人工智慧採購指南草案
人工智慧作為一前瞻性技術，運用於公部門，可以降低成本、提高管理品質、節省基層公務人員時間，整體改善政府公共服務。然而AI技術進化以及市場發展過於快速，現有採購類型沒有可以直接適用AI採購的判斷標準範本。因此，英國人工智慧辦公室（Office for Artificial Intelligence）與產官學研各界進行研商後，於2019年9月20日發表人工智慧採購指南草案（Draft Guidelines for AI procurement），作為公部門採購AI產品與服務之準則。該指南旨在加強公部門採購人員能力、協助採購人員評估供應商，讓廠商可以隨之調整其產品和服務內容。
該指南提供採購人員規劃政府AI採購的方向，包含招標、公告、評選、決標到履約。但指南強調無法解決採購AI產品與服務時遇到的所有挑戰。
指南內容簡述如下：
- 在制定規範時應重視如何清楚闡述面臨到的問題，而非只是說明解決方案；
- 評估AI帶來的風險時應緊扣公共利益，在招標階段敘明以公共利益為核心，並有可能在招標、評選和決標階段變動評估標準；
- 在招標文件中確實引用法規和AI相關實務守則；
- 其他包含將AI產品的生命週期納入招標和履約考慮、為提供AI產品和服務的廠商創造公平競爭環境、需與跨領域的團隊進行採購討論、確保採購流程從一開始就建立資料管理機制等。
本文為「經濟部產業技術司科技專案成果」
劉芷宜
法律研究員 編譯整理
德國聯邦網路局（Bundesnetzagentur） 法規問題研究工作小組（Wissenschaftlicher Arbeitskreis für Regulierungsfragen）於2015年11月18日提出「在OTT服務業者重要性提升背景下電信與媒體法制演變進程」意見報告（Evolution der Regulierung in den Telekommunikations- und Mediensektoren angesichts der Relevanzzunahme von OTT-Anbietern）。此報告針對OTT服務提出以下建議： 1. 是否電信服務（Telekommunikationsdienst）定義僅侷限於「電子信號的傳送」。倘若如此，是否亦須將OTT-I類型服務，亦即網路語音通話或電子郵件服務（例如：Skype, Gmail等），如同歸類並視電信服務而所規範。基於OTT-I服務的性質跟傳統通訊服務相似度很高（例如電話通訊服務），因此是否傳統電信服務定義須要涵蓋OTT-I服務，仍待明確的法制規範。 2. 倘若OTT-I種類的服務被歸類為「電信服務」，依此邏輯是否須要遵守德國電信法（Telekommunikationsgesetz）相關的傳統電信服務義務，像是緊急電話撥打義務、消費者保護、通訊隱私保障、資料保護等，仍待明確的法制規範。 3. 透過OTT服務所蒐集到的資料，均需透過明確的授權規範才得以讓OTT服務提供者有足夠的權限商業性的應用該資料。 4. 在OTT-II服務，亦即內容提供服務（Inhaltdienste）業者快速成長的背景下（例如Youtube,Netflix等），建議鬆綁歷來針對傳統影音媒體服務業者要求之嚴格廣告規範。 5. OTT-II內容平台需在公開網路上履行公平原則及反歧視原則。此原則亦應落實於終端設備使用者。 6. 支持歐盟資料保護規章的市場位置原則（Marktortprinzip）。 7. 電信法與媒體法在實體法上應更佳有所統合性。主管機關需符合憲法權限制訂法制規範，其規範亦必須符合其適當性（Zweckmäßigkeit）。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
美國德拉瓦州聯邦地區法院判決RA Capital與Avilar Therapeutics應為蓄意且惡意侵害耶魯大學營業秘密及違反保密協議負責2026年7月24日，美國德拉瓦州聯邦地區法院（一審法院）作成判決，認定創投RA Capital Management與其創立之生技公司Avilar Therapeutics，蓄意且惡意（willfully and maliciously）侵害耶魯大學（Yale University）之營業秘密，並違反雙方簽署之保密合約（CDA）。 耶魯大學Spiegel教授研發了MODA技術平台（一種靶向蛋白質降解技術），於2019年4月，RA Capital 與耶魯簽署CDA進行投資評估，耶魯揭露技術細節，然而，雙方於同年8月談判破裂。2021年，耶魯將技術授權Biohaven Therapeutics進行商業化開發。2023年，耶魯指控RA Capital利用竊取的機密創立Avilar Therapeutics，以此規避研發試錯過程並大幅縮短研發時程，甚至據此申請專利及募集高達7,500萬美元之資金。 在訴訟中，耶魯大學成功證明其對MODA平台採取了多項法院認可的合理保密措施，包括1.保密合約：嚴格要求外部機構簽署CDA，明確限制資訊僅供合作評估使用。2.階梯式揭露策略：簽約前僅提供抽象上位資訊，未受契約保護前絕不揭露技術細節。3.機密識別與權限控管：文件標註「YALE CONFIDENTIAL」字樣，並透過限制存取權限之雲端平台傳遞。4.內部管理與發表控管：實驗室執行嚴格規範，並策略性規劃專利申請與學術發表時機，保留技術之保密價值。5.完善紀錄保存：耶魯保存詳盡的溝通與文件傳遞清單，使陪審團能輕易比對被告取得之資訊與其內部開發路徑之重疊性。 針對學研機構如何強化營業秘密管理措施，可參考資策會科法所創智中心出版之專書「從管理措施到案例解析：綜覽學研機構營業秘密管理」。該書彙整管理規範及國際訴訟案例，解讀法院對於「秘密性」、「經濟性」及「合理保密措施」之認定標準，協助學研機構建立穩健的商業智財策略。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/）