德國聯邦內政部對歐盟部長會議「資料保護基本規則」(Datenschutz-Grundverordnung)發表意見書，並提出修法建議
德國聯邦內政部資料保護與資訊自由委員會於2015年8月15日針對歐盟部長會議於6月15日所確立對歐盟資料保護基本規則(Datenschutz-Grundverordnung)的基本立場，若依該立場則(1)資料處理目的之變更理由將變得更寬泛(2)對資訊保有機構所提出的申請程序以有償為原則(3)蒐集個人資料應遵循之規範過於簡略等，該委員會提出批評與建議。
該委員會會議認為有必要改進歐盟「資料保護基本規則」，令其更周延，更呼籲對資料保護基本規則的修正，應循以下重點及原則進行：
1.資訊節約原則應該堅持
多年來在德國法已確立的資訊節約原則(Datensparsamkeit)和資訊避免原則(Datenvermeidung)，應予維持。因此資料保護基本規則中，須清楚詳盡地規定節約原則和資訊避免原則。
2.目的明確性原則的要求不能退縮
目的明確性原則(der Grundsatz der Zweckbindung)之功能，係為資料處理之透明性和可預見性，該原則亦強化了當事人的資訊自主權，使其得以信賴個人資料之處理，僅限於所申請之目的內進行。
故若依理事會建議之規範，使資料處理目的之變更，得以更寬泛的理由進行，將背棄歐盟基本權利憲章中之目的明確性原則。
3.即令個人同意書亦不得拋棄資訊主權
資訊自決權，意謂原則上個人可以用同意的方式，決定個人資訊的使用和拋棄。但即使有清楚明確的意思表示，該同意亦僅係保障資訊主權的重要因素之一。另就同意書而言，若如歐盟部長理事會所建議者，只需清楚明確即可，則這種方式於保護上是不夠充分的。
4.個人資料建檔必須有效地限制
該會議重申，嚴格規範對個人資料的蒐集有其必要性。為個人檔案之整合與充分使用設置嚴格的界限，現有規定太過簡略而遭到批評。
5.有效的資訊保護需要歐盟層級的企業與官署的資料保護專員
對於資訊保護監督的有效性，在德國已確立之官方與私人企業的資訊保護專員制度係重要之一環。應致力於歐盟層級公/私機構資訊保護專員制度在整個歐洲的推動。
6. 資訊傳輸第三國官署和法院需要更嚴格的監督
近期的隱私醜聞之後，目前亟需對歐洲公民個人資料給予更妥善的保護，以對抗來自第三國的機構。此意見書贊同歐盟議會的建議，即以第三國法院的判決和行政機關的決議，要求對個人資訊的披露，在歐盟之中僅能基於國際公約中機關互助和法律協助之規定，原則上予以承認與執行。
本文為「經濟部產業技術司科技專案成果」
- Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, “ Datenschutzrechtliche Kernpunkte für die Trilogverhandlungen zur Datenschutz-Grundverordnung”(2015/08/14)
- Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, “ Positionspapier der DSK zur Datenschutz-Grundverordnung”(2015/08/26)
洪政緯
法律研究員 編譯整理
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, “ Positionspapier der DSK zur Datenschutz-Grundverordnung”(2015/08/26), http://www.bfdi.bund.de/DE/Infothek/Pressemitteilungen/2015/DSKFordertVerbesserungDSGrundVO.html;jsessionid=40EE9B057C17E3
DDD1578D6239C7308C.1_cid329?nn=5217154 (last visited Oct. 13, 2015)
Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, “ Datenschutzrechtliche Kernpunkte für die Trilogverhandlungen zur Datenschutz-Grundverordnung”(2015/08/14), http://www.bfdi.bund.de/DE/Europa_International/Europa/Reform_Datenschutzrecht/ReformEUDatenschutzrechtArtikel/ReformEUDatenschutzRecht.html?nn=5217104 (last visited Oct. 13, 2015)
美國歐巴馬總統於2013年5月9日正式簽署「促進政府資訊開放並利機器讀取」行政命令（Executive Order 13642–Making Open and Machine Readable the New Defaut for Government Information），推崇聯邦政府過去釋出氣候、全球定位系統（GPS）等資訊對於私部門產業創新及新創事業（entrepreneurship and star-up）之正面影響，盼未來所有新增加的政府資料在資訊安全和隱私權雙重確保之前提下，將開放以可供機器可讀取之格式給公共大眾，帶動整體經濟正面循環發展。之前，美國推動聯邦政府資料開放政策，重要者為白宮科學技術政策辦公室（Office of Science and Technology Policy, OSTP）於2009年3月份啟動「開放政府倡議」（Open Government Initiative），民眾可透過「Data.gov」入口網站 ，取得高價值、機器可讀取之聯邦政府資料。 近年來，在公部門政府政策鼓勵導引下，不同的產業也逐漸發展出適用於特定產業的共同互通性標準（sectoral interoparability）。以醫療衛生領域為例，從2010年開始，歐巴馬總統乃宣布「藍色按鈕倡議」（Blue Button Initiative），病患得透過特定網頁（web-based）簡易下載其健康資訊（health information），並可供重複利用的格式下；同時，患者也可以選擇將該資訊分享給健康照護提供者（health care provider）、保險公司和信任的第三者（trusted third parties）。該倡議更挑戰軟體開發者（developer）在藍色按鈕的基礎上，開發更多的Apps軟體，使當事人更容易去管理掌控自身健康的狀況。在能源科技領域，近似於藍色按鈕倡議，白宮幕僚科技長Aneesh Chopra於2011年9月，也發起了「綠色按鈕倡議」（green button initaitive），挑戰美國境內大小事業單位（utilities）投入參與該倡議，研發一個機器可讀取之開放格式（a machine-readable open format），使消費者得透過連線網路重複近取之。 有鑒於網際網路開放的特性，且近年來來自外國網路攻擊不斷，於2013年2月份，NIST與國際間重要標準組織，如ISO、IEC和IEEE，首度就感應網絡（sensor networks）、機器對機器（M2M）和智慧聯網（IoT），提出一個跨界面之共通標準計畫（ISO/IEC/IEEE P21451-1-4 XMPP），該共通標準計畫內容包含: 封包傳輸（檢測）、全球獨特辨識、政策控制和加密，此共通標準得確保未來巨量資料領域資料近取之安全性 。
歐盟執委會發布《受禁止人工智慧行為指引》歐盟執委會發布《受禁止人工智慧行為指引》 資訊工業策進會科技法律研究所 2025年02月24日 歐盟繼《人工智慧法》[1]（Artificial Intelligence Act, 下稱AI Act）於2024年8月1日正式生效後，針對該法中訂於2025年2月2日始實施之第5條1，有關「不可接受風險」之內容中明文禁止的人工智慧行為類型，由歐盟執委會於2025年2月4日發布《受禁止人工智慧行為指引》[2]。 壹、事件摘要 歐盟AI Act於2024年8月1日正式生效，為歐盟人工智慧系統引入統一之人工智慧風險分級規範，主要分為四個等級[3]： 1. 不可接受風險（Unacceptable risk） 2. 高風險（High risk） 3. 有限風險，具有特定透明度義務（Limited risk） 4. 最低風險或無風險（Minimal to no risk） AI Act之風險分級系統推出後，各界對於法規中所說的不同風險等級的系統，究竟於實務上如何判斷？該等系統實際上具備何種特徵？許多內容仍屬概要而不確定，不利於政府、企業遵循，亦不利於各界對人工智慧技術進行監督。是以歐盟本次針對「不可接受風險」之人工智慧系統，推出相關指引，目的在明確化規範內涵規範，協助主管機關與市場參與者予以遵循。 貳、重點說明 一、AI Act本文第5條1（a）、（b）－有害操縱、欺騙與剝削行為 （一）概念說明 本禁止行為規定旨在防止透過人工智慧系統施行操縱與剝削，使他人淪為實現特定目的工具之行為，以保護社會上最為脆弱且易受有害操控與剝削影響的群體。 （二）禁止施行本行為之前提要件 1.該行為必須構成將特定人工智慧系統「投放於歐盟市場」（placing on the market）[4]、「啟用」（putting into service）[5]或「使用」（use）[6]。 2.應用目的：該人工智慧系統所採用的技術具有能實質扭曲個人或團體行為的「目的」或「效果」，此種扭曲明顯削弱個人或團體做出正確決定的能力，導致其做出的決定偏離正常情形。 3.技術特性：關於(a)有害的操縱與欺騙部分，係指使用潛意識（超出個人意識範圍）、或刻意操控或欺騙的技術；關於(b)有害地利用弱勢群體部分，是指利用個人年齡、身心障礙或社會經濟狀況上弱點。 4.後果：該扭曲行為已造成或合理可預見將造成該個人、另一人或某群體的重大傷害。 5.因果關係：該人工智慧系統所採用的技術、個人或團體行為的扭曲，以及由此行為造成或可合理預見將造成的重大傷害之間，具備相當因果關係。 二、AI Act本文第5條1（c）－社會評分行為 （一）概念說明 本禁止行為規定旨在防止透過人工智慧系統進行「社會評分」可能對特定個人或團體產生歧視和不公平的結果，以及引發與歐盟價值觀不相容的社會控制與監視行為。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該人工智慧系統必須用於對一定期間內，自然人及群體的社會行為，或其已知、預測的個人特徵或人格特質進行評價或分類。 3.後果：透過該人工智慧系統所產生的社會評分，必須可能導致個人或群體，在與評分用資料生成或蒐集時無關的環境遭受不利待遇，或遭受與其行為嚴重性不合比例的不利待遇。 三、AI Act本文第5條1（d）－個人犯罪風險評估與預測行為 （一）概念說明 本禁止行為規定之目的，旨在考量自然人應依其實際行為接受評判，而非由人工智慧系統僅基於對自然人的剖析、人格特質或個人特徵等，即逕予評估或預測個人犯罪風險。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該人工智慧系統必須生成旨在評估或預測自然人施行犯罪行為風險的風險評估結果。 3.後果：前述風險評估結果僅依據於對自然人的剖析，或對其人格特質與個人特徵的評估。 4.除外規定：若人工智慧系統係基於與犯罪活動直接相關的客觀、可驗證事實，針對個人涉入犯罪活動之程度進行評估，則不適用本項禁止規定。 四、AI Act本文第5條1（e）－無差別地擷取（Untargeted Scraping）臉部影像之行為 （一）概念說明 本禁止行為規定之目的，旨在考量以人工智慧系統從網路或監視器影像中無差別地擷取臉部影像，用以建立或擴充人臉辨識資料庫，將嚴重干涉個人的隱私權與資料保護權，並剝奪其維持匿名的權利。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該行為以建立或擴充人臉辨識資料庫為目的。 3.技術特性：填充人臉辨識資料庫的方式係以人工智慧工具進行「無差別的擷取行為」。 4.因果關係：建立或擴充人臉辨識資料庫之影像來源，須為網路或監視器畫面。 五、AI Act本文第5條1（f）－情緒辨識行為 （一）概念說明 本禁止行為規定之目的，旨在考量情緒辨識可廣泛應用於分析消費者行為，以更有效率的手段執行媒體推廣、個人化推薦、監測群體情緒或注意力，以及測謊等目的。然而情緒表達在不同文化、情境與個人反應皆可能存在差異，缺乏明確性、較不可靠且難以普遍適用，因此應用情緒辨識可能導致歧視性結果，並侵害相關個人或群體的權利，尤以關係較不對等的職場與教育訓練環境應加以注意。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該系統係用於推斷情緒。 3.因果關係：該行為發生於職場或教育訓練機構。 4.除外規定：為醫療或安全目的而採用的人工智慧系統不在禁止範圍內。例如在醫療領域中，情緒辨識可協助偵測憂鬱症、預防自殺等，具有正面效果。 六、AI Act本文第5條1（g）－為推測敏感特徵所進行之生物辨識分類行為 （一）概念說明 本禁止行為規定之目的，旨在考量利用人工智慧之生物辨識分類系統（Biometric Categorisation System）[7]，可依據自然人的生物辨識資料用以推斷其性取向、政治傾向、信仰或種族等「敏感特徵」在內的各類資訊，並可能在當事人不知情的情況下依據此資訊對自然人進行分類，進而可能導致不公平或歧視性待遇。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該行為係針對個人進行分類；而其辨識目的係為推斷其種族、政治傾向、工會成員身分、宗教或哲學信仰、性生活或性取向等。 3.技術特性：該系統必須為利用人工智慧，並依據自然人的生物辨識資料，將其歸類至特定類別之生物辨識分類系統。 4.因果關係：前述分類依據為其生物辨識資訊。 5.除外規定：本項禁止規定未涵蓋對合法取得的生物辨識資料進行標記（Labelling）或過濾（Filtering）行為，如用於執法目的等。 七、AI Act本文第5條1（h）－使用即時遠端生物辨識（Remote Biometric Identification, RBI）系統[8]執法[9]之行為 （一）概念說明 本禁止行為規定之目的，旨在考量在公共場所使用即時RBI系統進行執法，可能對人民權利與自由造成嚴重影響，使其遭受監視或間接阻礙其行使集會自由及其他基本權利。此外，RBI系統的不準確性，將可能導致針對年齡、族群、種族、性別或身心障礙等方面的偏見與歧視。 （二）禁止施行本行為之前提要件 1.該行為必須涉及對即時RBI系統的「使用」行為。 2.應用目的：使用目的須為執法需要。 3.技術特性：該系統必須為利用人工智慧，在無需自然人主動參與的情況下，透過遠距離比對個人生物辨識資料與參考資料庫中的生物辨識資料，從而達成識別自然人身份目的之RBI系統。 4.因果關係：其使用情境須具備即時性，且使用地點須為公共場所。 參、事件評析 人工智慧技術之發展固然帶來多樣化的運用方向，惟其所衍生的倫理議題仍應於全面使用前予以審慎考量。觀諸歐盟AI Act與《受禁止人工智慧行為指引》所羅列之各類行為，亦可觀察出立法者對人工智慧之便利性遭公、私部門用於「欺詐與利用」及「辨識與預測」，對《歐盟基本權利憲章》[10]中平等、自由等權利造成嚴重影響的擔憂。 為在促進創新與保護基本權利及歐盟價值觀間取得平衡，歐盟本次爰參考人工智慧系統提供者、使用者、民間組織、學術界、公部門、商業協會等多方利害關係人之意見，推出《受禁止人工智慧行為指引》，針對各項禁止行為提出「概念說明」與「成立條件」，期望協助提升歐盟AI Act主管機關等公部門執行相關規範時之法律明確性，並確保具體適用時的一致性。於歐盟內部開發、部署及使用人工智慧系統的私部門企業與組織，則亦可作為實務參考，有助確保其自身在遵守AI Act所規定的各項義務前提下順利開展其業務。 [1]European Union, REGULATION (EU) 2024/1689 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL (2024), https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202401689 (last visited Feb. 24, 2025). [2]Commission publishes the Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act., European Commission, https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act (last visited Feb. 24, 2025). [3]AI Act, European Commission, https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (last visited Feb. 24, 2025). [4]依據本指引第2.3點，所謂「投放於歐盟市場」（placing on the market），係指該人工智慧系統首次在歐盟市場「提供」；所謂「提供」，則係指在商業活動過程中，以收費或免費方式將該AI系統供應至歐盟市場供分發或使用。 [5]依據本指引第2.3點，所謂「啟用」（putting into service），係指人工智慧系統供應者為供應使用者首次使用或自行使用，而於歐盟內供應人工智慧系統。 [6]依據本指引第2.3點，「使用」（use）之範疇雖未在AI Act內容明確定義，惟應廣義理解為涵蓋人工智慧系統在「投放於歐盟市場」或「啟用」後，其生命週期內的任何使用或部署；另參考AI Act第5條的規範目的，所謂「使用」應包含任何受禁止的誤用行為。 [7]依據AI Act第3條(40)之定義，生物辨識分類系統係指一種依據自然人的生物辨識資料，將其歸類至特定類別之人工智慧系統。 [8]依據AI Act第3條(41)之定義，RBI系統係指一種在無需自然人主動參與的情況下，透過遠距離比對個人生物辨識資料與參考資料庫中的生物辨識資料，從而達成識別自然人身份目的之人工智慧系統。 [9]依據AI Act第3條(46)之定義，「執法（law enforcement）」一詞，係指由執法機關或其委任之代表，代替其執行目的包括預防、調查、偵測或起訴刑事犯罪，或執行刑事處罰，並涵蓋防範與應對公共安全威脅等範疇之行為。 [10]CHARTER OF FUNDAMENTAL RIGHTS OF THE EUROPEAN UNION, Official Journal of the European Union, https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:12012P/TXT (last visited Feb. 24, 2025).
日本發布電力、天然氣及石油部門之去碳轉型金融路徑圖日本經濟產業省於2022年2月4日發布電力、天然氣及石油部門的「去碳轉型金融路徑圖」（トランジション・ファイナンスに関するロードマップ），作為各部門轉型金融之指引，確保資金持續投入，協助二氧化碳主要排放部門朝去碳化轉型，以實現2050年碳中和目標。 電力、天然氣及石油部門之「去碳轉型金融路徑圖」，係以科學根據為基礎，依據日本國內電力、天然氣、石油部門之現況及相關政策規劃，導入現階段具可行性之技術，確實推動減少二氧化碳排放；同時並針對未來技術的發展與革新目標訂定時間表，確保技術與各部門未來之發展能有助日本於2050年達成碳中和目標。一方面於企業欲透過轉型金融取得資金時，指引企業針對其現行氣候變遷對策進行檢討；另一方面，亦可協助金融機構審視企業於轉型融資時所提出之轉型策略與措施，以判斷是否符合轉型金融之資格。各部門主要重點如下： 電力：2020年開始導入轉型燃料（生質能、氫、氨與天然氣之混和燃燒），並逐步淘汰傳統火力發電；2030年確立去碳燃料（純生質能、氫、氨火力發電、再生能源等）相關技術，並推動商用化。 石油：2020年起開發石油製程節能技術，並推動轉型以天然氣為主要燃料；同時發展氫氣製造技術、二氧化碳捕捉技術，於2030年達成商用化。 天然氣：2020年起針對天然氣、液化石油氣進行節能製程、燃料利用效率、合成燃料相關技術開發，並擴大建置都市天然氣管線、確保液化石油氣配送途徑等。
美國健康保險制度下的個人資料安全保護隱憂為降低美國人民在醫療保險費用的支出，同時加強管理現有的保險產業，同時提供美國人民一更易負擔的醫療保險制度，美國總統歐巴馬自上任以來遂特別加強推動美國健康保險制度，與相關現有醫療保險制度的建置與改革，並於2010年3月23日通過「病患保護與平價醫療法案」（The Patient Protection and Affordable Care Act，本法暱稱Obamacare），並計劃於今（2013）年10月正式啟動上路。 為集中且便利相關機構快速讀取單一個人之相關資訊，Obamacare計畫透過聯邦數據服務樞紐（The Federal Data Services Hub）的建置，彙整目前美國各單一政府單位所保有之全民個人資料，該類資料涵蓋個人醫療、教育、和財務等相關資訊，提供各州政府單位機關有需求時得以讀取。然而，儘管該服務樞紐的用意係為提供更完整的個人資料，然而其卻也因其本身具集中單一個人資料於一身的特性而受到各界的質疑。反對人士認為，由於該服務樞紐彙整龐大單一個人資料，因此若其未建立完善資訊安全機制，而遭受到不肖駭客入侵竊取個人資料的話，所造成的後果將影響甚遠，再加上未來將管理服務樞紐的美國衛生及公共服務部（The Department of Health and Human Services, HHS），遲遲未能讓外界信服其已建立充分的資訊安全保全系統來保障全美國人民的個人資料，因此反對人士對於該服務樞紐對於個人資料安全與隱私的保全能力感到堪慮。 根據美國隱私法（Privacy Act of 1974），美國政府需提供適當的隱私保全機制來保障美國人民的個人資料，同時，美國聯邦資訊安全管理法（Federal Information Security Management Act of 2002）亦要求美國政府需確保美國人民的個人資料不被濫用，故在該二法案的明文要求下，歐巴馬政府於推行Obamacare之際，相關資訊安全保全系統機制仍須符合標準始得合法運作。Obamacare上路在即，歐巴馬政府與相關部會該如何解決個人資料保護問題，其後續發展實值得觀察。