美國司法部對標準制訂組織所採取之新政策出競爭法上之意見
本文為「經濟部產業技術司科技專案成果」
美國醫療產業使用境內或境外雲端服務（Cloud Services）急速成長，導致「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act，以下簡稱HIPAA）規範下之「適用機構」（Covered Entities）與其「商業夥伴」（Business Associate），對於雲端服務業者如何適用HIPAA感到疑惑。因此，衛生及公共服務部民權辦公室（Department of Health and Human Services, Office for Civil Rights）於10月7日公布相關業者如何適用HIPAA之指引，以釐清爭議。 於該指引中，該部指出，雲端服務業者若替適用機構或是商業夥伴創造、接收、維護、傳送被HIPAA所保護之「資療資訊」（Protected Health Information），則該雲端業者就被視為HIPAA下規範之商業夥伴，原因在於該服務具有儲存與維護醫療資訊功能，非屬該法排除適用之「網路服務業者」（Internet Service Providers）資料傳輸服務類型。 該指引有幾大重點：首先，雲端服務業者如將該醫療資訊提供加密儲存服務，仍應盡到HIPAA中規範商業夥伴之責任。原因在於加密資料不足以保護HIPAA有關資訊安全章節所要求醫療資訊之「機密性、完整性和可用性」之相關規範。再者，雲端業者皆須與委託方簽署商業夥伴協議（Business Associate Agreements）。此外，使用雲端服務儲存資療資訊時，委託方皆能使用行動設備進入雲端儲存之醫療資料，但應建立合乎HIPPA所要求相關之安全措施。最後，HIPAA並未禁止將醫療資訊儲存至伺服器為於美國境外之雲端業者，但使用前應自行評估該資訊遭駭客攻擊之可能性。
美國聯邦地方法院駁回臨床試驗軟體公司Medidata對競爭對手Veeva的營業秘密訴訟美國紐約南區聯邦地方法院(S.D.N.Y.)於2022年7月15日駁回了臨床試驗軟體公司Medidata Solutions Inc. (以下簡稱Medidata公司)控告競爭對手Veeva Systems Inc. (以下簡稱Veeva公司)竊取其營業秘密的請求。 原告Medidata公司於2017年1月指控被告Veeva公司陸續挖角其數名離職員工，部份員工離職時私自拷貝公司檔案，其中包含原告的產品研發、商業策略等營業秘密，而被告根據這些資訊開發了和原告相似的軟體，造成其重大損害，因此向被告請求4.5億美元的損害賠償。 被告Veeva公司抗辯雖然這些員工離職時私自保留原告的檔案，但原告在訴訟中並未明確說明哪些屬於該公司的營業秘密，亦即未特定營業秘密標的；此外，即便這些離職員工自行保留的檔案中有包含原告所稱之營業秘密，但原告提出的證據不足以證明被告有不當取用(misappropriation)其營業秘密，僅根據被告有僱用原告離職員工等事實，即推論被告有不當取用。原告試圖透過此模糊和毫無根據的主張，限制產業的創新、競爭、人才流動。 本案歷經五年的纏訟，法院最終駁回原告請求。法官指出，原告在整個訴訟過程中並未明確定義哪些資訊屬於營業秘密，原告似乎認為任何資訊皆屬於其營業秘密，這樣的主張無異於代表任何公司永遠無法挖角其他公司的員工，因為這些員工到新公司任職後所說的任何話，都會間接地揭露他們在之前工作中所學習到的事情，因此駁回原告之訴。 從本案可以觀察到，企業應定期盤點公司內部資訊，明確界定營業秘密範圍，並落實管理及妥善留存相關證據，發生侵害營業秘密爭議時才能有效舉證。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
日本政府怎樣對公部門管制DeepSeek？日本政府怎樣對公部門管制DeepSeek？ 資訊工業策進會科技法律研究所 2025年07月07日 2025年2月3日，日本個人情報保護委員會（Personal Information Protection Commission，簡稱PPC）發布新聞稿指出[1]，DeepSeek所蒐集的資料，將會儲存在中國的伺服器裡，且為中國《國家情報法》的適用對象[2]。這可能將導致個人資料遭到中國政府調用或未經授權的存取。作為中國開發的生成式AI，DeepSeek雖以優異的文本能力迅速崛起，卻也引發資安疑慮。 身處地緣政治敏感區的日本對此高度警覺，成為率先提出警告的國家之一。台灣與日本面臨相似風險，因此日本的應對措施值得借鏡。本文將從PPC新聞稿出發，探討日本如何規範公部門使用DeepSeek。 壹、事件摘要 DeepSeek作為中國快速崛起之生成式AI服務，其使用範圍已快速在全球蔓延。然而，日本PPC發現該公司所公布之隱私政策，內容說明其所蒐集之資料將存儲於中國伺服器內，並依據中國《國家情報法》之適用範圍可能遭到中國政府調用或未經授權之存取。 日本PPC因而於2025年2月3日發布新聞稿，隨後日本數位廳於2月6日發函給各中央省廳，強調在尚未完成風險評估與資安審查之前，政府機關不應以任何形式將敏感資訊輸入DeepSeek，並建議所有業務使用應先諮詢內閣資安中心（内閣サイバーセキュリティセンター，NISC）與數位廳（デジタル庁）意見，才能判定可否導入該類工具[3]。數位大臣平將明亦在記者會中強調：「即使不是處理非機密資料，各機關也應充分考量風險，判斷是否可以使用。」（要機密情報を扱わない場合も、各省庁等でリスクを十分踏まえ、利用の可否を判断する）[4]。 本次事件成為日本對於生成式AI工具採取行政限制措施的首次案例，也引發公私部門對資料主權與跨境平台風險的新一輪討論。 貳、重點說明 一、日本對於人工智慧的治理模式 日本在人工智慧治理方面採取的是所謂的「軟法」（soft law）策略，也就是不依賴單一、強制性的法律來規範，而是以彈性、分散的方式，根據AI的實際應用場景與潛在風險，由相關機關分別負責，或透過部門之間協作因應。因此，針對DeepSeek的管理行動也不是由某一個政府部門單獨推動，而是透過跨部會協作完成的綜合性管控，例如： （一）PPC的警示性通知：PPC公開說明DeepSeek儲存架構與中國法規交錯風險，提醒政府機關與公務人員謹慎使用，避免洩漏資料。 （二）數位廳的行政指引：2025年2月6日，日本數位廳針對生成式AI的業務應用發布通知，明列三項原則：禁止涉密資料輸入、限制使用未明確審查之外部生成工具、導入前應諮詢資安機構。 （三）政策溝通與政治聲明：平將明大臣在記者會上多次強調DeepSeek雖未明列於法條中禁用，但其高風險屬性應視同「潛在危害工具」，需列入高敏感度審查項目。 二、日本的漸進式預防原則 對於DeepSeek的管制措施並未升高至法律層級，日本政府亦沒有一概禁止DeepSeek的使用，而是交由各機關獨自判斷[5]。這反映出了日本在AI治理上的「漸進式預防原則」：先以行政指引建構紅線，再視實際風險與民間回饋考慮是否立法禁用。這樣的作法既保留彈性，又讓官僚系統有所依循，避免「先開放、後收緊」所帶來的信任危機。 三、日本跟循國際趨勢 隨著生成式AI技術迅速普及，其影響已不再侷限於產業應用與商業創新，而是逐漸牽動國家資安、個資保護以及國際政治秩序。特別是生成式AI在資料存取、模型訓練來源及跨境資料流通上的高度不透明，使其成為國家安全與數位主權的新興挑戰。在這樣的背景下，各國對生成式AI工具的風險管理，也從原先聚焦於產業自律與技術規範，提升至涉及國安與外交戰略層面。 日本所採取的標準與國際趨勢相仿。例如韓國行政安全部與教育部也在同時宣布限制DeepSeek使用，歐盟、美國、澳洲等國亦有不同程度的封鎖、審查或政策勸導。日本雖然和美國皆採取「軟法」（soft law）的治理策略，然而，相較於美國以技術封鎖為主，日本因其地緣政治的考量，對於中國的生成式AI採取明確防範的態度，這一點與韓國近期禁止政府機構與學校使用中國AI工具、澳洲政府全面禁止政府設備安裝特定中國應用程式類似。 參、事件評析 這次日本政府對於DeepSeek的應對措施，反映出科技治理中的「資料主權問題」（data sovereignty）：即一個國家是否有能力控制、保存與使用其管轄範圍內所生產的資料。尤其在跨境資料傳輸的背景下，一個國家是否能保障其資料不被外國企業或政府擅自使用、存取或監控，是資料主權的核心問題。 生成式AI不同於傳統AI，其運作依賴大規模訓練資料與即時伺服器連接，因此資料在輸入的瞬間可能已被收錄、轉存甚至交付第三方。日本因而對生成式AI建立「安全門檻」，要求跨境工具若未經審核，即不得進入政府資料處理流程。這樣的應對策略預示了未來國際數位政治的發展趨勢：生成式AI不只是科技商品，它已成為跨國治理與地緣競爭的核心工具。 中國通過的《國家情報法》賦予政府調閱私人企業資料的權力，使得中國境內所開發的生成式AI，儼然成為一種資訊戰略利器。若中國政府藉由DeepSeek滲透他國公部門，這將對國家安全構成潛在威脅。在此背景下，日本對公部門使用DeepSeek的管制，可被解讀為一種「數位防衛行為」，象徵著日本在數位主權議題上的前哨部署。 值得注意的是，日本在處理DeepSeek事件時，採取了「不立法限制、但公開警示」的方式來應對科技風險。此舉既避免激烈封鎖引發爭議，又對於資料的運用設下邊界。由於法令規範之制定曠日費時，為避免立法前可能產生之風險，日本先以軟性之限制與推廣手段以防止危害擴大。 台灣雖與日本同處地緣政治的敏感地帶，資料主權議題對社會影響深遠，為使我國可在尚未有立法規範之狀態下，參考日本所採之行政命令內控與公開說明外宣雙向並行之策略，對台灣或許是一種可行的借鏡模式。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]個人情報保護委員会，DeepSeekに関する情報提供，https://www.ppc.go.jp/news/careful_information/250203_alert_deepseek/ （最後瀏覽日：2025/05/06）。 [2]《中华人民共和国国家情报法》第7条第1项：「任何组织和公民都应当依法支持、协助和配合国家情报工作，保守所知悉的国家情报工作秘密。」 [3]デジタル社会推進会議幹事会事務局，DeepSeek等の生成AIの業務利用に関する注意喚起（事務連絡），https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/d2a5bbd2-ae8f-450c-adaa-33979181d26a/e7bfeba7/20250206_councils_social-promotion-executive_outline_01.pdf （最後瀏覽日：2025/05/06）。 [4]デジタル庁，平大臣記者会見（令和7年2月7日），https://www.digital.go.jp/speech/minister-250207-01 （最後瀏覽日：2025/05/06）。 [5]Plus Web3 media，日本政府、ディープシークを一律禁止せず 「各機関が可否を判断する」，https://plus-web3.com/media/500ds/?utm_source=chatgpt.com （最後瀏覽日：2025/05/06）。
英國教育部《保障兒童在教育領域之安全2026》納入AI深偽影像，強調AI過濾機制及校方審查義務英國教育部（Department for Education，以下簡稱DfE）於2026年7月7日更新《保障兒童在教育領域之安全2026》（Keeping children safe in education 2026，下稱KCSIE 2026），將「生成式AI」納入學校之兒少保護與網路安全體系，供英國幼稚園至大學等學校參考，以保障及促進18歲以下兒童及青少年之福祉。此文件性質為不具強制力之指引，自同年9月1日起生效。以下簡要介紹《KCSIE 2026》重點。 《KCSIE 2026》建議除有正當理由，否則校方應遵循以下： 1.政策面，學校應將網路安全管理方法列入校內既有兒少保護政策中，如當學生使用AI生成具傷害性之內容（AI深偽照片、影片等）時，校方應啟動關於影像濫用的兒少保護程序。 2.系統管理面，建議學校應建立適當的過濾與監控系統（filtering and monitoring systems），每年至少應審查一次過濾系統之功能是否正常運作。 由校內人員組成之高級管理團隊（Senior Leadership Team, SLT）成員主導審查，以及由校方指定的一名或多名安全保護主管（Designated Safeguarding Lead, DSL）與IT人員從旁協助。審查重點除應確保過濾功能正常，亦應確保工作人員理解相關規定並知道向上通報事件之方式，並應留存相關審查紀錄。 建議學校除此份文件外，亦應參考英國DfE發布之《生成式AI產品安全標準》（Generative AI: product safety standards），評估AI工具是否符合教育領域的過濾與監控需求。 3.人員面，建議教職員的入職培訓以及每年至少一次兒少保護新知培訓中，應考量網路安全與學校的兒少保護政策並加以整合。 關於前文提及英國DfE於2026年1月更新之《生成式AI產品安全標準》，此文件性質同為不具強制力之指引，其提出11項安全標準供教育科技開發商、學校及學院供應商規劃與評估其生成式AI產品，包含：智慧財產權、隱私與資料保護、認知發展、心理健康及過濾機制等項目。其中，「智慧財產權」，主要提到除取得著作權人同意，否則AI產品不應儲存「輸入的資料」，亦不應將「輸入的資料」用於任何商業用途，包含但不限於作為訓練資料、產品開發。「隱私與資料保護」包含如：AI生命週期中應進行資料保護影響評估，若未確認合法依據，不得蒐集、儲存、分享或使用個人資料於任何商業目的，包括用於訓練與微調模型。「過濾機制」係指學校應確保採購之AI產品具過濾功能，可有效防止使用者（學生）接觸不當的內容。 由前文可得知，學校導入AI工具，不宜只評估AI功能之便利性，也應確認是否二次利用輸入之資料、資料傳輸至何處、具資料存取權限的人員範圍，以及是否具備過濾機制，並採取因應措施，如教職員培訓等。 臺灣教育領域導入生成式AI時，可參考此思維，於採購及委外開發流程，要求供應商揭露資料流向、限制二次利用（如用於訓練與微調模型）並保留系統操作紀錄，再由校方建立權限設定、過濾機制及事件應變制度，使教育AI的創新應用奠基於可追溯、可管控的資料管理基礎。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/）