所謂NPE依據現行學術界對於NPE的內涵認知,認為NPE係指不從事任何商品生產,亦不從事任何研發工作者。而在現行NPE的運作態樣上,其可包含兩種類型,其一,為大學和研究機構(例如:公、私立實驗室),其主要係由校內教職員或研究人員進行基礎性研究,並將研究成果授權予其他個人或組織來運用,其本身並不從事任何商品生產者;其二,係由個人或是中小型組織/團體以購買專利的方式來獲得專利權,並藉由專利權本質上的排他性特徵,以訴訟方式來控告侵害其專利權的成功商品製造者。後者,英文稱其為『Patent Troll』,中文可譯為『專利巨人』、『專利蟑螂』、『專利流氓』、『專利地痞』或『專利恐怖分子』等。其主要特徵有三項,首先,此類NPE係藉由專利取得的方式,向潛在或可能的專利侵權者(alleged infringers)收取專利授權金;第二,此類NPE並不進行任何研發活動,其亦不就其所擁有的專利來從事商品化活動或發展新型技術;第三,此類NPE投機性地等待商品製造者(industry participants)在投入不可回復鉅額投資後,始對該商品製造者行使專利侵權主張。
本文為「經濟部產業技術司科技專案成果」
為因應歐盟一般資料保護規則(General Data Protection Regulation,簡稱歐盟GDPR)於2018年5月正式施行,英國資訊委員辦公室(Information Commissioner’s Office, 簡稱ICO)於2017年11月21日發布一般資料保護規則指引(guide to general data protection regulation)(簡稱一般資料保護規則指引)。 ICO所發布的一般資料保護規則指引,係用於解釋歐盟GDPR的各條規定,協助企業符合歐盟GDPR的各項要求,適用於企業中擔負資料保護義務責任者。ICO說明本指引文件致力於擴展與歐盟GDPR、ICO所制定公告之其他指引文件、歐盟第29條工作小組制定公告之相關指導文件的聯結。歐盟第29條工作小組係由歐盟各會員國的資料保護機構代表組成,而ICO即為英國派任於該工作小組之資料保護機構代表。 ICO發布的一般資料保護規則指引,內容簡述如下:本指引文件係在建構歐盟GDPR法規的架構,將反映歐盟GDPR未來的導引與如何呈現,本指引內容有歐盟GDPR的重要定義(如歐盟GDPR適用對象、歐盟GDPR所欲保謢之資料種類)、歐盟GDPR原則、個人資料處理、當事人同意、當事人權利介紹、資料保護、資料洩漏處理、未成年人保護等議題之參考要點;並針對部分議題,設計有簡易清單,供參閱者勾選確認。 英國ICO除採取對外發布一般資料保護規則指引外,另有制定數個線上工具,協助企業依其身分別(如資料管理者或資料處理者),選擇線上工具進行自我檢視是否符合歐盟GDPR要求,期以協助英國業者為今(2018)年5月GDPR正式施行,能作更充分的準備。
強化AI安全防線:八國連署AI與機器學習供應鏈風險管理指南日本國家網路安全辦公室(国家サイバー統括室)於2026年3月5日,代表日本連署了「AI、機器學習供應鏈風險與緩和措施」(Artificial intelligence and machine learning Supply chain risks and mitigations)之國際文書(下稱本文書),並公布本文書內容。本文書是由隸屬於澳洲訊號局(Australian Signals Directorate,簡稱ASD)之澳洲網路安全中心(Australian Cyber Security Centre,簡稱ACSC)主導訂定,主要針對有導入或開發 AI、機器學習系統與元件等需求的組織,揭示其可能存在供應鏈風險與提升整體網路安全之重要性,並就AI開發或採購階段,組織應留意相關風險與可採行之緩和措施。有關連署國家,除了日本與澳洲以外,也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時,應將 AI 供應鏈視為整體網路安全戰略的一環,同時評估產品或服務之整體生命週期風險,不應著重於單一技術,而是組織需要掌握整體供應鏈的全貌,包括特定關係事業者、活用AIBOM(AI物料清單,主要用來記錄AI模型相關資產與資訊,提供快速定位與管控AI問題模型功能)或SBOM(軟體物料清單,主要記錄軟體相依元件,用於漏洞管理與供應鏈透明度)、意識到是否已針對AI、機器學習系統可能帶來的風險,進行漏洞管理,以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類:AI 數據、機器學習模型、AI 軟體、AI 基礎設施(含硬體),以及第三方服務,本文書指出AI、機器學習應用於供應鏈時可能產生之風險,其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面,以及導入第三方服務致使供應鏈產生弱點等。 此外,本文書也針對各類風險提出可行的因應方法,例如: 1.數據面:需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面:需從可信來源取得透明模型,實施性能驗證與惡意程式偵測。 3.軟體面:需做完整性驗證、元件審核,並透過 SBOM 掌握已知弱點。 4.硬體面:需確認設備無惡意內容,並在網路中適當分區。 5.第三方服務面:需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說,日本已意識到國家網路安全治理下,針對AI、機器學習的安全,不單是模型安全,而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書,不僅強化國際合作,同時建立供應鏈網路安全共識,因應AI對於國家供應鏈之網路安全挑戰,從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法,作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作,提升國家網路安全治理之作法,值得我國未來借鏡參考。
美國聯邦巡迴上訴法院判決美國專利法第271條(f)項不適用於方法專利繼美國最高法院於Microsoft Corp. v. AT&T Corp. 做出與專利法治外法權有關的判決後,美國聯邦巡迴上訴法院於2009年8月19日再次做出限縮解釋專利法第271條(f)項於美國境外的效力。 美國專利法第271條(f)項規定未經許可提供或使人提供專利產品之元件,將之由美國供應(“supply”)至美國境外完成組合,亦視為侵害該專利產品之專利權。此項規定為美國國會為防範企業藉由在美國境內製造非專利保護之零組件後再運送之海外進行組合以規避專利侵權責任而制定。之後,在實物案例中,關於第271條(f)項之解釋與適用範圍產生諸多爭議。美國最高法院於其在2007年Microsoft Corp. v. AT&T Corp. 中強調不應擴張解釋第271條(f)項之文字。 於Cardiac Pacemakers Inv. V. St. Jude Medical Inc. 一案中,原告Cardiac Pacemakers控告被告St. Jude Medical所販賣的植入式心臟整流去顫器 (implantable cardioverter defibrillator)之使用會侵犯原告所擁有的一個利用植入式心臟刺激器治療心律不整的方法專利 (a method of heart stimulation using an implantable heart stimulator)。本案的爭點在於被告銷售可實施原告美國專利方法的產品或裝置讓該專利方法於美國境外被實施的行為是否構成第271條(f)項之侵害。美國聯邦巡迴上訴法院推翻其於2005年之判決(Union Carbide Chemicals Plastics Technology Corp. V. Shell Oil Co.),判定專利法第271條(f)項不適用於方法專利。亦即,被告銷售可實施原告美國專利方法的產品至海外的行為不構成第271條(f)項所規定之侵權行為。 此判決對原告Cardiac Pacemakers之衝擊可能較小,因其專利範圍除方法請求項外,亦包含物品請求項,原告還可藉由其物品請求項獲得侵權損害賠償。但此案可能對僅能以方法申請專利的產業如生技藥業(某些診斷及檢驗僅能以方法申請專利)及軟體業造成較大的影響。
愛沙尼亞首創「數位遊牧簽證」吸引高收入高專業的數位遊牧民族2020年6月3日,愛沙尼亞議會通過了「外國人法(Aliens Act)」修正案,批准了全球首創專為「數位遊牧民族(Digital Nomads, DN)」設計的「數位遊牧簽證(Digital Nomad Visa, DNV)」,並於同年8月1日正式開辦。 「數位遊牧民族(DN)」為近年來興起的一種工作與生活型態,意指無需固定的工作時間與地點,只要有網路就能工作,通常是邊工作邊旅遊、經常在各國移動的生活型態,一般傳統的工作簽證或旅遊簽證較難直接適用。 今年因COVID-19疫情影響,許多人轉為遠距工作,也使更多人成為DN。而以數位治國聞名全球的愛沙尼亞,於2014年推出e-Residency(數位公民計畫)向全球招收數位公民後,進一步推出「數位遊牧簽證(DNV)」。DNV申請人可以是受雇者、企業經營者或是自由工作者,必須為外國企業工作、經營外國企業或是客戶位於國外(但不禁止在當地兼職);其次,申請人必須證明近6個月每月3,504歐元(約新臺幣12萬元)的收入,取得DNV者即可到當地居住一年。該政策看重其高收入、高消費能力,以及高專業性,能在IT、金融、行銷或相關領域獨立工作,為當地科技業提供創意與技術,帶動產業、增加產值;其在境內期間的收益亦可成為充實國家稅捐的標的,在經濟上具有正面效益,在社會上亦可增加多元性、開拓國際事業,並提升國際知名度。