何謂「大學技術經理人協會(AUTM)」？
大學技術經理人協會( The Association of University Technology Managers, AUTM)是一個專門贊助並增進全球學術科技移轉的非營利組織，成立於1974年，其前身為大學專利管理協會(Society Of University Patents Administrators），至今已經擁有超過3000位來自超過300間大學技術轉移室的經理人成為會員，為美國產學合作的重要組織。
該協會運作之目的為充實成員對於技術轉移的知識、贊助技術轉移活動的進行、增進產業及學界的合作與交流，以及打造友善的跨國技轉環境。
該協會每年對美國及加拿大的大學、教學醫院，以及研究機構進行問卷調查，以了解各大學級研究機構的技術授權情形，並發布年度授權活動調查報告 (AUTM Licensing Activity Surveys)。其亦每年舉辦年會，提供來自全美各地的大學、研究機構、營利及非營利組織，以及全球對技術轉移議題有興趣的單位一個資訊交流的場合，會中除了舉辦針對技術轉移議題的研討會以外，並會提供相關企業或組織展示其技術移轉之服務及成果的機會，提供與會者認識技術移轉之世界趨勢的機會。
本文為「經濟部產業技術司科技專案成果」
李祖劭
法律研究員 編譯整理
美國職業安全及健康研究院﹙NIOSH﹚是美國發展奈米科技的重要政府單位之一。近來，其頻頻透過國際組織的運作來處理與奈米科技有關之職業安全與健康影響問題。NIOSH首長John Howard表示，在國際層次上，科學家及決策者皆明瞭處理與奈米材料製造及產業使用所引致之職業病或職災，是當下最重要的工作之一。而由於NIOSH在促進世界性科學對話上，始終扮演者厥功甚偉的角色，因而在奈米科技發展初期，其亦積極協助此一科技能夠充分考慮安全及健康問題，發展出具全球協調性的技術方法，並有助於美國在國際市場的領先地位。而其近期主要成就在於以下三個部分： 1.今﹙2007﹚11月29日，經濟合作暨發展組織﹙OECD﹚人造奈米材料工作小組通過NIOSH-Led計畫，負責執行奈米材料暴露控制與測量等相關資訊之交換，同時透過領導小組，與會員國共同聚焦商討一些足以引起公眾意識的議題，例如在職業環境中之暴露測量與減輕。 2.其次，在今年12月4日至同月7日的國際組織會議中，ISO TC229表決通過有關奈米科技在職業環境之安全與健康規範的報告初稿，此報告係以NIOSH所發表一份名為“Approaches to Safe Nanotechnology”的報告作為基礎，而繼續由其發展與修正。本報告初稿送至ISO技術委員會審查，委員會認為報告內容涵蓋完整的技術性工作，且其未來影響將遍及全球，而為全球組織所關切。 3.此外，在今年12月2日，NIOSH另參與世界衛生組織﹙WHO﹚之職業健康合作中心全球聯網會議，當次會議之焦點在於奈米科技，會中NIOSH代表負責報告工程奈米粒子在職業安全及衛生上所遭遇之挑戰現況。本次會議中將決定WHO合作機制如何發展運作，以避免暴露於可能有害的工程奈米粒子。 整體而言，關於奈米科技之安全與健康影響及其相關應用的研究，NIOSH統整建置了一套策略性工作計畫，透過這些研究專門處理一些重要問題，包括某些對於評估風險及控制暴露極為有效的科學資訊。除了研究之外，NIOSH亦積極參與國際組織活動，可以預見其對奈米科技未來發展之影響將無遠弗界。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
美國田納西州《確保肖像、聲音和圖像安全法案》要求第三方若利用生成工具重製肖像、聲音或圖像應得本人之事前同意作為鄉村音樂發源地的美國田納西州，有著蓬勃的音樂產業，匯聚來自各路的表演藝術工作者，因而對相關從業者的個人公開權（Right of Publicity）保障尤為重視，早在1984年即制訂《個人權利保護法》（Personal Rights Protection Act），確保該權利不會因權利人死亡而消滅，屬於可由他人繼承之財產權，允許繼承人自由轉讓和授權，包含其姓名（Name）、肖像（Image）、形象（Likeness）之權利主張，但被繼承人之聲音仍不在權利主張的範疇。 惟現今AI深偽仿聲技術所生成之音樂亦可能侵害音樂人及藝術家的智慧財產權，因而於2024年3月21日由州長簽署《確保肖像、聲音和圖像安全法案》（Ensuring Likeness Voice and Image Security Act），簡稱貓王法案（ELVIS Act），該法案於3月7日獲得州議會兩黨一致支持，首度明確將個人公開權得主張之範圍擴及至表演者的聲音（NIL+V），其目的是為了應對AI生成音樂的突破性進展，以保護音樂創作人及表演藝術家之權利免受AI技術侵害，這是全美首部禁止他人未經授權使用或重製權利人的聲音以供訓練AI模型或生成深偽內容所制定的法律（註：加州雖已將聲音作為權利保護客體但非針對AI技術之侵害），明確規定第三人在未得本人之同意下，若意圖利用AI深偽技術生成經仿製、偽造或變造的圖片、影音、聲音等數位檔案，而後續冒用本人名義進行公開發表或公開演出詞曲創作人及表演藝術工作者之聲音或影像的行為，則須承擔相應的民事侵權行為責任，以及構成歸類在微罪的刑事犯罪，刑期最高可處11個月又29天的監禁或2,500美元以下的罰金，該法案預計於今年7月1日生效，且僅適用於在田納西州境內的工作者。 該法案所保護之主體除音樂創作人及表演藝術家外，亦包含動畫配音員及串流媒體盛行下廣播與網路節目的播音員（俗稱播客），以確保這類主要仰賴聲音維生的工作者能免於AI仿聲技術而減損其專業價值；另外若有與詞曲創作人或表演藝術工作者締結專屬合約之唱片公司或經紀公司亦為訴訟程序的適格當事人，可代理公司旗下的工作者尋求救濟管道；最後，若利用權利人的姓名（Name）、肖像（Image）、形象（Likeness）或聲音（Voice）屬於法案中列舉的合理使用行為，如基於公益目的、新聞播報、轉化性使用、偶然入鏡或著作之附帶性利用等，則應屬美國憲法第一修正案之保障範圍而非在該法案的規範射程。 除田納西州之外，美國尚有其他39個州提出或正在推動相似的法案，但全美目前仍欠缺統一性的立法；聯邦政府仍尚在研擬如何保護表演藝術工作者個人公開權的階段，日前在田納西州政府今年1月時提出貓王法案的草案後不久，由美國眾議院議員組成的跨黨派小組曾公佈《禁止人工智慧偽造和未經授權的重製法案》（或稱為《禁止人工智慧詐欺法案》），旨在推動建立聯邦層級的框架性立法，以確保個人的聲音或肖像權屬美國憲法第一修正案的保障範圍，而該提案據稱是針對美國參議院去年10月提出的《鼓勵原創、培育藝術和維繫安全娛樂法案》（或稱為《禁止仿冒法案》）的更新及補充，以維護公共利益，創造具有原創性、正當性及安全性的休閒娛樂環境。
瑞典與法國簽署成立戰略夥伴關係進行綠色創新合作於2017年11月17日，瑞典與法國共同簽署成立戰略夥伴關係，共同致力於創新與數位化轉型，尋求綠色解決方案，由產業界、新創公司、學術界以及公共部門共同參與，此次合作兩大主軸分別為數位化轉型以及因應氣候變遷的綠色創新，工作細項側重四大領域： (1)運輸、乾淨能源與智慧城市的綠色創新方案：以大幅減少交通運輸所產生的溫室氣體為目標，瑞典希望相較於2010年，至2030年時至少減少國內運輸排放量百分之七十(不包括航空)，法國則宣布希望至2040年前能結束出售以化石燃料運行的汽車，兩國將與企業共同合作尋求解決方案並創造就業機會。 (2)因應氣候變遷的綠色經濟：朝向低(零)碳排放量的社會前進，並制定一套適當的法律框架。 (3)數位化轉型、智慧產業與新創公司：兩國將使中小企業進行數位化轉型的知識交流，致力於支持中小企業數位化轉型進程；除此之外，為了實現長期的共同利益，善用彼此的相關研究，研究小組更進一步尋求雙方人力資源的合作，包含研究人員相互交流並鼓勵企業共同探索研發成果的商機。 (4)健康與生命科學創新：確立完善的健康照護體系以及衛生系統不斷的重新評估與改革對兩國相互交流醫療保健模式是有助益的，兩國重視當前高齡化的社會照護，通過科技創新在健康、福利與預防醫學上達到E化保健與遠程保健等目標，藉由以病人為中心的醫療體系，更新社會醫療保健模式。