標準必要專利法制發展及對應策略
本文為「經濟部產業技術司科技專案成果」
劉憶成
法律研究員 編譯整理
荷蘭資料保護局（Data Protection Authority, DPA）歷經長達七個月的調查，於2013年11月28日發布新聞稿，聲明Google違反該國資料保護法，因其未適當告知用戶他們蒐集了什麼資料、對資料做了些什麼事。 DPA主席Jacob Kohnstamm表示：「Google在未經你我同意的情形下，對我們的個人資料編織了一張無形的網，而這是違法的。」調查報告援引了Google執行長Eric Schmidt在2010年一場訪談中所說的話：「你不用鍵入任何字，我們知道你正在什麼地方、去過什麼地方，甚至或多或少知道你在想些什麼。」。 調查顯示Google為了展示個人化的廣告及提供個人化的服務，而將不同服務取得的個人資料加以合併，如搜尋記錄、所在位置及觀看過的影片等。然而，從用戶的觀點來看，這些服務係基於全然不同的目的，而Google亦未事先提供用戶同意或拒絕的選項。依照荷蘭資料保護法的規定，Google合併個人資料前，應經當事人明示同意，而該同意無法藉由概括（隱私）服務條款取得。針對DPA的聲明，Google回應他們已經提供用戶詳細資訊，完全符合荷蘭法律。 DPA表示將通知Google出席聽證會，就調查結果進行討論，並決定是否對Google採取強制措施。但是，從Google的回應看來，他們不太可能在聽證過後改變心意。以先前Google街景車透過Wi-fi無線網路蒐集資料的案例為鑑，Google（市值達3500億美元）若繼續拒絕遵循，將有可能面臨高達1佰萬歐元的罰鍰。
英國發布著作權與人工智慧報告書與影響評估英國發布著作權與人工智慧報告書與影響評估 資訊工業策進會科技法律研究所 2026年04月09日 英國政府於2026年3月18日依據《資料使用與存取法》（Data (Use and Access) Act 2025，下稱DUAA）第135條及第136條之法定義務，發布《著作權與人工智慧報告書》（Report on Copyright and Artificial Intelligence，下稱「報告書」）[1]及《著作權與人工智慧影響評估》（Copyright and AI Impact Assessment，下稱「影響評估」）[2]兩份官方文件。前揭文件係英國政府對人工智慧（Artificial Intelligence，下稱AI）使用著作權作品所進行之全面性政策評估，並對英國在AI著作權的修法路徑造成實質影響，使政府原先屬意的修法路徑被迫暫停推進。 壹、事件摘要 英國政府自2024年12月17日起展開「著作權與人工智慧」公開意見徵詢，徵詢期間至2025年2月25日止，共計收到11,520份回應。回應者涵蓋著作權人、創作者、AI模型開發者、學術研究機構、文化遺產機構及法律專業人士等，惟各自占比並未揭露。基於DUAA第135條及第136條之法定義務，英國政府須於法案通過後九個月內完成相關報告，遂於2026年3月18日同步公布「報告書」及「影響評估」。 報告書之主軸在於評估四大政策選項：選項0（維持現狀）、選項1（強化著作權保護）、選項2（廣泛資料探勘例外）、選項3（資料探勘例外附加選擇退出機制）。徵詢結果顯示，英國政府原傾向推動之「選項3」（附選擇退出之廣泛例外），在逾萬份回應中僅獲約3%之支持率，致使政府不得不重新審視其政策立場。 貳、重點說明 一、《資料使用與存取法》之立法脈絡 AI訓練資料可能涵蓋大量受著作權保護作品，如何權衡創作者權益與AI創新的效益，是目前各國所面臨的核心挑戰。此部分涉及各國著作權法規是否允許AI在未經授權的情況下利用著作權保護之作品，各國對此採取不同立場，相關法制爭議至今仍未有定論。英國係於《著作權、設計及專利法》（Copyright, Designs and Patents Act 1988，下稱CDPA）第29A條[3]設有文字及資料探勘（Text and Data Mining，下稱TDM）例外，意即資料使用者得於特定條件下，對其可合法取用之著作進行自動化分析而不構成侵權。惟其適用範圍僅限於「非商業研究目的」，使得AI業者在商業訓練場景中難以援引此一例外。 為解決前述挑戰，英國提出四種政策方向並徵詢公眾意見，其結果可見於「報告書」及「影響評估」。以下針對此四種政策選項進行說明。 二、四大政策選項之比較分析 （一）選項0：維持現狀 選項0係維持英國現行著作權法架構，AI業者原則上須就使用著作權作品取得授權，僅得於CDPA第29A條非商業研究之例外範圍內進行TDM。影響評估指出，現行制度對著作權人之保護在理論上尚稱完備，然受限於AI訓練資料來源缺乏透明度，著作權人實際上難以知悉其作品是否遭擅自使用，舉證更屬不易，致使授權機制形同虛設。此外，若境外AI業者以海外訓練之模型輸入英國市場，英國著作權人之權益亦難以獲得有效保障。 （二）選項1：強化著作權保護 選項1主張進一步強化著作權保護，要求所有AI訓練使用之材料均須取得授權，包括境外AI模型輸入英國市場時，亦須證明已依英國著作權法取得合法授權。就創意產業而言，此選項能更有力保障著作權人之財產權，並使其得從AI訓練中獲得合理報酬；然對AI業者而言，合規成本之提高將增加訓練門檻，可能壓抑英國本土AI產業之競爭力。影響評估亦指出，此選項下AI服務成本或轉嫁至終端用戶，影響政府及企業之AI採用率。選項1獲得了最高的支持度，有81%回應者贊同此一制度。 （三）選項2：廣泛TDM例外 選項2主張設立廣泛TDM例外，使AI業者無論商業或非商業目的均可對合法取得之資料進行探勘與訓練，無需逐一取得著作權人授權。此一制度係參考日本著作權法第30條之4。該條文指出，只要目的非在「享受著作物所呈現之思想或感情」原則上均可免授權使用，意即資料分析、資料蒐集與AI訓練等基於「情報解析」行為皆屬TDM例外範疇。 選項2雖有助於降低AI業者法遵成本並提升英國AI研發之國際競爭力，然創意產業普遍擔憂，廣泛例外將使生成式AI大量學習創作者作品，卻無需給付任何報酬，且可能產出直接競爭於原著作人之內容，嚴重侵蝕其市場利益。此選項僅有極少數回應者支持，如OpenAI、Anthropic等大型AI公司。 （四）選項3：TDM例外附加選擇退出機制 選項3原先為英國政府屬意推動的政策選項，亦與歐盟《數位單一市場著作權指令》（DSM Directive）第4條[4]之商業TDM例外架構相近，其核心設計係為原則上允許AI業者對合法取得之資料進行TDM，但著作權人得透過技術手段（如robots.txt）明確保留其權利（即選擇退出機制）。 然而，此選項在公開意見徵詢中僅獲約3%之支持率，其主要爭議在於：對創作者而言，選擇退出機制實質上將著作權保護之責任轉嫁至個人，中小型的創作者往往缺乏必要之技術能力或資源執行退出操作；並非所有爬蟲程式均遵從robots.txt協議；跨境訓練亦難有效管制。此外，在欠缺揭露義務的前提下，創作者仍無從知悉其作品是否遭侵權使用。 三、訓練資料透明度要求 報告書顯示，逾90%之意見回應者認為AI開發者應揭露訓練資料來源，惟各方對於揭露顆粒度（granularity）之要求存在明顯分歧：著作權人傾向主張細緻揭露至個別作品層次；AI業者則認為高層次概括揭露即已足夠。 就國際立法例而言，歐盟《AI法》（AI Act）第53條[5]第1項第4款已要求AI模型提供者製作並公開訓練內容摘要；美國加州亦已制定《生成式AI訓練資料透明度法》（Generative Artificial Intelligence: Training Data Transparency Act）。[6]英國雖無相關法定揭露義務，但在報告書中表示將持續監測其他國家透明度規範之實施效果，並與業界合作制定訓練資料揭露之最佳實務，以期為著作權人提供更有效之權利主張基礎。 參、事件評析 公眾諮詢的結果顯示，尋求著作權保護與AI創新發展的平衡點極具挑戰性。由於引起及大的社會反彈，英國政府被迫放棄「TDM例外附加選擇退出機制」之規劃，然而未來是否會徹底走向「強化著作權保護」仍未可知。然而，在本次諮詢中，有90%之回應者支持AI訓練資料透明度要求；歐盟AI法、美國加州生成式AI透明度法均課予AI業者一定程度的訓練資料揭露義務。從此觀之，縱使著作權人與AI業者之間存有諸多重大分歧，但透明度要求是目前雙方的共識基礎。 我國現行法制下AI訓練所遭遇到的爭議與英國類似，著作權人與AI業者的利益衝突如何化解亦為我國當前AI發展的課題。故英國經驗揭示，政策推行或法令修正宜建立多元利害關係人持續對話機制；此外，在法令、技術標準尚未成熟之情況下，業界最佳實務指引或可作為過渡性替代方案。 [1] GOV.UK, Report on Copyright and Artificial Intelligence (2026), https://assets.publishing.service.gov.uk/media/69ba692226909a14239612e4/CP2602959_-_Report_on_Copyright_and_Artificial_Intelligence_web.pdf (last visited. Apr. 9, 2026). [2] GOV.UK, Copyright and AI Impact Assessment (2026), https://assets.publishing.service.gov.uk/media/69ba68f7c06ba9576435abb0/CP2602959_-_AI_and_Copyright_Impact_Assessment_Web.pdf (last visited. Apr. 9, 2026). [3] Copyright, Designs and Patents Act 1988, legislative.gov.uk, https://www.legislation.gov.uk/ukpga/1988/48/section/29A (last visited Apr. 9, 2026). [4] Directive (EU) 2019/790, art. 4, 2019 O.J. (L 130) 92, 114. [5] Regulation 2024/1689, art. 53, 2024 O.J. (L 1689) 1, 84. [6] Bill Text - AB-2013 Generative artificial intelligence: training data transparency, California Legislative Information, https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240AB2013 (last visited Apr. 9, 2026).
日本簽署SBOM國際共通指引，強化軟體弱點管理，全面提升國家網路安全由美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, 簡稱CISA）自2024年以來，持續主導並規劃《SBOM網路安全之共同願景》（A Shared Vision of Software Bill of Materials(SBOM) for Cybersecurity）之指引訂定，作為保障網路安全之國際共通指引。於2025年9月3日，由日本內閣官房網路安全統括室為首，偕同經濟產業省共同代表日本簽署了該份指引，包含日本在內，尚有美國、德國、法國、義大利、荷蘭、加拿大、澳洲、紐西蘭、印度、新加坡、韓國、波蘭、捷克、斯洛伐克等共計15個國家的網路安全部門，皆同步完成簽署。以下為指引之重點內容： 1. 軟體物料清單的定位（Software Bill of Materials, 簡稱SBOM） SBOM於軟體建構上，包含元件內容資訊與供應鏈關係等相關資訊的正式紀錄。 2. 導入SBOM的優點 (1) 提升管理軟體弱點之效率。 (2) 協助供應鏈風險管理（提供選用安全的軟體，提升供應商與使用者之間溝通效率）。 (3) 協助改善軟體開發之進程。 (4) 提升管理授權軟體之效率。 3. SBOM對於利害關係人之影響 (1) 使軟體開發人員可選擇最符合需求的軟體元件，並針對弱點做出適當處置。 (2) 軟體資訊的透明化，可供採購人員依風險評估決定是否採購。 (3) 若發現軟體有新的弱點，使軟體營運商更易於特定軟體與掌握弱點、漏洞。 (4) 使政府部門於採購流程中，發現與因應影響國家安全的潛在風險。 4. SBOM適用原則與相關告知義務 確保軟體開發商、製造商供應鏈的資訊透明，適用符合安全性設計（Security by Design）之資安要求，以及須承擔SBOM相關告知義務。 近年來軟體物料清單（SBOM），已逐漸成為軟體開發人員與使用者，於管理軟體弱點上的最佳解決方案。然而，針對SBOM的作法與要求程度，各先進國家大不相同，因此透過國際共通指引的簽署，各國對於SBOM的要求與效益終於有了新的共識。指引內容不僅建議軟體開發商、製造商宜於設計階段採用安全設計，以確保所有類型的資通訊產品（特別是軟體）之使用安全，也鼓勵製造商為每項軟體產品建立SBOM並進行管理，包含軟體版本控制與資料更新，指引更強調SBOM必須整合組織現有的開發與管理工具（例如漏洞管理工具、資產管理工具等）以發揮價值。此份指引可作為我國未來之參考借鏡，訂定相關的軟體物料清單之適用標準，提升政府部門以及產業供應鏈之網路安全。
美國提出個人資料安全及外洩通報法草案華盛頓特區於今〈2010〉年8月5日由阿肯薩州及維及尼亞州參議院議員Pryor及John Rockefeller所倡議之「個人資料安全及外洩通報法」〈Data Security and Breach Notification Act of 2010〉，其旨趣，在於統一美國各州不同個資外洩通報法，並嘗試為消費者個人資料之安全及隱私設定全國性的標準。 Pryor法案曾於2007年提出，惟當時未能通過，其立法緣由係為處理美國各州、聯邦及國際間政府對個資安全與日俱增之重視。其規範內容，在要求處理及儲存消費者私人資訊，諸如「社會安全碼」〈social security numbers〉之企業，一旦發生資料外洩事件，需對國家提出通報，如該事件對消費者產生現實的「身分盜竊」〈identity theft〉或「帳戶詐欺」〈account fraud〉風險，則應於發現個資外洩六十日內通知受影響之消費者。 Pryor法案之適用對象甚廣，故有認為，該法一旦通過，其將成為繼美國金融服務法〈the Gramm-Leach-Bliley Act，簡稱GLBA〉後的模範法典，其適用對象包括受GLBA規範之金融機構及任何個人〈any individual〉、合夥〈partnership〉、公司〈corporation〉、信託〈trust〉、工地產產業〈estate〉、合作社〈cooperative〉、協會〈association〉、維持或傳送「敏感的會計資訊」或「敏感的個人資訊」之業主〈entity that maintains or communicates “sensitive account information” or “sensitive personal information”〉，但並不包括任何政府辦事處或其他聯邦、州政府單位、地方政府〈any agency or other unit of the federal,state, or local government〉或任何其下所再劃分之單位〈any subdivision thereof〉。 惟此一倡議中之資料安全立法不論法令遵循或執行皆有一定難度，因該法雖要求對超出「損害門檻」之資料外洩需對消費者通報，但對「損害門檻」並無明確定義。此外，受影響之企業似無實行適當風險評估之誘因，除需耗費大量成本評估外洩事件是否超過損害門檻外，尚需面臨企業名譽受損與客戶不滿之損失，在個資外洩要素風險指導原則付之闕如之情形下，企業恐無法客觀地評估自身個資外洩之風險。故有建議，解決之道，應明定損害門檻，並聘請外部專家或使用市場新工具，訂定客觀的指導原則，使企業在處理個資外洩問題時能減輕混亂及鼓勵評估結果的一致性並縮短風險評估的時間。 就資訊安全部分，此法案揭櫫於其通過一年內，美國商務、科學及交通委員會〈Committee on Commerce, Science, and Transportation〉應頒布規定，要求擁有或處理含有個人資料或契約之企業，必須建立並執行蒐集、使用、出售，及其他傳播、維持個人資訊之資訊安全政策，以達保護個人資料之目的。