當工業的製造生產過程經過一連串自動化、產量化以及全球化之變革歷程之後,智慧工廠的發展已經成為未來各國的重點目標。生產力4.0的設計中,巨量資料(Big Data)是重要的一環,以製造業為例,傳統上將製造生產取得的數據僅用於追蹤目的使用,鮮少做為改善整體操作流程的基礎,但在生產力4.0推進之後,則轉變為如何藉由巨量資料來提升生的效率、利用多元資源的集中化與分類處理,並經過分析取得改善行動方式,使生產最佳化,再結合訂單需求預期分析,依市場變化調整製造產量,達成本控制效果。
在我國104年9月公布之「2015行政院產力4.0科技發展方案」,亦提及智慧機械、智慧聯網、巨量資料、雲端運作等技術開發,使製造業、商業服務業、農業產品服務等,提升其附加價值。除此之外,經濟部積極規劃佈建巨量資料自主技術研發能力並且促成投資,落實應用產業智慧化與巨量資料產業化之目標。然而,巨量資料的應用因涉及大量的資料蒐集與利用,因此,未來應著重於如何將資料去辨識化,顧及隱私與個人資料之保護。目前,針對此部分,法務部將研擬個人資料保護法修正案,制訂巨量資料配套法規。
本文為「經濟部產業技術司科技專案成果」
所謂「大麻」實為大麻屬植物,其中除了較常耳聞的娛樂用大麻外,尚包含工業用大麻(俗稱火麻,hemp),兩者區分標準在於四輕大麻酚(THC)成分高低,後者THC成分小於0.3%,難以做為娛樂用,由於大麻於過去曾有相當時間遭各國所禁止,因此與其有關之研究、專利申請案之數量可謂罕有。然而,近年來隨著各國逐漸放寬對大麻的限制,諸多藥商陸續投入以大麻為成分之藥品開發中,並執此取得專利申請,從而引發相關人士提出此種專利究竟是否具備新穎性之疑問。 日前於2018年7月間,美國即有藥商對此提出專利訴訟,全案大致背景如下:United Cannabis Corp.(下同UCANN)對Pure Hemp Collective Inc.(下同Pure Hemp)提出專利侵權訴訟,指稱Pure Hemp所研發之多款含CBD成分之藥物均侵害其編號9,730,911之專利(下同911專利)。而Pure Hemp則反駁,並稱911專利其中第1、5、16、20、25項聲明將此一專利範圍擴張至所有以液體型態存在之高效價大麻二酚(liquid form of high-potency cannabis),因此若其他藥品商以此一成分生產其他藥物,不論作用、成效是否相同,均可能侵害UCANN之專利權。 本案爭點在於:「以大麻中,早已廣泛流通於市面之大麻二酚(CBD)製成之藥品,是否具備專利法上之新穎性?」。對於系爭專利成分「液態高效價大麻二酚」,事實上已於美國銷售多時,從而此一成分是否具備「新穎性」即容有疑問。業界相關人士指出,美國專利及商標局(U.S. Patent and Trademark Office,下同當局)未審酌上開涵蓋過廣之專利聲明以及未顧及系爭專利成分已於市場流通多年此二種情況,即核發專利許可證,可以說是一種行政怠惰。同時間,也有論者較為持平的認為這可能得肇因於大麻專利申請案之前例過少,使得當局專職審核是否具備新穎性要件之相關人員要難查知。此種說法雖然稍有為當局開脫之嫌,但實際上也間接彰顯了專利審查人員於核發此種專利時,有判斷不周的情形。無論如何,目前全案尚在審判中,詳細結果,均有待判決做成後方知一二。
歐盟引用 EN 18286 作為高風險 AI 系統品質管理統一標準歐盟引用 EN 18286 作為高風險 AI 系統品質管理統一標準 資訊工業策進會科技法律研究所 2026年10月29日 歐盟執委會於2026年10月14日將EN 18286公布於歐盟公報(Official Journal of the European Union)[1]。執委會表示依該標準建立品質管理系統(quality management system)之提供者,就標準所涵蓋之歐盟《人工智慧法》(Regulation (EU) 2024/1689, Artificial Intelligence Act,下稱AIA)第17條要求,享有推定符合的效果[2]。我國《人工智慧基本法》已正式立法,數位發展部亦於115年7月7日發布《人工智慧風險分類框架》,惟各目的事業主管機關之管理規範尚在研擬,標準與驗證工具之銜接機制則未見法令規定。本文爰整理該決定與 EN 18286之要點,並對我國制度可獲啟示提出評析。 壹、事件摘要 AIA第40條第1項規定,高風險AI系統如符合統一標準(harmonised standard),就該標準所涵蓋之要求,可推定符合(presumption of conformity)AIA所定要求[3]。歐盟執委會於2026年10月12日通過施行決定(Commission Implementing Decision (EU) 2026/2274,下稱本決定),採納EN 18286:2026人工智慧品質管理系統,為高風險AI系統供應商提供明確的法律途徑[4]。EN 18286 是由歐洲標準化委員會(European Committee for Standardization, CEN)與歐洲電工標準化委員會(European Committee for Electrotechnical Standardization, CENELEC)之聯合技術委員會 JTC 21(Joint Technical Committee 21)擬訂[5],標準本身雖為不具強制力的自願性文件,但其作用在於提供業者一條經官方認可之遵循路徑,並使主管機關與業者就符合性之判斷有共同基準。 貳、重點說明 一、歐盟 AIA的統一標準與推定符合機制 依AIA第 17 條要求,高風險AI系統提供者建立品質管理系統,同法第40條第1項規定符合統一標準的高風險AI系統或通用AI模型,應推定符合該法第三章第2節(對高風險AI系統的需求)所列要求;於適用時,包括推定符定依該法第五章第2及3節(對通用AI模型及具系統性風險的通用AI模型之提供者)所列義務,但前提是該標準已涵蓋前述條款規定之要求或義務。 此外,AIA第16條第f款規定,高風險AI系統提供者於上市或投入服務前,須依第43條規定辦理符合性評估(ensure that the high-risk AI system undergoes the relevant conformity assessment procedure as referred to in Article 43)。而第43條規定上市前的符合性評估,無論提供者依自行查驗或送公告機關審查,如其已採用EN 18286標準,該標準即為查核的依據[6]。 因此,如AI提供者採用 EN 18286 統一標準者,就該標準所涵蓋之要求,可作為符合高風險AI系統提供者必須建立品質管理系統(AIA第17條)之依據。同時,可於EN 18286標準所涵蓋之範圍,援引AIA第40條第1項,推定符合前述該法第三章與第五章有關對高風險AI系統、通用AI模型及具系統性風險的通用AI模型之提供者義務之要求。無論是否能產生推定符合效果,EN 18286 之重要性在於可做為AIA第17條要求提供者建立品質管理系統的依據,同時在上市或提供服務前,做為辦理符合性評估的標準,成為落實第17條與第43條要求之共同基準[7]。 二、EN 18286 之定位與架構 EN 18286 有別於一般管理系統標準之處,在於其要求均與取得推定符合之目的相關。其前言載明所謂品質可理解為符合AIA之全部法規要求,而且特別規定高風險AI提供者應辨識並系統化地審查適用之法規要求,並建立法規遵循策略、選擇證明遵法之途徑、將對主管機關與公告機關(notified body)之義務轉為內部程序,使管理系統所處理者為法定義務,而非組織自行設定之品質目標(詳見該標準條款0.1、3.1、4.2、4.4)[8]。 依 EN 18286 標準本文,其架構係依AIA第17條第1項,要求高風險AI系統提供者建立品質管理系統,涵蓋法規遵循策略、設計與開發管制、資料管理、風險管理、上市後監測、嚴重事件通報、資源管理與責任架構等事項。第1章至第3章為範圍、引用標準及用語定義;第4章至第7章處理品質管理系統本身,包括適用法規要求之識別、法規遵循策略、最高管理階層責任、風險與品質目標,以及資源、能力與溝通;第8章與第9章規範個別AI系統自構想至退役之生命週期,其中第8章涵蓋風險管理、設計開發、查證與確證(verification and validation)及資料管理,第9章涵蓋投入市場後之供應鏈、變更、上市後監測、嚴重事件通報與不符合事項處理;第10章為績效評估,包括管理審查。 三、EN 18286 的要求重點 (一)、要求提供者訂定法規遵循策略:標準要求策略至少涵蓋基本要求、上市後監測、嚴重事件、資料管理、適用之符合性評估(conformity assessment)程序及變更(4.4)。 (二)、要求提供者建立文件化程序,以確保能提供合規所需資訊,並與國家主管機關、公告機關、進口者、經銷者、授權代表及客戶溝通;亦須就不符合、構成風險之AI系統及嚴重事件之通知建立程序(對應AIA第20條第1項、第2項及第73條),包括涉及重要基礎設施等特定情況之通報期限(7.3、9.6、9.7)。 (三)、將AIA之變更規則轉為作業要求,例如要求提供者判斷上市後之修改是否為實質修改並記載理由,屬實質修改者須重新進行符合性評估(AIA第43條第4項),標準並將其視為新AI系統,要求提供者相應更新品質管理系統(9.4)。 (四)、就個別AI系統之設計開發,要求將法規要求轉為可查證之系統要求並留存紀錄。包括要求提供者依預期用途,決定達成適用法規要求(含基本要求)所必要之系統要求,於界定規格前定期審查,確認其已文件化、涵蓋適用法規要求且可滿足;並依文件化之測試計畫與程序進行查證,結果與措施須以文件化資訊提供(8.3、8.4)。 (五)、資料與文件方面,提供者須界定資料要求,建立涵蓋資料取得、探勘與蒐集、分析、標註、過濾、彙總、保存及儲存之系統與程序;主管機關或符合性評估機構要求時,應提供資料存取,資料停用時須指明銷毀或封存機制,且資料銷毀不得與提供者遵循法規要求之能力相衝突(8.5)。 (六)、EN 18286 著重供應鏈與上市後的風險管控,要求提供者就外部供應者建立評估與選擇準則,並文件化對供應者及所供應產品、組件、資料與服務之管制,以及所須之查證與確證。產品或服務於上市後仍須採取監測作法,作法應主動、系統化並納入績效評估(9.3、9.5)。 參、事件評析 數位發展部已於115年7月7日發布《人工智慧風險分類框架》1.0版,為目前已公布之具體分類與評估規則。於風險評估之後,框架列舉主管機關可採之管理措施,包括要求業者提出說明資料、實施透明度標示,以及對風險達一定程度者採事前審查。框架亦列舉依《人工智慧基本法》要求高風險應用標示注意事項、明確責任歸屬並建立救濟、補償或保險機制等措施。惟框架之規範對象為目的事業主管機關,業者無從預知其系統於各主管領域將如何分類,亦無可據以辦理之事項、規範或標準。 目前數位發展部雖已成立AI產品與系統評測中心(下稱 AIEC),數位產業署亦於113年3月發布《人工智慧(AI)產品與系統評測參考指引(草案)》,供AI提供者就其產品或服務辦理評測,但該指引以產品與系統為評測對象,與 EN 18286 以提供者組織為對象、規範其品質管理系統之層次不同;AIEC之測試結果並非組織層級管理要求之依據。而認定高風險應用者為中央目的事業主管機關,AIEC並無此項認定權,其測試結果與風險分類框架未見對接,與法規認定亦無明文連結,欠缺規範效力。企業送測所得僅為技術性測試結果,在法律上既不能作為遵法之依據,也無從向交易相對人或主管機關說明其已盡注意。相較之下,歐盟AIA透過賦予統一標準推定效力與搭配符合性評估程序,已然形成由標準通往法律效果之連結誘因,實值參考。 再者,我國《人工智慧基本法》已要求各目的事業主管機關訂定風險為基礎之管理規範,並協助產業自訂指引,將有助於企業的AI風險管理實務操作。如後續能參考歐盟之 EN 18286 設計,各機關將有共通之查核確認責任歸屬之標準,並仍可因應產業性質差異,提供風險因應指引協助。建議可再依同法第5條第3項,由數位發展部等機關提供或建議評估驗證之工具與方法,並公告經審認之標準與工具清單,載明其對應之管理規範事項、適用範圍及限制,連結高風險標示、責任歸屬與配套義務。如此法規、機制、標準與工具得以結合,有助於企業在完備的AI風險管理機制下發揮AI應用的產業效益。 本文為資策會科法所創智中心完成之著作,非經同意或授權,不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1] Commission Implementing Decision (EU) 2026/2274 of 12 October 2026 on the harmonised standards for high-risk AI systems drafted in support of Regulation (EU) 2024/1689 of the European Parliament and of the Council, OJ L, 14.10.2026, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202602274 (last visited Oct. 21, 2026). [2] EUROPEAN COMMISSION, First harmonised standard supporting the AI Act published in the Official Journal (Oct. 19, 2026), https://digital-strategy.ec.europa.eu/en/library/first-harmonised-standard-supporting-ai-act-published-official-journal (last visited Oct. 21, 2026). [3] Regulation (EU) 2024/1689, art. 40(1), European Commission AI Act Service Desk, https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-40 (last visited Oct. 20, 2026). [4] 前揭註1。 [5] JTC 21, EN 18286 becomes the first harmonised standard under the EU AI Act, https://jtc21.eu/en-18286-becomes-the-first-harmonised-standard-under-the-eu-ai-act/ (last visited Oct. 21, 2026). [6] 條文詳前揭註3。另見前揭註1,前言第(1)點、第(6)點。 [7] 條文詳前揭註3,art. 17(1), https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-17 (last visited Oct. 21, 2026). [8] 標準內容須洽購,重點可參見MODULOS,EN 18286 Quality Management System for EU AI Act, https://docs.modulos.ai/frameworks/eu-ai-act/harmonized-standards/en-18286 (last visited Oct. 21, 2026).
日本總務省公布AI運用原則草案日本總務省於2016年10月起召開AI聯網社會推進會議(AIネットワーク社会推進会議),該會議於2018年7月17日公布「報告書2018─邁向促進AI運用及AI聯網化健全發展」(報告書2018-AIの利活用の促進及びAIネットワーク化の健全な進展に向けて-),提出「AI應用原則草案」(AI利活用原則案)。 「AI應用原則草案」制定目的在於促進AI開發及運用,藉由AI聯網環境健全發展,實現以人為中心之「智連社會」(Wisdom Network Society:WINS),其規範主體包括︰AI系統利用者、AI服務提供者、最終利用者(以利用AI系統和服務為業)、AI網路服務提供者、離線AI服務提供者、商業利用者、消費者利用者、間接利用者、資料提供者、第三者和開發者;草案內並根據上開規範對象間關係,整理各種AI運用情境,最終提出「適當利用」、「適當學習」、「合作」、「安全」、「資安」、「隱私」、「尊嚴自律」、「公平性」、「透明性」、「歸責」等十大AI應用原則。總務省表示將持續檢討完善AI應用原則草案細節,以「利用手冊」等形式公布,提供民眾參考。 行政院於2018年初推出「台灣AI行動計畫」,將整合5+2創新產業方案,由相關部會協助發展100個以上的AI應用解決方案,日本總務省所整理之AI應用情境與研提之應用原則,或可作為我國未來推動AI發展之參考。
日本發布創新治理報告書,主張強化企業等對法規範形成的實質參與日本經濟產業省於2020年7月13日發布「創新治理:實現Society5.0的法規與結構設計(GOVERNANCE INNOVATION: Society5.0の実現に向けた法とアーキテクチャのリ・デザイン)」報告書。其作成背景係依據日本在去(2019)年G20峰會時,基於大阪框架(大阪トラック、Osaka Track)下的「可資信任的資料自由流通機制(Data Free Flow with Trust(DFFT))願景,所提出的創新治理目標。該目標指出,過往的治理模式主要依靠法律規範,但明顯已追趕不及數位化與創新的快速步伐,致生新型態風險無法獲得有效控管、法律可能阻礙創新等問題,因而有必要革新治理模式,以掃除創新活動的障礙。基此,就上述創新治理模式的必要性與方式,日本召集國內外法律、經濟、科技、經濟等各界專家徵求意見進行討論,彙整後作成本報告書。 本報告書主張,應擺脫法規範的設計、法遵與執行,均由國家主導的傳統模式,建立提高企業參與規範擬定與實施程度的治理型態。具體主要包含以下作法: (1)法規範制定層面:規範之制定方向,改以作成價值決定的目的導向為主。至於細節性的行為義務,包含企業如何在數位化的虛擬場域內,透過程式語言等途徑落實上述法目的,則應由該些企業、以及在虛擬場域活動的社群或個人等利害關係人共同參與擬定相關的指引或標準。 (2)法遵層面:如上(1)所述,未來法規範制定將轉為形塑價值與目的為主,不會明確訂定企業的行為義務,而交由企業來擬訂。企業所制定之行為規範能否達成法規範目的,則須仰賴企業主動揭露其法遵方法,供外界檢視。因此,除企業應採用創新手法達成法目的、並對內落實法遵事項的說明外,應運用各種內外部查核機制來控管風險。同時,應著手研發相關技術或措施,讓利害關係人得取用企業之即時資料,以隨時確認企業所採取方法有無達成法遵,實現有效監督。 (3)執法層面:政府應以企業之行為對社會產生影響的程度,作為執法標準。若遭遇AI參與決策而衍生的事故,不應歸責於個人,而應建立獎勵機制,鼓勵企業積極協助究明事故原因。另一方面,亦應推動訴訟與訴訟外紛爭解決機制的線上化(Online Dispute Resolution, ODR),例如共享經濟平台服務的認證機制與標準、就電商平台上發生的小額消費糾紛由平台透過公告罰則等方式抑止與處理糾紛。