華碩因路由器資安漏洞遭起訴一案與美國聯邦貿易委員會達成和解
美國聯邦貿易委員會（Federal Trade Commission, FTC）於2014年間以路由器(Router)與雲端服務的安全漏洞，導生消費者面臨資安與隱私風險之虞，而依據《聯邦貿易委員會法》第5條（Federal Trade Commission Act, 15 U.S.C. § 45(a)）委員會防止不公平競爭違法手段（unfair methods of competition unlawful ; prevention by Commission）之規定，即華碩涉嫌行使不公平或詐欺的手段致影響商業活動之公平競爭為由，對我國知名全球科技公司華碩電腦股份有限公司(ASUSTeK Computer, Inc.)進行起訴 。
本案歷經FTC近二年的調查程序後，華碩公司於2016年2月23日同意FTC的和解條件，即華碩公司應針對部分存在資安疑慮的產品依計畫進行改善，並且於未來20年期間內須接受FTC的獨立稽核(independent audits)。 FTC於該案的起訴報告中指出，華碩於銷售其所生產的路由器產品時，曾對消費者強調該產品具許多資安保障措施，具有得以防止使用者不受駭客攻擊等效果；然而，該產品實際上卻具有嚴重的軟體設計漏洞，使駭客得以在使用者未知的情況下，利用華碩路由器的網頁控制面板(web-based control panel)之設計漏洞，任意改變路由器的安全設定；更有專家發現駭客於入侵華碩製造之路由器產品後，得以強佔使用者的網路頻寬。
此外，華碩允許使用者沿用路由器產品的預設帳號密碼，再加上華碩所提供的AiCloud與AiDisk雲端服務功能，讓使用者得以隨身硬碟建立其私有的雲端儲存空間，使得駭客得藉由上述華碩路由器的設計漏洞直接竊取使用者於隨身硬碟內所儲存的資料。FTC並於起訴聲明中指出，駭客利用華碩路由器產品與相關服務的漏洞，於2014年間成功入侵超過12,900多位產品使用者的雲端儲存空間。除此之外，使華碩更加備受譴責的是，當該漏洞被發現之後，其並未主動向產品的使用者強調產品存在該資安問題，更未告知使用者應下載更正該設計漏洞的軟體更新，因此FTC始決定對華碩進行起訴。
黃宇良
法律研究員 編譯整理
FEDERAL TRADE COMMISSION ACT, 15 U.S.C. § 45(a).
Federal Trade Commission, ASUS Settles FTC Charges That Insecure Home Routers and “Cloud” Services Put Consumers’ Privacy At Risk, Feb. 23, 2016, https://www.ftc.gov/news-events/press-releases/2016/02/asus-settles-ftc-charges-insecure-home-routers-cloud-services-put (last visited Feb. 25, 2016).
IN THE MATTER OF ASUSTek Computer, Inc., 142 F.T.C. 3156 (2016), https://www.ftc.gov/system/files/documents/cases/160222asusagree.pdf (last visited Feb. 25, 2016).
鑑於ISP對於寬頻服務的廣告速度常與實際提供速度有落差，英國廣告標準管理局（Advertising Standards Authority，ASA）要求廣告事務委員會（Committee for Advertising Practice，CAP）與廣播廣告事務委員會（Broadcast Committee for Advertising Practice，BCAP）針對英國各地區的ISP寬頻廣告進行審查，CAP與BCAP則委託Ofcom進行各ISP實際寬頻服務速度之調查。 Ofcom於2010年11月～12月期間，針對ADSL、Cable及光纖等寬頻服務進行各時段的大規模測試。綜合以往的調查，Ofcom研究結果發現，英國寬頻服務平均速度約從 5.2 Mbps（2010年5月）至6.2 Mbps的（2010年11～12月），但不到廣告所宣稱速度之一半（平均寬頻廣告速度為 13.8 Mbps，故僅約45%。） 在各種寬頻技術中，ADSL的廣告與實際落差最大，廣告宣稱8Mbps之速度，實際平均僅有2～5Mbps；而Cable的廣告與實際落差最小，實際速度均能達到廣告速度的90%左右；光纖寬頻則約在80%～90%之間。 Ofcom並建議將以下原則增訂至英國寬頻速度自律規則（Voluntary Code of Practice on Broadband Speeds）中 • 如果寬頻速度是廣告內容，必須包括一個「典型的速度範圍」（Typical Speed Range，TSR），計算依據為將某一速度之使用者依照實際接取速度分為四等級，去掉最高與最低，取中間50%使用者之平均速度為準； • TSR必須至少與宣稱之速度相當； • 宣稱的速度必須代表相當大比例使用者能夠接受的實際速度； • 任何TSR或宣稱之速度在用於廣告時，必須是基於足夠的分析統計數據，而該數據與方法應經過審議。 Ofcom認為ISP的寬頻廣告應反映消費者能接受之實際速度，因此改變廣告規範是必要的，以促使各ISP進行以速度為基礎之競爭，並確保消費者有充分資訊可比較、選擇最有效率之寬頻服務。
歐盟因應數位簡化革命通過Omnibus VII法案：放寬產業合規時程與強化兒少人權保障之《歐盟人工智慧法》修法歐盟因應數位簡化革命通過Omnibus VII法案：放寬產業合規時程與強化兒少人權保障之《歐盟人工智慧法》修法 資訊工業策進會科技法律研究所 2026年07月22日 今（2026）年6月16日，歐洲議會（European Parliament）以423票贊成、57 票反對、174 票棄權，通過「第七號數位綜合法案」（Omnibus VII）下對《歐盟人工智慧法》（EU AI Act，下稱AIA）的修正案[1]。隨後於6月29日，歐盟理事會（Council of the European Union）批准了歐洲議會的審議決議。最終於7月8日，經歐洲議會議長及歐盟理事會主席共同簽署，該修正案正式通過[2]。 壹、事件摘要 自2024年10月起，歐盟理事會為因應萊塔（Enrico Letta）與德拉吉（Mario Draghi）報告中指出的歐洲競爭力危機，於2024年11月8日發布《布達佩斯宣言》（Budapest declaration）要求「發起一場簡化革命」，希冀為企業提供一個清晰、簡單且具備彈性的法規治理框架，並減輕企業面臨的法遵成本與合規摩擦。為此，歐盟執委會自2025年2月起陸續提出十項「綜合法案」（Omnibus packages），旨在鬆綁永續發展、投資與農業的申報程序、擴大對中小企業的制度支持、推動數位化轉型與統一技術規範、調和國防、化學產品、環境、汽車產業、食品與飼料安全，以及包含人工智慧在內的數位新興議題。其中，「第七號數位綜合法案」核心目的即在於簡化歐盟的數位立法框架，並落實全歐盟統一的人工智慧調和規範[3]。 另一方面，鑑於當前兒少網路參與度大幅提升及科技的急速發展，除加劇刑事執法之訴追難度外，亦衍生新型態之數位侵害手段，包括犯罪者利用人工智慧等新興技術將兒少視為下手目標。雖然歐盟現行主要規範兒少性侵害與性剝削之刑事法制，為2011年通過之《打擊兒童性虐待與性剝削指令》（Directive 2011/93/EU on combating the sexual abuse and sexual exploitation of children and child pornography），但為填補此一科技漏洞，歐盟亦於「第七號數位綜合法案」修正案中，針對深偽影像（deepfake）氾濫問題提出對策，並於《打擊兒童性虐待與性剝削指令》中進行修法研議[4]。 貳、重點說明 此次修法有兩大重點，一為延後AIA設定的義務期限，並在修訂事項中調整與其他產業法規的競合關係；二為在《歐盟人工智慧法》第5條「不可忍受之風險」增訂一項新條文，禁止生成未經當事人同意的性私密影像內容，以及兒童性剝削素材（child sexual abuse material, CSAM），同時亦在其他相關法律有配套之修法研議共同打擊涉及之AI數位性暴力犯罪，保障兒少人權。 一、簡化歐盟的數位法制監管框架 （一）調整AIA之合規時程 本次修法在於動態調整AIA設定的合規時程，包括延後高風險AI系統的義務期限，將「獨立型高風險AI」延至2027年12月2日適用，以及將「產品嵌入型高風險AI」延至2028年8月2日適用[5]。同時，將會員國應建置「國家級AI監理沙盒」的法定期限延展至2027年8月2日[6]，以提供企業及政府機關更充裕的準備期間，完成技術、治理及法遵機制的調整，降低法規適用初期的合規負擔，並確保新制度得以順利銜接與落實[7]。 （二）釐清不同法律之適用關係 為促使企業能有效遵守AIA的監管相關規定，於修法上明確劃分與其他特定產業法規（如醫療器材、玩具、電梯及船舶等產業）的適用關係，並課予歐盟執委會制定指引之義務，協助涉及高風險AI系統的開發商或經營者，能依據指引遵循AIA的高風險AI治理規範並同時降低其法遵成本[8]。換言之，如特定產業法規已明定與AIA相仿之AI法律規範，但會與AIA產生競合問題，如要排除AIA之適用則須於歐洲議會就產業法規進行修正。為降低修法成本，AIA此次修法賦予歐盟執委會「授權法規」（delegated acts）之權限[9]，得制定法規命令協調產業法規與AIA之適用關係，並在特定範圍內限制或排除AIA之適用[10]。同時要求歐盟執委會應發布相關指引，指導企業遵守人工智慧風險治理相關規範[11]。藉由此類機制，確立特定產業法規的優先適用原則，並藉此排除AIA與其他法規的競合矛盾，以避免企業因身陷法規的多頭馬車而面臨沉重的法遵負擔[12]。 二、強化AI治理下的兒少人權與性別平等措施 （一）AI衍生之數位性暴力納入不可忍受風險 於「第七號數位綜合方案」修正案中，針對深偽影像部分，修法強化業者導入「人工生成內容」的透明度標示義務，將原本的合規寬限期從6個月縮短至3個月[13]，亦即提前至今年12月2日全面施行[14]。同時，將非自願的生成式性私密影像及兒少性剝削生成式素材列為AIA第5條之不可忍受風險，並將會生成真實人物裸照，或修改現有照片衣物以暴露私密部位的AI系統，定於今年12月起全面禁用[15]。 （二）配套法律之相關修正 無獨有偶，歐盟理事會與歐洲議會代表亦於6月22日，針對《打擊兒童性虐待與性剝削指令》之修正法案，達成暫時性政治共識（provisional agreement）[16]。擬將凡是設計或改造AI系統以產出兒童性剝削素材，以及散布此類系統之行為，或以「AI 提示詞（prompt）」製作兒童性剝削素材之教學指引行為，納為刑事犯罪。後續，該修正法案若獲得歐盟理事會與歐洲議會的通過，會員國必須在3年內修改其國內刑法的相關規範，以符合修訂後之歐盟指令，藉此提升歐盟境內對兒少人權之保護，避免遭受新型態數位性暴力而影響其身心健康發展[17]。 參、事件評析 整體而言，「第七號數位綜合法案」就AIA的修正法案主要是透過義務時程的調整來緩和硬法（hard law）監管之治理模式，亦及體恤企業並維持歐洲競爭力，因此放寬並延後了醫療、機械、金融等高度涉及高風險AI應用相關產業的適用時程，避免沉重的法遵成本與合規摩擦，藉由「時間換取空間」之方式，讓企業在數位轉型上有較大的經營空間。儘管如此，歐盟亦堅守其基本人權底線，對於兒少權益、性別平等採取堅硬態度，除將生成式AI透明度義務的合規時程提前，更將AI的數位性暴力納入不可忍受風險，同時封殺AI脫衣（nudification）系統，並配合相關修法，研議將運用AI涉及兒少數位性暴力之行為列為刑事犯罪，其鐵腕手段正印證歐洲對人工智慧「以人為本」之精神。 對臺灣而言，雖然《人工智慧基本法》於今年1月14日施行，大部分的作用法及配套措施仍待規劃當中，我國之法律框架也並非採取歐洲治理模式，但歐盟就境內企業發展所採取之法規調適，值得我國留意，比如中小企業會面臨導入人工智慧的法遵成本與合規摩擦，政府應研議其配套措施。此外，對於兒少人權之保障，《人工智慧基本法》亦反映相同之立法精神，比如第5條規定：「政府應以兒少最佳利益為原則，人工智慧產品或系統經中央目的事業主管機關會商數位發展部認定為高風險應用者，應明確標示注意事項或警語」，我國仍需留意針對兒少而衍生之新型態數位性暴力議題，不論是否要行政管制或以刑罰相繩，此類風險必須被認真對待，並思考出適當的應對機制。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1] 第七號數位綜合法案涉及兩個領域的法律修正案，其中一個針對人工智慧領域，即AIA的修正案，另一個則是涉及個人資料保護與網路資訊安全的法律修正案，包括《一般資料保護規則》（General Data Protection Regulation, GDPR）與歐盟NIS 2指令。前者已通過，後者因未取得共識尚在審議中。因此，本文討論的修法僅限於AIA的修正法案。詳細內容可以參考European Council, Simplification of EU rules, https://www.consilium.europa.eu/en/policies/simplification/(last visited July 13, 2026). [2] European Parliament, AI Act: EP approves simplification measures and “nudifier” app ban, https://www.europarl.europa.eu/news/en/press-room/20260611IPR45207/ai-act-ep-approves-simplification-measures-and-nudifier-app-ban(last visited July 13, 2026). [3] European Council, Artificial Intelligence: Council gives final green light to simplify and streamline rules, https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/(last visited July 13, 2026). [4] European Council, Combatting child sexual abuse: EU agrees stronger criminal law rules and enhanced support to victims, https://www.consilium.europa.eu/en/press/press-releases/2026/06/22/combatting-child-sexual-abuse-eu-agrees-stronger-criminal-law-rules-and-enhanced-support-to-victims/(last visited July 13, 2026). [5] 修正AIA第113條，原本實施日期是2026年8月2日。立法文件see European Parliament & European Council, Regulation of the European Parliament and of the Council amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI), PE 30/2026 INIT, 2026, p. 33. [6] 修正AIA第57條，原本實施日期是2026年8月2日。立法文件見同前註5，頁60。 [7] 同前註3。 [8] 簡單來說，若該產業法規已提供等同或更高程度的健康、安全或基本權利保護，歐盟執委會得限制或排除AIA中特定義務，包括對高風險AI系統的「系統性要求」，如風險管理系統、系統上市前的技術文件資料、資料保存義務等，詳細內容參考，同前註5，頁42。 [9] 歐盟之授權法規（delegated acts）在性質上類似於我國基於法律授權之法規命令。依據《歐洲聯盟運作條例》第290條之規定，歐洲議會及理事會得於立法中授權歐盟執委會，由其自行制定非立法性且具普遍適用性之法規，用以補充或修正該法律之特定非核心要素。see Consolidated Version of the Treaty on the Functioning of the European Union art. 290, 2016 O.J. (C 202) 1, 172). [10] 新增AIA第2條第13項，同前註5，頁42。另外，歐盟理事會以機械產品法規（machinery regulation）為例說明，歐盟執委會得制定授權法規增訂關於高風險AI機械產品的健康與安全規範要求以免除適用AIA，同前註3。 [11] 修正AIA第96條第1項，要求歐盟執委會必須在2027年8月1日前發布指引，同前註5，頁86。 [12] 同前註3。 [13] 僅限於AIA第50條第2項機器可讀的數位浮水印或技術標籤的標示義務，同前註3。 [14] 新增AIA第111條第4項，同前註5，頁90。 [15] 同前註5，頁47。 [16] 暫時性政治共識（provisional agreement），係指歐盟立法程序中，歐洲議會（European Parliament）、歐盟理事會（Council of the European Union）及歐盟執行委員會（European Commission）進行三方協商（trilogue）後，由歐洲議會與歐盟理事會就法案內容達成的初步政治協議。該協議尚須依各機構內部程序正式批准，始完成立法程序並具法律效力。 [17] 同前註4。
美國著作權局拒絕人工智慧創作品之著作權申請2022年2月14日，美國著作權局（US Copyright Office）所屬之著作權審查委員會（Copyright Review Board），做出一件人工智慧（AI）創作作品不得申請著作權登記之決定，並聲明人類作者是著作權保護的必要前提。 本案申請人Stephen Thaler在2018年首次嘗試為AI「Creativity Machine」創作的藝術作品申請著作權登記，Stephen將Creativity Machine列為作者，並聲明其因擁有該AI而得透過美國著作權法第201條（b）項的受雇著作原則（work for hire）取得前述作品之所有權，且得為此作品申請著作權登記。然而，Stephen提出的申請沒有成功，著作權局認為依著作權法及相關判例，非出自於人類所作之作品不應受著作權保障，而本案AI之創作作品亦無人類的創意性投入或干預。在Stephen提出兩次複審後，著作權審查委員會在2022年做出機關最終決定，除重申僅人類之作品得受著作權保障以外，更進一步表示無權利能力的AI無法簽訂契約，故無受雇著作原則適用之可能。此外，著作權審查委員會亦指出受雇著作原則亦僅能表彰作品的所有權，並非作品是否得以受著作權保障之指標。 Stephen Thaler長年來不斷為AI之創作品爭取法律保護，除上述著作權外，其亦將名為DABUS的AI列為專利發明人，並以此就DABUS之發明在多個國家申請專利，而澳洲聯邦法院在2021年7月做出全球首個認為AI可作為專利發明人的判決。
美國聯邦法院裁定執法部門無搜索令要求提供手機位置記錄並未違憲美國聯邦第六巡迴上訴法院於2016年4月13日就U.S. v. Timothy Ivory Carpenter & Timothy Michael Sanders案作出判決，裁定執法機關在未取得搜索令的情況下要求出示或取得手機位置記錄，並不違反憲法增修條文第4條。美國憲法增修條文第4條規定：「人人具有保障人身、住所、文件及財物的安全，不受無理之搜索和拘捕的權利；此項權利，不得侵犯；除非有可成立的理由，加上宣誓或誓願保證，並具體指明必須搜索的地點，必須拘捕的人，或必須扣押的物品，否則一概不得頒發搜索令。」 本案事實係聯邦調查局取得兩名涉及多起搶劫案之嫌疑人的手機位置，而根據手機位置之相關資料顯示，於相關搶案發生之時間前後，該二名嫌疑人均位於事發地半英哩至兩英哩的範圍內，故該二名嫌疑人隨後被控多項罪名。在肯認與個人通訊相關之隱私法益的重要性的同時，聯邦第六巡迴上訴法院認為，「縱使個人通訊之內容落於私領域，但是為了將該些通訊內容自A地至B地所必須之資訊，則非屬私領域之範疇。」聯邦第六巡迴上訴法院拒絕將憲法增修條文第4條的保護延伸至像是個人通訊或IP位址等之後設資料(metadata)，其原因在於，蒐集此等資訊或記錄並不會揭露通訊的內容，因此本案之嫌疑人就聯邦調查局所取得之資訊並無隱私權之期待。法院認定，此等行為不同於自智慧型手機取得資訊，因為後者「通常而言儲存了大量有關於特定使用人之資訊。」 2015年11月9日，美國聯邦最高法院拒絕審理Davis v. United States案，該案係爭執搜索令於執法部門要求近用手機位置資料時之必要性。加州州長Jerry Brown於2015年10月亦簽署加州電子通訊法(California Electronic Communications Act, CECA)，該法禁止任何州政府的執法機關或其他調查單位，在未出示搜索令的情況下，要求個人或公司提供具敏感性之後設資料。