強化驗證技術以遏止網路犯罪
美國聯邦財政機構檢測委員會 —包括聯邦儲備（Federal Reserve）和聯邦存款保險公司（Federal Deposit Insurance Corp.，FDIC）等管理者在內，要求銀行2006年底皆必須加強網上身份驗證措施，如給每個顧客一份加密的憑證，這些憑證會向銀行證明用戶的真實身份。且該加密的憑證不會向發放該憑證的其它網站做出回應，這樣既保護了用戶，也保護了銀行。此外，美國聯邦財政機構檢測委員會審查員亦會定期檢查銀行的執行情況；而以美國芝加哥直銷協會為例，其要求會員於交易時所使用之電子郵件，須取得電子郵件系統的驗證，以確保電子郵件係由該協會成員所發出。
如同美國芝加哥直銷協會執行長 John A. Greco 所言，消費者可藉由此種驗證方式增加更多信心，對於其所取的資訊係來自可靠來源並具有合法性，可使市場減低網路犯罪之產生並對於政府、企業及消費者有更多保障。
德國聯邦資訊技術，電信和新媒體協會於2018年2月6日在更安全的網路研討會中針對利用人工智慧及自動決策技術利用提出建議指南（Empfehlungen für den verantwortlichen Einsatz von KI und automatisierten Entscheidungen），旨在提升企業數位化與社會責任，並提升消費者權益保護。 本份指南提出六項建議： 促進企業內部及外部訂定相關準則 例如規定公司在利用演算法和AI時，必須將影響評估列入開發流程，並列為公司應遵守的道德倫理守則，以確保開發的產品或服務符合公平及道德。 提升透明度 使用者如有興趣了解演算法及其含義，企業應協助調查並了解使用者想獲知的訊息，並透過相關訊息管道提升產品及服務透明度。因此，企業應努力使演算法及其操作和含義能夠被使用者理解。此亦涉及即將實施的歐盟一般資料保護規則中的透明度義務。在機器學習或深度學習情況下，可能會增加理解性和可追溯性難度，但有助於分析流程並使其更接近人類理解的方法在科學和商業實踐中，應特別關注並進一步討論。另外，透過教育及使用說明協助及控制功能，教導消費者係建立雙方信任的重要手段。企業應在第一線中說明產品或服務中使用的手段（演算法，機器學習，AI）。除了解釋使用那些技術來改進產品和服務外，應一併解釋如何從技術控制過程中獲得相關知識以及提供那些後援支持。另外，例如透過幫助頁面，儀表板或部落格，解釋發生什麼以及如何做出某些影響深遠的自動化決策，使用戶更了解有關使用自動決策相關訊息。因此建議企業採取強制有效以建立信任的措施，使用戶理解是否及如何使用相關演算法，此可能包括使用自動化決策，使用特定資料組和使用技術的目的，亦即使用戶對演算法，機器學習或AI支持的決策有基本的了解。 為全體利益使用相關技術 人工智慧等新技術之重要性不應被低估，目前在生活和工業等眾多領域皆有廣泛應用。對於個人和集體而言，將可帶來巨大的利益，因此應該充分利用。例如，人工智慧可降低語言障礙，幫助行動不便的人可更加獨立自主生活，改善醫療診斷，提升能源供應效率，甚至是交通規劃和搜索停車位，都只是人工智慧偉大且已被使用的案例。為促進技術發展，應公平地利用其優勢並預留商業應用模式的空間，同時充分解決涉及的具體風險。產業特定的解決方案十分重要，但應兼顧受影響者的利益，並與廣大公眾利益找出妥協平衡點，且應排除不適當的歧視。建議在使用決策支持技術時，應事先檢查相關後果並與其利益比較。例如，可以在資料保護影響評估的框架進行。作為道德準則的一部分，必須確保演算法盡可能量準確地預測結果。 開發安全的資料基礎 資料係人工智慧支援決策的基礎。與人為決策者相同，資料不完整或錯誤，將導致做出錯誤的決定。因此決策系統的可靠性仍取決資料的準確性。但資料質量和資料來源始終不能追溯到源頭，如果可能的話，只有匯總或非個人資料可用於分析或分類用戶群組。因此，確切細節不可被使用或揭露。因此建議企業應考慮要使用的資料、資料的類別和在使用AI系統前仔細檢查資料使用情況，特別是在自我學習系統中資料引入的標準，並根據錯誤來源進行檢查，且儘可能全面記錄，針對個人資料部分更應謹慎處理。 解決機器偏差問題 應重視並解決所謂機器偏差和演算法選擇和模型建立領域的相關問題。解釋演算法，機器學習或AI在基層資料選擇和資料庫時所產生決策偏見相當重要，在開發預期用途的演算法時必須納入考量，對員工應針對道德影響進行培訓，並使用代表性紀錄來創建可以識別和最小化偏差的方法。企業並應該提高員工的敏感度並培訓如何解決並減少機器偏見問題，並特別注意資料饋送，以及開發用於檢測模式的內、外部測試流程。 適合個別領域的具體措施和文件 在特別需要負責的決策過程，例如在車輛的自動控制或醫療診斷中，應設計成由責任主體保留最終的決策權力，直到AI的控制品質已達到或高於所有參與者水平。對類人工智慧的信任，並非透過對方法的無條件追踪來實現，而是經過仔細測試，學習和記錄來實現
美國《聯邦採購規則》（FAR）2019年8月7日，美國總務署（General Services Administration, GSA）、國防部（Department of Defense, DoD）及航空暨太空總署（National Aeronautics and Space Administration, NASA）共同發布一項暫行規定（interim rule），依據2019美國《國防授權法》（National Defense Authorization Act, NDAA）修正美國《聯邦採購規則》（Federal Acquisition Regulation, FAR），以公共及國家安全為由，禁止美國聯邦機構購買或使用包括華為、中興通訊、海康威視、海能達及大華科技等5家中國大陸企業、子公司與關係企業所提供之電信或視頻監控設備及服務。禁令並擴及經美國國防部長與國家情報局局長或聯邦調查局局長協商後，合理認為屬特定國家地區所擁有或控制之實體，或與該國家地區的政府有聯繫者。該暫行規定已於2019年8月13日生效，美國政府有權為不存在安全威脅的承包商提供豁免直至2021年8月13日。並預計在2020年8月，全面禁止美國聯邦機構與使用該中國大陸企業設備與服務之公司簽訂契約。 2019美國《國防授權法》第889（a）（1）（A）條，明文禁止美國聯邦機構採購或使用特定企業所涵蓋之電信設備或服務，並禁止將該類產品作為設備、系統、服務或關鍵技術的實質或必要組成。本次修正美國《聯邦採購規則》，即配合新增第4.21小節「禁止特定電信和視頻監控服務或設備的承包」，並於52.204-25中明訂「禁止簽訂與特定電信和視頻監視服務或設備契約」。故除非有例外或豁免，禁止承包商提供任何涵蓋特定中國大陸企業之電信設備或服務，作為設備、系統、服務或關鍵技術的實質或必要組成部分。承包商及分包商必須在契約履行過程中，報告有無發現任何使用此類設備、系統或服務之情形。
因應使用「生成式AI（Generative AI）」工具的營業秘密管理強化建議2024年7月1日，美國實務界律師撰文針對使用生成式AI（Generative AI）工具可能導致的營業秘密外洩風險提出營業秘密保護管理的強化建議，其表示有研究指出約56%的工作者已經嘗試將生成式AI工具用於工作中，而員工輸入該工具的資訊中約有11%可能包含公司具有競爭力的敏感性資訊或客戶的敏感資訊，以Chat GPT為例，原始碼（Source Code）可能是第二多被提供給Chat GPT的機密資訊類型。系爭機密資訊可能被生成式AI工具提供者（AI Provider）用於訓練生成式AI模型等，進而導致洩漏；或生成式AI工具提供者可能會監控和存取公司輸入之資訊以檢查是否有不當使用，此時營業秘密可能在人工審查階段洩漏。 該篇文章提到，以法律要件而論，生成式AI有產生營業秘密之可能，因為營業秘密與著作權和專利不同之處在於「發明者不必是人類」；因此，由生成式 AI 工具協助產出的內容可能被視為營業秘密，其範圍可能包括：公司的內部 AI 平台、基礎的訓練算法和模型、輸入參數和輸出結果等。惟基於目前實務上尚未有相關案例，故生成式AI輸出結果在法律上受保護的範圍與條件仍需待後續的判例來加以明確。 實務專家提出，即使訴訟上尚未明確，企業仍可透過事前的管理措施來保護或避免營業秘密洩露，以下綜整成「人員」與「技術」兩個面向分述之： 一、人員面： 1.員工（教育訓練、合約） 在員工管理上，建議透過教育訓練使員工了解到營業秘密之定義及保護措施，並告知向生成式AI工具提供敏感資訊的風險與潛在後果；培訓後，亦可進一步限制能夠使用AI工具的員工範圍，如只有經過培訓及授權之員工才能夠存取這些AI工具。 在合約方面，建議公司可與員工簽訂或更新保密契約，納入使用生成式AI的指導方針，例如：明確規定禁止向生成式AI工具輸入公司營業秘密、客戶數據、財務信息、未公開的產品計劃等機密資訊；亦可增加相關限制或聲明條款，如「在生成式AI工具中揭露之資訊只屬於公司」、「限制公司資訊僅能存儲於公司的私有雲上」等條款。 2.生成式AI工具提供者（合約） 針對外部管理時，公司亦可透過「終端使用者授權合約（End User License Agreement，簡稱EULA）」來限制生成式AI工具提供者對於公司在該工具上「輸入內容」之使用，如輸入內容不可以被用於訓練基礎模型，或者該訓練之模型只能用在資訊提供的公司。 二、技術方面： 建議公司購買或開發自有的生成式AI工具，並將一切使用行為限縮在公司的私有雲或私有伺服器中；或透過加密、防火牆或多種編碼指令（Programmed）來避免揭露特定類型的資訊或限制上傳文件的大小或類型，防止機密資訊被誤輸入，其舉出三星公司（Samsung）公司為例，三星已限制使用Chat GPT的用戶的上傳容量為1024位元組（Bytes），以防止輸入大型文件。 綜上所述，實務界對於使用生成式AI工具可能的營業秘密風險，相對於尚未可知的訴訟攻防，律師更推薦企業透過訴訟前積極的管理來避免風險。本文建議企業可將前述建議之作法融入資策會科法所創意智財中心於2023年發布「營業秘密保護管理規範」中，換言之，企業可透過「營業秘密保護管理規範」十個單元（包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理，甚至是後端的爭議處理機制，如何監督與改善等）的PDCA管理循環建立基礎的營業秘密管理，更可以透過上述建議的做法（對單元5.使用管理、單元6.1保密約定、單元6.4教育訓練、單元7.網路與環境設備管理等單元）加強針對生成式AI工具之管理。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
印第安那州對違反個資外洩通報義務之保險公司提起訴訟印第安那州首席檢察官Greg Zoeller對Wellpoint保險公司提起訴訟標的金額30萬美元之損害賠償訴訟，主張該公司因遲延向首席檢察署及超過32,000萬因個人資料外洩影響所及之客戶通報個資外洩事件，而違反印第安那州通報法〈Indiana notification laws〉中通報及揭露規定〈Chapter 3. Disclosure and Notification Requirements及Chapter 3. Disclosure and Notification Requirements〉，依法各得請求15萬美元罰金，此為印第安那州提起之首件違反通報義務之訴訟。 前述法令於2009年7月生效，新法規定個人資料擁有者〈database owners〉負有「通報義務」，其於個資外洩事件發生後，必須在「合理期間」〈within a reasonable period of time〉內，對「潛在受影響之個人」〈both the individuals potentially affected by a data breach〉，以及檢察署通報，惟經調查，該公司未於合理時間內通報前述應通報之對象。 經查該公司於今〈2010〉年2、3月間即發現客戶個資外洩，卻6月18日始通知客戶，檢察署展開調查後認定其遲延通報無正當理由，故代表印地安那州向其提起民事賠償。 前述所指外洩之個人資料包括：提出投保申請者之個人資料內容，諸如「社會安全碼」〈social security number〉、「財務資訊」〈financial information〉、「健康記錄」〈health records〉，因該保險公司網頁之照管者〈siteminder〉未能實行安全防護，使盜竊身分之人〈identity thief〉得以改變統一資源定址器〈URL〉而窺見申請者的個人資訊。 除印第安那州客戶外，該保險公司因客戶個資外洩亦使其他州投保申請者資訊曝露，包括：美國加州、科羅拉多、康乃迪克、肯特基、密蘇里、內華達、新罕布夏、俄亥俄及威思康辛等九個州，約有47萬個客戶可能因此受影響。