2016年1月, 隸屬英國商業、創新和技術部 (Department for Business, Innovation and Skills,BIS)的科學辦公室(Government Office for Science)發布「分佈式分類帳技術:區塊鏈以外(Distributed Ledger Technology:beyond block chain)」研究報告。本篇報告由產官學界合作完成,主要在評估分佈式分類帳技術可以運用在哪一些公私領域,並決定政府以及私人應該採取哪些行動以促進分佈式分類帳技術可被有益運用,並避免可能帶來的傷害。
該份研究報告認為,分佈式分類帳技術可在多個領域協助政府機構,包含徵稅、提供福利、發行護照、土地登記、確保商品供應鏈並且確保政府記錄與服務的完整性。相較於其他網路系統,分佈式分類帳技術較不易受駭客攻擊,而且由於每個参與者都有一份帳簿副本,如果有惡意竄改的狀況,也可以輕易被發現,但這不表示分佈式分類帳技術就不會被駭客攻擊。
數位五國(Digital 5,D5)之一的愛沙尼亞,已多年實驗運用分佈式分類帳技術於公領域服務多年。愛沙尼亞政府透過私人公司運用分佈式分類帳技術建制「免金鑰簽名設施(Keyless Signature Infrastructure,KSI)」,KSI允許愛沙尼亞公民驗證其在政府資料庫資訊的完整性,並避免內部人透過政府網路從事非法活動。KSI確保公民資訊安全以及準確,因而可協助愛沙尼亞政府提供數位化的公司登記以及稅務服務,減少政府以及社會大眾的行政作業負擔。
除此之外,分佈式分類帳技術也有助於確保商品以及智慧財產權的所有以及出處。例如Everledger此一系統可用於確保鑽石的身分,從礦產、切割到銷售,可減少並避免欺詐以及「血鑽石」進入市場。
簡而言之,分佈式分類帳技術提供政府可減少詐欺、腐敗、錯誤以及紙上作業成本的框架,並透過資訊分享、公開透明以及信任,具有可重新定義政府與公民關係的潛力。對於私領域而言也具有同樣可能性,報告特別提出可透過分佈式分類帳技術發展「智慧契約」,可增加信任度並提高效率。據此,本報告針對政府部門提出八大建議:
(1) 應成立專責部門,並與產業、學界緊密合作,並應考慮成立臨時性的專家諮詢團隊。
(2) 英國的研究社群應該要投入研究確保分佈式分類帳技術具備可即性、安全性以及內容準確性。
(3) 政府應支持為地方政府成立分佈式分類帳技術實地教學者,匯聚所有測試技術以及其運用的所需元素。
(4) 政府需要思考如何為分佈式分類帳技術建立妥適的法制框架。法規需要配合新科技應用技術的發展而進步。
(5) 政府應該與產學合作確保相關標準可以符合分佈式分類帳技術及其內容完整性、安全性以及隱私的需求。
(6) 政府應與產學合作確保最有效率以及最可用的身分認證網路協議可為個人及組織所使用,這項工作應與國際標準的發展與執行緊密連結。
(7) 政府應對分佈式分類帳技術進行試驗,以評估該項技術在公領域的可行性。
(8) 建議成立跨部門的利益群體,結合分析以及政策群體,以生成並發展潛在使用案例,並且在公民服務中提供具備知識的專家人員。
除了八大建議,管理與法制上,本報告指出分佈式分類帳技術具有兩種管理規範:法律規範以及技術規範。法律規範是「外部」規範,法律規範可能會被違反,緊接著面臨違法處罰的問題。技術規範是「內部」規範,假如違反技術規範,「錯誤(error)」產生無法運作,因此「規範」本身就可以確保會被遵循。換句話說,技術規範可以節省法律規範的執法成本。另外一方面,分佈式分類帳技術為去中心化技術,如果要以法制管理,也只能在参與者身上施加法律義務,例如Bitcoin,只能對於提供Bitcoin交易服務的平台施加法律義務。美國紐約州金融服務部所發行的比特幣交易執照BitLicnese即為一例。因此,基於去中心化的特性,報告建議政府單位應該要儘量参與技術標準的制定,並且配合技術標準制定相關法律,法律規範與技術規範兩者應該要交互影響。
八位美國眾議員於2007年2月6日連署提出新法案,擬賦予司法部門首長更大的權限要求網路服務提供者(ISP)記錄用戶的網路活動並留存特定的用戶資訊。草案提交眾議院審議後,隱私保護機構紛紛表達反對立場。 此次由德州眾議員Lamar Smith主導的新法案「the Internet Stopping Adults Facilitating the Exploitation of Today's Youth Act of 2007(簡稱SAFETY Act)」中,ISP業者必須保留的用戶資料,最低限度需包括用戶姓名、地址、電話及IP位址;至於用戶資料的留存期間,則將交由美國司法部決定。以現況而言,多數ISP業者所保存的用戶資訊均在半年以下;然而美國司法部部長Alberto Gonzales曾於2006年9月公開倡議ISP業者資料留存期間,應以兩年為宜。 此外,草案亦要求ISP業者發現其所提供的服務存在兒童色情情事時,應主動通報主管機關,否將面臨15至30萬美元的罰金;若其有意地助長兒童色情的流傳,更可能面臨最高10年的徒刑。 批評者如「民主及科技中心」(Center for Democracy and Technology;CDT)表示,此法案不啻為對憲法修正條文第一條的威脅,毫無限制的授權更可能肇致用戶資料的留存期間成為司法首長個人得以專擅決策之事項。
英國資訊委員辦公室(Information Commissioner’s Office,ICO)認定英國電子零售業者Carphone Warehouse違反《Data Protection Act 1998》資料保護法英國電子零售業者Carphone Warehouse在2015年遭到網路攻擊,造成逾300萬客戶及1000名員工的資料外洩,外洩的資料包括客戶的姓名、地址、電話號碼、出生日期、婚姻狀況及1.8萬名客戶的金融卡資訊。 英國資訊委員辦公室(Information Commissioner’s Office,ICO)認為涉及之個人資料嚴重影響個人隱私,使得個人資料有被誤用的風險。ICO進一步調查後並發現,駭客僅是透過有效的登入憑證,就能藉由WordPress軟體存取系統,此事件亦暴露該組織技術安全措施之不足,因受影響系統中使用的軟件的重要元素已過時,且公司未能執行例行的安全測試。ICO認為,像Carphone Warehouse此類規模龐大的公司,應積極評估其資料安全系統,確保系統穩健而避免類似的攻擊。 據此,ICO判定該公司缺乏妥善的安全措施保障使用者資訊,已嚴重違反《Data Protection Act 1998》資料保護法,判罰40萬英鎊。 從今年5月25日起,隨著GDPR的生效,法律將更加嚴格。對此,ICO亦發布了有用的指導,包括GDPR指南,現在採取的12個步驟和工具包。國家網絡安全中心(NCSC)也為組織為保護自己所採取的步驟提供了有用的指導。
法國出版商起訴GOOGLE侵權法國3大出版商5月11日宣稱將起訴Google,因Google未獲出版社允許,掃瞄了成千的書籍上傳到其網路圖書館。法國3大出版社為Gallimard、Flammarion和Albin Michel,在巴黎法院要求98億歐元(美金114億元)的損害賠償。 出版商宣稱Google未經同意而用數位掃描將近1萬本書籍內容於網站上,使大眾可以在線上獲得。出版商的法律團隊代表表示每掃描一本出版社書籍就要付1000歐元損害賠償。 對此,Google回應,他們堅信書籍掃描計畫是合法的,並且說明,我們非常驚訝收到此種指控,我們確信Google Book計畫符合法國法律和國際著作權法。 Google對出版商表示:「Google肩負著繼續與出版商一同工作,並且幫助出版商發展數位服務和讓出版的著作得以讓法國與海外的網路使用者接觸。」 另一位法國的出版商La Martiniere,在2009年用同樣的爭議成功的起訴了Google,在美國法院也推翻了Google掃描美國出版書籍內容的經營模式。
澳洲於9月初生效《政府負責任地使用人工智慧的政策》(Policy for the responsible use of AI in government)2024年9月1日,澳洲生效《政府負責任地使用人工智慧的政策》(Policy for the responsible use of AI in government,下稱政策)。澳洲數位轉型局(Digital Transformation Agency,以下稱DTA)提出此政策,旨於透過提升透明度、風險評估,增進人民對政府應用AI的信任。 1. AI之定義 此政策採經濟合作暨發展組織(OECD)之定義:AI系統是一種基於機器設備,從系統接收的資訊進而產出預測、建議、決策內容。 2.適用範圍 (1)此政策適用於「所有非企業的聯邦個體(non-Corporate Commonwealth entities, NCE)」,非企業的聯邦個體指在法律、財務上為聯邦政府的一部分,且須向議會負責。此政策亦鼓勵「企業的聯邦實體」適用此政策。 (2)依據2018年國家情報辦公室法(Office of National Intelligence Act 2018)第4條所規定之國家情報體系(national intelligence community, NIC)可以排除適用此政策。 3.適用此政策之機構,須滿足下列2要件 (1)公布透明度聲明 各機構應在政策生效日起的6個月內(即2025年2月28日前)公開發布透明度聲明,概述其應用AI的方式。 (2)提交權責人員(accountable official,下稱AO)名單 各機構應在政策生效日起90天內(即2024年11月30日前)將AO名單提供給DTA。 所謂AO的職責範圍,主要分為: I.AO應制定、調整其機構採取之AI治理機制,並定期審查、控管落實情況,並向DTA回報;鼓勵為所有員工執行AI基礎知識教育訓練,並依業務範圍進行額外培訓,例如:負責採購、開發、訓練及部署AI系統的人員,使機構內的利害關係人知道政策的影響。 II.當既有AI 應用案例被機構評估為高風險AI應用案例時,通知DTA該機構所認定之高風險AI應用案例,資訊應包括:AI的類型;預期的AI應用;該機構得出「高風險」評估的原因;任何敏感性資訊(any sensitivities)。 III.擔任機構內協調AI的聯絡窗口 IV.AO應參與或指派代表參與AI議題之政策一體性會議(whole-of-government forums)。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw)