美國FDA更新軟體預驗證計畫，以明確化數位健康科技的軟體器材審查流程
美國食品及藥物管理局（the U.S. Food and Drug Administration）於2019年1月更新「軟體預驗證計畫（Software Precertification Program）」及公布該計畫「2019測試方案（2019 Test Plan）」與「運作模式初版（A Working Model v1.0）」，使審查流程更加明確及具有彈性，並促進技術創新發展。
在更新計畫中，FDA聚焦於審查架構的說明，包含考量納入醫療器材新審查途徑（De Novo pathway）及優良評估流程（Excellence Appraisal process）的審查內涵。在優良評估流程中，相關研發人員須先行提供必要資訊，以供主管機關驗證該軟體器材之確效（validation）及是否已符合現行優良製造規範（current good manufacturing practices）與品質系統規範（Quality System Regulation, QSR）的要求。而由於以上標準已在此程序中先行驗證，主管機關得簡化上市前審查的相關查證程序，並加速查驗流程。
在測試方案中，則說明FDA將同時對同一軟體器材進行軟體預驗證審查及傳統審查，並比較兩種途徑的結果，以確保軟體預驗證審查途徑中的每一個程序都可以有效評估產品上市前所應符合的必要標準。最後，FDA綜合軟體預驗證計畫及測試方案，提出「運作模式初版」，以協助相關人員了解現行的規範架構與處理程序，並期待藉此促進技術開發者及主管機關間的溝通。FDA並於運作模式文件中提到，將在2019年3月8日前持續接受相關人員的建議，而未來將參酌建議調整計畫內容。
本文為「經濟部產業技術司科技專案成果」
謝易昕
法律研究員 編譯整理
Food and Drug Administration[FDA], Software Precertification Program: Regulatory Framework for Conducting the Pilot Program within Current Authorities（2019）,https://www.fda.gov/downloads/MedicalDevices/DigitalHealth/DigitalHealthPreCertProgram/UCM629278.pdf （last visited Jan. 22, 2019）
Food and Drug Administration[FDA], Software Precertification Program: 2019 Test Plan（2019）, https://www.fda.gov/downloads/MedicalDevices/DigitalHealth/DigitalHealthPreCertProgram/UCM629277.pdf （last visited Jan.22, 2019）
Food and Drug Administration[FDA], Developing a Software Precertification Program: A Working Model – Version 1.0（2019）, https://www.fda.gov/downloads/MedicalDevices/DigitalHealth/DigitalHealthPreCertProgram/UCM629276.pdf （last visited Jan. 22, 2019）
落實完善數位資料管理機制， 有助於降低AI歧視及資料外洩風險 資訊工業策進會科技法律研究所 2023年07月07日 近年來，科技快速發展，AI(人工智慧)等技術日新月異，在公私部門的應用日益廣泛，而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出，隨著由OpenAI開發的ChatGPT取得成功，更促使各領域對於AI應用的高度重視與投入[1]，與此同時，AI歧視及資料外洩等問題，亦成為社會各界的重大關切議題。 壹、事件摘要 目前AI科技發展已牽動全球經濟發展，根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力：下一個生產力前沿(The next productivity frontier)》研究報告指出，預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中，45%受訪者認為ChatGPT問世，增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險，僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料，將可能複製人類偏見，造成AI歧視問題，而且若程式碼有漏洞或帳戶被盜用時，亦會造成資料外洩問題。 貳、重點說明 首先，關於AI歧視問題，以金融領域為例，近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時，如決定是否能取得貸款，應確保申請人不受性別或膚色等歧視[4]，同時亦有論者認為若用於訓練AI的歷史資料，本身存有偏見問題，則可能導致系統自動拒絕向邊緣化族群貸款，在無形之中加劇，甚至永久化對於特定種族或性別的歧視[5]。 其次，關於資料外洩問題，資安公司Group-IB指出因目前在預設情況下，ChatGPT將保存使用者查詢及AI回應的訊息紀錄，若帳戶被盜，則可能洩露機敏資訊。據統計在2022年6月至2023年5月間，在亞太地區有近41000個帳戶被盜，而在中東和非洲地區有近25000個帳戶被盜，甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時，ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外，甚至發生個人資料外洩問題，即用戶可能知悉他人的姓名、電子郵件，付款地址，信用卡到期日及號碼末四碼等資料[7]。 參、事件評析 對於AI歧視及資料外洩等問題，應透過落實完善數位資料治理與管理機制，以降低問題發生的風險。首先，在收集訓練資料時，為篩選適合作為模型或演算法基礎的資料，應建立資料評估或審查機制，減少或避免使用有潛在歧視問題的資料，以確保分析結果之精確性。 其次，不論對於訓練資料、分析所得資料或用戶個人資料等，均應落實嚴謹的資料保密措施，避免資料外洩，如必須對於資料進行標示或分類，並依照不同標示或分類，評估及採取適當程度的保密措施。同時應對於資料進行格式轉換，以無法直接開啟的檔案格式進行留存，縱使未來可能不慎發生資料外洩，任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時，亦應採取適當加密傳送機制，避免遭他人竊取，盜取帳戶或個人資料。 財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善，於2021年7月發布「重要數位資料治理暨管理制度規範（Essential Data Governance and Management System，簡稱EDGS）」，完整涵蓋數位資料的生成、保護與維護，以及存證資訊的取得、維護與驗證的流程化管理機制，故對於不同公私部門的AI相關資料，均可參考EDGS，建立系統性數位資料管理機制或強化既有機制。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023). [2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023). [3]Gartner, supra note 1. [4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023). [5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023). [6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023). [7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).
2025年美國法院以「後設資料」作為審理AI深偽數位證據案件之重點2025年9月Mendones v. Cushman and Wakefield, Inc.案（下稱Mendones案），面對生成式AI與深偽（deepfakes）對數位證據真實性的威脅，美國法院特別提到針對後設資料（metadata）的審查。 基於Mendones案原告提交9項涉嫌使用生成式AI的數位證據，其中證詞影片6A與6C影片具備「人物缺乏臉部表情、嘴型與聲音不相符，整體表現像機器人一樣」且「影片內容循環撥放」等AI深偽影片之典型特徵，法院懷疑原告舉證的數位證據為AI深偽影片。 因此，法院要求原告須提出該影片的後設資料，包含文件格式、創建/修改日期、文件類型、拍攝影片的快門速度等客觀資訊。 法院表示，原告提交的後設資料不可信，因為包含許多通常不會出現在後設資料的資訊（非典型的資訊），例如：著作權聲明。且法院進一步指出，許多非典型的資訊被放在不相關的欄位，例如：Google地圖的URL網址、電話號碼、GPS座標及地址等被放在「音樂類型」（musical genre）欄位內。因此法院懷疑，前述「非典型之後設資料」是被有存取文件與編輯權限的人添加的「後設資料」。 原告則主張，其透過iOS 12.5.5版本作業系統的Apple iPhone 6 Plus手機拍攝影片6A。法院指出，直到iOS 18版本作業系統，iPhone才推出可用於生成深偽影片的新功能「Apple Intelligence」相關技術，且該版本需要使用iPhone 15 Pro或更新的手機機型，因此法院發現技術上的矛盾。 法院認為，本案生成式AI影片已超越提交虛假引文（Fictitious Citations，即過往案例曾出現過律師提出AI虛構的判例之情況）的範疇。在訴訟中使用深偽證據，嚴重影響了法院的審理與公眾對司法的信任，並增加法院評估該證據是否為深偽之成本。因此，法院採取嚴厲的永久駁回訴訟（dismissed with prejudice），以表示對企圖以深偽資料為證據的行為持「零容忍」態度。 Mendones案展現法院審理AI深偽數位證據的細節，如「審視後設資料之內容準確、完整」為法院確認數位證據真實性的重要手段。 面對AI時代下數位證據的挑戰，我國司法院、法務部、臺灣高等檢察署、內政部警政署及法務部調查局共同推動之「司法聯盟鏈共同驗證平台」，以「b-JADE證明標章」結合區塊鏈技術。「b-JADE證明標章」確保鏈下管理數位資料原檔的機制，以及鏈上的「存證資料」包含「與數位原檔資料最終版本連結的『必要後設資料』」、雜湊值及時戳，如能妥適運用司法聯盟鏈進行證據「驗真」程序，將有助於強化數位信任。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
Refuah公司與紐約總檢察長達成和解並投資120萬美元保護病人資料紐約州總檢察長Letitia James於2024年1月5日與健康照護服務業者Refuah Health Center, Inc.（下稱Refuah公司）達成和解，主因為該公司遭受勒索軟體攻擊（ransomware attack），約25萬紐約州民個資遭到洩漏。和解協議要求Refuah公司支付共計45 萬美元之民事懲罰金及費用（penalties and costs），且應投資 120 萬美元加強網路安全（cybersecurity）。 Refuah公司主要業務為經營三家醫療機構和五輛行動醫療車（mobile medical vans）。2021 年 5 月，Refuah公司遭到勒索軟體攻擊，網路攻擊者得以近用數千名病人的資料，取得了包含姓名、地址、電話號碼、社會保險號碼、駕照號碼、出生日期、金融帳號、醫療保險號碼等資料。 依據檢察長辦公室的調查顯示，攻擊者之所以得近用這些資料，原因為 Refuah公司未採取適當安全維護措施，包括：未停用不活躍之使用者帳號（inactive user accounts）；未定期更換使用者帳號憑證（user account credentials）；未限制員工僅得近用其業務所必需之資源和資料；未使用多重要素驗證（multi-factor authentication）以及未加密病人資料。 依據協議內容，Refuah公司同意投資 120 萬美元，用於開發和維護更強大的資訊安全計畫（information security programs），以更妥適地保護病人資料。該協議還要求Refuah公司應： 1.維護全面的資訊安全計畫，以保護消費者資料的安全性、機密性和完整性； 2.實施並持續更新消費者資料近用限制相關政策和程序； 3.遠端近用資源和資料應使用多重要素驗證； 4.定期更新近用資源和資料的憑證； 5.至少每半年進行一次稽核，確保使用者僅近用其業務所必需之資源和資料； 6.對所有儲存或傳輸的消費者資料進行加密； 7.實施控制措施，監控和記錄公司網路和系統的所有安全和操作活動；以及 8.制定、實施和持續更新全面的事故應變計畫。 Refuah公司還須向州政府支付共計45 萬美元之民事懲罰金及費用，其中 10 萬美元將在該公司投入 120 萬美元開發和維護其資訊安全計畫後，得暫緩支付。
何謂「孤兒著作」?「孤兒著作」係指仍在著作權保護期間，但是著作權人不明知著作。依著作權法第10條規定，著作人於著作完成時享有著作權，而著作權之保護期間依著作權法第30條第1項存續於著作權人之生存其間及其死亡後之50年。 在網路普及資訊流通快速之現代，經過不斷的轉載，許多著作權人不明，但是仍受著作權法保護，所謂之「孤兒著作」在市面上不斷流通。此時若與利用孤兒著作，但是不知道著作權人是誰，無法取得授權之情形下，要怎麼辦才不會觸法? 此時依文化創意發展法第24條，想要利用孤兒著作之人，得在盡力尋找著作權人未果後(不知著作權人為何或是著作權人聯繫資訊不明知情形)，向智財局說明無法取得授權之原因，並提存一定金額，取得智財局之許可授權後，於許可範圍內利用該著作。又須提存之金額應與一般著作經自由磋商所應支付合理之使用報酬相當。