美國《聯邦採購規則》（FAR）
2019年8月7日，美國總務署（General Services Administration, GSA）、國防部（Department of Defense, DoD）及航空暨太空總署（National Aeronautics and Space Administration, NASA）共同發布一項暫行規定（interim rule），依據2019美國《國防授權法》（National Defense Authorization Act, NDAA）修正美國《聯邦採購規則》（Federal Acquisition Regulation, FAR），以公共及國家安全為由，禁止美國聯邦機構購買或使用包括華為、中興通訊、海康威視、海能達及大華科技等5家中國大陸企業、子公司與關係企業所提供之電信或視頻監控設備及服務。禁令並擴及經美國國防部長與國家情報局局長或聯邦調查局局長協商後，合理認為屬特定國家地區所擁有或控制之實體，或與該國家地區的政府有聯繫者。該暫行規定已於2019年8月13日生效，美國政府有權為不存在安全威脅的承包商提供豁免直至2021年8月13日。並預計在2020年8月，全面禁止美國聯邦機構與使用該中國大陸企業設備與服務之公司簽訂契約。
2019美國《國防授權法》第889（a）（1）（A）條，明文禁止美國聯邦機構採購或使用特定企業所涵蓋之電信設備或服務，並禁止將該類產品作為設備、系統、服務或關鍵技術的實質或必要組成。本次修正美國《聯邦採購規則》，即配合新增第4.21小節「禁止特定電信和視頻監控服務或設備的承包」，並於52.204-25中明訂「禁止簽訂與特定電信和視頻監視服務或設備契約」。故除非有例外或豁免，禁止承包商提供任何涵蓋特定中國大陸企業之電信設備或服務，作為設備、系統、服務或關鍵技術的實質或必要組成部分。承包商及分包商必須在契約履行過程中，報告有無發現任何使用此類設備、系統或服務之情形。
本文為「經濟部產業技術司科技專案成果」
許祐寧
專案經理 編譯整理
2014年2月12日，美國發表「網路安全框架(Cybersecurity Framework)」，該框架係由美國政府、企業及民間機構花費一年的時間共同發展而成，其蒐集了全球現有的標準、指引與最佳實務作法，最後由國家標準技術局（National Institute of Standard and Technology, NIST）彙整後所提出。 本框架主要可分成三大部份： 1.框架核心（Framework Core） 框架核心包括辨識(Identify)、保護( Protect)、偵測( Detect)、應變( Respond)、與復原( Recover)等五項功能。這五項功能組成網路安全管理的生命週期，藉由這五項功能的要求項目與參考資訊的搭配運用，可使組織順利進行網路安全管理。 2. 框架實作等級（Framework Implementation Tiers） 共分成局部（Partial）、風險知悉（Risk Informed）、可重複實施（Repeatable）、合適（Adaptive）四個等級。組織可以透過對風險管理流程、整合風險管理計畫以及外部參與等三個面向的觀察，瞭解組織目前的安全防護等級。 3. 框架側寫（Framework Profile） 框架側寫係組織依照本框架實際操作後所產出的結果，可以協助組織依據其企業需求、風險容忍度，決定資源配置的優先順序，進一步調整其網路安全活動。 此一安全框架旨在提供整體規劃藍圖予尚未建立網路安全架構的組織參考，而針對已有建立網路安全架構者，該框架並未意圖取代組織原先的風險管理程序和網路安全計畫，而係希望協助公、私部門改善資通訊科技和工業控制系統風險管理的能力。
日本政府怎樣對公部門管制DeepSeek？日本政府怎樣對公部門管制DeepSeek？ 資訊工業策進會科技法律研究所 2025年07月07日 2025年2月3日，日本個人情報保護委員會（Personal Information Protection Commission，簡稱PPC）發布新聞稿指出[1]，DeepSeek所蒐集的資料，將會儲存在中國的伺服器裡，且為中國《國家情報法》的適用對象[2]。這可能將導致個人資料遭到中國政府調用或未經授權的存取。作為中國開發的生成式AI，DeepSeek雖以優異的文本能力迅速崛起，卻也引發資安疑慮。 身處地緣政治敏感區的日本對此高度警覺，成為率先提出警告的國家之一。台灣與日本面臨相似風險，因此日本的應對措施值得借鏡。本文將從PPC新聞稿出發，探討日本如何規範公部門使用DeepSeek。 壹、事件摘要 DeepSeek作為中國快速崛起之生成式AI服務，其使用範圍已快速在全球蔓延。然而，日本PPC發現該公司所公布之隱私政策，內容說明其所蒐集之資料將存儲於中國伺服器內，並依據中國《國家情報法》之適用範圍可能遭到中國政府調用或未經授權之存取。 日本PPC因而於2025年2月3日發布新聞稿，隨後日本數位廳於2月6日發函給各中央省廳，強調在尚未完成風險評估與資安審查之前，政府機關不應以任何形式將敏感資訊輸入DeepSeek，並建議所有業務使用應先諮詢內閣資安中心（内閣サイバーセキュリティセンター，NISC）與數位廳（デジタル庁）意見，才能判定可否導入該類工具[3]。數位大臣平將明亦在記者會中強調：「即使不是處理非機密資料，各機關也應充分考量風險，判斷是否可以使用。」（要機密情報を扱わない場合も、各省庁等でリスクを十分踏まえ、利用の可否を判断する）[4]。 本次事件成為日本對於生成式AI工具採取行政限制措施的首次案例，也引發公私部門對資料主權與跨境平台風險的新一輪討論。 貳、重點說明 一、日本對於人工智慧的治理模式 日本在人工智慧治理方面採取的是所謂的「軟法」（soft law）策略，也就是不依賴單一、強制性的法律來規範，而是以彈性、分散的方式，根據AI的實際應用場景與潛在風險，由相關機關分別負責，或透過部門之間協作因應。因此，針對DeepSeek的管理行動也不是由某一個政府部門單獨推動，而是透過跨部會協作完成的綜合性管控，例如： （一）PPC的警示性通知：PPC公開說明DeepSeek儲存架構與中國法規交錯風險，提醒政府機關與公務人員謹慎使用，避免洩漏資料。 （二）數位廳的行政指引：2025年2月6日，日本數位廳針對生成式AI的業務應用發布通知，明列三項原則：禁止涉密資料輸入、限制使用未明確審查之外部生成工具、導入前應諮詢資安機構。 （三）政策溝通與政治聲明：平將明大臣在記者會上多次強調DeepSeek雖未明列於法條中禁用，但其高風險屬性應視同「潛在危害工具」，需列入高敏感度審查項目。 二、日本的漸進式預防原則 對於DeepSeek的管制措施並未升高至法律層級，日本政府亦沒有一概禁止DeepSeek的使用，而是交由各機關獨自判斷[5]。這反映出了日本在AI治理上的「漸進式預防原則」：先以行政指引建構紅線，再視實際風險與民間回饋考慮是否立法禁用。這樣的作法既保留彈性，又讓官僚系統有所依循，避免「先開放、後收緊」所帶來的信任危機。 三、日本跟循國際趨勢 隨著生成式AI技術迅速普及，其影響已不再侷限於產業應用與商業創新，而是逐漸牽動國家資安、個資保護以及國際政治秩序。特別是生成式AI在資料存取、模型訓練來源及跨境資料流通上的高度不透明，使其成為國家安全與數位主權的新興挑戰。在這樣的背景下，各國對生成式AI工具的風險管理，也從原先聚焦於產業自律與技術規範，提升至涉及國安與外交戰略層面。 日本所採取的標準與國際趨勢相仿。例如韓國行政安全部與教育部也在同時宣布限制DeepSeek使用，歐盟、美國、澳洲等國亦有不同程度的封鎖、審查或政策勸導。日本雖然和美國皆採取「軟法」（soft law）的治理策略，然而，相較於美國以技術封鎖為主，日本因其地緣政治的考量，對於中國的生成式AI採取明確防範的態度，這一點與韓國近期禁止政府機構與學校使用中國AI工具、澳洲政府全面禁止政府設備安裝特定中國應用程式類似。 參、事件評析 這次日本政府對於DeepSeek的應對措施，反映出科技治理中的「資料主權問題」（data sovereignty）：即一個國家是否有能力控制、保存與使用其管轄範圍內所生產的資料。尤其在跨境資料傳輸的背景下，一個國家是否能保障其資料不被外國企業或政府擅自使用、存取或監控，是資料主權的核心問題。 生成式AI不同於傳統AI，其運作依賴大規模訓練資料與即時伺服器連接，因此資料在輸入的瞬間可能已被收錄、轉存甚至交付第三方。日本因而對生成式AI建立「安全門檻」，要求跨境工具若未經審核，即不得進入政府資料處理流程。這樣的應對策略預示了未來國際數位政治的發展趨勢：生成式AI不只是科技商品，它已成為跨國治理與地緣競爭的核心工具。 中國通過的《國家情報法》賦予政府調閱私人企業資料的權力，使得中國境內所開發的生成式AI，儼然成為一種資訊戰略利器。若中國政府藉由DeepSeek滲透他國公部門，這將對國家安全構成潛在威脅。在此背景下，日本對公部門使用DeepSeek的管制，可被解讀為一種「數位防衛行為」，象徵著日本在數位主權議題上的前哨部署。 值得注意的是，日本在處理DeepSeek事件時，採取了「不立法限制、但公開警示」的方式來應對科技風險。此舉既避免激烈封鎖引發爭議，又對於資料的運用設下邊界。由於法令規範之制定曠日費時，為避免立法前可能產生之風險，日本先以軟性之限制與推廣手段以防止危害擴大。 台灣雖與日本同處地緣政治的敏感地帶，資料主權議題對社會影響深遠，為使我國可在尚未有立法規範之狀態下，參考日本所採之行政命令內控與公開說明外宣雙向並行之策略，對台灣或許是一種可行的借鏡模式。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]個人情報保護委員会，DeepSeekに関する情報提供，https://www.ppc.go.jp/news/careful_information/250203_alert_deepseek/ （最後瀏覽日：2025/05/06）。 [2]《中华人民共和国国家情报法》第7条第1项：「任何组织和公民都应当依法支持、协助和配合国家情报工作，保守所知悉的国家情报工作秘密。」 [3]デジタル社会推進会議幹事会事務局，DeepSeek等の生成AIの業務利用に関する注意喚起（事務連絡），https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/d2a5bbd2-ae8f-450c-adaa-33979181d26a/e7bfeba7/20250206_councils_social-promotion-executive_outline_01.pdf （最後瀏覽日：2025/05/06）。 [4]デジタル庁，平大臣記者会見（令和7年2月7日），https://www.digital.go.jp/speech/minister-250207-01 （最後瀏覽日：2025/05/06）。 [5]Plus Web3 media，日本政府、ディープシークを一律禁止せず 「各機関が可否を判断する」，https://plus-web3.com/media/500ds/?utm_source=chatgpt.com （最後瀏覽日：2025/05/06）。
秘魯提出基因護照提案簡化基因資源跨境交換之程序在今（2007）年1月底召開的生物多樣性公約技術專家小組會議（Technical Expert Group of the Convention on Biological Diversity），秘魯提出透過核發一種類似來源地證明的“基因護照”（genetic passports; passport for genetic resources），簡化基因資源的跨境交換（cross-border exchanges）手續，以便協助更多國家得以靈活利用各國基因資訊。由於透過基因護照的核發，一國對其基因資源的掌控得以超出其國境之外，因此秘魯此項提案受到許多專家背書支持。 根據1992簽署的生物安全議定書（Convention on Biological Diversity, CBD），各國對源自於其國境內之基因資源擁有主權。基因資源為生技研究所仰賴的重要研究資源，基因資源的豐富與否取決於生物多樣性。由於具備豐富生物多樣性的國家多集中在開發中的「南方」國家，長久以來，這些國家境內的基因資源被來自於已開發國家的機構以「研究」、「學術交流」等各種名目帶出，卻無法享受其研究成果，導致目前對基因資源已立法管理的國家（多為開發中國家），法令內容主要偏向阻擋不法利用，而非鼓勵多元利用，無形中使國際間基因資源之使用逐漸形成壁壘。 秘魯最近所提出的提案即是為了解決上述問題，根據秘魯的提案，每一種資源的“基因護照”將發給CBD會員國負責主管基因資源管理事務的政府主管機關。“基因護照”將涵蓋所有的基因資源，包括動物、植物及微生物；護照中將會註明此等物質之來源地、特性及負責單位。透過基因護照的核發，國與國之間得以建構基因資源流動及運送的國際共識。由於此項提案受到生物多樣性公約技術專家小組會議二十五國代表的全體同意，CBD秘書處希望該提案能在今（民國96）年10月將在加拿大召開的第九屆大會中通過。
簡介「歐洲共同資料空間」簡介「歐洲共同資料空間」 資訊工業策進會科技法律研究所 2022年09月30日 壹、前言 歐盟為促進數位經濟的發展，於2015年5月發布「數位單一市場(Digital Single Market)」政策，並指出資料(data)對於發展數位經濟的重要性 [1]。經過了5年的規劃，歐盟於2020年2月發布了「歐洲資料戰略(European Data Strategy)」，勾勒出建立歐洲「單一資料市場(single data market)」的具體措施與進程。 歐盟執委會(European Commission)在「歐洲資料戰略」中指出，為確保歐洲數位經濟的競爭力，應採取相關措施創造一個有吸引力的市場環境，其目標就是建立「歐洲共同資料空間 (Common European data space)」[2] 。本文以下將介紹「歐洲共同資料空間」的發展背景與現況。 資料來源：作者自繪 圖一 「歐洲共同資料空間」的政策發展脈絡 貳、「歐洲共同資料空間」的發展背景 一、源起 歐盟期待能建立一個真正單獨且對全世界開放的資料市場，各類資料能安全地存放其中，企業可輕易地近用高品質的產業資料，以加速企業的成長並創造更高的經濟價值[3]。在此資料空間中，資料的使用需要符合歐盟的法規，且所有資料驅動(data-driven)之服務和產品應符合歐洲「數位單一市場」的規範。因此，歐盟陸續制定相關法律和標準，建設相關基礎設施，期望能促進更多的資料在歐盟境內儲存和處理[4] 。歐盟執委會初期以「歐洲開放科學雲(European Open Science Cloud, EOSC)」的經驗為基礎[5] ，聚焦9個重點產業領域發展資料空間，其介紹如下表： 表一：「歐洲共同資料空間」9個重點產業領域 產業/領域 發展資料空間的目標 1 工業/製造業資料空間 挖掘「非個人資料」的潛在價值，以強化歐盟工業的競爭力，預計在2027年可以創造1.5兆歐元的產值 2 綠色協議(Green Deal)資料空間 支持氣候變遷、循環經濟、零污染、生物多樣性等行動 3 交通移動(Mobility)資料空間 強化運輸和交通移動資料庫的近用、整合、共享，確保歐盟的智慧運輸系統在全球的領先地位。 4 健康資料空間[6] 提升疾病預防、檢測、治療的發展，促進實證醫學發展的加速 5 金融資料空間 提升金融領域的資料共享、創新、市場透明度、永續金融 6 能源資料空間 透過安全和可信任的方式進行跨部門的資料共享，提升資料的可利用性，促進低碳的落實 7 農業資料空間 透過對農業生產等資料的分析，提升農業部門的競爭力。 8 公行(Public administrations)資料空間 提高政府支出的透明性和問責，強化政府科技、法遵科技、法律科技的應用 9 技能(Skills) 資料空間 降低教育培訓體系和勞動市場需求的落差 資料來源：整理自歐盟執委會2022年2月發布的工作報告 二、設計原則 歐盟執委會原訂於2020年第4季提出「歐洲共同資料空間」的具體規劃，但進度有所延遲。2021年3月歐盟理事會（European Council）認為需要加速建立共同資料空間，並請歐盟執委會說明各產業領域資料空間的進展及未來需要採取的必要措施。[7] 根據歐盟執委會2022年2月出版的工作報告指出，所謂的資料空間可以定義為相互信任夥伴間的一種資料關係，參與夥伴在儲存和共享資料時必須適用相同的標準和規則[8]。此外，在資料空間中，資料並非中心化儲存，而是儲存在其來源處，只有在必要時才會透過語義互操作性（semantic interoperability）共享資料[9]。而「歐洲共同資料空間」將根據以下的原則進行設計[10]： 1.資料控制（Data control） 資料空間可以促進資料工具的開發，以彙集、近用、使用、共享各種類型的資料。資料持有者可使用這些資料工具，簡化資料上傳的流程、授予或撤銷其資料授權、更改資料近用權限等。 2.治理（Governance） 建立適當的治理結構，確保以公平、透明、符合比例、非歧視的方式，近用、共享、使用資料，此治理結構應遵守歐盟現有的相關規範，如《非個人資料自由流通框架（Framework for the Free Flow of Non-Personal Data in the European Union）》、《歐盟一般個人資料保護規則（GDPR）》、等。 3.尊重歐洲的規範和價值觀（Respect of EU rules and values） 資料空間應遵守相關的歐盟法律框架，如GDPR、網路安全、基本權利、環境保護、競爭法、歐盟關於提供資料服務相關的規則等；此外，應採取適當的技術和法律措施，防止未經授權的資料近用。 4.技術基礎設施（Technical data infrastructure） 鼓勵資料空間之參與者使用共通的技術基礎設施，並整合網路安全的設計原則，建構能確保資料彙集、近用、共享、處理、使用之安全和隱私保護的基礎設施。 5.互連接性及互操作性（Interconnection and interoperability） 為避免資料碎片化(fragmentation)、整合成本過高、產生資料孤島等問題，「歐洲共同資料空間」參考國際標準、歐洲空間資料基礎設施(INSPIRE[11]) 、FAIR原則[12]，強化資料空間的互操作性，並透過歐盟運算基礎設施[13]共享和近用資料，以達到相互連接和互相操作。 6.開放性（Openness） 只要願意遵守歐盟規範、尊重歐洲價值觀的使用者都可以利用「歐洲共同資料空間」。開放性將有助於創造不同產品和不同服務提供商間的競爭，避免因產品或服務製造商的特定協定(protocols)產生鎖定效應（lock-in）。 三、近期整體發展 首先，歐盟執委會強調，由於「歐洲共同資料空間」涉及各產業領域，每個產業領域都有其特性；即便是同一產業中，所涉及之利害關係人多元，其資料需求也會不同。因此，為避免對特定產業領域正在發展之資料共享解決方案產生影響，歐盟將著重於建立各產業共通的技術基礎設施和資料治理框架[14]。根據2022年5月歐盟正式發布的《資料治理法(Data Governance Act) 》，第六章中規定未來將成立「歐洲資料創新委員會(European Data Innovation Board, EDIB)」；依據該法第30條的規定，EDIB的任務之一是制定促進「歐洲共同資料空間」的指引，內容包含建立跨產業領域資料共享的標準、強化互操作性等[15]。 其次，根據歐盟執委會2022年8月出版的調查報告指出，截至2022年上半年為止，歐盟關於資料空間徵案的結果，主題不僅有最初規劃的9個產業領域[16]，還擴及智慧城市、文化資產、媒體、財政、語言、旅遊、公部門採購與安全執法等產業領域[17]。此外，與這些產業領域相關的公部門開放資料集部分已經編目並放在歐盟data.europa.eu[18]的網站上，譬如該網站上目前有48,000筆關於交通運輸的資料集，未來可能對於「交通移動」領域資料空間的建立有幫助[19]。 再者，歐盟執委會為了瞭解歐洲目前所有資料空間的發展現況，以國際資料空間協會（International Data Spaces Association, IDSA）的「國際資料空間雷達(International Data Space Radar)」、歐洲非營利組織所倡議的「歐洲雲和資料基礎架構專案(Gaia-X)」、「歐洲工業數位化開放平臺（Open DEI）」為調查對象。根據研究結果，這3個組織目前共有151個和資料空間有關的計畫或措施，但其中僅只有21個使用了開放資料，且僅19個計畫有公部門參與其中[20]。歐盟執委會認為開放資料社群和各國公部門長期以來，在推動開放資料與建立開放資料標準已經累積一定的經驗，未來可以對「歐洲共同資料空間」提供更多的建議[21]。 最後，歐盟執委會將「歐洲共同資料空間」的利害關係人區分為四大類別，包含核心參與者、中介者、軟體/服務提供商、治理機構，並選定相關人士進行訪談，以聚焦「歐洲共同資料空間」未來的推動方向。根據訪談結果，所有受訪者皆指出目前「歐洲共同資料空間」發展的一個重大問題，亦即缺乏完整的資料集目錄。因此，受訪者建議未來「歐洲共同資料空間」的重點可放在發展資料集目錄[22]。 參、結論 從上述的整理可以發現，歐盟相當有系統性地推動「歐洲共同資料空間」，期待透過不同產業領域資料空間的互相連接，強化資料近用和互操作性，在促進資料共享和使用的同時，亦充分保護個人與企業的資料權利[23]。雖然歐洲各產業領域的資料空間仍在持續發展，但歐盟對於發展資料經濟的政策規劃，不管在基礎設施的建設、標準化的制定、法制面的配套，都值得我國持續關注。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1] A Digital Single Market Strategy for Europe, at 14-15, COM (2015) 192 final (May. 6, 2015). [2] A European strategy for data, at 4, COM (2020) 66 final (Feb. 19, 2020). [3] id. at 4-5. [4] id.. [5] 關於「歐洲開放科學雲」的介紹可參考蔡立亭 ，〈論臺灣科研資料治理機制推行之模型－以歐洲開放科技雲為例〉，《科技法律透析》，第33卷第5期，頁21，（2021）。 [6] 關於「歐洲健康資料空間」近期的發展可參考施雅薰，〈歐盟執委會發布「歐洲健康資料空間」規則提案，旨在克服健康資料利用之障礙〉，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=1&d=8858（最後瀏覽日：2022/09/27）。 [7] European Commission, Commission Staff Working Document on Common European Data Spaces 1（2022）。 [8] European Commission, data.europa.eu and the European Common Data Spaces 6（2022）。 [9] id. at 2. [10] European Commission, supra note7, at 3-4. [11] 關於「歐洲空間資料基礎設施」的介紹請參考INSPIRE KNOWLEDGE BASE，https://inspire.ec.europa.eu/(last visited Sep. 26, 2022). [12] Fair原則是可查找(Findable)、可近用(Accessible)、可相互操作(Interoperable)、可再使用(Re-usable) 的英文縮寫，相關介紹可參考GO FAIR，https://www.go-fair.org/fair-principles/(last visited Sep. 26, 2022). [13] 如歐洲雲服務或歐洲高效能運算(HPC)。 [14] European Commission, supra note7, at 4-5. [15] id. at 29-30. [16] 關於這9個產業領域2021-2023年間的規劃進度可參考European Commission, supra note 7, at 41-42. [17] European Commission, supra note 8, at 7. [18] 該網站設立於2021年4月，是整合European Data Portal及EU Open Data Portal兩個網站而成立。 [19] European Commission, supra note 8, at 8. [20] id. at 13. [21] id. at 5. [22] id. at 18. [23] European Commission, supra note 7,. at 2.