從歐洲對於侵害第二醫療用途專利之見解評析相關產業之潛在風險
資訊工業策進會科技法律研究所
法律研究員 方玟蓁
2018年6月19日
壹、背景介紹
新藥開發雖具龐大商機,惟需負擔高成本及高失敗風險,因此出現了「老藥新用」策略,產生出第二醫藥用途藥物。知名個案如威爾剛從治療心血管疾病轉而被廣泛用於治療男性性功能障礙;阿斯匹靈從原本的消炎止痛藥至目前被作為預防冠狀動脈硬化之預防藥。由於許多第二醫藥用途藥物在市場上獲得顯著的成功效益,驅使了許多藥廠投入第二醫藥用途藥物之研發。
然而,我國與多數國家皆有明訂不予專利事由包含人類或動物之治療方法,因此有關醫藥用途之發明專利大多採取瑞士型請求項撰寫型式。瑞士型請求項係於1984年由瑞士聯邦智慧財產局(Swiss Federal Intellectual Property Office)在Bayer案[1]中所提出相對於德國型請求項之見解;瑞士型請求項係指一種「物質或組成物X於製備治療疾病Y之藥物的用途」,德國型請求項則為一種「物質或組成物X於治療Y之用途」;惟因德國型請求項在多數歐洲國家仍被認為屬於治療方法,職是,在2007年以前,瑞士型請求項之撰寫型式廣泛地被歐洲專利審查實務上所採用。我國亦參照歐洲專利審查實務,於2013年版的專利審查基準中認定瑞士型請求項之申請標的係指一種製備藥物方法,非屬人類或動物之治療方法。例如為避免請求項「一種治療疾病Y的方法,其係使用化合物A」或「化合物A用於治療疾病Y的用途」落入法定不予專利範疇,得以瑞士型請求項改寫成「化合物A用於製備治療疾病Y之藥物的用途」,則非屬於法定不予專利之標的;簡言之,為符合專利適格性,我國規範醫療用途發明需使用瑞士型請求項撰寫型式。
2007年12月13日,歐洲專利局施行新制歐洲專利公約(EPC 2000)[2],明訂第二或後續(second or further)醫藥用途發明可用已知物質或組合物作為專利申請標的;換言之,第二醫藥用途發明之物質或組合物,得以「限定用途之藥物」來申請專利;同前例則可改寫為「用於治療疾病Y的化合物A」。爾後於2010年2月19日,歐洲專利局(EPO)擴大上訴委員會(Enlarged Board of Appeal,簡稱EBA)就涉及老藥新用途的專利案件-G2/08案[3],提出有關歐洲專利公約(European Patent. Convention,簡稱EPC)第54條第(5)項保護範圍之解釋;G2/08案件的審理受到各國專利局與醫藥界的密切關注,EBA就G2/08案提出:未來藥物用途的瑞士型請求項將不再適用。職此,歐洲專利組織會員國對於第二或後續醫藥用途申請專利範圍之撰寫方式,始從「用途」為標的之瑞士型請求項或德國型請求項,演變至以「物」為標的之用途限定請求項。
過去使用瑞士型請求項主張直接侵害第二醫藥用途專利時,前提須有製造藥物行為;改為用途限定藥物請求項後,是否影響歐洲各國法院有關直接侵害第二醫藥用途專利之判定,成為歐洲各國持續關注議題。雖然目前歐洲各國見解尚未統一,惟近期德國、荷蘭之實務見解,已有加重學名藥廠侵權風險之趨勢,恐將影響未來我國專利審查實務之標的認定,倘若我國學名藥廠欲拓展歐洲市場,亦須留意歐洲各國之實務見解風向。
貳、德國實務見解
德國針對直接侵害第二醫療用途專利之認定已有確立之判例法,德國杜塞爾多夫高級地方法院在最近的判決[4]中更明確定義了直接侵害第二醫療用途專利之要件。
德國過去判例法針對是否侵害第二醫療用途專利係採「清單準備」概念,專利權人須證明疑似侵權人有明確安排或準備行為,且該準備行為之目的係為實現應用藥物於專利保護用途。「清單準備」行為除常見於藥物仿單指示說明內容,其他較顯著情形包括疑似侵權人已提供符合專利治療目的之藥物配製、劑量、或供使用者之即用製劑;惟若僅僅是在廣告傳單中出現一般性描述,或於銷售人員解說時提及可用於專利治療目的,則因無法確定使用者將據此應用在專利保護用途,因此過去德國實務認為營銷傳單及人員宣講不構成明確準備行為[5]。
然而,實際上藥物仿單指示說明書常常未載明有關第二或後續醫藥用途,通稱分割(crave-out)或縮減(skinny)仿單;甚至還能透過營銷傳單、廣告宣講、產品特性概述(Summary of Product Characteristics,簡稱SmPC)[6]、或產品包裝…等外部補充資訊,進而提高藥物被應用於專利治療目的之可能性。鑑此,即使專利治療目的已從藥物仿單指示說明中抽離,惟因外部資訊補充,衍生出交叉(cross)仿單現象,使得疑似侵權人得輕易繞過專利治療目的,增加專利權人舉證之難度。
2017年5月德國杜塞爾多夫高級地方法院(Düsseldorf higher regional court)已特別針對交叉仿單情形,提出可認定直接侵權的要件[7]:
(1)藥物在客觀上適用於專利治療用途;
(2)供應商利用外部環境之客觀優勢,係以某種「其他方式」,且該「其他方式」與「清單準備」有近似效果,得確保所提供藥物將被用於專利治療目的。
德國杜塞爾多夫高級地方法院之見解似乎擴大了德國先前判例法之「清單準備」認定範圍,連同供應商利用外部環境之客觀優勢行為也一併納入考量。假若外部環境之客觀優勢包含選定保險給付藥物、藥師以低成本藥物進行替代配藥…等情形,未來恐將提高學名藥廠侵害第二醫療用途專利之風險。
參、荷蘭實務見解
荷蘭法院同樣面臨交叉仿單之侵權認定問題。2017年4月,荷蘭最高法院於Sun/Novartis案[8]中確立了直接侵害第二醫療用途專利之評估要件:
(1)不論係瑞士型請求項或限定用途藥物請求項之第二醫療用途專利,客觀上可預期或者應該可預見學名藥將有被使用在專利治療目的之意圖;
(2)相關領域技術者得根據外部環境資訊,因而相信該學名藥可用於或適合用於專利治療目的;
(3)若符合以上情形,那麼學名藥廠須採取合理預防措施,防止學名藥被用於專利治療目的。若僅在SmPC或產品訊息手冊(Product Information Leaflet,簡稱PIL)中抽離專利治療目的資訊,則該預防措施仍有不足。
對照德國法院的見解,荷蘭最高法院認為只要專利權人證明在客觀上可預見學名藥被用於專利治療目的,且相關領域技術人員得經由外部補充資訊取得學名藥可用於專利治療目的之認知,則學名藥廠應採取合理預防措施。荷蘭最高法院也特別強調,若只對醫藥相關法規所列表單作有關專利治療目的之資訊排除,仍然不足以達到合理預防措施之要求。言下之意,未來學名藥廠對於營銷傳單、媒體廣告、人員宣講…等內容亦應避免揭露有關專利治療目的資訊,或可增加警語標示,聲明藥物僅作為不侵害他人專利權使用。
肆、法國實務見解
法國有關直接侵害第二醫療用途專利之認定,除須證明疑似侵權之學名藥物是在法國製造、進口、或出售,尚須證明相關製造商或供應商有提供使用者將藥物用於專利治療目的之意圖[9],近似於原先德國判例法之「清單準備」概念。因此,關於交叉仿單侵權情形,專利權人在舉證上仍有困難。
伍、總結
歐洲發明專利雖在申請及審查程序上已有歐洲專利局作為統一窗口,惟當專利權發生侵害時,專利權人仍須向歐盟各國法院尋求救濟。為提升訴訟便利性及避免裁判分歧,歐盟規劃整合專利訴訟制度,設立歐洲統合專利法院(The Unified Patent Court,簡稱UPC)。目前已簽屬之歐盟統合專利法院協定(Agreement on a Unified Patent Court)第25條[10]係定義直接侵權行為:
(1)製造、提供、於市場販售或使用受專利保護之產品;或為前些目的而進口或儲存受專利保護之產品;
(2)使用受專利保護之製程或方法;或者第三方知悉或應該知悉該製程或方法若未經專利權人同意時應被禁止使用,卻提供該製程或方法於該專利權有效締約成員國領土內;
(3)作為提供、市場販售、使用、進口或儲存的產品,係直接使用受專利保護之製程或方法所製造。
雖UPC協定目前尚未對於直接侵害第二醫療用途專利態樣作統一規範,惟承本文前述,近年德國法院判決中有關直接侵害第二醫療用途之認定包含供應商利用外部環境之客觀優勢;荷蘭最高法院則認為學名藥廠須採取合理的預防措施,作法不限於將專利治療目的資訊自SmPC或PIL中排除;法國法院目前作法雖仍類似於原先德國判例法之「清單準備」概念,然而依照歐盟簽署UPC協定之意旨,未來恐導向增加相關學名藥之責任風險。有鑑於此,對於有意前往歐洲市場發展之我國學名藥廠需特別留意,避免於公開醫藥資訊或廣宣媒體中提到非屬專利權人授權之第二醫療用途專利訊息。
我國目前仍視瑞士型請求項型式為一種製備藥物方法,唯有當製造商製造藥物且該藥物仿單指示說明書中提及可用於專利治療目的,才有可能構成直接侵害第二醫藥用途專利。惟因我國於2018年1月31日發佈藥事法修正條文,導入專利連結制度,未來新藥藥品許可證所有人若向中央衛生主管機關提報醫藥用途專利,則學名藥藥品許可證申請人,應於申請藥品許可證時,就新藥藥品許可證所有人已核准新藥所登載之醫藥用途專利權,向中央衛生主管機關提出未侵害專利權、專利應撤銷、或專利已消滅之聲明。因此,我國學名藥廠在實際進入我國市場前,尚需留意提出申請查驗之學名藥是否涉及第二醫療用途專利,或可利用分割或縮減仿單方式以降低對第二醫療用途專利之侵權風險。
[1] Hydropyridine X ZB 4/83(BGH)(1984) 2 IIC 215.
[2] EPC 2000 article 54(5) Paragraphs 2 and 3 shall also not exclude the patentability of any substance or composition referred to in paragraph 4 for any specific use in a method referred to in Article 53(c), provided that such use is not comprised in the state of the art.
[3] G0002/08 (Dosage regime/ABBOTT RESPIRATORY) of 19.2.2010, https://www.epo.org/law-practice/case-law-appeals/recent/g080002ex1.html (last visited June 19, 2018).
[4] Oberlandesgericht Düsseldorf, I-2 W 6/17. https://www.justiz.nrw.de/nrwe/olgs/duesseldorf/j2017/I_2_W_6_17_Beschluss_20170505.html(last visited June 19, 2018).
[5] Paul England, Infringement of second medical use patents in Europe and the Unified Patent Court Paul England
**Email: p.england@taylorwessing.com .
Search for other works by this author on:
Oxford Academic
Google Scholar
Journal of Intellectual Property Law & Practice, Volume 11, Issue 6, 426-434, June 1 2016. https://academic.oup.com/jiplp/article-abstract/11/6/426/2378971?redirectedFrom=fulltext (last visited June 19, 2018).
[6] 「產品特性摘要文件,主要係依據歐盟2001/83/EC號指令第8(3)(j)條與歐盟第726/2004號法規第6(1)條之要求而提供。前述法規要求醫藥公司在提出藥物上市許可之申請時,必須遵循歐盟2001/83/EC號指令第11條之規定,附加產品特性摘要於申請文件,以供主管機關作為申請核駁之依據」。摘自葉于豪,<歐洲藥物管理局(European Medicines Agency,簡稱EMA)發佈針對準備與審查產品特性摘要(summaries of product characteristics,簡稱SmPCs的指導方針>,2013年3月4日,https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=40&d=6012 (最後瀏覽日:2018年6月19日)
[7] 同註解4。
[8]ECLI:NL:RBDHA:2017:3430.https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBDHA:2017:3430 (last visited June 19, 2018).
[9]同註解4。
[10] Agreement on a Unified Patent Court, Article 25. https://www.unified-patent-court.org/sites/default/files/upc-agreement.pdf (last visited June 19, 2018).
美國合夥團體近期發展報告—由近10年有限合夥等團體資產與數量走勢談起 科技法律研究所 法律研究員 劉得正 101年4月26日 壹、前言 根據美國最新 (2011) 公布「國內稅收收入統計報告書」 (Internal Revenue Service Statistics of Income Bulletin Fall 2011 Washington, D.C. )[1]顯示,2000年至2009年間,美國有限合夥(Limited Partnership,LP)等合夥團體在數量與資產分佈上,有重大改變,簡要分析說明如下。 貳、美國有限合夥發展現況 一、各類合夥團體[2]總體數量呈現穩定成長 查美國國稅局最新 (2011) 發表之統計資料發現,至目前為止合夥團體仍就受到投資者的青睞。至2009年為止,以合夥身分報稅之企業,共計[3]3,168,728家,合夥人總數達21,141,979人,其申報擁有之總資產 (assets) 則達到約18.8兆美元。相對於2008年[4],合夥團體數量成長約2萬餘家,成長幅度0.7%;合夥人總數增加184萬餘人,成長幅度9.5%。值得注意的是,這是在2008年次級房貸風暴發生後,第二年成長幅度在1%左右,在2000年至2007年間,合夥數量成長幅度在3.6%-8.5%間。 數據顯示資產在1億美元以上的合夥團體,共有1萬8千餘家,占合夥團體申報資產72.3%,表示在美國合夥團體絕非僅受中小企業的偏愛。另外,若從行業別來看[5],金融保險業之合夥團體申報資產占全體54.4%,位居第一;其次為不動產相關業,占全體之23.7%。 二、有限合夥數量持平而獲利維持優勢 在所有以合夥身分報稅之團體中,有限合夥LP此種合夥形式,仍表現十分亮眼。在盈利 (Profits) 表現上,有限合夥2009年盈利金額[6]約達1393億美元,占全部合夥團體盈利34%。事實上自2000年起,有限合夥LP盈利金額占合夥團體總獲利比例,始終維持在31%-39%間。 至於在數量上,有限合夥LP則表現持平。2000年至2005年間,有限合夥數量以和緩幅度上升,2006年起則略微下降;以2008年至2009年間為計[7],有限合夥LP數量別為411,698家與396,611家,占總數12.5%。 三、有限責任公司(Limited Liability Company, LLC)數量大幅成長 相對於有限合夥LP在盈利上的表現,有限責任公司LLC則在數量上有驚人表現。2009年間有限責任公司LLC數量達到1,969,446家,占合夥團體總數62.2%[8]。與2008年相比,成長幅度達到3.8%[9],遠高於合夥團體總成長幅度0.7%。事實上自1995年起,有限責任公司LLC的數量每年皆有大幅度成長。2009年與1995年相比,有限責任公司LLC數量成長達15倍以上。且自2002年起,有限責任公司LLC數量便占合夥團體總數量50%以上[10]。 至於在盈利 (Profits) 方面,有限責任公司2009年則達到約889億美元。相較於有限責任公司LLC在數量上占總數62.2%,獲利量則僅占所有合夥團體21.6%[11],主要原因為其損失比例過高所致[12]。惟值得注意的是,在2008年發生次級房貸風暴前,有限責任公司LLC盈利占全體合夥團體比例亦約在3成左右,與有限合夥相近。但在2008年有限責任公司盈利則下降為11%左右[13]。 四、普通合夥( General Partnership, GP)數量快速萎縮 另一項常見的合夥團體,為全體合夥人負無限責任之普通合夥GP。觀察本次統計發現,在2009年間,普通合夥GP數量為624,086家,相較於2008年669,601家,下降6.8%。且與1995年1,167,036家相比,更下降53.5%。顯見普通合夥GP在數量上呈現快速萎縮之趨勢,而逐漸不受到美國投資者的青睞[14]。至於在盈利表現上,除2009年約為621億美元外,2000年至2009年間皆在700-900億美元間起伏。 參、趨勢分析 針對上述針對美國近期合夥團體發展之歸納,本文提出下列看法: 一、稅制改變造成有限責任公司LLC數量成長 依據美國稅法規定,一般公司(Corporation)與合夥團體最大的差異在於,一般公司(Corporation)具備課稅主體地位,而公司在課稅後 尚須就股東個人所得再次課稅,形成雙重課稅(Double Taxation)。反之,合夥團體採單層課稅(Pass Through Taxation)方式[15],多半情況下納稅價額較低。因此,有限合夥LP等相關合夥組織過去十分受到投資人喜愛。 相較下,有限責任公司(LLC)之定位究竟屬於一般公司法人(C corporation)或是合夥,在發展初期並不明確,而未受到投資者廣泛運用。但此情況在1996年改採「勾選原則」(Check The Box Rule)後有了改變。在勾選原則下,除權益得公開交易之企業必須以一般公司法人(C corporation)方式課稅外,容許非公司型組織(unincorporated entities)可以自由選擇稅制[16]。此稅制上的改變,使得有限責任公司LLC得排除雙重課稅的不利,而享有合夥團體單層課稅之優惠。本文推測,1996年起有限責任公司 LLC 在數量上大幅度的成長,應係與此有關。 二、有限合夥LP在金融投資相關行業的運用未受影響 從數據上看來,相較於有限責任公司LLC數量的大幅提升,有限合夥LP則未出現明顯的排擠效益。有限合夥LP數量持續維持在40萬家左右。且如前述所提,有限合夥LP擁有相當高的獲利能力 ( 高達1393億美元 ) ,而深入觀察可發現,當中包括創業投資等「其他金融投資活動」 (Other financial investment activities)[17]獲利高達716億美元[18]。顯見 有限合夥LP在金融投資相關產業仍具有關鍵重要性。 從本次美國所提出的稅收統計報告可以發現,毋論是有限合夥LP抑或是有限責任公司LLC之組織形態,在未來都將具有相當重要性。面對如此之發展,我國實應思考立法開放此等新型態商業組織之可能。因唯有商業組織多元化的發展,才有機會使更多投資者找到符合其個人需求之投資模式,將資金投入市場,進而促進資金的流通與經濟的發展。在面對全球化的今日,各國間無不為吸引資金進入,爭相採取不同開放手段的此刻,謹慎而適度地開放商業組織政策,將能為國家競爭力帶來深遠的助益。 [1]Nina Shumofsky & Lauren Lee, Partnership Returns, 2009 , Internal Revenue Service Statistics of Income Bulletin Fall 2011 Washington, D.C. 68 (2011). [2]此處合夥團體是指依據美國國內稅法 (Internal Revenue Code, IRC) Subchapter K納稅之企業。依據IRC規定,商業團體報稅時,需依據其組織性質不同,分別按Subchapter C、Subchapter S、Subchapter K進行報稅。原則上一般公司 (Corporation) 應依據Subchapter C申報;符合Subchapter S條件之公司 (Corporation) 則可依Subchapter S申報,亦即俗稱之S公司;至於其他非公司 (Corporation) 之企業,則可依據「勾選原則」(Check The Box Rule)選擇依Subchapter C 或 Subchapter K進行報稅,包括有限合夥、普通合夥、有限責任公司、有限責任合夥、有限責任有限合夥。其中有限責任合夥是指在普通合夥基礎下,使普通合夥人無需為其他合夥人不當或過失行為負責之組織;如是在有限合夥基礎下,賦予普通合夥人此有限責任範圍,則為有限責任有限合夥。 See Internal Revenue Code, 26 U.S.C. §§ 1-9834. (2012) [3]Nina Shumofsky & Lauren Lee ,supra note 1, at 84. [4]id., at 70. [5]id., at 72. [6]惟其金額卻由2008年約1782億美元,下降為1393億美元,Id., at 156-7. [7]Id., at 156-7. [8]Id., at 73. [9]Id., at 68. [10]Id., at 73. [11]Id., at 75. [12]Id., at 151. [13]Id., See Figure I, at 75. [14]至於以普通合夥為基礎所衍生的有限責任合夥,在數量上至2009年間僅達到117,660家,並未因普通合夥下降而大幅提升。See id ., at 157. [15]參見羅怡德,〈美國「有限合夥」之介紹與討論〉,《社經法制論叢》,第6期,頁193以下(1990)。 [16]Robert W. Hamilton著,齊東祥譯,《美國公司法(The Law of Corporations)》,法律出版社,第5版,頁26-27 (2007)。 [17]依據北美行業分類系統 (The North American Industry Classification System, NAICS) 定義,「其他金融投資活動」 (Other financial investment activities) 係指:1.除銀行、證券商、商業契約經銷商外,其他買賣金融契約之主體;2.除證券商、商業契約經紀人外,其他買賣金融契約之代理人或經理人;3.除證券商或商業契約經銷商外,提供其他投資服務,包括投資組合管理、投資諮詢、信託、保管服務等。available at http://www.census.gov/cgi-bin/sssd/naics/naicsrch?code=5239&search=2007%20NAICS%20Search (last visited 04/18,2012) [18]supra note 1, at 156.
YouTube網站被控侵害著作權美國新聞記者兼直昇機飛行員 羅伯特爾( Robert Tur )於 7 月 14 日 控告近來迅速竄紅的影片分享網站 YouTube 侵害著作權,特爾指稱 YouTube 網站鼓勵用戶拷貝受到保護的影片資料,此舉違反了 2005 年一項美國最高法院的判決( MGM v. Grokster ) ,該判決認為 P2P 軟體業者若蓄意鼓勵或誘使客戶從事線上盜版行為,即可能構成著作權侵害。 羅伯特爾聲稱,他所拍攝的 1992 年洛杉磯暴動事件以及 1994 年高速公路上追捕辛普森的直昇機空拍報導影片,未經他的同意就被上傳並在 YouTube 網站上廣為流傳。 特爾亦聲稱, YouTube 網站從他的作品中獲利,同時也侵害了他的著作權,因此提出了 15 萬美元賠償要求並要求網站不得再使用他的影片資料。 YouTube 網站發表聲明指出,自獲悉特爾提出告訴的消息後,網站就已經將他的影片撤下,另一方面認為網站的行為完全符合「一九九八年 數位千禧年著作權法案」﹙ Digital Millenium Copyright Act of 1998 ﹚之規定,應受到該法案免責條款的保護 。
美國專利商標局公布2019年專利適格性審查指南美國專利商標局在2019年1月4日公布專利適格性審查指南(2019 Revised Patent Subject Matter Eligibility Guidance, 下稱新審查指南)。新審查指南對於如何使用美國最高法院Alice/Mayo測試法第一步驟(步驟2A),判斷專利請求項是否指向司法排除事項(judicial exception),做了兩個主要修改: (1)明確屬於「抽象概念」的排除事項包括:數學概念、組織人類活動的特定方法與心智活動。新審查指南並舉例說明數學概念包括數學關係、公式或方程式;組織人類活動的方法包括基本經濟原則或實踐、商業或法律互動關係,或管理個人行為或人與人之間的關係或互動;心智活動包括人類在心中執行的思想,例如觀察、評估、判斷或意見。根據新審查指南,審查委員不再需要將專利請求項與過去的判例比較來判斷專利標的是否屬於抽象概念。 (2)將判斷請求項是否指向司法排除事項的第一步驟(步驟2A)改為兩階段測試。首先,審查委員評估請求項是否屬於司法排除事項(自然法則、自然現象、抽象概念),若是,要進一步評估請求項是否有其他要素(element)可將該司法排除事項結合到「實際應用」中。若可,則不屬於司法排除事項。若無法將其結合到「實際應用」中,才須進行Alice/Mayo測試法第二步驟(步驟2B)的審查。新審查指南也對其他要素結合司法排除事項的「實際應用」提供例示,包括:反映電腦功能或其他技術的改進、應用該司法排除事項使特定疾病或醫療狀況的治療或預防產生效果、將該司法排除事項用在特定機器或製品中且在請求項中限定使用的機器或製品、使特定物品轉換到另一種狀態或成為另一種物品。 此修改將增加審查委員以抽象概念核駁專利請求項的舉證負擔,審查委員必須闡明為何發明不構成步驟2A中的「實際應用」,還要在步驟2B證明為何該元素屬於已熟知、常規或習知的行為。因此,新審查指南將使審查委員要以抽象概念核駁發明,特別是軟體相關發明的難度變高。 新審查指南已於2019年1月7日生效並徵求公眾意見,後續還可能會發生變化。此外,由於該指南不具有法律約束力,因此法院將如何根據新審查指南評估核准專利之有效性仍有待觀察。 「本文同步刊登於TIPS網站(https://www.tips.org.tw)」
強化AI安全防線:八國連署AI與機器學習供應鏈風險管理指南日本國家網路安全辦公室(国家サイバー統括室)於2026年3月5日,代表日本連署了「AI、機器學習供應鏈風險與緩和措施」(Artificial intelligence and machine learning Supply chain risks and mitigations)之國際文書(下稱本文書),並公布本文書內容。本文書是由隸屬於澳洲訊號局(Australian Signals Directorate,簡稱ASD)之澳洲網路安全中心(Australian Cyber Security Centre,簡稱ACSC)主導訂定,主要針對有導入或開發 AI、機器學習系統與元件等需求的組織,揭示其可能存在供應鏈風險與提升整體網路安全之重要性,並就AI開發或採購階段,組織應留意相關風險與可採行之緩和措施。有關連署國家,除了日本與澳洲以外,也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時,應將 AI 供應鏈視為整體網路安全戰略的一環,同時評估產品或服務之整體生命週期風險,不應著重於單一技術,而是組織需要掌握整體供應鏈的全貌,包括特定關係事業者、活用AIBOM(AI物料清單,主要用來記錄AI模型相關資產與資訊,提供快速定位與管控AI問題模型功能)或SBOM(軟體物料清單,主要記錄軟體相依元件,用於漏洞管理與供應鏈透明度)、意識到是否已針對AI、機器學習系統可能帶來的風險,進行漏洞管理,以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類:AI 數據、機器學習模型、AI 軟體、AI 基礎設施(含硬體),以及第三方服務,本文書指出AI、機器學習應用於供應鏈時可能產生之風險,其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面,以及導入第三方服務致使供應鏈產生弱點等。 此外,本文書也針對各類風險提出可行的因應方法,例如: 1.數據面:需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面:需從可信來源取得透明模型,實施性能驗證與惡意程式偵測。 3.軟體面:需做完整性驗證、元件審核,並透過 SBOM 掌握已知弱點。 4.硬體面:需確認設備無惡意內容,並在網路中適當分區。 5.第三方服務面:需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說,日本已意識到國家網路安全治理下,針對AI、機器學習的安全,不單是模型安全,而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書,不僅強化國際合作,同時建立供應鏈網路安全共識,因應AI對於國家供應鏈之網路安全挑戰,從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法,作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作,提升國家網路安全治理之作法,值得我國未來借鏡參考。