蘭雲端運算產業的整合性。
依據此準則，雲端業者的資訊揭露範圍至少應包含業者基本資料、資訊所有權、管理及保護、與服務提供之適當管理措施等。在資訊所有權層面，業者應表明是否對所上載的資料或資訊主張所有權；而當用戶透過雲端服務利用或傳輸的資料而儲存於其他上游業者的網路或系統時，業者應確認其資料所有權之歸屬。
在資料管理與保障層面，業者應表明遵從何種資訊安全標準或實務，其已向美國雲端產業聯盟（Cloud Security Alliance）進行STAR登記，或者已通過其他標準的驗證；此外應表明儲存資料伺服器之一處或多處所在地。再者，業者亦須表明服務關係繼續中或終止後，業者或客戶對於客戶所擁有資料之存取權限。
在服務提供的適當管理措施上，包含業者的備份（Backup）程序及維護措施，皆應為揭露，使用戶得據以評估是否採取進一步的資料保護措施；此外包括服務的繼續性要求，如備援措施…等，亦應為揭露；又鑒於雲端服務有地理多樣性（Geographic Diversity）的特質，業者應使用戶知悉其提供服務、或營業活動的地點，以判斷此等服務可能適用的法權（Legal Jurisdiction）。
依據此準則，雲端業者亦可例如透過服務水準協議（Service Level Agreement）對個別用戶承諾特別的服務支援方案，以提供更好的服務品質。
本文為「經濟部產業技術司科技專案成果」
張乃文
主任 編譯整理
New Zealand Computing Society，New Zealand Cloud Computing Code of Practice May 2012,http://www.nzcloudcode.org.nz/wp-content/uploads/2012/05/NZCloudCode.pdf（last visited June 29, 2012）
初探與省思我國法制下之侵權行為適用於非依軌道行駛之自動駕駛車輛之過失內涵 資訊工業策進會科技法律研究所 2019年03月15日 壹、事件摘要 於2018年03月18日晚間10時許，美國亞利桑那州（Arizona，下稱Arizona）一名49歲的婦人，遭到配備Uber自動駕駛系統之車輛[1]，在運行自動領航模式（Autopilot）下撞擊，雖然該婦人立即送往醫院，但仍回天乏術而在醫院中去世。就在前開事故發生後，Arizona州長Doug Ducey因此下令其暫停測試。[2] 此外，同年12月11日晚間10時許，在我國有一輛配備自動輔助駕駛功能的Tesla，疑似駕駛人精神不濟因而未能及時注意車前狀況，導致車禍發生，雖然肇責是否牽涉Tesla之自動輔助駕駛功能或駕駛人本身有無疲勞駕駛等情事，有待進一步釐清。[3] 綜上，不論測試或道路駕駛，現今社會已不乏具有一定自動駕駛等級之車輛於路上行駛，然而在推廣、研發或應用自動駕駛車輛（下稱自駕車）的同時，若不幸發生類似前開新聞之（車禍）事故時，相關肇事責任究應如何釐清，隨著我國已於2018年12月19日公布無人載具科技創新實驗條例以積極推動自駕車相關應用，更愈顯重要，為解決前開肇事相關疑慮，本文擬針對民事上之「過失」本質，反思自駕車相關應用可能延伸的事故責任，是否因應科技發展而有不同的過失內涵。 貳、重點說明 承上，面對自駕車相關科技與應用的世界洪流，若發生車禍等交通事故時，當事人相關之損害賠償請求，仍大多以民法上之侵權行為作為基礎，雖事故肇因種類眾多，亦常見各類的肇因共同造成事故發生，但本文考量相關議題繁複，以下僅就非依軌道行駛之自駕車、駕駛人過失內涵等框架下依序進行初探與反思： 一、我國侵權行為損害賠償係以行為人有無具抽象輕過失為斷 車禍之發生，若涉及駕駛人之行為者，受有不論財產或人身損害之人而欲請求賠償者，無論係依據民法第184條以下何條侵權行為之規定（即民法第184條第1項前段、同條項後段或第191條之2等規定），請求駕駛自駕車之人賠償，前提均為駕駛人具有過失，差別僅在舉證責任是否由請求權人（受有損害之人）負擔。 承上，既然前開侵權行為之重要成立要件為過失，其具體內容為則為駕駛人之注意義務應至何種程度，然在我國民事過失責任之架構上，有不同程度上之區分，即分別為抽象輕過失、具體輕過失及重大過失三種。申言之，抽象輕過失為欠缺應盡善良管理人之注意者義務；具體輕過失者為欠缺應與處理自己事務為同一注意者；重大過失者為顯然欠缺普通人之注意者[4]。 對此，實務見解[5]以及學者[6]歷來均認侵權行為之過失標準，應以行為人是否克盡客觀化之過失標準─抽象輕過失，倘否，則應負擔過失之賠償責任，是以，就此脈絡推論，自駕車之駕駛人若有違善良管理人注意義務致車禍發生且使他人受損害，即應負損害賠償責任。 二、駕駛人注意義務與自駕車自動駕駛程度間之互動 根據引領世界自駕車標準的領銜者─國際汽車工程師學會（Society of Automotive Engineers International，下稱SAE）所分類之自動化駕駛等級，區分為等級0至等級5（共6個等級），而等級3後之自駕車即開始逐漸將環境監控的任務從駕駛人移轉至車輛本身，而駕駛人僅在特殊條件下，方須接管駕駛車輛，更甚在等級5時是由自駕車在任何狀況下均可自行駕駛，不過在等級2前之等級，環境監控之任務大多在駕駛人身上，自駕車至多僅係協助運行駕駛人之指令[7]。 然而，自駕車駕駛人因車禍所生之侵權行為責任，誠如前述，係以駕駛人存有抽象輕過失作為前提，而過失之本質，則係雖非故意，但按其情節，（1）行為人（駕駛自駕車之人）應或能注意，卻不注意，或（2）雖可預見侵權行為（車禍肇事）之事實發生，但確信不發生[8]，就此，在SAE分類等級2以前之自駕車，因監控環境之任務仍由駕駛人負擔，則該類等級自駕車之駕駛人應與一般車輛之駕駛人，負擔相同侵權行為之注意義務內容（或程度），但等級3至等級5自駕車之各式應用情境，車輛行駛環境之相關監控資訊已轉由車輛本身處理、控管，則駕駛人是否對於自駕車之車禍發生，仍具有可預見性，或得注意並防免之，則不無疑慮。 參、事件評析 綜上，本文所提不同等級自駕車，是否當然得以繼續適用傳統民事侵權行為之過失標準判斷駕駛人有無過失，實有相當程度上之衝突，蓋若自駕車之駕駛人對於行車環境資訊已不如駕駛一般車輛時，實難期待駕駛人對於車禍之發生有何預見可能，或在遇見後積極防免結果發生，倘若一概遵循傳統對車禍侵權行為之高注意義務要求─抽象輕過失責任，或將產生使不明瞭或難以預見該事故原因發生之人，卻必須就非因己誤之結果負責，某程度上似有違過失責任之本質，而質變成為無過失之擔保責任。 據此，本文認為，若要解決前開損害發生須有補償或賠償之問題，或可（1）透過保險、基金等方式填補損害，或（2）具體化等級3至等級5自駕車之駕駛人應負何等注意義務，如駕駛人須隨時處於得以接管車輛操作之狀態，使等級3以上之自駕車所應盡之注意義務與傳統侵權行為之注意義務脫鉤處理（3）與商品責任間進行相關的調和等，然而無論如何，對於此等問題或疑慮，究竟應採何方向或多方進行，甚或以其他方式解決，則有待後續更進一步的討論與分析。 [1] Uber於該州進行自動駕駛車輛之測試。 [2] ADOT director's letter to Uber halting autonomous vehicle tests, ADOT, https://www.azdot.gov/media/News/news-release/2018/03/27/adot-director's-letter-to-uber-halting-autonomous-vehicle-tests (last visited Mar. 21, 2019); Ryan Randazzo, Arizona Gov. Doug Ducey suspends testing of Uber selfdriving cars, azcentral, Mar. 26, 2018, https://www.azcentral.com/story/news/local/tempe-breaking/2018/03/26/doug-ducey-uber-self-driving-cars-program-suspended-arizona/460915002/ (last visited Mar. 21, 2019); Ryan Randazzo, Bree Burkitt & Uriel J. Garcia, Self-driving Uber vehicle strikes, kills 49-year-old woman in Tempe, azcentral, Mar. 19, 2018, https://www.azcentral.com/story/news/local/tempe-breaking/2018/03/19/woman-dies-fatal-hit-strikes-self-driving-uber-crossing-road-tempe/438256002/ (last visited Mar. 21, 2019). [3] 蘋果日報，〈台灣首例！特斯拉自動駕駛闖禍 國道上撞毀警車〉，2018/12/12，https://tw.appledaily.com/new/realtime/20181212/1482416/ （最後瀏覽日：2019/03/21）。 [4] 96年台上字第1649號判決。 [5] 19年上字第2476號判例。 [6] 王澤鑑，《侵權行為法》，自版，頁308-309（2011）。 [7] SAE International Releases Updated Visual Chart for Its “Levels of Driving Automation” Standard for Self-Driving Vehicles, SAE International, https://www.sae.org/news/press-room/2018/12/sae-international-releases-updated-visual-chart-for-its-%E2%80%9Clevels-of-driving-automation%E2%80%9D-standard-for-self-driving-vehicles (last visited Mar. 22, 2019). [8] 97年度台上字第864號判決。
美國情報體系發布「情報體系運用人工智慧倫理架構」美國國家情報體系（United States Intelligence Community）係於1981年依據行政命令第12333號（Executive Order 12333）所建立，其任務為蒐集、分析與提供外國情報與反情報資訊美國國家領導人，服務對象包含美國總統、執法單位以及軍事單位。其於2020年6月提出「情報體系人工智慧倫理架構」（Artificial Intelligence Ethics Framework for the Intelligence Community），為人工智慧系統與訓練資料、測試資料之採購、設計、研發、使用、保護、消費與管理提出指引，並指出人工智慧之利用須遵從以下事項： 一、於經過潛在風險評估後，以適當且符合目的之方法利用； 二、人工智慧之使用應尊重個人權利與自由，且資料取得應合法且符合相關政策與法規之要求； 三、應於利用程序內結合人類判斷與建立問責機制，以因應AI產品之風險並確保其決策之適當性。 四、於不破壞其功能與實用性之前提下，盡可能確認、統計以及降低潛在之歧視問題。 五、AI進行測試時應同時考量其未來利用上可預見之風險。 六、持續維持AI模型之迭代（Iteration）、版本與改動之審查。 七、AI之建立目的、限制與設計之輸出項目，應文件化。 八、盡可能使用可解釋與可理解之方式，讓使用者、審查者與公眾理解為何AI會產出相關決策。 九、持續不定期檢測AI，以確保其符合當初建置之目的。 十、確認AI於產品循環中各階段之負責人，包含其維護相關紀錄之責任。
日本發布以人為本AI社會原則日本內閣於2018年6月15日決議組成跨部會之統合創新戰略推進會議，並於2019年3月29日發布AI戰略，其中的倫理面向為以人為本之AI社會原則(下稱AI社會原則)，希冀藉有效安全的活用AI，推動「AI-Ready 社會」，以實現兼顧經濟發展與解決社會課題的「Society5.0」為最終目標。 為構築妥善應用人工智慧的社會，AI社會原則主張應尊重之價值理念如下： (一) 尊重人類尊嚴的社會：AI應作為能激發人類發揮多樣能力和創造力的工具。 (二) 多元性和包容性的社會（Diversity & Inclusion）：開發運用AI以共創多元幸福社會。 (三) 永續性的社會（Sustainability）：透過AI強化科技，以創造能持續解決社會差距與環境問題的社會。 而AI社會原則核心內容為： (一) 以人為本：AI使用不得違反憲法或國際保障之基本人權。 (二) AI知識（literacy）教育：提供必要的教育機會。 (三) 保護隱私：個人資料的流通及應用應妥適處理。 (四) 安全確保：把握風險與利益間之平衡，從整體提高社會安全性。 (五) 公平競爭確保：防止AI資源過度集中。 (六) 公平性、說明責任及透明性任。 (七) 創新：人才與研究皆須國際多樣化，並且建構產官學研AI合作平台。
防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。 針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅： 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本； 安裝防毒軟體，並維護其運作； 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）； 限制員工下載、安裝和運作未經批准的軟體； 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。 此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。