日本提出未來車聯網社會之三大威脅及促進實現車聯網社會策略
日本總務省之實現車聯網社會研究會（Connected Car 社会の実現に向けた研究会，下稱車聯網研究會），於2017年8月4日公布研究成果。車聯網研究會指出未來車聯網將面對①遠距離操作、網絡攻擊之威脅；②資料（Data）真實性之威脅；③隱私權之保護等三大威脅。針對遠距離操作、網絡攻擊之威脅，在汽車端及網路端皆應提出防止威脅之策略；在確保資料真實性方面，需建立機制，以防止資料中途被篡改；未來在車輛雲端資料之應用，應以隱私權保護為前提，始促進車輛資料之利用及活用，以保護相關人之隱私權。
車聯網研究會在促進實現車聯網社會策略中，希望透過①聯網計畫（Connected Network プロジェクト）、②互聯資料計畫（Connected Data プロジェクト）、③互聯平台計畫（Connected Platform プロジェクト）等三個計畫，共同建立推廣實證平台，以確立及實證必要之技術，建立資料利用及活用之模式及環境，架構開放性合作模式，並確保隱私及安全性。進而建設高度可靠性之無線通信網路、透過創新產業和商業模式促進資料之利用、創新環境的發展，達到解決日本之社會問題、實踐便利與舒適之生活、國家競爭力之強化與確保等車聯網社會三大目標，最終落實安全、安心、舒適的車聯網社會。
本文為「經濟部產業技術司科技專案成果」
蕭仁豪
法律研究員 編譯整理
美國交通部公布車輛與基礎設施間聯網指引，強化車聯網時代行車安全
https://stli.iii.org.tw/article-detail.aspx?tp=1&i=72&d=7729&no=64
德國聯網車輛駕駛策略
https://stli.iii.org.tw/article-detail.aspx?tp=5&i=1&d=7748&no=57
歐盟執委會於2020年11月25日公布「歐洲資料治理規則」（Proposal for a Regulation on European data governance (Data Governance Act)）草案。本立法草案係延續同年2月發布「歐洲資料戰略」（European data strategy）所提出之立法規劃，針對該戰略所揭示的資料治理政策願景，於制度面予以明文化。而本草案亦為該戰略發布後，首次提出的具體性措施。其制定的主要目的，在於透過強化資料中介機構（data intermediaries）的公信力、以及優化歐盟整體的資料共享機制，來提升資料的可取得性（availability）。 依草案條文內容，其主要立法面向如下： （1）界定本法的立法目的，在於規範歐盟內部再利用公部門所持有之特定類型資料的條件，確立資料共享服務的通報與監督框架，並針對基於利他（altruistic）目的蒐集處理資料之實體（entities），建構自願註冊的制度；另一方面則進行本法的名詞定義。 （2）公部門資料再利用機制：整體性規範由公部門所持有、但涉及商業機密、智慧財產權、個資等之資料再利用的一致性標準。其以保護既有的營業秘密、個資、智財權等為前提，確立該些資料再利用的標準作法（如原則以非專屬形式再利用、可收取合理費用）。有意再利用上述資料的公部門，應於技術面保護其隱私與機密性。 （3）針對資料共享服務供應商的通報機制：要求提供資料共享服務的供應商，於正式對外提供其服務前，應先向各成員國的權責機關通報其業務，藉以增加外界對共享個資與非個資之資料機制的信賴度，同時降低資料共享的交易成本。同時，資料共享服務供應商於資料交換應保持中立，不能為其他目的使用資料；其共享服務應以開放及協作的方式進行，並優化自然人或法人查閱與控制其資料的環境，藉以強化個資自主權。 （4）資料利他主義（data altruism）的明文化：定義非營利、具普遍性共同目標之組織，得向歐盟註冊成為資料利他主義組織。透過此認證制度，增加組織公信力，以推動個人或公司出於公共利益，自願提供資料。同時，授權歐盟執委會可制定通用之歐洲資料利他主義同意書（European data altruism consent form），減少個別收集資料使用同意書之成本。 （5）成員國資料共享權責機關之職責：其應公正、透明、一致、及時履行其職責，監督與實施資料共享服務供應商與資料利他主義組織的通報與註冊機制。例如，其有權要求資料共享服務供應商提交必要訊息，以確保其作為是否符合本法要求。同時，權責機關成員不得為資料共享服務的供應商。 （6）歐洲資料創新委員會（European Data Innovation Board）：此為一專家小組之設置要求，負責協助成員國權責機關之作法，遵循資料治理法所訂標準。
歐盟提出設立歐洲技術研究院（European Institute of Technology, EIT）之規劃草案歐盟在最新一期的研發剛要計畫（ The Seventh Framework Proposal ）中，除了持續以計畫補助方式推動歐盟的研發能力外，最值得注意者乃有關設立「歐洲技術研究院」（ European Institute of Technology, EIT ）的規劃。最近歐盟執委會已經提出 EIT 設立的法源基礎草案，根據目前規劃， EIT 旨在吸引產學研各界菁英加入，肩負打破產學研界間之藩籬之使命，未來 EIT 除為產學研合作之參考模式外，並將扮演歐洲地區創新、研究與高等教育之菁英領航者（ a flagship for excellence ），期使歐盟得更有效率地面對全球化及知識經濟社會所帶來之挑戰。 就組織面而言， EIT 係整合由上而下及由下而上兩種組織結構： EIT 本身具有獨立之法人格，其內部除設置管理局（ Governing Board , GB ）監督組織運作外，並有約六十位常設之科學及職員人力；另 EIT 將由數個知識及創新社群（ Knowledge and Innovation Communities, KICs ）組成，各 KICs 代表不同區域之大學、研究組織與企業，各 KISs 與 EIT 以契約規範彼此間的權利義務關係；至於各個 KICs 的組織結構，以及其如何達到契約目的，則交由其自治。目前歐盟執委會規劃在 2013 年以前建構約六個 KICs ，預計在此以前， EIT 需要來自公私部門總計約 24 億歐元（ €2.4bn ）的經費資助。 由於 EIT 的設立尚須經過歐洲議會及歐盟理事會同意，若執委會目前所提出的設立規劃草案順利取得前述兩機構同意，預計 EIT 將可能從 2008 年起正式運作，並在 2010 年以前完成兩個 KICs 的設立。
英國政府擬限制18歲以下孩童於社群軟體按讚功能英國資訊委員辦公室（Information Commissioner’s Office, ICO）於今（2019）年4月15日發布「合適年齡設計：網路服務行為準則」（Age appropriate design: a code of practice for online services）諮詢報告，針對18歲以下孩童使用網路服務所涉及個人資料之相關議題提出遵循標準，要求網路服務提供商應受遵循以保障孩童隱私資訊。 本次諮詢報告主要針對網路服務如何適當確保孩童個人資料，同時符合歐盟《一般資料保護規則》（General Data Protection Regulation, GDPR）以及《隱私及電子通訊規則》（Privacy and Electronic Communications Regulations, PECR），若網路服務提供商未依循該行為準則，將很難證明符合GDPR、PECR規定，ICO亦採取監管措施（regulatory action），包含警告、譴責、執行通知、罰款等。於諮詢報告中，臚列涉及個人資料事項，包括資料共享、地理定位（geolocation）、家長監控（parental controls）、輕推技術（nudge techniques）、默認裝置（default settings）、側寫（profiling）等多達16項遵循標準，其中輕推技術引發抑制網路科技發展、過度監管爭議。 所謂「輕推技術」是指專為引導用戶或鼓勵用戶決策時可以點選之程式以表示用戶想法，簡而言之Facebook、Instagram按「讚」功能、社群軟體Snapchat「Streaks」互動功能，或是新聞網頁常見「是」或「不是」選擇性問題視窗等即是輕推技術應用。由於輕推技術之設計會蒐集用戶瀏覽網頁習慣，甚至透露其個人性格、生活狀態給廣告商或社群媒體等。 諮詢報告指出，依據GDPR前言第38點規定，因孩童對於其個人資料處理之可能風險、結果及相關保護措施及其權利認知較低，同時依GDPR第5條規定個人資料之蒐集處理與利用，對資料主體者應為合法、公正及透明（lawfulness, fairness and transparency）。但輕推技術的運用將會促使資料主體者更容易地提供其個人資料，同時，尤其會誘導兒童去選擇隱私保護較低的選項設定或花費更多時間在這些服務上，而此一技術之運用正是利用資料主體者之心理偏差(psychological bias)，而違反了公平與透明原則。因此諮詢報告書要求網路服務提供商應主動限制孩童使用輕推功能。ICO於諮詢文件更詳細依0-5歲、6-9歲、10-12歲、13-15歲、16-17歲不同年齡層限制輕推技術應用之程度，或在何種情況須有家長陪同，以保障孩童隱私。 此項標準引來正反兩派意見，主張自由市場（free market）人士批評，認為有過度監管之嫌並阻礙科技發展，輕推技術本身不是問題，而是在於蒐集個人資料後要做那些運用，同時要如何執行限制技術之應用亦將是問題所在。而贊成者認為廠商如提供網路服務給所有年齡層時，應有特別措施以保護不同年齡層之人，因此對於孩童與成人間之監管程度應有區別。該諮詢報告於今（2019）年5月31日截止公眾諮詢階段，並預計2020年初施行該行為準則。
英國發布《AI保證介紹》指引，藉由落實AI保證以降低AI系統使用風險英國發布《AI保證介紹》指引，藉由落實AI保證以降低AI系統使用風險 資訊工業策進會科技法律研究所 2024年03月11日 人工智慧（AI）被稱作是第四次工業革命的核心，對於人們的生活形式和產業發展影響甚鉅。各國近年將AI列為重點發展的項目，陸續推動相關發展政策與規範，如歐盟《人工智慧法》（Artificial Intelligence Act, AI Act）、美國拜登總統簽署的第14110號行政命令「安全可靠且值得信賴的人工智慧開發暨使用」（Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence）、英國「支持創新的人工智慧監管政策白皮書」（A Pro-innovation Approach to AI Regulation）（下稱AI政策白皮書）等，各國期望發展新興技術的同時，亦能確保AI使用的安全性與公平性。 壹、事件摘要 英國科學、創新與技術部（Department for Science, Innovation and Technology，DSIT）於2024年2月12日發布《AI保證介紹》（Introduction to AI assurance）指引（下稱AI保證指引），AI保證係用於評測AI系統風險與可信度的措施，於該指引說明實施AI保證之範圍、原則與步驟，目的係為讓主管機關藉由落實AI保證，以降低AI系統使用之風險，並期望提高公眾對AI的信任。 AI保證指引係基於英國政府2023年3月發布之AI政策白皮書提出的五項跨部會AI原則所制定，五項原則分別為：安全、資安與穩健性（Safety, Security and Robustness）、適當的透明性與可解釋性（Appropriate Transparency and Explainability）、公平性（Fairness）、問責與治理（Accountability and Governance）以及可挑戰性 與補救措施（Contestability and Redress）。 貳、重點說明 AI保證指引內容包含：AI保證之適用範圍、AI保證的三大原則、執行AI保證的六項措施、評測標準以及建構AI保證的五個步驟，以下將重點介紹上開所列之規範內容： 一、AI保證之適用範圍： （一）、訓練資料（Training data）：係指研發階段用於訓練AI的資料。 （二）、AI模型（AI models）：係指模型會透過輸入的資料來學習某些指令與功能，以幫助建構模模型分析、解釋、預測或制定決策的能力，例如GPT-4。，如GPT-4。 （三）、AI系統（AI systems）：係利用AI模型幫助、解決問題的產品、工具、應用程式或設備的系統，可包含單一模型或多個模型於一個系統中。例如ChatGPT為一個AI系統，其使用的AI模型為GPT-4。 （四）、廣泛的AI使用（Broader operational context）：係指AI系統於更為廣泛的領域或主管機關中部署、使用的情形。 二、AI保證的三大原則：鑒於AI系統的複雜性，須建立AI保證措施的原則與方法，以使其有效執行。 （一）、衡量（Measure）：收集AI系統運行的相關統計資料，包含AI系統於不同環境中的性能、功能及潛在風險影響的資訊；以及存取與AI系統設計、管理的相關文件，以確保AI保證的有效執行。 （二）、評測（Evaluate）：根據監管指引或國際標準，評測AI系統的風險與影響，找出AI系統的問題與漏洞。 （三）、溝通（Communicate）：建立溝通機制，以確保主管機關間之交流，包含調查報告、AI系統的相關資料，以及與公眾的意見徵集，並將上開資訊作為主管機關監理決策之參考依據。 三、AI保證的六項措施：主管機關可依循以下措施評測、衡量AI系統的性能與安全性，以及其是否符合法律規範。 （一）、風險評估（Risk assessment）：評測AI系統於研發與部署時的風險，包含偏見、資料保護和隱私風險、使用AI技術的風險，以及是否影響主管機關聲譽等問題。 （二）、演算法－影響評估（Algorithmic－impact assessment）：用於預測AI系統、產品對於環境、人權、資料保護或其他結果更廣泛的影響。 （三）、偏差審計（Bias audit）：用於評估演算法系統的輸入和輸出，以評估輸入的資料、決策系統、指令或產出結果是否具有不公平偏差。 （四）、合規性審計（Compliance audit）：用於審查政策、法律及相關規定之遵循情形。 （五）、合規性評估（Conformity assessment）：用於評估AI系統或產品上市前的性能、安全性與風險。 （六）、型式驗證（Formal verification）：係指使用數學方法驗證AI系統是否滿足技術標準。 四、評測標準：以國際標準為基礎，建立、制定AI保證的共識與評測標準，評測標準應包含以下事項： （一）、基本原則與術語（Foundational and terminological）：提供共享的詞彙、術語、描述與定義，以建立各界對AI之共識。 （二）、介面與架構（Interface and architecture）：定義系統之通用協調標準、格式，如互通性、基礎架構、資料管理之標準等。 （三）、衡量與測試方式（Measurement and test methods）：提供評測AI系統的方法與標準，如資安標準、安全性。 （四）、流程、管理與治理（Process, management, and governance）：制定明確之流程、規章與管理辦法等。 （五）、產品及性能要求（Product and performance requirements）：設定具體的技術標準，確保AI產品與服務係符合規範，並透過設立安全與性能標準，以達到保護消費者與使用者之目標。 五、建構AI保證的步驟（Steps to build AI assurance） （一）、考量現有的法律規範（Consider existing regulations）：英國目前雖尚未針對AI制定的法律，但於AI研發、部署時仍會涉及相關法律，如英國《2018年資料保護法》（Data Protection Act 2018）等，故執行AI保證時應遵循、考量現有之法律規範。 （二）、提升主管機關的知識技能（Upskill within your organisation）：主管機關應積極了解AI系統的相關知識，並預測該機關未來業務的需求。 （三）、檢視內部風險管理問題（Review internal governance and risk management）：須適時的檢視主管機關內部的管理制度，機關於執行AI保證應以內部管理制度為基礎。 （四）、尋求新的監管指引（Look out for new regulatory guidance）：未來主管機關將制定具體的行業指引，並規範各領域實踐AI的原則與監管措施。 （五）、考量並參與AI標準化（Consider involvement in AI standardisation）：私人企業或主管機關應一同參與AI標準化的制定與協議，尤其中小企業，可與國際標準機構合作，並參訪AI標準中心（AI Standards Hubs），以取得、實施AI標準化的相關資訊與支援。 參、事件評析 AI保證指引係基於英國於2023年發布AI政策白皮書的五項跨部會原則所制定，冀望於主管機關落實AI保證，以降低AI系統使用之風險。AI保證係透過蒐集AI系統運行的相關資料，並根據國際標準與監管指引所制定之標準，以評測AI系統的安全性與其使用之相關影響風險。 隨著AI的快速進步及應用範疇持續擴大，於各領域皆日益重要，未來各國的不同領域之主管機關亦會持續制定、推出負責領域之AI相關政策框架與指引，引導各領域AI的開發、使用與佈署者能安全的使用AI。此外，應持續關注國際間推出的政策、指引或指引等，研析國際組織與各國的標準規範，借鏡國際間之推動作法，逐步建立我國的AI相關制度與規範，帶動我國智慧科技產業的穩定發展外，同時孕育AI新興產應用的發展並打造可信賴、安全的AI使用環境。