新加坡採取「雲端友善」政策方針，發布個人資料保護指引
新加坡個人資料保護委員會（PDPC）為讓企業能妥適的遵循2012年發布的個人資料保護法（Personal Data Protection Act/PDPA），於2013年9月發布個人資料保護法（PDPA）的執行指引文件：「PDPA關鍵概念指導方針（Advisory Guidelines on Key Concepts in the PDPA）」，針對各項如何蒐集、處理及利用個人資料的要求與義務，提供細節性說明及應用範例。執行指引文件的發布，是源自於公眾在實際操作法遵要求時，所發生的執行困難、疑義和衍生的建議和意見，彙整後進行法規釋疑和舉例。此份文件的要求係立基於實用主義及「企業友善（business-friendly）」的理念，幫助機構調整業務運作流程以及妥善的遵守法律的規定。
執行指引文件提供關鍵名詞的詮釋，例如「個人資料」在PDPA裡的定義為：任何可以識別個人、不拘形式及真實性的資訊；針對「謝絕來電條款（Do not call）」的遵循方式亦有細緻化的說明；就各項不同的具體子議題，清楚的提供常識性的措施（Common-Sense Approach）供機構採用，讓法規要求合乎常理，使個人資料保護與企業因需求而對個人資料進行蒐集、利用和揭露之行為間取得衡平。
新加坡個人資料保護法（PDPA）兩大立法目的：強化個人對自己個人資料的資訊控制權；使新加坡因提供充分的安全維護機制而受企業信任，強化新加坡的經濟競爭力與地位。另外，相較於其他國家在國際傳輸上有較嚴格的限制（必須有相同等級的個人資料保護立法為傳輸前提），新加坡的法制理念是僅讓企業遵守最低限度的安全維護要求後，便能將個人資料進行國際傳輸，這樣較彈性的法制設計讓新加坡有望成為亞太地區的資料與研究中心樞紐。
美國現任總統川普（Donald J. Trump）於美國時間2020年12月4日簽署物聯網網路安全法（IoT Cybersecurity Improvement Act of 2020），針對美國聯邦政府未來採購物聯網設備（IoT Devices）制定了標準與架構。 該法要求美國國家標準技術研究院（National Institute of Standards and Technology, NIST）應依據NIST先前的物聯網指引中關於辨識、管理物聯網設備安全弱點（Security Vulnerabilities）、物聯網科技發展、身分管理（Identity Management）、遠端軟體修補（Remote Software Patching）、型態管理（Configuration Management）等項目，為聯邦政府建立最低安全標準及相關指引。如果使用政府機關所採購或獲取之物聯網設備無法遵守NIST制定的標準或指引，則不得續簽採購、獲取或使用該設備之契約。 安全標準和指引發布後，美國行政管理和預算局（the Office of Management and Budget）應就各政府機關的資訊安全政策對NIST標準的遵守情況進行審查，NIST每五年亦應對其標準進行必要的更新或修訂。此外，為促進第三方辨識並通報政府資安環境弱點，該法要求NIST針對聯邦政府擁有或使用資訊設備的安全性弱點制定通報、整合、發布與接收的聯邦指引。 雖然該法適用範圍限於聯邦政府機關，惟因該法限制聯邦政府機關採購、獲取或使用不符合NIST標準或指引的物聯網設備，將促使民間業者為獲取美國政府訂單而選擇遵循NIST標準，未來該標準可能成為美國物聯網安全的統一標準。
精品珠寶業者攻防戰-卡地亞控訴蒂芙尼竊取營業秘密今（2022）年2月28日卡地亞（Cartier）控訴精品珠寶領域的競爭對手蒂芙尼（Tiffany & Co.），聲稱其在卡地亞前員工的幫助下，竊取獨家商品的營業秘密。 歷峰北美公司（Richemont North America Inc.）旗下的卡地亞今年2月28日於美國紐約州法院起訴蒂芙尼和卡地亞前襄理（Junior Manager）梅根瑪莉諾（Megan Marino），控訴瑪莉諾於跳槽前下載卡地亞的高級珠寶業務機密資訊， 並於去年11月加入蒂芙尼後將資訊傳送給新同事。蒂芙尼發言人發出否認聲明，卡地亞的指控毫無根據。 根據訴訟聲明，蒂芙尼聘請瑪莉諾負責包括單價高達1000萬美元（約新台幣2.8億）的高級珠寶系列，蒂芙尼法律部門從卡地亞獲得通報後，於今年2月份解僱瑪莉諾，但卡地亞聲稱，蒂芙尼的高階主管已經獲得大量的卡地亞機密和營業秘密資訊。 這並非卡地亞第一次指控跳槽至蒂芙尼的前員工試圖竊取營業機密。2014年，卡地亞起訴一名前廣告主管，據稱其試圖讓她的前助理隨身攜帶機密資訊一同加入蒂芙尼，該訴訟於次年和解。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
英國發布人工智慧網路資安實務守則英國政府於2025年1月31日發布「人工智慧網路資安實務守則」（Code of Practice for the Cyber Security of AI，以下簡稱「實務守則」），目的是提供人工智慧（AI）系統的網路資安指引。該實務守則為英國參考國際上主要標準、規範後所訂定之自願性指引，以期降低人工智慧所面臨的網路資安風險，並促使人工智慧系統開發者與供應商落實基本的資安措施，以確保人工智慧系統的安性和可靠性。 由於人工智慧系統在功能與運作模式上與傳統網路架構及軟體有明顯的不同，因此產生新的資安風險，主要包含以下： 1. 資料投毒（Data Poisoning）：在AI系統的訓練資料中蓄意加入有害或錯誤的資料，影響模型訓練結果，導致人工智慧系統產出錯誤推論或決策。 2. 模型混淆（Model Obfuscation）：攻擊者有意識地隱藏或掩飾AI模型的內部運作特徵與行為，以增加系統漏洞、引發混亂或防礙資安管理，可能導致AI系統的安全性與穩定性受損。 3. 輸入間接指令（Indirect Prompt Injection）：藉由輸入經精心設計的指令，使人工智慧系統的產出未預期、錯誤或是有害的結果。 為了提升實務守則可操作性，實務守則涵蓋了人工智慧生命週期的各階段，並針對相關角色提出指導。角色界定如下： 1. 人工智慧系統開發者（Developers）：負責設計和建立人工智慧系統的個人或組織。 2. 人工智慧系統供應鏈（Supply chain）：涵蓋人工智慧系統開發、部署、營運過程中的的所有相關個人和組織。 實務守則希望上述角色能夠參考以下資安原則，以確保人工智慧系統的安全性與可靠性： 1. 風險評估（Risk Assessment）：識別、分析和減輕人工智慧系統安全性或功能的潛在威脅的過程。 2. 資料管理（Data management）：確保AI系統整個資料生命週期中的資料安全及有效利用，並採取完善管理措施。 3. 模型安全（Model Security）：在模型訓練、部署和使用階段，均應符合當時的技術安全標準。 4. 供應鏈安全（Supply chain security）：確保AI系統供應鏈中所有利益相關方落實適當的安全措施。 「人工智慧網路資安實務守則」藉由清晰且全面的指導方針，期望各角色能有效落實AI系統安全管控，促進人工智慧技術在網路環境中的安全性與穩健發展。
澳洲數位轉型局12月發布《政府負責任使用人工智慧政策2.0》，以強化公部門之AI風險管理2025年12月初，澳洲數位轉型局（Digital Transformation Agency，下稱DTA）發布《政府負責任使用AI政策2.0》（Policy for the responsible use of AI in Government 2.0），旨在進一步強化公部門在AI的透明度、問責性與風險管理能力，於2025年12月15日生效，取代 2024年9月實施的過渡版本。 一、適用範圍 政策適用於所有非企業型聯邦實體（Non-corporate Commonwealth entities），即不具獨立法人地位、直接隸屬於政府的機關或單位。企業型聯邦實體則被鼓勵自願遵循。政策定位為「補充與強化既有法制」，非另訂獨立規範，因此在實務中須與公務員行為準則、資安規範及資料治理制度併行適用。 二、政策重點 在政策施行的12個月內，適用機關須完成以下要求，以確保落實AI治理架構： （一）制度建置 1. AI 透明度聲明：機關須在政策生效後 6 個月內發布「AI 透明度聲明」，公開 AI 使用方法與現況。聲明中須說明機關風險管理流程、AI 事件通報機制及內外部申訴管道，確保使用過程透明、可追蹤。 2. 人員指定與培訓： 機關須指定制度問責人員（Accountable officials）以及AI使用案例承辦人（Accountable use case owners）。 所有員工皆須進行關於負責任使用AI的培訓，機關並依員工職務權責提供個別員工進階訓練。 3. 建立內部AI使用案例註冊清單（Internal AI use case register），以供後續追蹤 該清單至少包含： （1）使用案例負責人（Accountable use case owners）：記錄並持續更新範疇內 AI 使用案例的指定負責人。 （2）風險等級（Risk rating）：AI使用案例的風險等級資訊。 （3）異動紀錄：當使用案例的風險評級或負責人變更時，須即時更新清單。 （4）自定義欄位：各機關可根據其需求，自行增加欄位。 （二）AI 使用案例範疇判斷 機關須在評估所有新案例，依以下特徵判斷AI應用是否屬於「範疇內（In-scope）」的應用： 1.對個人、社群、組織或環境造成重大損害。 2.實質影響行政處分或行政決策。 3.在無人工審查的情況下，大眾將直接與AI互動或受其影響。 4.涉及個人、敏感資料等資訊。 （三）進階風險評估 依AI影響評估工具（Impact Assessment Tool）針對公眾近用權；不公平歧視；加重刻板印象；損害人、組織或環境；隱私顧慮；資料敏感之安全顧慮；系統建置之安全顧慮；公眾信任等8類別，加以判斷範疇內AI應用，若有任一類別被評為「高風險」，即判定為「高風險」；若所有類別中最高的分數為「中風險」，則整體判定為中風險。 判定為中、高風險之AI應用，均需進行全面審核。中風險須列出所有中風險項目及其控管措施，主要為內部控管；而高風險則要求向DTA報告，且每年至少進行一次全面審核與風險再評估。 澳洲欲透過發布AI透明度聲明、更新AI使用案例註冊清單、強制執行AI應用之風險評估及人員培訓，確保公部門對AI的負責任使用與問責。而我國企業可參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範（EDGS）》，落實AI資料管理與追蹤。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）