美國「人工智慧應用管制指引」
美國白宮科學與技術政策辦公室（The White House’s Office of Science and Technology Policy , OSTP）於2020年1月9日發布「人工智慧應用管制指引」（Guidance for Regulation of Artificial Intelligence Application），為美國政府機關起草人工智慧規範並進行管制時提供指引，該指引內要求各機關之規範應遵循以下10項人工智慧原則：
一.公眾對AI之信任：政府對AI之管制或其他措施應促進AI之可靠性、健全性，且於應用上應具備可信性。
二.公共參與：政府應提供機會讓利害關係人參與AI管制規範立法程序。
三.科學實證與資訊品質：科學實證與資訊品質：政府機關發展AI之相關技術資訊，應透過公開且可驗證之方式提供給大眾參考，以提高大眾對AI之信任與協助政策制定。
四.風險分析與管理：應採取以風險為基礎之分析評估方法，確認哪些風險係可接受之風險，或那些風險代表無法接受之損害或所失利易大於預期利益。
五.利益與成本：政府於擬定相關規範時，應小心評估AI對於整體社會之利益，與預期外之效果。
六.彈性：法規應持續滾動檢視與調修以因應AI之創新應用。
七.公平且無歧視：政府應針對AI之應用與決策，考量公平與無歧視相關議題。
八.揭露與透明：透明度與揭露程序之建立可提升公眾對AI應用之信任。
九.安全：政府應特別注意AI系統內所儲存或傳輸資訊之安全與相關安全維護控制措施。
十.跨機關合作：政府各部會或機構間應相互合作與分享經驗，以確保AI相關政策之一致性與可預測性。
本文為「經濟部產業技術司科技專案成果」
余和謙
法律研究員 編譯整理
余和謙，歐盟執委會提出「具可信度之人工智慧倫理指引」，資策會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8236 （最後瀏覽日：2020/02/15）
歐盟法院在2017年3月9日針對其於同日所公布的判決發布新聞稿，指出該院認定公司資料登記中的個人資料於此案中並無被遺忘權之適用。 該案件起源於2007年義大利的Manni先生對雷契商業登記處（Lecce Chamber of Commerce）所提之爭訟。在由雷契法院（Tribunal di Lecce）受理的案件中，Manni先生主張其所承接觀光性建案乃因商業登記處之資料清楚顯示其於1992年間擔任負責人的公司倒閉之影響而無法成交。 在一審判決中，雷契地方法院命雷契商業登記處將Manni先生與其之前所任職公司後來進入清算程序之聯結匿名化，並應對其為損害賠償。嗣後，雷契商業登記處向義大利最高法院（Corte suprema di cassazione）提起上訴，該院則決定聲請歐盟法院的先訴裁定（preliminary uuling）程序。 歐盟法院的判決指出：公司登記資料的公開性質，乃基於確保公司間以及與第三人間之法律安定性，特別是對於有意願入股上市公司或股份有限公司的第三人之利益。考量本案所涉法律權利之範圍，以及這些權利限制資料存取的時間在會員國各有所異，歐盟法院認為本案所涉之事實並不足以正當化系爭資料近用之限制，但其亦不排除未來有不同的可能，但須個案判斷。
澳洲個人資料洩漏計畫將於二月施行澳洲於2018年2月22日施行個人資料洩漏計畫(Notifiable Data Breaches scheme, NDB scheme)，該計畫源於澳洲早在1988年所定「澳洲隱私原則」(Australian Privacy Principles, APPs)之規定。對象包括部分政府機構、年營業額超過300萬澳幣之企業以及私營醫療機構。 根據該計畫，受APPs約束的機構於發生個資洩露事件時，必須通知當事人以及可能會造成的相關損害，另外也必須通知澳洲私隱辦公室（Office of the Australian Information Commissioner, OAIC）相關資訊。 NBD計畫主要內容如下: 一 、規範對象: 包括澳洲政府機構，年營業額超過300萬澳幣企業和非營利組織、私營醫療機構、信用報告機構、信貸提供者、稅號（TFN）受領人。 若數機構共享個人資料，則該告知義務由各機構自行分配責任。 關於跨境傳輸，根據APPs原則，於澳洲境外之機構必須以契約明定受澳洲隱私法規範，原則上若因境外機構有洩漏之虞，澳洲機構也必須負起責任。 二 、個資洩露之認定: 未經授權進入或擅自公開該機構擁有的個人資訊或個人資料滅失。 可能會對一個或多個人造成嚴重傷害(如身分竊盜、導致個人嚴重經濟損失、就業機會喪失、名譽受損等等)。 個資外洩機構無法通過補救措施防止嚴重損害的風險。 三 、OAIC所扮演之角色: 接受個資外洩之通報。 處理投訴、進行調查並針對違規事件採取其他監管行動。 向業者提供諮詢和指導。 四 、於下列情形可免通知義務: 為維護國家安全或增進公共利益所必要。 與其他法案規定相牴觸者。 五 、通知內容: 洩露資料的種類及狀況。 發生個資外洩事件機構之名稱以及聯繫窗口。 個資當事人應採取之後續行動，避免再度造成損害。 惟NBD 計畫對於個人資料的安全性沒有新的要求，主要是對APPs的補充，針對持有個人資料的機構採取合理措施，保護個人資料免遭濫用、干擾或損失， OAIC目前也正在規劃一系列有關個資洩漏事件指導方針及導入說明手冊。
英國政府制定監管計畫以應對科技巨頭帶來的問題英國政府於2022年5月6日宣布將針對大型企業（major firms）壟斷市場的情況制定新的監管計畫。該監管計畫將重新平衡大型與中小企業和消費者的關係，以利中小企業和消費者受到更好的保護，並使市場競爭環境更為公平。 該監管計畫針對的大型企業，即是國際市場上的科技巨頭（tech giants），如Google and Facebook。此類科技巨頭擁有並控制大量用戶的網路資料，並將該資料應用在特定應用程式與瀏覽器的搜尋演算法上，以確保其市場壟斷地位，使潛在的競爭者難以進入市場，進而影響市場的公平競爭以及消費者的自由選擇權。為解決前揭問題，英國預計透過修法賦予競爭和市場管理局下的「數位市場部門」（Digital Markets Unit, DMU）法定權力與監管權限，並搭配措施與作法如下： 強化市場公平性：英國政府預計提出價格糾紛解決機制，平衡內容提供商（如媒體業與廣告業）與科技巨頭間的議價能力，以確保更為公平、透明的市場。此外，科技巨頭亦應將其演算法之資訊分享給一般公司，避免科技巨頭濫用其市場力量。 增進消費者權益：科技巨頭必須確保消費者在使用資訊設備或服務時有充分的自主權與選擇權。例如，於手機的IOS和 Android 系統之間轉換或是社交軟體帳戶之間的資訊移轉時不會喪失其資料和訊息。DMU也將限制公司預先安裝瀏覽器、社交軟體等APP，讓消費者在APP上有更多選擇權。而隨著新業者進入市場，智慧型手機用戶將可以有更多搜尋引擎和社交平台選擇。此外消費者亦可選擇退出具有針對性的個人化廣告發送，以達成讓消費者擁有更多的資料自主權。 為能有效落實上述措施，DMU將有權指定特定企業為具有「戰略市場地位」（strategic market status）的公司。指定標準將依公司的營業額、對消費者的影響力、對市場活動的影響力、公司的活躍程度與規模等綜合評估，檢視其是否達到強大且根深蒂固的力量（substantial and entrenched market power）。DMU並將針對少數主導數位市場的企業應如何公平對待其用戶和其他公司提出行為準則。被指定的公司若違反相關規範，將面臨全球年營業額最高10%的罰款，如果連續違反，則可被處以全球每日營業額5%的額外罰款。 英國政府期待透過新的監管計畫及未來的修法介入市場競爭，促使市場環境更為公平且適於創新，同時讓消費者擁有更多選擇權。英國新監管計畫之實施情形，值得持續關注。
歐盟個資保護委員會對英國個資傳輸適足性認定之意見英國自2020年1月31日正式脫離歐盟後，即成為歐盟跨境傳輸的「第三國」。能否持續和歐盟國家進行個資傳輸，就須視歐盟對英國跨境資料保護方式和《一般資料保護規範》（General Data Protection Regulation，GDPR）有無認定雙方具有本質上相同的保護程度，又稱為「適足性」（adequacy）的認定。目前，歐盟給予英國跨境傳輸過渡期到2021年7月，在此之後若希望持續不受限制的交流，就須經歐盟執委會（European Commission, EC）通過適足性認定後才得以進行。 2021年2月19日，歐盟執委會提出草案，認為英國的個資保護標準與歐盟的「GDPR」、「執法機關資料保護指令」（Law Enforcement Directive，LED）有適足性之適用。又在4月14日，歐盟個資保護委員會（European Data Protection Board, EDPB）針對歐盟執委會於2月19日所做的認定草案提出兩項意見： 一、肯認英國現行國內資料保護的核心架構中有關個資保護、處理及控制者的要件及處理方式和GDPR的保護程度並駕其驅。另，肯定英國「2018年資料保護法」（Data Protection Act 2018）中有關GDPR及LED的適用及對「英國資訊委員辦公室」（Information Commissioner’s Office, ICO）所賦予的權利及義務。 但同時，EDPB也向歐盟執委會提出以下幾點注意事項： 英國政府若發展獨立的個資保護政策，將可能與歐盟的保護架構分歧，造成個資保護程度降低。 「2018年資料保護法」中的「移民豁免」政策，讓資料控制者在處理移民相關資料時有廣泛的例外，得免於遵循GDPR之義務。 從英國將歐盟成員的資料傳給「第三國」時，該「第三國」本身需要具有基本上等同於GDPR的資料保護程度，才得允許傳輸。 針對英國政府出於國家安全目的，將個人資料傳輸到英國境內，而有義務免除或特殊情狀時，歐盟執委會應進一步了解或審核。 二、 認為英國法律框架中的核心要件實質上與LED的基礎原則具有高度一致性。因此建議歐盟執委會引入四年的日落條款（four-year sunset clause）方式，並密切觀察英國資料保護的發展，在必要時得以要求修改或終止LED適足性的決定。 針對以上問題，歐盟執委會希望能在6月底前廣納各國意見並做出決定。屆時，若通過適足性認定，其效期將延續4年，之後再進行適足性評估。並可能在英國開始制定相關的適足性及資料保護架構時，歐盟執委會得將其納入定期審查的項目中，以確保歐盟的個資跨境傳輸進入英國後，仍受適當的保護。