美國加州議會於2018年9月7日通過Asilomar人工智慧原則決議(23 Asilomar AI Principles, ACR-215),此決議表達加州對於「23條Asilomar人工智慧原則」之支持,以作為產業或學界發展人工智慧、政府制定人工智慧政策之指標,並提供企業開發人工智慧系統時可遵循之原則。依此法案所建立之重要指標如下:
(1)於研究原則上,人工智慧之研究應以建立對於人類有利之人工智慧為目標。
(2)於研究資助上,人工智慧之研究資助應著重幾個方向,如:使人工智慧更加健全且可抵抗外界駭客干擾、使人工智慧促進人類福祉同時保留人類價值以及勞動意義、使法律制度可以順應人工智慧之發展。
(3)於科學政策之連結上,人工智慧研究者與政策擬定者間應有具有建設性且健全之資訊交流。
(4)於研究文化上,人工智慧研究者應保持合作、互信、透明之研究文化。
(5)於安全性上,人工智慧研究團隊應避免為了研究競爭而忽略人工智慧應具備之安全性。
(6)人工智慧系統應該於服務期間內皆具備安全性及可檢視性。
(7)人工智慧系統之編寫,應可使外界於其造成社會損失時檢視其出錯原因。
(8)人工智慧系統如應用於司法判斷上,應提供可供專門人員檢視之合理推論過程。
(9)人工智慧所產生之責任,應由設計者以及建造者負擔。
(10)高等人工智慧內在價值觀之設計上,應符合人類社會之價值觀。
(11)高等人工智慧之設計應可與人類之尊嚴、權利、自由以及文化差異相互調和。
(12)對於人工智慧所使用之資料,其人類所有權人享有擷取、更改以及操作之權利。
(13)人工智慧之應用不該限制人類「客觀事實上」或「主觀知覺上」之自由。
(14)人工智慧之技術應盡力滿足越多人之利益。
(15)人工智慧之經濟利益,應為整體人類所合理共享。
(16)人類對於人工智慧之內在目標應享有最終設定權限。
(17)高等人工智慧所帶來或賦予之權力,對於人類社會之基本價值觀應絕對尊重。
(18)人工智慧所產生之自動化武器之軍備競賽應被禁止。
(19)政策上對於人工智慧外來之發展程度,不應預設立場。
(20)高等人工智慧系統之研發,由於對於人類歷史社會將造成重大影響,應予以絕對慎重考量。
(21)人工智慧之運用上,應衡量其潛在風險以及可以對於社會所帶來之利益。
(22)人工智慧可不斷自我循環改善,而可快速增進運作品質,其安全標準應予以嚴格設定。
(23)對於超人工智慧或強人工智慧,應僅為全體人類福祉而發展、設計,不應僅為符合特定國家、組織而設計。
本文為「經濟部產業技術司科技專案成果」
所謂「尖端大型研究設施」,系指日本《特定尖端大型研究設施共用促進法》(特定先端大型研究施設の共用の促進に関する法律)中,由國立研究法人所設置,並受該法規範之研究設施。 該法之目的係在設置被認為不適合於國立實驗研究機關,或進行研究之獨立行政法人中重複設置之以高額經費購置的該研究領域中最尖端技術之研究設施設備,並於該研究領域中進行多樣化研究之活用,以發揮其最大之價值。 目前受到該法規定的研究設施包括特定同步輻射研究設施,其包含了「SPring-8」及「SACLA」等兩座大型同步輻射研究設施,與特定超級電腦設施,亦即超級電腦「京」,以及包括了高強度質子加速器「J-PARC」之一部的特定中子輻射研究設施;以SPring-8為例,該設施之網站上登載有使用情報、使用申請及參考資料等,供欲使用該設施之研究人員參考。
英國資料倫理與創新中心提出「議題速覽-深度偽造與視聽假訊息」報告英國資料倫理與創新中心(Centre for Data Ethics and Innovation, CDEI)於2019年10月發布「議題速覽-深度偽造與視聽假訊息」報告(Snapshot Paper - Deepfakes and Audiovisual Disinformation),指出深度偽造可被定義為透過先進軟體捏造特定人、主題或環境樣貌之影片或聲音等內容。除取代特定主體之臉部外,其亦具備臉部特徵重塑、臉部生成與聲音生成之功能。而隨相關技術逐漸成熟將難辨網路視聽影像之真偽,故CDEI指出有必要採取相關因應措施,包含: 一. 立法 許多國家開始討論是否透過訂立專法因應深度偽造,例如紐約州眾議院議員提出法案禁止特定能取代個人臉部數位技術之應用,美國國會亦有相關審議中草案。然而,縱有法律規範,政府仍無法輕易的辨識影片製造者,且相關立法可能抑制該技術於正當目的上之應用,並導致言論自由之侵害,故未來英國制定相關制度之制定將審慎為之。 二. 偵測 媒體鑑識方法於刑事鑑識領域已實行多年,其也可以運用於辨識深度偽造。媒體鑑識方法之一為檢查個體是否有物理上不一致之現象,以認定特定證物是否經竄改,包括拍攝過程中被拍攝對象是否眨眼,或皮膚上顏色或陰影是否閃爍。雖目前英國相關鑑識專家對於媒體鑑識方法是否可辨識深度偽造仍有疑義,惟相關單位已經著手發展相關技術。 三. 教育 教育亦為有效因應深度偽造之方法。目前許多主流媒體均開始喚起大眾對於深度偽造之意識,例如Buzzfeed於去年即點出5個方法以辨認有問題之影片。科技公司也開始投入公眾教育,提高成人網路使用者對於假訊息與深度偽造之辨識,然而報告指出其成效仍有待觀察。
美國網路安全相關法規與立法政策走向之概覽美國網路安全相關法規與立法政策走向之概覽 科技法律研究所 法律研究員 沈怡伶 104年08月11日 網路安全(cyber security)是近年來相當夯的流行語,而在這個萬物聯網時代,往後數十年對於網路安全的關注勢必不會減退熱度。在美國,因層出不窮的網路攻擊和資料外洩事件讓政府機關不勝其擾,也讓許多企業產生實質上經濟損失和商譽受損,隨之而來的是聯邦和州政府主管機關的關切目光,除了透過政策和行政規管之外,國會也開始制訂新法或對現行法規進行修法,補入對於網路安全維護之要求,以下本文將簡介美國現行法規範之要點及目前最新法案。 壹、美國聯邦政府相關網路安全規範、標準及措施 一、金融業相關管制規範 對金融機構的管制依據為「金融服務業現代化法/格雷姆-里奇-比利雷法(Gramm-Leach Bliley Act, GLBA )」,該法要求金融機構必須建置適當的程序保護客戶的個人財務資訊,維護客戶個人資料的機密性、完整性和安全性,避免遭受任何可遇見的威脅或騷擾,以及避免任何未經授權的近用行為導致損害或對客戶造成不便利[1]。 另外美國證券交易委員會(Security and Exchange Commission, SEC)下設法令遵循檢查與調查室(SEC Office of Compliance Inspections and Examinations, OCIE),在2014年發布全國檢查風險警示(National Exam Program Risk Alert),命名為「OCIE 網路安全芻議(OCIE Cybersecurity Initiative)」,用來評估證券交易商和投資顧問對網路安全維護的準備以及曾遭遇過的資安威脅種類和經驗;而金融監管局(Financial Industry Regulatory Authority ,FINRA)也在2014年實施「掃蕩計畫(sweep program)」,金融監管局就其主管的特定企業會寄發的檢查通知書,要求回答有關於企業網路安全的相應準備措施[2]。 二、支付卡產業資料安全標準(Payment Card Industry Data Security Standard, PCI DSS) 該標準是由支付卡產業標準協會由五家國際信用卡組織聯合訂定的安全認證標準,雖不具法律位階,但因其公信力,美國企業都會自律遵循的規範,保護支付卡的資料安全。該標準關注於組織應該要開發和維護資訊系統和應用程式,並追蹤和監督網路資源和持卡者的個人資料,並發展出一個強健的支付卡數據安全流程,包括預防、偵測及適當回應資安事故的方式[3]。 三、醫療健康資訊相關管制規範 「健康保險可攜式及責任法(Health Insurance Portability and Accountability Act of 1996, HIPPA)」是最先開始要求所有電子化的受保護醫療照護資料在創建、接收、維護和傳輸時,需受有基本的保護措施和機密性之法規[4];爾後,「經濟與臨床健康資訊科技法(Health Information Technology for Economic and Clinical Health Act, HITECH)」則將HIPPA適用主體擴及所有處理受保護醫療照護資訊的個人和機構,並強化資訊傳輸時的安全性和效率性規定[5]。 貳、立法焦點新況:網路安全及網路威脅資訊共享 美國政府對網路安全非常看重,因其對國家經濟和國家安全都有巨大的影響力,不過美國總統歐巴馬曾明白表示美國對於資訊及通信基礎建設的防護措施尚未到位,也尚未建立數位關鍵基礎建設的全方位發展策略;透過盤點與檢視,美國政府的網路空間政策(Cyberspace Policy)方向之一,是建立網路安全合作夥伴關係,包括各級政府間的水平合作及公、私部門間的上下合作網絡,共同研發尖端技術因應數位式帶的網路安全威脅[6]。 針對網路威脅資訊分享方式,美國國會一直持續的研擬相關法案,希望能在妥適保護公民隱私和公民自由的前提下,建立資訊分享管道,2015年3月美國參議院提出754號法案「網路安全資訊分享法2015(Cybersecurity Information Sharing Act of 2015, CISA)」[7],試圖將CISA作為國防授權法(National Defense Authorization Act,NDAA)修正案之一部,但卻未獲得足夠通過票數[8]。CISA係由美國情報局(Director of National Intelligence)、國土安全部(Department of Homeland Security)、國防部(Department of Defense)和司法部(Department of Justice)共同定之,計十條,目的之一是希望透過法律授權讓聯邦政府機關能即時的將機密性或非機密性網路威脅指標分享與私人實體(個人或企業)[9]、非聯邦政府機關單位、州政府、原住民政府和當地政府,以阻止或減輕網路攻擊帶來的負面衝擊;其二,允許私人實體得為網路安全之目的,在一定要件下監控自己或他人的資訊系統,以運作相關的網路安全防御措施,並分享資訊給聯邦各級政府。CISA亦設計了監督機制,和隱私及公民自由保護條款,避免變相創造一個撒網過廣的監控計畫[10]。CISA法案雖未通過,但參議院並未放棄,欲以該法案的基礎框架進行修正,修正重點為訂定資料外洩事件通報標準並擴大隱私權之保護,預計於同年8月底國會休會期前再次提出修正版本進行表決[11]。 現行法案重點在資訊共享並授權私人實體監控自己或他人之資訊系統,而主要分享標的為「網路威脅指標(cyber threat indicator)[12]及「防禦措施(defensive measure)」[13]。網路威脅指標係指有必要描述或鑒別之: 一、惡意偵察,包括為蒐集與網路安全威脅[14]或安全漏洞之技術資訊,而利用異常態樣的通信模式。 二、能破解安全控制或利用安全漏洞的方法。 三、安全漏洞。包括能指出安全漏洞存在的異常活動。 四、使用戶合法使用資訊系統或儲存、處理、傳輸資訊時,不知情地使安全控制失效或利用安全漏洞的方法。 五、惡意網路命令和控制。 六、引發實際或潛在的危險,包括因特定網路安全威脅使資訊外洩。 七、其他任何具網路安全威脅性質者,且揭露並不違法其他法律者。 八、任何結合上開措施之行動。 防禦措施(Defensive measure)則指一個行動、裝置、程序、簽名、技術或其他方式應用於資訊系統或透過該資訊系統進行儲存、處理或傳輸之資訊,能防禦、阻止或減緩已知或懷疑的網路安全威脅或安全漏洞。但不包括私人實體自行/經聯邦機關或其他實體授權同意,破壞、使其無法使用或實質傷害資訊系統或資訊系統內之資訊的相關措施。 就資訊共享部分,法案第3條及第5條分別明定聯邦機關分享機密性網路威脅指標給私人實體、以及私人實體分享網路威脅指標和防禦措施給聯邦政府機關之管道。前者指定司法部應會同國土安全部、國家情報委員會及國防部訂定相關辦法,;後者相關辦法由司法部訂定,讓聯邦機關依法接收來自私人實體的指標和防禦措施,不論是電子郵件、電子媒體、內部網路格式、或資訊系統間的即時性和自動化程序等各種形式之資訊,且需定期檢視對隱私與公民自由的保護狀況,限制接受、保留、使用、傳播個人或可識別化個人之資訊。 美國各級政府機關得經私人實體同意後,得利用所接收的網路威脅指標,用以預防、調查或起訴下列違法行為:即將發生而可能造成死亡、重大人身傷害、重大經濟危害的威脅,威脅包括恐怖攻擊、大規模殺傷性武器;涉及嚴重暴力犯罪、詐欺、身份竊盜、間諜活動、通敵罪及竊取商業機密罪。另針對監控資訊系統部分,法案第4條授權私人實體得為網路安全目的監控自己或他人所有之資訊系統及資訊系統中儲存、處理或傳輸之資訊,並應用相關防禦措施來保護權利及資產,若屬其他私人實體或聯邦機關之資訊系統,需取得其他私人實體或聯邦機關之授權及代表人之書面同意。 參、小結 網路威脅的態樣隨著經濟活動發展和科技技術不斷變化和演進,故在擬訂應對措施時,須納入「適應性(adaptation)」概念,適應性指需要具體討論如何分配實質上的物質資源和經濟上資源,來保護組織內最有價值的智慧財產權和客戶資訊;提供成員和利害關係人相關資訊,讓他們關注網路威脅並能實踐可行的安全措施[15]。 就美國在訂定網路安全相關政策及規範之走向來看,充分及即時的資訊互享流通方能產出完善且強健的安全防護政策,惟其中牽涉到國家機密資訊、私部門智慧財產權和商業機密以及個人隱私和自由權利之保護議題。是以,從眾議院到參議院陸續所提出各版本的網路威脅資訊共享草案,均受有恐將產生大規模監控美國公民計畫之爭議,故至今尚未成功通過任一法案。惟資訊共享所帶來之正面效益和影響並未被否定,而究竟如何建構健全且可靠之機制,尚待各方團體與立法機關進行充分的溝同及討論,協同打造能安心活動之網路虛擬空間。 [1] Gramm Leach Bliley Act, https://www.ftc.gov/tips-advice/business-center/privacy-and-security/gramm-leach-bliley-act (last visited Aug.11, 2015). [2]Paul Ferrillo, Weil, Gotshal & Manges LLP, Cyber Security and Cyber Governance :Federal Regulation and Oversight, http://corpgov.law.harvard.edu/2014/09/10/cyber-security-and-cyber-governance-federal-regulation-and-oversight-today-and-tomorrow/ (last visited Aug.11, 2015). [3] PCI DSS, PCI Security Standard Council, https://www.pcisecuritystandards.org/security_standards/documents.php?document=pci_dss_v2-0#pci_dss_v2-0 (last visited Aug.11, 2015). [4] Health Information Privacy, HHS.gov, http://www.hhs.gov/ocr/privacy/ (last visited Aug.11, 2015). [5] Health IT Legislation, Health IT.gov, http://healthit.gov/policy-researchers-implementers/health-it-legislation (last visited Aug.11, 2015). [6] Cybersecurity Laws& Regulations, Homeland Security, https://www.whitehouse.gov/sites/default/files/cybersecurity.pdf (last visited Aug.11, 2015). [7] https://www.congress.gov/bill/114th-congress/senate-bill/754 [8] Text:754-114th Congress, Congress. Gov, http://www.natlawreview.com/article/senate-fails-to-include-cybersecurity-legislation-part-national-defense-authorizatio (last visited Aug.11, 2015). [9] Sec.2(15). [10] S.754- Cybersecurity Information Sharing Act of 2015 Summary, Congress. Gov, https://www.congress.gov/bill/114th-congress/senate-bill/754 (last visited Aug.11, 2015). [11] Amy Davenport, Senate is likely to consider cybersecurity legislation before August recess, Capita; Thinking Blog, July.27, 2015, http://www.capitalthinkingblog.com/2015/07/senate-is-likely-to-consider-cybersecurity-legislation-before-august-recess/ (last visited Aug.11, 2015). [12] Sec.2(6). [13] Sec.2(7). [14] 網路安全威脅(cybersecurity threat)指「不受憲法修正案第一條保護之行為、未經授權而利用資訊系統造成資訊系統或使資訊系統中儲存、處理或傳輸之資訊的安全性、可用性、機敏性或完整性之不利影響,但不包括任何僅違犯消費者條款或服務/消費者許可協議之行為」,參Sec.2(5)。 [15]Paul et al., supra note 2, at 2.
馬里蘭州去氧核醣核酸採集法(DNA Collection Act)引發隱私爭議2009年,馬里蘭州立法通過去氧核醣核酸(下稱DNA)採集法(DNA Collection Act),允許警方向已經被起訴但尚未定讞之犯罪嫌疑人採集DNA樣本,其適用對象主要在於暴力犯罪或一級竊盜案件。對此問題,美國大約有26州立有與馬里蘭州類似的法案,例如維吉尼亞州的執法單位對於暴力犯罪在經過逮捕後即可進行DNA採集。然而,該法案卻引發了隱私權利與公眾安全之平衡的爭論。 此次爭議爆發於Alonzo Jay King Jr. v. State of Maryland案,案件中Alonzo Jay King Jr.在2009年被起訴暴力攻擊,且因此被警方採集DNA,而後又在經過DNA比對之後,發現與2003年一宗強制性交案件所遺留下的DNA樣本符合,並據此判決Alonzo Jay King Jr.強制性交罪。本案經Alonzo Jay King Jr.上訴高等法院後,高等法院認為調查人員採集其基因資料並以之與舊案件進行比對,已經侵犯了美國憲法第四修正案所賦予人民的合理隱私期待,屬於不合法的搜索,並據此判決禁止向犯罪嫌疑人採集DNA樣本。本案目前正在最高法院上訴中,而最高法院首席法官John Roberts日前發布了一份命令,阻止了高等法院判決的生效,並使得馬里蘭州在最高法院作出判決之前仍然能夠採集DNA;全案預計將在10月進行聽證,未來,最高法院將如何判決,值得吾人注意。