歐洲網路與資訊安全機構(European Network and Information Security Agency,簡稱ENISA)為了支持網路安全商品和服務進行標準化,於今年七月九日和歐洲標準化委員會(European Committee for Standardization,簡稱CEN)與歐洲電工技術標準化委員會(European Committee for Electrotechnical Standardization,簡稱CENELEC)共同簽署合作協議,來強化網路安全標準化的各項措施。 本合作協議的目的,在於能夠更有效地了解與解決網路和資訊安全標準化的議題,特別是處理和ENISA有所關連的不同訊息和通信技術(ICT)部門。本次簽署的合作協議,可視為是近來ENISA制定新法規的額外延伸,其將給予ENISA針對支持網路資訊安全(NIS)標準的發展,有更多積極的角色。本合作協議涉及的範圍包含下列情況: ‧ENISA於識別技術委員會(identified technical committees)作為觀察人,CEN與CENELEC的工作小組與講習作為支持歐洲標準的準備 ‧CEN與CENELEC評估ENISA相關的研究成果,並且將其轉化成標準化活動 ‧ENISA參與或適當地擔當依據CEN-CENELEC內部規章所組成的相關技術委員會、工作小組與講習之主席 ‧散布和促進出版物、研究結果、會議或研討會之消息流通 ‧對於促進活動與因NIS標準相關工作之商業聯繫建立和研究網絡提供相互支持 ‧針對處理攸關NIS標準活動的科技和研究議題,舉辦各項局部工作小組、會議和研討會 ‧針對共同利益確定之議題作相關資訊交換 有鑑於ENISA逐漸強調NIS標準化的相關工作,標準化不僅能改善網路安全外,更能提高所有網路安全產品與服務當面對不同網路威脅時的防禦能力。是以,我國資安主管機關是否亦需協調所有資安部門,針對網路安全技術架構研擬或規劃出相關標準化的網路威脅防範模組,則是亟需思考的問題。
OECD發布「促進人工智慧風險管理互通性的通用指引」研究報告經濟合作發展組織(Organisation for Economic Co-operation and Development,下稱OECD)於2023年11月公布「促進AI風險管理互通性的通用指引」(Common Guideposts To Promote Interoperability In AI Risk Management)研究報告(下稱「報告」),為2023年2月「高階AI風險管理互通框架」(High-Level AI Risk Management Interoperability Framework,下稱「互通框架」)之延伸研究。 報告中主要說明「互通框架」的四個主要步驟,並與國際主要AI風險管理框架和標準的風險管理流程進行比較分析。首先,「互通框架」的四個步驟分別為: 1. 「定義」AI風險管理範圍、環境脈絡與標準; 2. 「評估」風險的可能性與危害程度; 3. 「處理」風險,以停止、減輕或預防傷害; 4.「治理」風險管理流程,包括透過持續的監督、審查、記錄、溝通與諮詢、各參與者的角色和責任分配、建立問責制等作法,打造組織內部的風險管理文化。 其次,本報告指出,目前國際主要AI風險管理框架大致上與OECD「互通框架」的四個主要步驟一致,然因涵蓋範圍有別,框架間難免存在差異,最大差異在於「治理」功能融入框架結構的設計、其細項功能、以及術語等方面,惟此些差異並不影響各框架與OECD「互通框架」的一致性。 未來OECD也將基於上述研究,建立AI風險管理的線上互動工具,用以協助各界比較各種AI風險管理框架,並瀏覽多種風險管理的落實方法、工具和實踐方式。OECD的努力或許能促進全球AI治理的一致性,進而減輕企業的合規負擔,其後續發展值得持續追蹤觀察。
歐盟議會發布《可信賴人工智慧倫理準則》2019年4月9日,歐盟議會發布《可信賴人工智慧倫理準則》(Ethics Guidelines for Trustworthy AI)。此次內容大致延續歐盟人工智慧高階專家小組(High-level Expert Group on Artificial Intelligence)於2018年12月18日發布的《可信賴人工智慧倫理準則草案》(Draft Ethics Guidelines for Trustworthy Artificial Intelligence)之內容,要求人工智慧須遵守行善(do good)、不作惡(do no harm)、保護人類(preserve human Agency)、公平(be fair)與公開透明(operate transparency)等倫理原則;並在4月9日發布的正式內容中更加具體描述可信賴的人工智慧的具體要件,共計七面向概述如下: 人類自主性和監控(Human agency and oversight):AI係為強化人類能力而存在,使人類使用者能夠做出更明智的決策並培養自身的基礎能力。同時,AI應有相關監控機制以確保AI系統不會侵害人類自主性或是引發其他負面效果。本準則建議,監控機制應可透過人機混合(一種整合人工智慧與人類協作的系統,例如human-in-the-loop, human-on-the-loop, and human-in-command)的操作方法來實現。 技術穩健性和安全性(Technical Robustness and safety):為防止損害擴張與確保損害最小化,AI系統除需具備準確性、可靠性和可重複性等技術特質,同時也需在出現問題前訂定完善的備援計劃。 隱私和資料治理(Privacy and data governance):除了確保充分尊重隱私和資料保護之外,還必須確保適當的資料治理機制,同時考慮到資料的品質和完整性,並確保合法近用資料為可行。 透明度(Transparency):資料、系統和AI的商業模型應該是透明的。可追溯性機制(Traceability mechanisms)有助於實現這一目標。此外,應以利害關係人能夠理解的方式解釋AI系統的邏輯及運作模式。人類參與者和使用者需要意識到他們正在與AI系統進行互動,並且必須了解AI系統的功能和限制。 保持多樣性、不歧視和公平(Diversity, non-discrimination and fairness):AI不公平的偏見可能會加劇對弱勢群體的偏見和歧視,導致邊緣化現象更為嚴重。為避免此種情況,AI系統應該設計為所有人皆可以近用,達成使用者多樣性的目標。 社會和環境福祉(Societal and environmental well-being):AI應該使包含我們的後代在內的所有人類受益。因此AI必須兼顧永續發展、環境友善,並能提供正向的社會影響。 問責制(Accountability):應建立機制以妥當處理AI所導致的結果的責任歸屬,演算法的可審計性(Auditability)為關鍵。此外,應確保補救措施為無障礙設計。
敏感科技保護「敏感科技」的普遍定義,係指若流出境外,將損害特定國家之安全或其整體經濟競爭優勢,具關鍵性或敏感性的高科技研發成果或資料,在部分法制政策與公眾論述中,亦被稱為關鍵技術或核心科技等。基此,保護敏感科技、避免相關資訊洩漏於國外的制度性目的,在於藉由維持關鍵技術帶來的科技優勢,保護持有該項科技之國家的國家安全與整體經濟競爭力。 各國立法例針對敏感科技建立的技術保護制度框架,多採分散型立法的模式,亦即,保護敏感科技不致外流的管制規範,分別存在於數個不同領域的法律或行政命令當中。這些法令基本上可區分成五個類型,分別為國家機密保護,貨物(技術)之出口管制、外國投資審查機制、政府資助研發成果保護措施、以及營業秘密保護法制,而我國法亦是採取這種立法架構。目前世界主要先進國家當中,有針對敏感科技保護議題設立專法者,則屬韓國的「防止產業技術外流及產業技術保護法」,由產業技術保護委員會作為主管機關,依法指定「國家核心科技」,但為避免管制措施造成自由市場經濟的過度限制,故該法規範指定應在必要的最小限度內為之。