英國Ofcom「個資與隱私」報告
針對告知消費者個資使用方式以及確保消費者對個資利用之參與及意見表達，英國通訊傳播管理局（The Office of Communications, Ofcom）於2015年6月17日公布委託德國顧問公司WIK-Consult進行之「個資與隱私」(Personal Data and Privacy)報告。報告指出，雖然法規要求在處理個資前必須獲取相關消費者的告知同意，但事實是消費者並未在線上實際閱讀隱私權政策條款，這個問題則由於智慧聯網大幅促進了裝置間的互聯性與資料的流通而更形嚴重。報告表示，雖然資料流通的本質不變，但僅因互聯裝置數量倍增就足以讓可近用與分析的資料呈等比級數成長，要在線上對這些遍及生活各層面的資料進行追蹤也就難上加難。
對於這個起因於智慧聯網興起的問題，報告認為政府可能必須利用更複雜的契約關係加以規範。因為隱私權政策要能透明，必須指出究竟是哪些人會在何時以哪種方式為了何等目的去近用相關資料，但這勢必會讓隱私權政策條款更加冗長，這不但與隱私權政策盡可能應簡潔易懂相違，消費者也更不可能實際去閱讀。此外報告也指出，機台或裝置在智慧聯網下能夠在幾乎沒有人為介入的情況下進行溝通，此將大幅壓縮消費者能夠得知個資蒐集與使用方式的機會，智慧聯網也讓消費者可能根本沒有察覺其正在使用的裝置實際上已經與網路連線。另一方面，隨著互聯複雜性的大幅提高，有意或無意揭露個資也將帶來更多的潛在不利影響。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資法遵實務與資訊安全說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
歐盟因應數位簡化革命通過Omnibus VII法案：放寬產業合規時程與強化兒少人權保障之《歐盟人工智慧法》修法 資訊工業策進會科技法律研究所 2026年07月22日 今（2026）年6月16日，歐洲議會（European Parliament）以423票贊成、57 票反對、174 票棄權，通過「第七號數位綜合法案」（Omnibus VII）下對《歐盟人工智慧法》（EU AI Act，下稱AIA）的修正案[1]。隨後於6月29日，歐盟理事會（Council of the European Union）批准了歐洲議會的審議決議。最終於7月8日，經歐洲議會議長及歐盟理事會主席共同簽署，該修正案正式通過[2]。 壹、事件摘要 自2024年10月起，歐盟理事會為因應萊塔（Enrico Letta）與德拉吉（Mario Draghi）報告中指出的歐洲競爭力危機，於2024年11月8日發布《布達佩斯宣言》（Budapest declaration）要求「發起一場簡化革命」，希冀為企業提供一個清晰、簡單且具備彈性的法規治理框架，並減輕企業面臨的法遵成本與合規摩擦。為此，歐盟執委會自2025年2月起陸續提出十項「綜合法案」（Omnibus packages），旨在鬆綁永續發展、投資與農業的申報程序、擴大對中小企業的制度支持、推動數位化轉型與統一技術規範、調和國防、化學產品、環境、汽車產業、食品與飼料安全，以及包含人工智慧在內的數位新興議題。其中，「第七號數位綜合法案」核心目的即在於簡化歐盟的數位立法框架，並落實全歐盟統一的人工智慧調和規範[3]。 另一方面，鑑於當前兒少網路參與度大幅提升及科技的急速發展，除加劇刑事執法之訴追難度外，亦衍生新型態之數位侵害手段，包括犯罪者利用人工智慧等新興技術將兒少視為下手目標。雖然歐盟現行主要規範兒少性侵害與性剝削之刑事法制，為2011年通過之《打擊兒童性虐待與性剝削指令》（Directive 2011/93/EU on combating the sexual abuse and sexual exploitation of children and child pornography），但為填補此一科技漏洞，歐盟亦於「第七號數位綜合法案」修正案中，針對深偽影像（deepfake）氾濫問題提出對策，並於《打擊兒童性虐待與性剝削指令》中進行修法研議[4]。 貳、重點說明 此次修法有兩大重點，一為延後AIA設定的義務期限，並在修訂事項中調整與其他產業法規的競合關係；二為在《歐盟人工智慧法》第5條「不可忍受之風險」增訂一項新條文，禁止生成未經當事人同意的性私密影像內容，以及兒童性剝削素材（child sexual abuse material, CSAM），同時亦在其他相關法律有配套之修法研議共同打擊涉及之AI數位性暴力犯罪，保障兒少人權。 一、簡化歐盟的數位法制監管框架 （一）調整AIA之合規時程 本次修法在於動態調整AIA設定的合規時程，包括延後高風險AI系統的義務期限，將「獨立型高風險AI」延至2027年12月2日適用，以及將「產品嵌入型高風險AI」延至2028年8月2日適用[5]。同時，將會員國應建置「國家級AI監理沙盒」的法定期限延展至2027年8月2日[6]，以提供企業及政府機關更充裕的準備期間，完成技術、治理及法遵機制的調整，降低法規適用初期的合規負擔，並確保新制度得以順利銜接與落實[7]。 （二）釐清不同法律之適用關係 為促使企業能有效遵守AIA的監管相關規定，於修法上明確劃分與其他特定產業法規（如醫療器材、玩具、電梯及船舶等產業）的適用關係，並課予歐盟執委會制定指引之義務，協助涉及高風險AI系統的開發商或經營者，能依據指引遵循AIA的高風險AI治理規範並同時降低其法遵成本[8]。換言之，如特定產業法規已明定與AIA相仿之AI法律規範，但會與AIA產生競合問題，如要排除AIA之適用則須於歐洲議會就產業法規進行修正。為降低修法成本，AIA此次修法賦予歐盟執委會「授權法規」（delegated acts）之權限[9]，得制定法規命令協調產業法規與AIA之適用關係，並在特定範圍內限制或排除AIA之適用[10]。同時要求歐盟執委會應發布相關指引，指導企業遵守人工智慧風險治理相關規範[11]。藉由此類機制，確立特定產業法規的優先適用原則，並藉此排除AIA與其他法規的競合矛盾，以避免企業因身陷法規的多頭馬車而面臨沉重的法遵負擔[12]。 二、強化AI治理下的兒少人權與性別平等措施 （一）AI衍生之數位性暴力納入不可忍受風險 於「第七號數位綜合方案」修正案中，針對深偽影像部分，修法強化業者導入「人工生成內容」的透明度標示義務，將原本的合規寬限期從6個月縮短至3個月[13]，亦即提前至今年12月2日全面施行[14]。同時，將非自願的生成式性私密影像及兒少性剝削生成式素材列為AIA第5條之不可忍受風險，並將會生成真實人物裸照，或修改現有照片衣物以暴露私密部位的AI系統，定於今年12月起全面禁用[15]。 （二）配套法律之相關修正 無獨有偶，歐盟理事會與歐洲議會代表亦於6月22日，針對《打擊兒童性虐待與性剝削指令》之修正法案，達成暫時性政治共識（provisional agreement）[16]。擬將凡是設計或改造AI系統以產出兒童性剝削素材，以及散布此類系統之行為，或以「AI 提示詞（prompt）」製作兒童性剝削素材之教學指引行為，納為刑事犯罪。後續，該修正法案若獲得歐盟理事會與歐洲議會的通過，會員國必須在3年內修改其國內刑法的相關規範，以符合修訂後之歐盟指令，藉此提升歐盟境內對兒少人權之保護，避免遭受新型態數位性暴力而影響其身心健康發展[17]。 參、事件評析 整體而言，「第七號數位綜合法案」就AIA的修正法案主要是透過義務時程的調整來緩和硬法（hard law）監管之治理模式，亦及體恤企業並維持歐洲競爭力，因此放寬並延後了醫療、機械、金融等高度涉及高風險AI應用相關產業的適用時程，避免沉重的法遵成本與合規摩擦，藉由「時間換取空間」之方式，讓企業在數位轉型上有較大的經營空間。儘管如此，歐盟亦堅守其基本人權底線，對於兒少權益、性別平等採取堅硬態度，除將生成式AI透明度義務的合規時程提前，更將AI的數位性暴力納入不可忍受風險，同時封殺AI脫衣（nudification）系統，並配合相關修法，研議將運用AI涉及兒少數位性暴力之行為列為刑事犯罪，其鐵腕手段正印證歐洲對人工智慧「以人為本」之精神。 對臺灣而言，雖然《人工智慧基本法》於今年1月14日施行，大部分的作用法及配套措施仍待規劃當中，我國之法律框架也並非採取歐洲治理模式，但歐盟就境內企業發展所採取之法規調適，值得我國留意，比如中小企業會面臨導入人工智慧的法遵成本與合規摩擦，政府應研議其配套措施。此外，對於兒少人權之保障，《人工智慧基本法》亦反映相同之立法精神，比如第5條規定：「政府應以兒少最佳利益為原則，人工智慧產品或系統經中央目的事業主管機關會商數位發展部認定為高風險應用者，應明確標示注意事項或警語」，我國仍需留意針對兒少而衍生之新型態數位性暴力議題，不論是否要行政管制或以刑罰相繩，此類風險必須被認真對待，並思考出適當的應對機制。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1] 第七號數位綜合法案涉及兩個領域的法律修正案，其中一個針對人工智慧領域，即AIA的修正案，另一個則是涉及個人資料保護與網路資訊安全的法律修正案，包括《一般資料保護規則》（General Data Protection Regulation, GDPR）與歐盟NIS 2指令。前者已通過，後者因未取得共識尚在審議中。因此，本文討論的修法僅限於AIA的修正法案。詳細內容可以參考European Council, Simplification of EU rules, https://www.consilium.europa.eu/en/policies/simplification/(last visited July 13, 2026). [2] European Parliament, AI Act: EP approves simplification measures and “nudifier” app ban, https://www.europarl.europa.eu/news/en/press-room/20260611IPR45207/ai-act-ep-approves-simplification-measures-and-nudifier-app-ban(last visited July 13, 2026). [3] European Council, Artificial Intelligence: Council gives final green light to simplify and streamline rules, https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/(last visited July 13, 2026). [4] European Council, Combatting child sexual abuse: EU agrees stronger criminal law rules and enhanced support to victims, https://www.consilium.europa.eu/en/press/press-releases/2026/06/22/combatting-child-sexual-abuse-eu-agrees-stronger-criminal-law-rules-and-enhanced-support-to-victims/(last visited July 13, 2026). [5] 修正AIA第113條，原本實施日期是2026年8月2日。立法文件see European Parliament & European Council, Regulation of the European Parliament and of the Council amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI), PE 30/2026 INIT, 2026, p. 33. [6] 修正AIA第57條，原本實施日期是2026年8月2日。立法文件見同前註5，頁60。 [7] 同前註3。 [8] 簡單來說，若該產業法規已提供等同或更高程度的健康、安全或基本權利保護，歐盟執委會得限制或排除AIA中特定義務，包括對高風險AI系統的「系統性要求」，如風險管理系統、系統上市前的技術文件資料、資料保存義務等，詳細內容參考，同前註5，頁42。 [9] 歐盟之授權法規（delegated acts）在性質上類似於我國基於法律授權之法規命令。依據《歐洲聯盟運作條例》第290條之規定，歐洲議會及理事會得於立法中授權歐盟執委會，由其自行制定非立法性且具普遍適用性之法規，用以補充或修正該法律之特定非核心要素。see Consolidated Version of the Treaty on the Functioning of the European Union art. 290, 2016 O.J. (C 202) 1, 172). [10] 新增AIA第2條第13項，同前註5，頁42。另外，歐盟理事會以機械產品法規（machinery regulation）為例說明，歐盟執委會得制定授權法規增訂關於高風險AI機械產品的健康與安全規範要求以免除適用AIA，同前註3。 [11] 修正AIA第96條第1項，要求歐盟執委會必須在2027年8月1日前發布指引，同前註5，頁86。 [12] 同前註3。 [13] 僅限於AIA第50條第2項機器可讀的數位浮水印或技術標籤的標示義務，同前註3。 [14] 新增AIA第111條第4項，同前註5，頁90。 [15] 同前註5，頁47。 [16] 暫時性政治共識（provisional agreement），係指歐盟立法程序中，歐洲議會（European Parliament）、歐盟理事會（Council of the European Union）及歐盟執行委員會（European Commission）進行三方協商（trilogue）後，由歐洲議會與歐盟理事會就法案內容達成的初步政治協議。該協議尚須依各機構內部程序正式批准，始完成立法程序並具法律效力。 [17] 同前註4。
加州針對18歲以下兒童通過兒童隱私保護法加州州長Gavin Newsom 早先簽署了《加利福尼亞州適齡設計法》（California Age-Appropriate Design Code Act AB 2273，以下簡稱該法），2023年4月28日，倡議團體與聯邦政府官員提交一份意見陳述以支持該法，預計於2024年7月1日生效；針對提供線上服務、產品給18歲以下加州兒童的企業進行管制。 該法的適用範圍： 1. 倘若企業提供的線上服務、產品或功能符合以下條件，則受該法所規範： (1) 提供服務的對象為兒童（年齡於13歲以下的孩童）之網路服務商。 (2) 所提供之服務包括兒童經常瀏覽的網站，或者確定是廣泛被兒童使用的線上服務、產品或功能。 2. CPRA（California Privacy Rights Act）所規範之「企業」，是位於加州並蒐集加州居民個人資料的營利性組織，其須滿足以下條件之一： (1) 年度總收入超過 25,000,00美元，或是每年單獨或聯合購買、出售或共享100,000名以上加州居民或家庭的個人資料，或者年收入的50％以上來自出售或共享加州居民的個人資料。 (2) 該法不適用於網路寬頻服務、電信服務或實體買賣行為。 一. 規範內容 1. 資料保護影響評估：企業針對所營事業須完成資料保護評估，且必須每兩年自主進行資料安全確認。 2. 最高級別隱私權設置：企業對於兒童使用者，須預設最高等級之隱私權設置及保護。 3. 隱私政策和條款：企業必須簡明的提供隱私政策、服務條款和明確標準，並使用與兒童年齡相符的清晰語言，以便兒童理解語意。 (1) 將兒童依據年紀分為：0至5歲為「早期識字階段」、6至9歲為「核心小學階段」、10至12歲為「過渡階段」、13歲以上為「早期成年階段」。 (2) 定位服務：要求企業在兒童的活動或位置受到父母、監護人或其他消費者的監控或追蹤時，向兒童明確提醒。 該法針對兒童制定嚴謹的法規予以保護，確保兒童個人資料不會在沒有認知的情況下，因使用服務而被蒐集、處理及利用。該法特殊的地方為，對於未成年人進一步區分不同年齡段，若有明確區分出並針對各年齡段進行不同的告知事項設計，將更易使閱讀之未成年人明確了解個資告知內容，應值贊同。
智慧城市－「智慧城市世界大會展覽」暨歐盟政策今年11月17日到19日為期三天的第五屆「智慧城市世界大會展覽（Smart City Expo World Congress）－都會平台（Urban Platforms）：串聯資料數據以及城市之間的連結」於西班牙巴塞隆納舉行。該大會凝聚了世界500個城市、450個參展單位，以及400位講者於一堂，主要觸及了城市如何因應大量成長的數據、從新的管理方式中，要如何以及在哪裡得到價值，以及在加速城市中的都會平台過程中，要付出什麼樣的代價等議題。 今年度的大會展覽令人耳目一新的創新作品包括：綠色環保無人駕駛小公車、提醒視力受損者，道路上有障礙物的智慧應用程式、能夠辨識在範圍內的射擊，並且精準地指出事件發生地點的麥克風系統，還有其他諸如無人飛機、物流和都會區內遞送服務等等創意新點子。 「智慧城市」一詞，意味著一個能夠合於未來發展的都會，同時轉變為一個可以在提升資源以及能源效率的同時，還能夠減少對於生態衝擊的環境。而歐洲的智慧城市發展，主要是在「歐洲2020戰略」（Europe 2020）中，由歐盟執行委員會所實施的「歐洲創新夥伴計畫」（The European Innovation Partnership, EIP）帶領歐洲倡議都會平台於以下三個交互運作的活動以及發展：（一）以城市需求為導向的發展，使得能快速地適應都會平台；（二）由備忘錄（Memorandum of Understanding, MoU）所鞏固的供給導向發展；（三）在信任的基礎上所建立的標準化導向發展。 歐盟於2011年6月公布的「智慧城市與社群歐洲創新夥伴計畫」（The European Innovation Partnership on Smart Cities and Communities, EIP-SCC）目的是為了要將城市、企業與市民結合起來，共同藉由永續的解決方案，來改善都會城市現有的問題，並提升城市的整體生活。此計畫期許以資通訊科技（Information and Communication Technology, ICT）、能源與交通管理的結合，共同提出創新的解決方案，為今日歐洲城市面對來自於環境、社會與健康等挑戰進行解套，計畫發展核心包含開放資料（Open Data）、商業模式（Business Models）、政策與法規（Policy and Regulation）、能源效率與低碳解決方案（Energy Efficiency and Low Carbon Solutions）、財政金融與採購（Finance and Procurement）、都會移動（Urban Mobility）、能源整合網絡（Integrated Energy Networks）等。 從歐盟所發展的大戰略計畫，到今年第五年的「智慧城市世界大會展覽」，明顯嶄露出歐盟在積極推動經濟發展的同時，帶著永續環境的思維，這是之所以歐盟能持續引領歐洲，甚至世界未來發展趨勢的關鍵原因。