美國CVAA義務豁免之案例介紹與分析
德國政府為減少官方與民間的電腦受到網路駭客的攻擊，於2007年5月正式立法通過「反駭客法(Antihacker Law)」，並藉此擴大了現行德國法律中網路犯罪的懲處範圍，從僅處罰破壞或攻擊商業或政府機關之電腦系統，擴及至破壞或攻擊個人電腦或DOS系統之犯罪。 依德國「反駭客法」之規定，凡任何個人或團體意圖非法使用而故意製造、散播或購買駭客工具(hacker tools)者，將可能被處十年以上有期徒刑。而所謂的「駭客(hacking)」在新法中則被定義為，凡是侵入電腦系統並獲取資訊者，不論是否有竊取該資訊的行為，均屬之。 上述立法結果，反對人士擔心恐將適得其反，因駭客工具的存在具有一體兩面，研發並利用駭客工具來測試電腦以及網路系統的安全性，在德國已行之有年，如果一旦加以禁止，不但無法達到預期目的，也過於輕視網路駭客者的能力；又將來持有駭客工具者，未來必須在法庭上主張係出於善意持有，亦是增加了持有者的舉證責任。該法已經於2007年8月實施。
Google根據加州消費者隱私保護法，允許屏蔽個人化廣告Google近期宣布更新廣告政策，以遵守將於2020年1月1日生效之「加州消費者隱私保護法」（California Consumer Privacy Act, CCPA），要求符合該法規之事業體(不論是否於加州開設實體據點)：年度總收入超過2,500萬美金、年度收入50%以上源自於出售加州居民之個人資料、每年收到或分享總計超過5萬筆加州居民、家庭或裝置之個人資料、若公司之母公司或子公司符合CCPA所定條件者，允許消費者得選擇並行使退出其個人資料銷售權利。 Google表示使用其網站廣告工具與應用程式將能屏蔽個人化廣告，個人化廣告，係依消費者瀏覽紀錄、興趣及過去行為投放予消費者，廣告商有時花費高達10倍價錢置入，惟互聯網相關企業先前所進行之遊說未能使該法規排除個人化廣告，從使最受歡迎及利潤豐厚之線上廣告面臨行銷危機。 依Google新合規條款，透過Google工具（如AdSense和Ad Manager）銷售廣告之網站及應用程式目前無需進行重大更改，廣告商亦可選擇停止所有來自加州網址之消費者或阻擋全球使用個人資料之個人化廣告銷售，該合規條款除於線上發布外，並已通知予各廣告商。 Google表示，當觸發「限制數據處理」時，廣告將僅基於一般數據，例如用戶所在城市位置或廣告所在頁面主題等；此外，Google亦不會在受限制模式下記錄個人資料而用於未來之廣告行銷。
用ChatGPT找法院判決？從Roberto Mata v. Avianca, Inc.案淺析生成式AI之侷限用ChatGPT找法院判決？從Roberto Mata v. Avianca, Inc.案淺析生成式AI之侷限 資訊工業策進會科技法律研究所 2023年09月08日 生成式AI是透過研究過去資料，以創造新內容和想法的AI技術，其應用領域包括文字、圖像及影音。以ChatGPT為例，OpenAI自2022年11月30日發布ChatGPT後，短短二個月內，全球月均用戶數即達到1億人，無疑成為民眾日常生活中最容易近用的AI科技。 惟，生成式AI大量使用後，其中的問題也逐漸浮現。例如，ChatGPT提供的回答僅是從所學習的資料中統整歸納，無法保證資料的正確性。Roberto Mata v. Avianca, Inc.案即是因律師利用ChatGPT撰寫訴狀，卻未重新審視其所提供判決之正確性，以致後續引發訴狀中所描述的判決不存在爭議。 壹、事件摘要 Roberto Mata v. Avianca, Inc.案[1]中，原告Roberto Mata於2019年8月搭乘哥倫比亞航空從薩爾瓦多飛往紐約，飛行過程中膝蓋遭空服員的推車撞傷，並於2022年2月向法院提起訴訟，要求哥倫比亞航空為空服員的疏失作出賠償；哥倫比亞航空則主張已超過《蒙特婁公約》（Montreal Convention）第35條所訂之航空器抵達日起兩年內向法院提出損害賠償之請求時效。 R然而，法院審理過程中發現原告訴狀內引用之六個判決無法從判決系統中查詢，進而質疑判決之真實性。原告律師Steven A. Schwartz因而坦承訴狀中引用的六個判決是ChatGPT所提供，並宣稱針對ChatGPT所提供的判決，曾多次向ChatGPT確認該判決之正確性[2]。 貳、生成式AI應用之潛在風險 雖然運用生成式AI技術並結合自身專業知識執行特定任務，可能有助於提升效率，惟，從前述Roberto Mata v. Avianca, Inc.案亦可看出，依目前生成式AI技術之發展，仍可能產生資訊正確性疑慮。以下彙整生成式AI應用之8大潛在風險[3]： 一、能源使用及對環境危害 相較於傳統機器學習，生成式AI模型訓練將耗費更多運算資源與能源。根據波士頓大學電腦科學系Kate Saenko副教授表示，OpenAI的GPT-3模型擁有1,750億個參數，約會消耗1,287兆瓦/時的電力，並排放552噸二氧化碳。亦即，每當向生成式AI下一個指令，其所消耗的能源量相較於一般搜尋引擎將可能高出4至5倍[4]。 二、能力超出預期（Capability Overhang） 運算系統的黑盒子可能發展出超乎開發人員或使用者想像的隱藏功能，此發展將會對人類帶來新的助力還是成為危險的阻力，則會隨著使用者之間的相互作用而定。 三、輸出結果有偏見 生成式AI通常是利用公開資料進行訓練，若輸入資料在訓練時未受監督，而帶有真實世界既存的刻板印象（如語言、種族、性別、性取向、能力、文化等），據此建立之AI模型輸出結果可能帶有偏見。 四、智慧財產權疑慮 生成式AI進行模型訓練時，需仰賴大量網路資料或從其他大型資料庫蒐集訓練資料。然而，若原始資料來源不明確，可能引發取得資料未經同意或違反授權條款之疑慮，導致生成的內容存在侵權風險。 五、缺乏驗證事實功能 生成式AI時常提供看似正確卻與實際情形不符的回覆，若使用者誤信該答案即可能帶來風險。另外，生成式AI屬於持續動態發展的資訊生態系統，當產出結果有偏誤時，若沒有大規模的人為干預恐難以有效解決此問題。 六、數位犯罪增加與資安攻擊 過去由人工產製的釣魚郵件或網站可能受限於技術限制而容易被識破，然而，生成式AI能夠快速建立具高度說服力的各種擬真資料，降低詐騙的進入門檻。又，駭客亦有可能在不熟悉技術的情況下，利用AI進一步找出資安弱點或攻擊方法，增加防禦難度。 七、敏感資料外洩 使用雲端服務提供商所建立的生成式AI時，由於輸入的資料存儲於外部伺服器，若要追蹤或刪除有一定難度，若遭有心人士利用而導致濫用、攻擊或竄改，將可能產生資料外洩的風險。 八、影子AI（Shadow AI） 影子AI係指開發者未知或無法控制之AI使用情境。隨著AI模型複雜性增加，若開發人員與使用者未進行充分溝通，或使用者在未經充分指導下使用 AI 工具，將可能產生無法預期之風險。 參、事件評析 在Roberto Mata v. Avianca, Inc.案中，法院關注的焦點在於律師的行為，而非對AI技術使用的批判。法院認為，隨著技術的進步，利用可信賴的AI工具作為協助用途並無不當，惟，律師應踐行其專業素養，確保所提交文件之正確性[5]。 當AI科技發展逐漸朝向自主與獨立的方向前進，仍需注意生成式AI使用上之侷限。當個人在使用生成式AI時，需具備獨立思考判斷的能力，並驗證產出結果之正確性，不宜全盤接受生成式AI提供之回答。針對企業或具高度專業領域人士使用生成式AI時，除確認結果正確性外，更需注意資料保護及治理議題，例如建立AI工具合理使用情境及加強員工使用相關工具之教育訓練。在成本能負擔的情況下，可選擇透過企業內部的基礎設施訓練AI模型，或是在訓練模型前確保敏感資料已經加密或匿名。並應注意自身行業領域相關法規之更新或頒布，以適時調整資料使用之方式。 雖目前生成式AI仍有其使用之侷限，仍應抱持開放的態度，在技術使用與風險預防之間取得平衡，以能夠在技術發展的同時，更好地學習新興科技工具之使用。 [1]Mata v. Avianca, Inc., 1:22-cv-01461, (S.D.N.Y.). [2]Benjamin Weiser, Here’s What Happens When Your Lawyer Uses ChatGPT, The New York Times, May 27, 2023, https://www.nytimes.com/2023/05/27/nyregion/avianca-airline-lawsuit-chatgpt.html (last visited Aug. 4, 2023). [3]Boston Consulting Group [BCG], The CEO’s Roadmap on Generative AI (Mar. 2023), https://media-publications.bcg.com/BCG-Executive-Perspectives-CEOs-Roadmap-on-Generative-AI.pdf (last visited Aug. 29, 2023). [4]Kate Saenko, Is generative AI bad for the environment? A computer scientist explains the carbon footprint of ChatGPT and its cousins, The Conversation (May 23, 2023.), https://theconversation.com/is-generative-ai-bad-for-the-environment-a-computer-scientist-explains-the-carbon-footprint-of-chatgpt-and-its-cousins-204096 (last visited Sep. 7, 2023). [5]Robert Lufrano, ChatGPT and the Limits of AI in Legal Research, National Law Review, Volume XIII, Number 195 (Mar. 2023), https://www.natlawreview.com/article/chatgpt-and-limits-ai-legal-research (last visited Aug. 29, 2023).
美國「2009年經濟復甦暨再投資法」大幅度修正HIPAA隱私權條款2009年02月17日美國總統簽署通過「2009年經濟復甦暨再投資法」（America Recovery and Reinvestment Act, ARRA），將醫療產業列為重點發展項目之ㄧ，擬由政府預算進行醫療資訊科技化計畫，俾使電子病歷的傳輸與交換得兼顧效率及安全。而以規範醫療資訊安全為主的「醫療保險可攜及責任法」之隱私權條款（HIPAA, Privacy Rule），亦因此有重大修正。 其中，最主要的變革在於擴充HIPAA的責任主體，由原有的健康照護業者、健康計畫業者及健康照護資訊交換業者，擴充至凡因業務關係而可能接觸個人健康資訊的個人或業者，包含藥劑給付管理公司、代理人及保險業者等，這些機構或個人原本與醫療院所或病患間係依據契約關係進行責任規範，但被納入HIPAA的責任主體範圍後，則需依此負擔民、刑事責任。 而於加強資訊自主權部份，亦有數個重要變革如下：（一）責任主體之通知義務：依據新規定，資料未經授權被取得、使用或揭露，或有受侵害之虞時，責任主體應即早以適切管道通知資訊主體有關被害之情事，以防備後續可能發生的損害。（二）資訊主體之紀錄調閱權：以往資料保管單位得拒絕個人調閱健康資料運用紀錄之請求，有鑒於病歷電子化後，保存及揭露相關紀錄已不會造成過重負擔；依據新規定，資訊主體有權調閱近三年內個人健康資料被使用次數及目的等紀錄。（三）資訊主體資料揭露之拒絕權：以往責任主體得逕行提供個人醫療資訊作為治療、計費及照護相關目的之使用，無論資訊主體曾表達拒絕之意與否；依據新規定，資訊主體得禁止其向保險人揭露相關資訊，除非保險人已全額支付醫療費用。 以上HIPAA之新增規範，預計於2010年02月17日正式施行。