二次創作影片是否侵害著作權以谷阿莫二次創作影片為例
資策會科技法律研究所
法律研究員 陳依婷
104年12月29日
2015年Google公布台灣Youtube的各類熱門項目中,「這群人」、「谷阿莫」、「蔡阿嘎」等影音創作者的影片特別受到歡迎[1],這些熱門Youtube創作者都是利用他人著作素材進行二次創作,由於二次創作人利用的素材是他人的著作,二次創作人如果沒有獲得素材著作權利人同意而逕自進行修改,有可能面臨到著作侵權的問題。而Google著作權法律總監 Fred von Lohmann說明,YouTube平台其中有許多影片是利用現有的音樂、短片來改編,創造出來的改編影片甚至比原始影片還要更多的社會價值,透過 YouTube 提供保障,避免扼殺工作者的創意發展空間,與創造出「更棒的社群」[2]。
由此可知,目前影音平台的創意內容,以利用他人著作進行二次創作為大宗,同時也帶來更多人收看的效果,Youtube為了要讓這些二次創作得以存續在影音平台上,針對合理使用他人著作而進行二次創作的創作者,以協助支付智慧財產權相關訴訟費用的方式[3],避免二次創作者因為原著作人要求下架的通知,就移除影音平台上二次創作的影片。
二次創作者利用他人著作進行創作應取得他人同意,若未取得他人同意,有可能有侵害他人著作權之可能,除非主張利用他人著作是屬於合理使用範圍,若利用他人著作的行為屬於合理使用,則原著作之著作權利人就無法主張著作侵權,意即二次創作者並不侵害著作權利。
壹、著作權合理使用之規定
著作權合理使用係限縮原著作人主張著作權利的範疇,所以必須在一定的條件下才能主張適用,也就是說利用人並非再任何情況下都可以主張著作權合理使用,必須符合一定的條件規定。著作的利用是否符合著作權法的合理使用,除了需要符合著作權法第44條至第63條[4]規定或其他合理使用之情形,應該審酌一切情狀並依據第65條[5]規定作為判斷的基準。又第65條屬於獨立之合理使用概括條款[6],意即可單獨就第65條之規定進行合理使用的判斷。著作權法第65條規定判斷合理使用的基準包含1.利用之目的及性質,包括係為商業目的或非營利教育目的。2.著作之性質。3.所利用之質量及其在整個著作所占之比例。4.利用結果對著作潛在市場與現在價值之影響。
貳、著作權合理使用之判斷要件
著作權合理使用以著作權法第65條第2項作為判斷基準,著作權法第65條第2項共有四款要件,而四款必須綜合判斷,也就是說著作利用並非符合其中一款要件就屬於合理使用,也非符合四款要件才屬於合理使用,並須綜合四款要件作整體性利用情形的評估,而該四款要件說明如下:
一、利用之目的及性質,包括係為商業目的或非營利教育目的:
審酌著作利用目的與性質主要是要確認著作的利用是否有助於社會公共利益或國家文化發展,一般人通常誤解法條規定中敘述的商業目的或非營利教育目的,以為本項的判斷基準就是以是否有營利作為區分,也就是誤以為只要非營利的利用行為就一定符合本項要件,然最高法院判決指明,本款要件並非區分商業及非營利(或教育目的),著作的利用雖然是非營利但是對於社會公共利益或國家文化發展並無助益仍不符合本款要件,反之,著作的利用雖然是以營利為目的,但是有助於社會公共利益或國家文化發展,則亦屬於本款要件[7]。
二、著作之性質。
著作之性質所指為被利用的著作的類型種類,由於著作類型眾多,在不同類型著作的創作目的與著作性質差異甚大,也會影響著作內容,合理使用的判斷自然會因為著作性質的不同而有不同的審酌標準。
三、所利用之質量及其在整個著作所占之比例。
本款係指利用他人的著作的質與量占利用人的著作的比例,也就是說要分兩部分綜合評估,一是利用他人著作的範圍是否是他人著作最精華之處或數量很多,二是看被利用著作占利用人著作內容的比例。意即雖然使用他人著作的全部或是最精華之處,仍要就利用人著作內容來看他人著作占整體內容的比例進行判斷,如果占利用人著作的比例很低,仍有可能符合本款的要件[8]。
四、利用結果對著作潛在市場與現在價值之影響。
本款係指利用結果對於被利用著作的權利人是否有市場價值上的影響,考量利用後原著作經濟市場是否因此產生「市場替代」之效果,而使得原著作的商業利益受到影響,若對原著作商業利益影響越大,則可主張合理使用之空間越小[9]。
参、谷阿莫二次創作是否符合著作權合理使用之範圍?
從今年快速竄起的晉升熱門 YouTube 創作者「谷阿莫」,以 X 分鐘看完電影的系列創作來看,谷阿莫用簡潔的方式搭配影片畫面說明劇情,讓人可以快速了解一部影片,同時谷阿莫也利用諧趣的方式將影片感想穿插在說故事的內容中,也因為清楚易懂又有令人會心一笑的說故事方式,讓谷阿莫的youtube訂閱人數達到了73萬[10]。
谷阿莫是利用他人著作進行二次創作,是否屬於合理使用他人著作而進行創作,其著作侵權之判斷仍需以法院個案判定為依準,但本文期先以目前的法律規定來進行初步評析,以提供二次創作者之參考。
谷阿莫二次創作影片大多以電影為主,搭配上自己簡化劇情的旁白與字幕說明,完成大約10分鐘內的故事情節與畫面。由於谷阿莫使用的是電影影片,若未經影片著作權利人同意或授權,谷阿莫進行影片的下載、剪輯配音與配上字幕、上傳網路的行為,則會有可能侵害影片著作權利人的重製權、改作權與公開傳輸權[11]。
谷阿莫使用他人電影影片是否屬於合理使用,以下就著作權法第65條第2項各款要件進行評析:
一、利用之目的及性質,包括係為商業目的或非營利教育目的:
從youtube影音平台中谷阿莫的說明來看[12],主要是分享並說一個他喜歡的故事,從說明文字來看並無涉及賺錢營利之商業目的,而實際上是否有收益或營利,例如參與youtube影音平台進行廣告分潤而收益[13],從網路中的公開資料中無法得知。然谷阿莫利用他人著作是否對於公共利益或國家文化發展有所助益,從只是分享一個他喜歡的故事而用到他人的影片來探討,若是讓大眾能夠瞭解影片要傳達的教育內容以及提供摘要歸納的學習方式,必須從谷阿莫二次創作影片的旁白內容來進行個案認定,目前從諸多的谷阿莫二次創作的影片觀之,較多屬於詼諧有趣的內容但每部影片都提供了歸納摘要故事劇情表現方式,而其是否具有教育性質有助於調和公共利益仍有灰色地帶,難直接被認定對於促進公共利益與國家文化發展是有所助益。
二、著作之性質。
谷阿莫利用電影影片進行二次創作,利用的電影影片是視聽著作,該電影影片之創作目的在於提供人們娛樂欣賞,與以報導為目的攝影著作相較起來[14],具有較高的商業價值,合理使用的審酌標準自應較高。
三、所利用之質量及其在整個著作所占之比例。
雖然所利用之質量及其在整個著作所占之比例,仍要據以個案內容進行判斷被利用的著作的量與質,但從谷阿莫二次創作的理念,以簡化摘要重點的方式來訴說故事來評估,由於精簡的說故事手法通常都會以劇情重點來表示,呈現電影劇情最高潮最精華的片段是可預期的,但是並不會使用到整部電影影片,所以使用被利用著作之質是可預期,但是可能使用被利用著作的量較不會太多。再來,所利用的質量占二次創作內容的比例來看,谷阿莫的二次創作影片除了旁白配音,都是使用電影影片,所利用的視聽著作在二次創作的著作內容比例是高的,雖然並非使用到原視聽著作的所有內容,但原視聽著作的內容占二次創作的視聽著作內容比例是高的。
四、利用結果對著作潛在市場與現在價值之影響。
谷阿莫的二次創作影片是否有影響原著作的現在價值與潛在市場,從谷阿莫二次創作影片是否具有市場替代的效果、影響原著作的商業利益的角度思考,從網友們對於谷阿莫的影片的回應如「可以省下電影票的錢」、「被谷阿莫一說就沒有想看的慾望啦」[15],從文字上來看是有可能致使大家看了谷阿莫二次創作的影片就不會想要花錢進電影院看原著作電影,進而使原著作的商業利益受損,但進一步探究網友不想花錢進電影院看原著電影(現在價值)或是付費購買原著電影下檔後的影碟(潛在市場),有可能因為原著作電影的劇情內容本身無法提高網友付費意願,加上谷阿莫二次創作的影片,使網友更加確認不想看原著作電影的想法,而針對本有意願付費觀賞原著作電影的網友,反而有可能因為谷阿莫的二次創作呈現出原著作電影的劇情內容,進而強化了網友付費欣賞原著影片的想法達到了廣告效果並促進原著作電影的商業利益。因此,難謂谷阿莫的二次創作有造成市場替代之效果。
谷阿莫二次創作是否造成著作潛在市場與現在價值的影響,亦不能只以網友的回覆為準,仍需要有具體價值影響的證據或是著作潛在市場影響的證明等才能作為判斷的依據。
綜上所述,目前就網路上公開的資料來看,谷阿莫二次創作的目的較難直接認定有調和公共利益或促進國家文化發展,而所利用的著作性質為視聽著作有較高的商業價值,而利用的著作較容易使用到視聽著作精華的畫面,且谷阿莫的二次創作影片畫面全部都是使用原著作的影片畫面,占谷阿莫二次創作視聽著作的比例甚高,利用的結果若照網友的回應「省了電影票的錢」,尚須進一步確認是否有市場替代效果而影響原著作現在價值或是潛在市場,就著作權法第65條第2項的規定各款要件進行審視,谷阿莫利用他人著作被認定為合理使用的可能性難謂過高,故亦有被認定著作權侵權之風險。
從谷阿莫二次創作影片探討是否屬於合理使用的範圍,雖然其判斷仍需由法院個案判定,但創作人在進行二次創作時能從著作權法合理使用的要件來先行評估,從利用他人著作的目的、他人著作的性質、使用他人著作質量占二次創作著作內容的比例以及是否會影響他人著作的價值與潛在市場,在二次創作的內容上可考量原著作人的商業利益,或進一步取得同意而進行二次創作,則可以降低著作侵權的風險。
[1]譚偉晟,<柯P、谷阿莫皆入榜! YouTube 2015 年台灣熱門排行公布?>,自由時報,2015/12/09,http://3c.ltn.com.tw/news/21907(最後瀏覽日2015/12/29)。
[2]劉季清,<影片沒侵權卻被檢舉?別擔心,YouTube 出錢幫你打官司!>,自由時報,2015/11/23,http://3c.ltn.com.tw/news/21592 (最後瀏覽日2015/12/29)。
[3]顧濟韋,<合理使用卻被下架? Youtube幫你出錢打官司>,數位時代,2015/11/20,http://www.bnext.com.tw/article/view/id/38019 (最後瀏覽日2015/12/29)。
[4]著作權法第44條 中央或地方機關,因立法或行政目的所需,認有必要將他人著作列為內部參考資料時,在合理範圍內,得重製他人之著作。但依該著作之種類、用途及其重製物之數量、方法,有害於著作財產權人之利益者,不在此限。
第 45 條 專為司法程序使用之必要,在合理範圍內,得重製他人之著作。前條但書規定,於前項情形準用之。
第 46 條 依法設立之各級學校及其擔任教學之人,為學校授課需要,在合理範圍內,得重製他人已公開發表之著作。第四十四條但書規定,於前項情形準用之。
第 47 條 為編製依法令應經教育行政機關審定之教科用書,或教育行政機關編製教科用書者,在合理範圍內,得重製、改作或編輯他人已公開發表之著作。前項規定,於編製附隨於該教科用書且專供教學之人教學用之輔助用品,準用之。但以由該教科用書編製者編製為限。依法設立之各級學校或教育機構,為教育目的之必要,在合理範圍內,得公開播送他人已公開發表之著作。前三項情形,利用人應將利用情形通知著作財產權人並支付使用報酬。使用報酬率,由主管機關定之。
第 48 條 供公眾使用之圖書館、博物館、歷史館、科學館、藝術館或其他文教機構,於下列情形之一,得就其收藏之著作重製之︰一、應閱覽人供個人研究之要求,重製已公開發表著作之一部分,或期刊或已公開發表之研討會論文集之單篇著作,每人以一份為限。二、基於保存資料之必要者。三、就絕版或難以購得之著作,應同性質機構之要求者。
第 48-1 條 中央或地方機關、依法設立之教育機構或供公眾使用之圖書館,得重製下列已公開發表之著作所附之摘要︰一、依學位授予法撰寫之碩士、博士論文,著作人已取得學位者。二、刊載於期刊中之學術論文。三、已公開發表之研討會論文集或研究報告。
第 49 條 以廣播、攝影、錄影、新聞紙、網路或其他方法為時事報導者,在報導之必要範圍內,得利用其報導過程中所接觸之著作。
第 50 條 以中央或地方機關或公法人之名義公開發表之著作,在合理範圍內,得重製、公開播送或公開傳輸。
第 51 條 供個人或家庭為非營利之目的,在合理範圍內,得利用圖書館及非供公眾使用之機器重製已公開發表之著作。
第 52 條 為報導、評論、教學、研究或其他正當目的之必要,在合理範圍內,得引用已公開發表之著作。
第 53 條 中央或地方政府機關、非營利機構或團體、依法立案之各級學校,為專供視覺障礙者、學習障礙者、聽覺障礙者或其他感知著作有困難之障礙者使用之目的,得以翻譯、點字、錄音、數位轉換、口述影像、附加手語或其他方式利用已公開發表之著作。前項所定障礙者或其代理人為供該障礙者個人非營利使用,準用前項規定。依前二項規定製作之著作重製物,得於前二項所定障礙者、中央或地方政府機關、非營利機構或團體、依法立案之各級學校間散布或公開傳輸。
第 54 條 中央或地方機關、依法設立之各級學校或教育機構辦理之各種考試,得重製已公開發表之著作,供為試題之用。但已公開發表之著作如為試題者,不適用之。
第 55 條 非以營利為目的,未對觀眾或聽眾直接或間接收取任何費用,且未對表演人支付報酬者,得於活動中公開口述、公開播送、公開上映或公開演出他人已公開發表之著作。
第 56 條 廣播或電視,為公開播送之目的,得以自己之設備錄音或錄影該著作。但以其公開播送業經著作財產權人之授權或合於本法規定者為限。前項錄製物除經著作權專責機關核准保存於指定之處所外,應於錄音或錄影後六個月內銷燬之。
第 56-1 條 為加強收視效能,得以依法令設立之社區共同天線同時轉播依法設立無線電視臺播送之著作,不得變更其形式或內容。
第 57 條 美術著作或攝影著作原件或合法重製物之所有人或經其同意之人,得公開展示該著作原件或合法重製物。前項公開展示之人,為向參觀人解說著作,得於說明書內重製該著作。
第 58 條 於街道、公園、建築物之外壁或其他向公眾開放之戶外場所長期展示之美術著作或建築著作,除下列情形外,得以任何方法利用之︰一、以建築方式重製建築物。二、以雕塑方式重製雕塑物。三、為於本條規定之場所長期展示目的所為之重製。四、專門以販賣美術著作重製物為目的所為之重製。
第 59 條 合法電腦程式著作重製物之所有人得因配合其所使用機器之需要,修改其程式,或因備用存檔之需要重製其程式。但限於該所有人自行使用。前項所有人因滅失以外之事由,喪失原重製物之所有權,除經著作財產權人同意外,應將其修改或重製之程式銷燬之。
第 59-1 條 在中華民國管轄區域內取得著作原件或其合法重製物所有權之人,得以移轉所有權之方式散布之。
第 60 條 著作原件或其合法著作重製物之所有人,得出租該原件或重製物。但錄音及電腦程式著作,不適用之。附含於貨物、機或設備之電腦程式著作重製物,隨同貨物、機器或設備合法出租且非該項出租之主要標的物者,不適用前項但書之規定。
第 61 條 揭載於新聞紙、雜誌或網路上有關政治、經濟或社會上時事問題之論述,得由其他新聞紙、雜誌轉載或由廣播或電視公開播送,或於網路上公開傳輸。但經註明不許轉載、公開播送或公開傳輸者,不在此限。
第 62 條 政治或宗教上之公開演說、裁判程序及中央或地方機關之公開陳述,任何人得利用之。但專就特定人之演說或陳述,編輯成編輯著作者,應經著作財產權人之同意。
第 63 條 依第四十四條、第四十五條、第四十八條第一款、第四十八條之一至第五十條、第五十二條至第五十五條、第六十一條及第六十二條規定得利用他人著作者,得翻譯該著作。依第四十六條及第五十一條規定得利用他人著作者,得改作該著作。依第四十六條至第五十條、第五十二條至第五十四條、第五十七條第二項、第五十八條、第六十一條及第六十二條規定利用他人著作者,得散布該著作。
[5]著作權法第65條著作之合理使用,不構成著作財產權之侵害。著作之利用是否合於第四十四條至第六十三條所定之合理範圍或其他合理使用之情形,應審酌一切情狀,尤應注意下列事項,以為判斷之基準:一、利用之目的及性質,包括係為商業目的或非營利教育目的。二、著作之性質。三、所利用之質量及其在整個著作所占之比例。四、利用結果對著作潛在市場與現在價值之影響。著作權人團體與利用人團體就著作之合理使用範圍達成協議者,得為前項判斷之參考。前項協議過程中,得諮詢著作權專責機關之意見。
[6]智慧財產法院102年度民著上字第1號民事判決。第65條第1 項、第2 項亦有明文。本條規定乃獨立之合理使用概括條款,法院得單獨審酌第65條第2項之判斷標準而認定構成合理使用,並明文例示4 項判斷標準,並可考量非第65條第2 項所例示之判斷標準。
[7]最高法院94年度臺上字第7127號刑事判決認為:「著作權法第65條第2 項第1 款所 謂『利用之目的及性質,包括係為商業目的或非營利教育目的』,應以著作權法第一條所規定之立法精神解析其使用目的,而非單純二分為商業及非營利(或教育目的),以符合著作權之立法宗旨。申言之,如果使用者之使用目的及性質係有助於調和社會公共利益或國家文化發展,則即使其使用目的非屬於教育目的,亦應予以正面之評價;反之,若其使用目的及性質,對於社會公益或國家文化發展毫無助益,即使使用者並未以之作為營利之手段,亦因該重製行為並未有利於其他更重要之利益,以致於必須犧牲著作財產權人之利益去容許該重製行為,而應給予負面之評價。」
[8]智慧財產法院102年度民著上字第1號民事判決。被上訴人蘋果日報臺灣分公司係將系爭照片刊登在其所發行之99年8 月25日蘋果日報A9「政治」版左下方,固係利用整張系爭照片,惟系爭照片在系爭報紙A9版所佔篇幅之比例低,較諸該文字報導所佔版面為小。
[9] 智慧財產法院103年度民著上更(一)字第2號民事判決,
[10] 谷阿莫youtube創作頻道,https://www.youtube.com/user/AMOGOOD,(最後瀏覽日2015/12/29)。
[11]著作財產權有重製權、改作權、編輯權、出租權、散布權、公開播送權、公開傳輸權、公開口述權、公開上映權、公開演出權、公開展示權。
[12]谷阿莫youtube創作頻道,https://www.youtube.com/user/AMOGOOD,我是谷阿莫,very good的阿莫,科科,來這邊只是聽我說一個我喜歡的故事,我不評論原始故事背後的含意或導演拍攝的用意,因為那些東西每個人都有不同的看法,有空還是要自己去看原創故事喔,謝謝。
[13]陳怡如,<透過YouTube影片賺錢!台灣超過3萬名創作者加入廣告分潤計畫>,數位時代,2013/03/23,http://www.bnext.com.tw/article/view/id/27051 (最後瀏覽日2015/12/29)。
[14]智慧財產法院102年度民著上字第1號民事判決,被使用的照片性質上而言,乃屬攝影著作,系爭攝影著作之目的在於輔助公眾對該新聞事件之理解,而非在於該照片本身有何獨特之處,顯然並無特殊商業價值,是以,就系爭照片著作性質而言,應屬與新聞事件高度相關之攝影著作,脫離新聞事件,縱使該照片具有原創性,其價值亦不高。
[15]Now娛樂,<影/谷阿莫5分鐘看《侏羅紀》 網友反吐槽>,Nownews,2015/07/13,http://www.nownews.com/n/2015/07/13/1746862(最後瀏覽日2015/12/29)。
美國國家情報體系(United States Intelligence Community)係於1981年依據行政命令第12333號(Executive Order 12333)所建立,其任務為蒐集、分析與提供外國情報與反情報資訊美國國家領導人,服務對象包含美國總統、執法單位以及軍事單位。其於2020年6月提出「情報體系人工智慧倫理架構」(Artificial Intelligence Ethics Framework for the Intelligence Community),為人工智慧系統與訓練資料、測試資料之採購、設計、研發、使用、保護、消費與管理提出指引,並指出人工智慧之利用須遵從以下事項: 一、於經過潛在風險評估後,以適當且符合目的之方法利用; 二、人工智慧之使用應尊重個人權利與自由,且資料取得應合法且符合相關政策與法規之要求; 三、應於利用程序內結合人類判斷與建立問責機制,以因應AI產品之風險並確保其決策之適當性。 四、於不破壞其功能與實用性之前提下,盡可能確認、統計以及降低潛在之歧視問題。 五、AI進行測試時應同時考量其未來利用上可預見之風險。 六、持續維持AI模型之迭代(Iteration)、版本與改動之審查。 七、AI之建立目的、限制與設計之輸出項目,應文件化。 八、盡可能使用可解釋與可理解之方式,讓使用者、審查者與公眾理解為何AI會產出相關決策。 九、持續不定期檢測AI,以確保其符合當初建置之目的。 十、確認AI於產品循環中各階段之負責人,包含其維護相關紀錄之責任。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架,美國已有幾州開始透過立法限縮企業資安事件賠償責任,企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準,則於資安攻擊事件所致損害賠償訴訟中,將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料,企業往往投入大量資源打造資安防護架構,惟在現今網路威脅複雜多變的環境下,仍可能受到惡意資安攻擊,導致資料外洩事件發生,導致企業進一步面臨訴訟求償風險,其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任,以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令,讓已實施適當安全維護措施之企業,豁免資安攻擊所致資料外洩之損害賠償責任,佛羅里達州和西維吉尼亞州近期亦提出相似法案,以下介紹兩州法案之重點: 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 (H.B 473: Cybersecurity Incident Liability)[4],法案納入「安全港條款」(Safe Harbor),當企業遭受資安攻擊致生個資外洩事件,如可證明已遵循產業認可的資安標準或框架,實施適當的資安措施與風險控管機制,則可免於賠償責任,以鼓勵企業採納資安標準或框架。 為適用安全港條款,企業須遵循佛羅里達州資訊保護法(The Florida Information Protection Act),針對資料外洩事件,通知個人、監管機關和消費者,並建立與法案內所列當前產業認可的資安標準、框架,或是特定法令規範之內容具一致性的資安計畫(Cybersecurity Programs): (一)當前產業認可的資安標準、框架 1. 國家標準暨技術研究院(National Institute of Standards and Technology, NIST)改善關鍵基礎設施資安框架(Framework for Improving Critical Infrastructure Cybersecurity)。 2. NIST SP 800-171-保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A- 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫(Federal Risk and Authorization Management Program, FedRAMP)安全評估框架。 5. 資安中心( The Center for Internet Security, CIS)關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟(The Health Information Trust Alliance, HITRUST)通用安全框架(Common Security Framework)[6]。 8. 服務企業控制措施類型二(Service Organization Control Type 2, SOC 2)框架。 9. 安全控制措施框架(Secure Controls Framework)。 10. 其他類似的產業標準或框架。 (二)特定法令規範 企業(entity)如受以下法令規範,亦得適用安全港條款,如法令有修訂,企業應在發布修訂後的一年內更新其資安計畫: 1. 健康保險可攜與責任法(The Health Insurance Portability and Accountability Act, HIPAA)之安全要求。 2. 金融服務現代化法(The Gramm-Leach-Bliley Act)第五章。 3. 2014 年聯邦資訊安全現代化法(The Federal Information Security Modernization Act of 2014)。 4. 健康資訊科技促進經濟和臨床健康法(The Health Information Technology for Economic and Clinical Health Act, HITECH)之安全要求。 5. 刑事司法資訊服務系統 (The Criminal Justice Information Services, CJIS)安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過,但於2024年6月26日遭州長否決[7],其表示法案對於企業的保障範圍過於廣泛,如企業採取基礎的資安措施與風險控管機制,便得主張適用安全港條款,將可能導致消費者於發生個資外洩事件時,無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會(Florida Cybersecurity Advisory Council)合作,探求法案的替代方案,以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8],修訂西維吉尼亞法典(Code of West Virginia),增訂第8H章資安計畫安全港條款(Safe Harbor for Cybersecurity Programs),如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫,包含個人資訊和機敏資料的管理、技術和企業保障措施,將能夠於侵權訴訟中,主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素,包含: 1. 企業的規模和複雜性; 2. 企業的活動性質和範圍; 3. 受保護資訊的敏感性; 4. 使用資安防護工具之成本和可用性; 5. 企業可運用的資源。 (一)當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同,另增加: 1 NIST SP 800-76-2個人身分驗證生物辨識規範(Biometric Specifications for Personal Identity Verification)[9]。 2. 資安成熟度模型認證(The Cybersecurity Maturity Model Certification, CMMC)至少達到第2級,並經外部驗證(external certification)。 (二)特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同,另增加:由聯邦環境保護局(Environmental Protection Agency, EPA)、資安暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA)或北美可靠性公司(North American Reliability Corporation)[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11],其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好,但也可能遭濫用而帶來不當影響,例如TikTok等大型國際企業,如在違背公民意願情況下共享個人資料時,將免於訴訟,恐有損其公民權益,未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案,內容亦為相似,西維吉尼亞州之法案目前已遭否決,主要係擔心該豁免條款遭到不當濫用;佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量,而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令,有助企業明確遵循與採納,建立與實施資安計畫,惟如何舉證所建立之資安計畫或實施之資安措施,與法案所列之資安標準、框架,或是特定法令規範,具有實質上的一致性,仍不明確,將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障,仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心( The Center for Internet Security, CIS)為美國非營利組織,負責推動CIS Controls,針對實際發生的資安攻擊行為提供防禦建議,作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源:About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司(North American Electric Reliability Corporation, NERC),為一家非營利機構,致力推動關鍵基礎設施保護相關標準,以強化北美大規模電力系統(亦即電網)的可靠性和安全性,資料來源:https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
美國商務部宣布推動「美國AI出口計畫」,徵集產業全端AI技術出口提案美國商務部(U.S. Department of Commerce)於2026年3月16日宣布,將依據第14320號總統行政命令(Executive Order 14320),進一步推動「美國AI出口計畫」(American AI Exports Program),徵集由產業界主導的「全端AI技術」(full-stack AI technology)出口提案,旨在透過對外提供整體AI解決方案維持並擴大美國在全球AI領域的領導地位,並降低國際市場對美國競爭對手AI技術依賴。 本次提案申請期間為2026年4月1日至6月30日,徵集對象主要為美國產業核心成員統籌的「預設型聯盟」(pre-set consortia),其組成無特定法律形式或人數限制,惟須具備持續對國際或特定區域市場提供全端AI技術完整方案之能力,並得於特定情況下納入外國企業。 此外,相關提案須涵蓋五大AI技術層面:經AI強化之硬體與基礎設施、資料管道與標記系統、AI模型與系統、資通安全措施,以及特定領域或功能之AI應用。其中硬體部分須具至少51%的美國本土價值。 後續提案選定將由商務部長會同國務卿、戰爭部長、能源部長及白宮科技政策辦公室主任進行評估。提案獲選後,全端AI技術方案即可列入美國政府向外國買家推廣的官方清單中。獲選之產業聯盟亦將取得美國政府的優先支持,包含政府間的優先推展、出口管制許可審查的優先處理程序,以及聯邦融資協調等,然並不保證取得出口許可或實質財務補助。
新加坡發佈《代理金融運行時安全防護框架》產業白皮書,協助金融AI代理之風險治理新加坡發佈《代理金融運行時安全防護框架》產業白皮書,協助金融AI代理之風險治理 資訊工業策進會科技法律研究所 2026年08月18日 今(2026)年7月3日,新加坡金融管理局(Monetary Authority of Singapore, 簡稱MAS)聯合多家國際金融機構與金融科技公司共同發布《代理金融運行時安全防護框架》(Safeguards for Agentic Finance at Runtime,簡稱SAFR)產業白皮書[1],針對金融領域AI代理(AI agents)提出前瞻性的治理框架。 壹、事件摘要 MAS於2025年11月發佈BuildFin.ai計畫,其目的是要讓金融機構、科技業者與研究機構一起解決金融業導入AI時的共同問題。簡單來說,BuildFin.ai計畫提供了金融科技業者一個應用共創平台,由業者提出問題,再讓產、官、研各界共同思索對策以促進金融業的AI應用,並同時強化其風險治理[2]。另外,隨著AI代理的新興技術發展,新加坡資訊通信媒體發展局(Infocomm Media Development Authority, IMDA)亦已於今年5月20日發布《代理式人工智慧治理示範框架》(Model AI Governance Framework for Agentic AI)第1.5版,透過風險評估機制、人類問責制、技術管控流程、終端使用者注意義務等面向建構AI代理的治理機制[3]。 因而,MAS在前述新加坡的政策趨勢下,也同步意識到金融領域導入AI代理技術的發展,包括金融AI代理可以發起支付、提交交易訂單、核准信用申請、申報監管報告,以及結算保險理賠等自主執行能力,其風險特性與傳統AI不同,因此有及早規劃因應的必要性。於是,MAS透過BuildFin.ai計畫與螞蟻國際、Circle、匯豐銀行、摩根大通、宏利、萬事達卡、華僑銀行和Visa等八大金融業界開會討論,決定共同撰寫SAFR產業白皮書,提供一套可操作性的治理框架,協助金融業者可以應用此方法以有效提升金融業導入AI代理的風險治理。 貳、重點說明 以下就SAFR分為兩部分進行簡要說明,第一部分為金融AI代理的系統風險,第二部分則為金融AI代理的治理架構: 一、金融AI代理的系統風險 (一)執行前保障(pre-execution assurance)的機制欠缺 傳統AI的風險治理主要管控在「部署前」與「使用後」,前者主要透過模型風險管理(model risk management)的方式,於部署前對AI系統進行驗證;後者則以審計(audit)方法去檢視事後發生的情況進行追蹤。然而,這兩種常規風險管理機制,都無法及時在AI代理決策執行前的當下就問題發生進行識別與處理,因此凸顯出對執行前保障的機制欠缺[4]。 (二)人機治理介面流於形式 現行人類審核機制目地主要應付於權宜之計,比如,一則通知、一封電子郵件警示,並未有具體的制度化與管理流程。換言之,沒有處理期限、缺乏標準的決策格式,也沒有審計記錄,SAFR批評這是流於形式、缺乏實質內容的人工監督[5]。 (三)碎片化的系統格式 新加坡的金融業者都各自於AI部署系統建立自身專屬的防護網(guardrails),其結果導致各系統間無法互相操作(non-interoperable),且無法在整個機構內部以一致的格式進行審計。因此,其風險並無法有效整合識別,不僅耗費成本過多,也無法讓金融業者能攜手合作處理[6]。 二、金融AI代理的治理架構 SAFR針對前述三大問題提出了應對方案,透過結構化的升級協議和統一的治理模式以解決AI系統的安全治理與監管挑戰。換言之,SAFR為AI代理定義了資料結構、評估邏輯與升級協議,並提出「治理封裝」(governance envelop)的技術概念,作為AI代理執行動作前的數位申請書,將其執行動作的參數、推理軌跡與身分元資料統合打包,並依SAFR的四階段治理流程進行管理以確保AI代理執行的即時把關[7]。 (一)身分驗證(Agent identity) AI代理的每項行動會綁定至一個已被認可且註冊的AI代理身分帳號,在進行任何其他評估流程之前,檢核系統必須先對照該AI代理的註冊身分進行驗證,並於AI代理帳號的註冊庫中進行查詢比對。另外由於AI代理會執行不同動作,一個AI代理可在不同行為註冊複數個身分帳號,檢核系統就會比對與判定該AI代理帳號的行為與身分是否吻合一致,若身分驗證失敗,檢核系統會拒絕AI代理的執行動作,並記錄於審計日誌中[8]。 (二)控制安全機制(Controls Repository) 控制安全機制是系統用來驗證其規則的場域,由於金融AI代理經過身分驗證後,其執行行為是否符合內部組織政策、金融法規、產品規則與使用者的授權範圍等,需要進一步的控管與檢核。因此,該系統會就允許的行動類型、決策邏輯、行為條件、有效期限與責任歸屬進行編碼操作,來逐一檢視AI代理的行為是否符合控制安全機制的要求[9]。 (三)結果處置引擎(Disposition Engine) 在結果處置引擎階段會根據控制安全機制的檢核結果給予裁示判斷,其判斷有四種結果,拒絕、升級、自動執行與觀察。拒絕為禁止其行動,升級則是要由人工審核,自動執行是通過並允許其行為,觀察則是認為有疑慮但損害不大者,可放行其行為但會被記錄在案供後續追蹤[10]。整體而言,透過不同層級的檢核標準以確認AI代理執行的範圍與權限。 (四)審計日誌(Audit Log) 最後審計日誌將會如實紀錄上面三階段的系統審核流程,並以「只能新增、無法修改」且「具備防篡改特徵(tamper-evident)」的形式,記錄了每一次的治理決策。每一筆記錄都包含了六個要素:提交時的治理封裝、作為行動檢查依據的授權令、結果處置引擎產生的結果、所套用的具體規則、得出該結果的依據,以及在每個階段所耗費的時間。透過此審計日誌具權威效力的記錄,可用於風險治理與生命週期的監督[11]。 參、事件評析 整體而言,SAFR藉由技術操作流程的治理框架來應對AI代理的新興發展,並藉由治理封裝的技術概念來實行四階段的驗證流程,以確保AI代理的有效監督。另外,SAFR又提供務實的解決方案,由於AI代理的運作早已有業者開發或部屬,如要用SAFR的治理機制其技術成本高昂,故提供匝道模式(gateway pattern)建立整體的外掛防護機制,不需要針對每個AI代理系統使用原生內嵌(native instrumentation)方式[12]。亦即,採取「先求有、再求好」的務實策略,雖然沒辦法提供最精準、最深層的檢核流程,但至少匝道模式能提供最基礎的技術防護措施,確保AI代理的風險可以於一定程度內控制,然後再針對新開發的AI代理要求以原生內嵌模式進行系統改良。 回到臺灣,目前金融領域已有大規模的AI導入,未來亦可預見AI代理的應用,其風險治理則必須謹慎對待。目前,金融監督管理委員會(下稱金管會)已於2024年6月20日發布「金融業運用人工智慧(AI)指引」,作為金融機構導入、使用及管理AI的參考[13]。為了因應AI代理趨勢的發展,行政院於今年7月核定頒布的「人工智慧風險分類框架」已針對AI代理的使用納入風險識別的子項目之一[14],並且金管會正研議將前沿AI(Frontier AI)[15]與AI代理[16]的應用作為金融風險治理的一環。 因此,新加坡與業界合作撰寫的產業白皮書對金管會而言是很好的借鏡經驗,透過業界第一手的實務觀察,再與政府和研究機構攜手合作,思考相對應的治理對策,並提出具操作性與前瞻性的技術防護措施,強化AI代理的風險治理。同時,SAFR的具體指導方針讓金融業者可以採用與施行,以降低AI代理的系統性風險,甚至金融專業領域自主形成的產業治理框架,對其他目的事業具有一定程度的示範效果。總的來說,新加坡AI代理的治理模式對於金融領域具有參考價值的重要性。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://keid.nat.gov.tw/tips/) [1] Monetary Authority of Singapore, Safeguards for Agentic Finance at Runtime (SAFR), https://www.mas.gov.sg/publications/monographs-or-information-paper/2026/safeguards-for-agentic-finance-at-runtime (last visited August 18, 2026). [2] Monetary Authority of Singapore, MAS’ Financial AI Builder Programme - Buildfin.ai, https://www.mas.gov.sg/schemes-and-initiatives/buildfinai(last visited August 18, 2026). [3] 陳益智,新加坡代理AI治理示範框架對我國人工智慧基本法落地的啟示,https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9511(最後瀏覽日:2026年9月9日)。 [4] Monetary Authority of Singapore, Safeguards for Agentic Finance at Runtime (SAFR) Version 1.0, p. 6. [5] id [6] id [7] id. at 7. [8] id. at 10. [9] id. at 10-11. [10] id. at 11-12. [11] id. at 12-13. [12] id. at 16. [13] 金融監督管理委員會,金管會發布「金融業運用人工智慧(AI)指引」,https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202406200001&dtable=News(最後瀏覽日:2026年9月9日)。。 [14] 參考(B6)AI自主代理之授權外行為:AI Agent系統具備自主規劃、呼叫外部工具與持續執行複雜任務之能力,可能因目標設定不完整或環境變化,導致行為逐漸偏離原始指令,乃至自主取得超出授權範圍之系統存取權限。多代理人協作系統更可能因代理人間相互觸發,產生開發者與使用者均未預期的連鎖反應,使人類難以及時介入糾正。 [15] 金融監督管理委員會,金管會提醒金融業強化前沿AI模型攻擊風險整備,https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202607140002&dtable=News(最後瀏覽日:2026年9月9日)。 [16] 經濟日報,金管會推動金融科技 規劃三大監理方向 建立「AI管 AI」新架構,https://money.udn.com/money/story/5613/9486677(最後瀏覽日:2026年9月9日)。