日本於2018年6月公布「資料信託功能認定指引第一版」(情報信託機能の認定に係る指針ver1.0),期待藉此推動資料銀行發展,促進資料流通和利用。第一版指引係以資料銀行應具備之功能為中心,惟伴隨資料銀行業務發展,指引內除資料銀行基本功能外,亦應規範個人資料管理及向第三方提供資料之條件等內容,加上有論者認為第一版內有關資料銀行定義過於偏重功能描述,故總務省和經濟產業省於2019年1月起召開檢討會,重新檢討上開指引,最終於2019年10月8日公布「資料信託功能認定指引第二版」(情報信託機能の認定に係る指針ver2.0)。 第二版指引更新重點包括︰(1)修正資料銀行定義︰第一版指引僅強調資料銀行之功能,第二版則增加資料銀行之目的和資料銀行與個人間關係等內容;(2)重新定義並詳細說明資料種類和蒐集方法;(3)修正資料信託功能認定基準︰新增複數業者共同經營資料銀行,隱私保護對策以及確保資料銀行透明性和個人資料之自主控制等規定;(4)新增資料信託功能模範條款之應記載事項︰包括與限制行為能力人締結契約之程序,以及向第三方提供資料之條件等規定。為確保資料銀行透明性和個人資料之自主控制,第二版指引新增資料倫理審查會規定,要求資料銀行設置資料倫理審查會並定期向其報告,審查會則應就個人與資料銀行間契約、個資利用目的、向第三方提供資料之條件等事項提供建議。
因應美國華盛頓州《我的健康我的資料法》施行,受監管對象隱私權政策應更新美國華盛頓州《我的健康我的資料法》(My Health, My Data,以下簡稱該法)於2024年3月31日生效,該法係於2023年4月27日通過。目標在於保護華盛頓州消費者的健康資料,特別是生殖健康相關資料(data related to reproductive healthcare)。所拘束對象並不在HIPAA之監管範圍內,包括穿戴式裝置(wearables)、特定零售購物和非HIPAA 所規範之遠距醫療服務(telehealth services)所蒐集之資料。 該法最繁瑣合規要求之一為,受監管對象必須在其主頁上公佈消費者健康資料相關隱私權政策(下統稱隱私權政策)連結,連結必須為獨立、特定且不得包含該法所未要求之額外資訊。另針對小型企業,則設有三個月之緩衝時間,即應於 2024 年 6 月 30 日前遵循該要求。 隱私權政策必須清楚且醒目地揭露以下內容: 1. 所蒐集之健康資料類別和蒐集目的,包括將如何使用這些資料; 2. 所蒐集健康資料來源及類別; 3. 共享之健康資料類別; 4. 共享消費者健康資料的第三方或相關企業之類別;以及 5. 消費者如何行使該法所賦予之權利,包括撤銷同意和要求刪除之權利。 最重要的是,除特殊情形外(即1.已揭露其他特定目的2.取得消費者對其他特定目的所為蒐集、使用、揭露之明確同意),受監管對象不得基於隱私權政策中未明確揭露之任何其他目的,蒐集、使用或共享消費者健康資料。 若違反該法相關規定,即被視為違反《華盛頓州消費者保護法》(the Washington Consumer Protection Act),可由華盛頓州總檢察長提出強制執行。另該法為美國第一部保護大量健康資料之法律,顯現對消費者資料保護監管逐漸嚴格之趨勢。
歐洲議會通過《人工智慧法案》朝向全球首部人工智慧監管標準邁進下一步歐洲議會通過《人工智慧法案》 朝向全球首部人工智慧監管標準邁進下一步 資訊工業策進會科技法律研究所 2023年06月26日 觀察今年的科技盛事屬ChatGPT討論度最高,將人們從區塊鏈、元宇宙中,帶入人工智慧(AI)領域的新發展。ChatGPT於2022年11月由OpenAI開發的生成式人工智慧,透過深度學習模型,理解和生成自然語言,其功能包含回答各類型問題(如科學、歷史)、生成邏輯結構之文章(如翻譯、新聞標題)、圖形、影像等內容。然而對於人工智慧的發展,究竟如何去處理人機間互動關係,對於風險之管理及相關應用之規範又該如何,或許可從歐盟的法制發展看出端倪。 壹、事件摘要 面對人工智慧的發展及應用,歐盟執委會(European Commission)早在2018年6月成立人工智慧高級專家組(AI HLEG),並於隔年(2019)4月提出「可信賴的人工智慧倫理準則」(Ethics Guidelines for Trustworthy AI),要求人工智慧需遵守人類自主、傷害預防、公平、透明公開等倫理原則。於2021年4月21日歐盟執委會提出「人工智慧法律調和規則草案」(Proposal for a Regulation Laying Down Harmonised Rules on Artificial Intelligence (Artificial Intelligence Act) and Amending Certain Union Legislative Acts)(以下稱人工智慧法案),於2023年內部市場委員會(Internal Market Committee)與公民自由委員會(Civil Liberties Committee)通過並交由歐洲議會審議(European Parliament),最終《人工智慧法案》於2023年6月14日通過。後續將再歐盟理事會(Council of the European Union)與辯論協商,尋求具共識的最終文本[1]。 貳、重點說明 由於「歐盟議會通過」不等於「法案通過」,實際上歐盟立法機制不同於我國,以下透過法案內容說明的契機,概述一般情況下歐盟之立法流程: 一、歐盟立法過程 通常情況下,法案由歐盟執委會(下簡稱執委會)提出,送交歐盟理事會及歐洲議會,作為歐盟的「立法者」歐洲理事會(下簡稱理事會)與歐洲議會(下簡稱議會)將針對法案獨立討論並取得各自機關內之共識。大致上立法程序有可分為三階段,在一讀階段若理事會與議會對於執委會版本無修改且通過,則法案通過,若任一機關修改,則會進行到二讀階段。針對法案二讀若仍無法取得共識,則可召開調解委員會(Conciliation)協商,取得共識後進入三讀。簡單來說,法案是否能通過,取決於理事會與議會是否取得共識,並於各自機關內表決通過[2]。 目前《人工智慧法案》仍處於一讀階段,由於法案具備爭議性且人工智慧發展所因應而生之爭議迫在眉睫,議會通過後將與執委會、理事會進入「三方會談」(Trilogue)的非正式會議,期望針對法案內容取得共識。 二、人工智慧法案 (一)規範客體 《人工智慧法案》依風險及危害性程度分級,其中「不可接受風險」因抵觸歐盟基本價值原則禁止(符合公益目標,如重大或特定犯罪調查、防止人身安全遭受危害等例外許可)。「高風險」則為法案規範之重點,除針對系統技術穩健、資料處理及保存訂有規範外,針對人為介入、安全性等也訂定標準。 而針對高風險之範疇,此次議會決議即擴大其適用範圍,將涉及兒童認知、情緒等教育及深度偽造技術(Deepfake)納入高風險系統,並強調應遵循歐盟個人資料保護規範。此外對於社會具有高影響力之系統或社群平臺(法案以4500萬用戶做為判斷基準),由執委會評估是否列為高風險系統。針對目前討論度高的生成式人工智慧(ChatGPT),議會針對法案增訂其系統於訓練及應用目的上,應揭露其為生成式人工智慧所產出之內容或結果,並摘要說明所涉及之智慧財產權[3]。 (二)禁止項目 關於《人工智慧法案》對於高風險系統之要求,從執委會及理事會的觀點來看,原則上重點在於對弱勢的保護及生物資料辨識之權限。歐盟禁止人工智慧系統影響身理及心理,包含對於特定族群如孩童、身心障礙者等弱勢族群之不平等待遇。同時原則禁止即時遠端的生物辨識利用,包含對於人性分析、動作預測等對於人類評價、分類之應用,例外情況如犯罪調查、協尋失蹤兒童、預防恐怖攻擊、關鍵基礎設施破壞等情況時方被允許。此次議會決議提高禁止即時遠端生物辨識的標準,包含納入敏感資訊的蒐集如性別、種族、政治傾向等,及其他臉部辨識、執法、邊境管制、情緒辨識等項目[4]。 參、事件評析 有關《人工智慧法案》雖歐洲議會已一讀通過,然而後續仍要面對與歐盟理事會的協商討論,並取得共識才能規範整個歐盟市場。因此上述規範仍有變數,但仍可推敲出歐盟對於人工智慧(含生成式)的應用規範態度。在面對日新月異的新興科技發展,其立法管制措施也將隨著橫向發展,納入更多種面向並預測其走向趨勢。因人工智慧有應用多元無法一概而論及管制阻礙創新等疑慮,觀察目前國際上仍以政策或指引等文件,宣示人工智慧應用倫理原則或其風險之管理,偏重產業推動與自律。 觀察歐盟《人工智慧法案》之監管目的,似期望透過其市場規模影響國際間對於人工智慧的監管標準。倘若法案後續順利完成協商並取得共識通過,對於如OpenAI等大型人工系統開發商或社群平臺等,若經執委會評估認定為高風險系統,勢必對於未來開發、應用帶來一定衝擊。因此,歐盟對於人工智慧監管的態度及措施實則牽一髮而動全身,仍有持續觀察之必要。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]The AI Act, Future of Life Institute, https://artificialintelligenceact.eu/developments/ (last visited Jun. 20, 2023) [2]The ordinary legislative procedure, Council of European Union, https://www.consilium.europa.eu/en/council-eu/decision-making/ordinary-legislative-procedure/ (last visited Jun. 19, 2023) [3]EU AI Act: first regulation on artificial intelligence, European Parliament, Jun. 14, 2023, https://www.europarl.europa.eu/news/en/headlines/society/20230601STO93804/eu-ai-act-first-regulation-on-artificial-intelligence (last visited Jun. 21, 2023) [4]MEPs ready to negotiate first-ever rules for safe and transparent AI, European Parliament, Jun. 14, 2023, https://www.europarl.europa.eu/news/en/press-room/20230609IPR96212/meps-ready-to-negotiate-first-ever-rules-for-safe-and-transparent-ai(last visited Jun. 21, 2023)
日本施行「資金結算法」修正,承認比特幣具有財產價值,得作為交易的支付手段。日本2017年4月施行「資金結算法(資金決済法)」修正,正式承認虛擬貨幣作為支付工具,其本身得為買賣(與法定貨幣為交換),具有財產價值得以電子方式移轉之電子資訊,但是不等於法定貨幣。依據該法第2條第5項之定義規定,具有以下性質之財產價值者為虛擬貨幣:(1)對於不特定人,得作為代金支付之使用,而且與法定貨幣(日圓或美元等)得為互相交易;(2)以電子數位技術為紀錄與移轉;(3)非為法定貨幣或法定貨幣所成立之資產(預付卡等)。 2014年以東京為據點世界最大比特幣交易所Mt.Gox發生破產,導致鉅額比特幣消失事件,為了保護消費者與防止洗錢而為法律制度之整備。該法對於虛擬貨幣交易所為管制,(1)要求提供虛擬貨幣交易服務之交易所必須為登記(必須為股份有限公司以及資本額1000萬日圓以上);(2)對於利用者必須為適切之資訊提供;(3)為了適切管理利用者財產,業者必須將利用者之財產及虛擬貨幣與自身之財產分離管理;(4)為了防制洗錢,交易時必須為本人確認;(5)對於交易所為日常業務監督,必須作成帳冊書類及報告書,並提出具有會計師或監察法人簽證稽核之報告書,管制機關得為進入檢查、行使業務改善命令等之監督權。今年9月底,有11家完成登記程序,12月4日有5家完成登記,共16家目前為登記合法之比特幣交易所。 近來日本大型家電量販店等已有承認比特幣等虛擬貨幣可以作為支付手段,其他承認虛擬貨幣作為支付手段的商店也漸漸增加中,虛擬貨幣與一般民眾的生活漸為結合。但是虛擬貨幣仍有其風險,從國民或消費者保護觀點,政府也在相關處所加入明顯警語,提醒民眾虛擬貨幣並非法定貨幣,國家不保證其價值,而且虛擬貨幣之價值,會因買賣或經濟狀況等會有價值波動情形。利用虛擬貨幣交換業者之服務時,應注意僅得以在金融廳登記有案之業者為對象,同時此等業者負有說明義務,對於利用者有提供虛擬貨幣相關機制之資訊(包含交易內容與手續費),利用者應先聽取後,再決定是否為交易。利用者對於虛擬貨幣交易經歷或戶頭餘額應隨時確認,而業者至少3個月一次有提供利用者交易紀錄與餘額資訊之義務。