美國專利與商標局拒絕以AI為發明人的專利申請
美國專利與商標局於2020年4月27日拒絕人工智慧（AI）為發明人之申請並闡明發明人僅限於自然人。本案是美國專利與商標局首次拒絕人工智慧為發明人之申請，同時本最終審查意見（下稱：本意見書）也是第一次闡明發明人僅限於自然人。本意見書也被收錄在美國專利與商標局「人工智慧」、「首席專利審查官最終審查意見」之頁面，作為指標案例。
本意見書是在回應2020年1月20日專利申請申復案（Petition）之審查意見。回顧本專利申請案之基本資料表，發明人名字為「DABUS」、姓氏部分僅以括號註明「由人工智慧自行產生的發明」。本案法定代理人及申請人均為Stephan L. Thaler。Stephan L. Thaler表示，DABUS是一個神經網路系統且「有創意的機器」。美國專利與商標局表示，綜觀美國專利法的用詞（如：Whoever）及立法脈絡，均可得知發明人指的是自然人。具體而言，發明人必須是貢獻發明概念（Conception）的人，專利審查程序手冊（MPEP）定義「發明概念」是一個將發明人「創造行為之心智的完整呈現」（the complete performance of the mental part of the inventive act），僅有自然人具有「心智」（Mental/ Mind），因此發明人僅限於自然人。本審查意見又援引Beech Aircraft Corp. v. EDO Corp.判決，指出「發明人僅限於自然人」。所以，將專利申請基本資料表的姓名欄位填上「DABUS（由人工智慧自行產生的發明）」並不符合美國專利法第115條（35 U.S. Code § 115）。
本案於2019年7月29日提出，隨即於2019年8月8日被美國專利與商標局以「申請文件欠缺，不符合發明人與其繼受人之規範」（35 U.S. Code § 115和37 CFR 1.64）拒絕受理。幾番修正往返後，美國專利與商標局於2019年12月17日仍以「申請文件欠缺」不予受理，Stephan L. Thaler續行申復。美國專利與商標局於2020年4月27日做出本意見書。同一由DABUS創造的發明，但由Ryan Abbott作為申請人的案件，已被歐洲專利局和英國智慧財產局於2019年12月以雷同的理由拒絕。目前美國專利與商標局、歐洲專利局、英國智慧財產局面對人工智慧為發明人之專利申請，立場都是發明人僅限自然人。
本文為「經濟部產業技術司科技專案成果」
朱翊瑄
法律研究員 編譯整理
Petition decision: Inventorship limited to natural persons, USPTO, https://www.uspto.gov/about-us/news-updates/petition-decision-inventorship-limited-natural-persons (last visited June 11, 2020).
歐洲專利局拒絕以AI為發明人的專利申請 https://stli.iii.org.tw/article-detail.aspx?no=55&tp=5&i=180&d=8456
美國聯邦第九巡迴上訴法院於2020年12月針對繼承知名美國兒童繪本暢銷漫畫家蘇斯博士（Dr. Seuss）豐沛創作智財權之蘇斯博士企業（Dr. Seuss Enterprises，後稱原告）指控ComicMix公司及其三位創作成員（後稱被告）侵犯其著作權與商標權一案，作出認定被告侵害原告之著作權判決。 原告指出被告儘管混搭了《星艦迷航記》（Star Trek）之角色元素而提出《Oh, the Places You’ll Boldly Go!》（後稱系爭創作），然而實質上卻抄襲了蘇斯博士於1990年所創作的《Oh, the Places You'll Go!》（後稱原創作），並將該系爭創作於募資平台Kickstarter上籌措出版經費；在2019年3月一審判決中，被告宣稱其以戲謔方式呈現該系爭創作而被美國加州南區聯邦地方法院所採認，即該系爭創作具轉化性（transformative）而屬於著作權之合理使用，為此原告上訴至美國聯邦第九巡迴上訴法院。 上訴法院之判決主要根據美國著作權法第107條合理使用之四項判斷原則，該系爭創作僅僅呼應原創作而未對其進行嘲諷，且亦未增加任何新的表達、意義或訊息，因而認定該系爭創作並不具轉化性且無疑地將該系爭創作進行商業性使用，此外戲謔手法必須在有對受著作權所保護之創作進行批判或評論的情況下才會成立。其中，第三項要素「所利用之質量及其在整個著作所占之比例」為判決之關鍵所在，以量而言，將近百分之六十原創作被該系爭創作所複製，就質而論，該系爭創作竊取了原創作之核心；針對第四項要素「利用結果對著作潛在市場與現在價值之影響」，也因為未具轉化性與商業性使用而實質傷害原創作之市場價值，因而推翻一審判決認定系爭創作侵害原創作之著作權。 至於商標權侵害部分，儘管原創作具獨特品牌字體與創作風格，但上訴法院認為該些獨特風格不應該限制其他創作者之藝術表現，在權衡系爭創作之表達詮釋且未明確誤導消費者該系爭創作之來源，最終駁回原告商標侵權之主張。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
從無形資本於全球價值鏈中角色談智慧財產權對經濟之影響從無形資本於全球價值鏈中角色談智慧財產權對經濟之影響 資訊工業策進會科技法律研究所 法律研究員 許椀婷 107年03月01日 壹、背景說明 現代訊息和通訊、運輸等科技技術的發達，以及各國為促進經濟發展採取之自由貿易政策興盛，使進行國際貿易的成本下降，導致分散多地點生產的成本效益提升，促成全球價值鏈之興起，我國出口以臺灣接單、海外生產之模式，即為全球價值鏈之實踐。全球價值鏈是為實現商品或服務價值，而連結生產、銷售等過程的全球性跨企業網絡，涉及從最初的原料採購和運輸、半成品及成品的生產和分銷、直至最終到消費端和回收處理的整個過程。全球化下各產品供應鏈或全球價值鏈的每一個階段，都涵蓋越來越多無形資本的投入，所謂無形資本為無法觸及的東西，包括外觀、感覺、功能和產品的吸引力等等，對市場的成功與否產生影響。世界智慧財產權組織（World Intellectual Property Organization, WIPO）2017年11月WIPO發布的世界智慧財產權報告（World Intellectual Property Report, WIPR），首次針對無形資本創造的價值進行評估，報告顯示於世界各地流通銷售的產品中，近三分之一來自於無形資本，如品牌、設計和技術[1]，因為智財經常用於保護無形資本，連帶展現智財作用影響力的擴大。藉由觀察報告可了解智慧財產權在無形資本創造附加價值中所扮演的角色，及對於這些資本的回報。 貳、無形資本於全球價值鏈中之角色 1992年宏碁電腦董事長施振榮提出產業發展策略：微笑曲線(smile curve)概念，將企業透過營運產生附加價值之過程分為左、中、右三段，左段為技術、專利，中段為組裝、製造，右段為品牌、服務，曲線看起來像微笑符號是因為中段位置附加價值較低，而在左右兩段附加價值較高，意即要增加企業附加價值，需要發展提升左右端幅度。[2]1970年到2017年全球價值鏈下附加價值之變動，左右二階段的幅度有顯著提升，反映技術、設計、品牌價值、技能和管理知識，也就是無形資本，在動態競爭市場中變得至關重要。[3]企業需不斷對無形資本進行投資，以保持領先。報告區分無形資本為知識型：技術、設計及管理相關訣竅，以及聲譽型：品牌、形象。知識型資本在國際間流動時受各種智慧財產權影響，如專利、工業設計、著作權和營業秘密等。[4]而聲譽型資本是企業於市場成功與否的關鍵，影響產品在全球價價值鏈的分佈。據統計，2000年到2014年無形資本平均占全球製造銷售的所有產品總值的30.4％，[5]等同於消費者所購買之產品有近三分之一的價值由品牌、外觀設計和技術等無形資本所創造。 參、無形資本之智慧財產權的價值創造 WIPO之WIPR報告指出，全球與跨境智慧財產權交易相關的利潤轉移可達約每年1,200億美元。[6]利潤轉移模式一般而言主要於高稅率國家企業發展、提升、維護和保護之智財，往低稅率國家關係企業進行銷售，可藉以在仍保智財持有的情況下，縮減風險，並能再對其他高稅率國家企業進行授權來獲利；如在美國，研發密集型企業傾向於藉由外國子公司流通無形資本，達減稅方面作用。[7]為獲得上述利益，企業對智慧財產權的投資與管理重要性顯而易見。在WIPR報告中對於太陽能光電系統案例分析中，展現有效規劃管理智慧財產權所創造的商業效益之成功案例，中國藉由收購技術、專業人力取得競爭優勢，並以商標增加產品區隔，成就品牌價值，使最初進行光電系統研發的高收入國家在已不受專利保護下，技術漸轉移到新興經濟體，最終受到取代。該案例除充分顯示積極購買、延續智財長期下的效益，亦強調對於製造技術初始的智財防護及維護之重要性。[8] 肆、結論 綜上述，無形資本於全球價值鏈中重要性的提升，連帶智慧財產權對全球經濟產生影響，不僅是智慧財產權流動時所創造的金流，授權時促成的收購及合資等合作關係、技術人員流動進而擴散移轉智慧財產權，都牽動著全球經濟的變化。因仰賴進口及出口競爭力弱化，我國於全球價值鏈體系參與度減少，製造業使用進口原物料比重高，國內產出附加價值相對小。國內產業偏向使用壓縮成本的生產策略，導致實質GDP雖然成長，生產品價格GDP平減指數卻是下降的。[9]要提升國內產出附加價值，我國政府應重視促進對無型資本投資意願之相關措施，涵蓋對於智慧財產權之掌握與管控，以利產出附加價值之提升。智慧財產權對企業無形資產的影響包括使企業長保領先優勢、產生超額利潤、避免受競爭對手模仿等等，藉以發展企業核心競爭力。企業對智慧財產權的管理及運用模式，決定企業發展核心競爭力的成本以及風險。為促使產業能了解智慧財產權的價值所在，進而提升投資無形資本意願，需以政府公共政策之力量導引企業對智慧財產權的運用和管理，據此帶動企業智慧財產權增值。如可以銀行等金融機構為先導示範，開展智慧財產權領域相關的貸款投資，擴增企業對智慧財產權之運用模式。並配合產業發展政策調整智慧財產權申請、利用、管理等相關法制配套，如此一來，便能有效協助降低智慧財產權的管理成本，增進生產利潤。 [1] WORLD INTELLECTUAL PROPERTY ORGANIZATION, WORLD INTELLECTUAL PROPERTY REPORT 2017 – INTANGIBLE CAPITAL IN GLOBAL VALUE CHAINS 11 (2017). [2]施振榮、林文玲，《再造宏碁：開創、成長與挑戰》，天下文化，第二版，頁286（2004）。 [3] WORLD INTELLECTUAL PROPERTY ORGANIZATION WORLD INTELLECTUAL PROPERTY REPORT 2017 – INTANGIBLE CAPITAL IN GLOBAL VALUE CHAINS 10 (2017). [4] WORLD INTELLECTUAL PROPERTY ORGANIZATION [WIPO], World Intellectual Property Report 2017-Intangible Capital in Global Value Chains (2017), at 30-31, http://www.wipo.int/edocs/pubdocs/en/wipo_pub_944_2017.pdf (last visited Dec. 15, 2017) [5] WORLD INTELLECTUAL PROPERTY ORGANIZATION [WIPO], World Intellectual Property Report 2017-Intangible Capital in Global Value Chains (2017), at 11, http://www.wipo.int/edocs/pubdocs/en/wipo_pub_944_2017.pdf (last visited Dec. 15, 2017) [6] WORLD INTELLECTUAL PROPERTY ORGANIZATION [WIPO], World Intellectual Property Report 2017-Intangible Capital in Global Value Chains (2017), at 32, http://www.wipo.int/edocs/pubdocs/en/wipo_pub_944_2017.pdf (last visited Dec. 15, 2017) [7] Id. [8] WORLD INTELLECTUAL PROPERTY ORGANIZATION [WIPO], World Intellectual Property Report 2017-Intangible Capital in Global Value Chains (2017), at 71-90, http://www.wipo.int/edocs/pubdocs/en/wipo_pub_944_2017.pdf (last visited Dec. 15, 2017) [9]林依伶、楊子霆，〈經濟成長、薪資停滯？初探台灣實質薪資與勞動生產力成長脫勾之成因〉（2017）。
通用人工智慧的透明揭露標準--歐盟通用人工智慧模型實踐準則「透明度 (Transparency)」章通用人工智慧的透明揭露標準--歐盟通用人工智慧模型實踐準則「透明度 (Transparency)」章 資訊工業策進會科技法律研究所 2025年08月06日 歐盟人工智慧辦公室(The European AI Office，以下簡稱AIO) 於2025年7月10日提出《人工智慧法案》（AI Act, 以下簡稱AIA法案）關於通用型人工智慧實作的準則[1] (Code of Practice for General-Purpose AI Models，以下簡稱「GPAI實踐準則」)，並於其中「透明度 (Transparency)」章節[2]，針對歐盟AIA法案第53條第1項(a)、(b)款要求GPAI模型的提供者必須準備並提供給下游的系統整合者 (integrator) 或部署者 (deployer) 足夠的資訊的義務，提出模型文件(Model Documentation)標準與格式，協助GPAI模型提供者制定並更新。 壹、事件摘要 歐盟為確保GPAI模型提供者遵循其AI法案下的義務，並使AIO能夠評估選擇依賴本守則以展現其AI法案義務合規性的通用人工智慧模型提供者之合規情況，提出GPAI實踐準則。當GPAI模型提供者有意將其模型整合至其AI系統的提供者（以下稱「下游提供者」）及應向AIO提供相關資訊，其應依透明度章節要求措施(詳下述)提出符合內容、項目要求的模型文件，並予公開揭露且確保已記錄資訊的品質、安全性及完整性 (integrity)。 由於GPAI模型提供者在AI價值鏈 (AI value chain) 中具有特殊角色和責任，其所提供的模型可能構成一系列下游AI系統的基礎，這些系統通常由需要充分了解模型及其能力的下游提供者提供，以便將此類模型整合至其產品中並履行其AIA法案下的義務。而相關資訊的提供目的，同時也在於讓AIO及國家主管機關履行其AI法案職責，特別是高風險AI的評估。 AIO指出完整填寫與定期更新模型文件，是履行AIA法案第53條義務的關鍵步驟。GPAI模型提供者應建立適當的內部程序，確保資訊的準確性、時效性及安全性。模型文件所含資訊的相關變更，包括同一模型的更新版本，同時保留模型文件的先前版本，期間至模型投放市場後10年結束。 貳、重點說明 一、制定並更新模型文件(措施1.1) 透明度 (Transparency)章節提供模型文件的標準表格，做為GPAI實踐準則透明度章節的核心工具，協助GPAI模型提供者有系統性的整理並提供AIA法案所要求的各項資訊。表格設計考量了不同利害關係人的資訊需求，確保在保護商業機密的同時，滿足監管透明度的要求。 前揭記錄資訊依其應提供對象不同，各欄位已有標示區分該欄資訊係用於AI辦公室 (AIO)、國家主管機關 (NCAs) 或下游提供者 (DPs)者。適用於下游提供者的資訊，GPAI模型提供者應主動提供(公開揭露)，其他則於被請求時始須提供(予AIO或NCAs)。 除基本的文件最後更新日期與版本資訊外，應提供的資訊分為八大項，內容應包括： (一)、一般資訊General information 1.模型提供者法律名稱(Legal name) 2.模型名稱(Model name)：模型的唯一識別碼（例如 Llama 3.1-405B），包括模型集合的識別碼（如適用），以及模型文件涵蓋之相關模型公開版本的名稱清單。 3.模型真實性(Model authenticity)：提供明確的資訊例如安全雜湊或URL端點，來幫助使用者確認這個模型的來源 (Provenance)、是否真實性未被更動 (Authenticity)。 4.首次發布日(Release date)與首次投放歐盟市場的日期(Union market release date)。 5.模型依賴(Model dependencies)：若模型是對一個或多個先前投放市場的GPAI模型進行修改或微調的結果，須列出該等模型的名稱（及相關版本，如有多個版本投放市場）。 (二)、模型屬性(Model properties) 1.Model architecture 模型架構：模型架構的一般描述，例如轉換器架構 (transformer architecture)。 2.Design specifications of the model 模型設計規格：模型主要設計規格的一般描述，包括理由及所作假設。 3.輸出/入的模式與其最大值(maximum size)：說明係文字、影像、音訊或視訊模式與其最大的輸出/入的大小。 4.模型總參數量(model size)與其範圍(Parameter range)：提供模模型參數總數，記錄至少兩個有效數字，例如 7.3*10^10 參數，並勾選參數(大小)所在範圍的選項，例如：☐>1T。 (三)、發佈途徑與授權方式(Methods of distribution and licenses) 1.發佈途徑Distribution channels：列舉在歐盟市場上使用模型的採用法，包括API、軟體套裝或開源倉庫。 2.授權條款License：附上授權條款鏈結或在要求時提供副本；說明授權類型如: 開放授權、限制性授權、專有授權；列出尚有提供哪些相關資源(如訓練資料、程式碼)與其存取方式、使用授權。 (四)、模型的使用(Use) 1.可接受的使用政策Acceptable Use Policy：附上可接受使用政策連結或副本或註明無政策。 2.預期用途或限制用途Intended uses：例如生產力提升、翻譯、創意內容生成、資料分析、資料視覺化、程式設計協助、排程、客戶支援、各種自然語言任務等或限制及/或禁止的用途。 3.可整合AI系統之類型Type and nature of AI systems：例如可能包括自主系統、對話助理、決策支援系統、創意AI系統、預測系統、網路安全、監控或人機協作。 4.模型整合技術方式Technical means for integration：例如使用說明、基礎設施、工具）的一般描述。 5.所需軟硬體資源Required hardware與software：使用模型所需任何軟硬體（包括版本）的描述，若不適用則填入「NA」。 (五)、訓練過程(Training process) 1.訓練過程設計規格(Design specifications of the training process)：訓練過程所涉主要步驟或階段的一般描述，包括訓練方法論及技術、主要設計選擇、所作假設及模型設計最佳化目標，以及不同參數的相關性（如適用）。例如：「模型在人類偏好資料集上進行10個輪次的後訓練，以使模型與人類價值觀一致，並使其在回應使用者提示時更有用」。 2.設計決策理由(Decision rationale)：如何及為何在模型訓練中做出關鍵設計選擇的描述。 (六)、用於訓練、測試及驗證的資料資訊(Information on the data used for training, testing, and validation) 1.資料類型樣態Data type/modality：勾選樣態包括文字、影像、音訊、視訊或說明有其他模態。 2.資料來源Data provenance：勾選來源包括網路爬蟲、從第三方取得的私人非公開資料集、使用者資料、公開資料集、透過其他方式收集的資料、非公開合成(Synthetic )資料等。 3.資料取得與選取方式(How data was obtained)：取得及選擇訓練、測試及驗證資料使用方法的描述，包括用於註釋資料的方法及資源，以及用於生成合成資料的模型及方法。從第三方取得的資料，如果權利取得方式未在訓練資料公開摘要中披露，應描述該方式。 4.資料點數量Number of data points：說明訓練、測試及驗證資料的大小（資料點數量），連同資料點單位的定義（例如代幣或文件、影像、視訊小時或幀）。 5.資料範疇與特性(Scope and characteristics)：指訓練、測試及驗證資料範圍及主要特徵的一般描述，如領域（例如醫療保健、科學、法律等）、地理（例如全球、限於特定區域等）、語言、模式涵蓋範圍。 6.資料清理處理方法(Data curation methodologies)：指將獲取的資料轉換為模型訓練、測試及驗證資料所涉及的資料處理一般描述，如清理（例如過濾不相關內容如廣告）、資料擴增。 7.不當資料檢測措施(Measures for unsuitability)：在資料獲取或處理中實施的任何方法描述（如有），以偵測考慮模型預期用途的不適當資料源，包括但不限於非法內容、兒童性虐待材料 (CSAM)、非同意親密影像 (NCII)，以及導致非法處理的個人資料。 8.可識別偏誤檢測措施(Measures to detect identifiable biases)：描述所採取的偵測與矯正訓練資料存在偏誤的方法。 (七)、訓練期間的計算資源(Computational resources (during training)) 1.訓練時間(Training time)：所測量期間及其時間的描述。 2.訓練使用的計算量(Amount of computation used for training)：說明訓練使用的測量或估計計算量，以運算表示並記錄至其數量級（例如 10^24 浮點運算）。 3.測量方法論(Measurement methodology)：描述用於測量或估計訓練使用計算量的方法。 (八)、訓練及推論的能源消耗(Energy consumption (during training and inference)) 1.訓練耗能(Amount of energy used for training)及其計量方法：說明訓練使用的測量或估計能源量，以百萬瓦時表示（例如 1.0x10^2 百萬瓦時）。若模型能源消耗未知，可基於所使用計算資源的資訊估計能源消耗。若因缺乏計算或硬體提供者的關鍵資訊而無法估計訓練使用能源量，提供者應披露所缺乏的資訊類型。 2.推論運算耗能的計算基準 (Benchmarked amount of computation used for inference1)及其方法：以浮點運算表示方式（例如 5.1x10^17 浮點運算）說明推論運算的基準計算量，並提供計算任務描述（例如生成100000個代幣Token）及用於測量或估計的硬體（例如 64個Nvidia A100）。 二、提供GPAI模型相關資訊(措施1.2) 通用人工智慧模型投放市場時，應透過其網站或若無網站則透過其他適當方式，公開揭露聯絡資訊，供AIO及下游提供者請求取得模型文件中所含的相關資訊或其他必要資訊，以其最新形式提供所請求的資訊。 於下游提供者請求時，GPAI模型提供者應向下游提供者提供最新模型文件中適用於下游提供者的資訊，在不影響智慧財產權及機密商業的前提下，對使其充分了解GPAI模型的能力及限制，並使該等下游提供者能夠遵循其AIA法案義務。資訊應在合理時間內提供，除特殊情況外不得超過收到請求後14日。且該資訊的部分內容可能也需要以摘要形式，作為GPAI模型提供者根據AIA法案第53條第1項(d)款必須公開提供的訓練內容摘要 (training content summary) 的一部分。 三、確保資訊品質、完整性及安全性(措施1.3) GPAI模型提供者應確保資訊的品質及完整性獲得控制，並保留控制證據以供證明遵循AIA法案，且防止證據被非預期的變更 (unintended alterations)。在制定、更新及控制資訊及記錄的品質與安全性時，宜遵循既定協議 (established protocols) 及技術標準 (technical standards)。 參、事件評析 一、所要求之資訊完整、格式標準清楚 歐盟AGPAI實踐準則」的「透明度 (Transparency)」提供模型文件的標準表格，做為GPAI實踐準則透明度章節的核心工具，從名稱、屬性、功能等最基本的模型資料，到所需軟硬體、使用政策、散佈管道、訓練資料來源、演算法設計，甚至運算與能源消秏等，構面完整且均有欄位說明，而且部分欄位直接提供選項供勾選，對於GPAI模型提供者提供了簡明容易的AIA法案資訊要求合規做法。 二、表格設計考量不同利害關係人的資訊需求 GPAI實踐準則透明度章節雖然主要目的是為GPAI模型提供者對由需要充分了解模型及其能力的下游提供者提供資訊，以便其在產品履行AIA法案下的義務。但相關資訊的提供目的，同時也在於讓AIO及國家主管機關履行其AI法案職責，特別是高風險AI的評估。因此，表格的資訊標示區分該欄資訊係用於AI辦公室 (AIO)、國家主管機關 (NCAs) 或下游提供者 (DPs)者，例如模型的訓練、資料清理處理方法、不當內容的檢測、測試及驗證的資料來源、訓練與運算的能秏、就多屬AIO、NCAs有要求時始須提供的資料，無須主動公開也兼顧及GPAI模型提供者的商業機密保護。 三、配套要求公開並確保資訊品質 該準則除要求GPAI模型提供者應記錄模型文件，並要求於網站等適當地，公開提供下游提供者請求的最新的資訊。而且應在不影響智慧財產權及機密商業的前提下，提供其他對使其充分了解GPAI模型的能力及限制的資訊。同時，為確保資訊的品質及完整性獲得控制，該準則亦明示不僅應落實且應保留證據，以防止資訊被非預期的變更。 四、以透明機制落實我國AI基本法草案的原則 我國日前已由國科會公告人工智慧基本草案，草案揭示「隱私保護與資料治理」、「妥善保護個人資料隱私」、「資安與安全 」、「透明與可解釋 」、「公平與不歧視」、「問責」原則。GPAI實踐準則透明度章節，已提供一個重要的啟示—透過AI風險評測機制，即可推動GPAI模型資訊的揭露，對相關資訊包括訓練資料來源、不當內容防止採取做一定程度的揭露要求。 透過相關資訊揭露的要求，即可一定程度促使AI開發提供者評估認知風險，同時採取降低訓練資料、生成結果侵權或不正確的措施。即便在各領域作用法尚未能建立落實配套要求，透過通過評測的正面效益，運用AI風險評測機制的資訊提供要求，前揭草案揭示的隱私、著作、安全、問責等原則，將可以立即可獲得一定程度的實質落實，緩解各界對於AI侵權、安全性的疑慮。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]The European AI Office, The General-Purpose AI Code of Practice, https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai 。(最後閱覽日：2025/07/30) [2]The European AI Office, Code of Practice for General-Purpose AI Models–Transparency Chapter, https://ec.europa.eu/newsroom/dae/redirection/document/118120 。(最後閱覽日：2025/07/30)
資通安全管理法之簡介與因應資通安全管理法之簡介與因應 資訊工業策進會科技法律研究所 2019年6月25日 壹、事件摘要 隨著網路科技的進步，伴隨著資安風險的提升，世界各國對於資安防護的意識逐漸升高，紛紛訂定相關之資安防護或因應措施。為提升國內整體之資通安全防護能量，我國於107年5月經立法院三讀通過「資通安全管理法」（以下簡稱資安法），並於同年6月6日經總統公布，期望藉由資通安全管理法制化，有效管理資通安全風險，以建構安全完善的數位環境。觀諸資通安全管理法共計23條條文外，另授權主管機關訂定「資通安全管理法施行細則」、「資通安全責任等級分級辦法」、「資通安全事件通報及應變辦法、「特定非公務機關資通安全維護計畫實施情形稽核辦法」、「資通安全情資分享辦法」及「公務機關所屬人員資通安全事項獎懲辦法」等六部子法，建置了我國資通安全管理之法制框架。然而，資安法及相關子法於108年1月1日實施後，各機關於適用上不免產生諸多疑義，故本文擬就我國資通安全管理法之規範重點為扼要說明，作為各機關遵法之參考建議。 貳、重點說明 一、規範對象 資安法所規範之對象，主要可分為公務機關及特定非公務機關。公務機關依資安法第3條第5款之定義，指依法行使公權力之中央、地方機關（構）或公法人，但不包含軍事機關及情報機關。故公務機關包含各級中央政府、直轄市、縣（市）政府機關、依公法設立之法人（如農田水利會[1]、行政法人[2]）、公立學校、公立醫院等，均屬公務機關之範疇。惟考量軍事及情報機關之任務性質特殊，故資安法排除軍事及情報機關之適用[3]。 特定非公務機關依資安法第3條第6款之規定，指關鍵基礎設施提供者、公營事業及政府捐助之財團法人。關鍵基礎設施提供者另依該法第16條第1項規定，須經中央目的事業主管機關於徵詢相關公務機關、民間團體、專家學者之意見後指定，報請行政院核定，並以書面通知受核定者。須注意者為該指定行為具行政處分之性質，如受指定之特定非公務機關對此不服，則可循行政救濟程序救濟之。目前各關鍵基礎設施領域，預計將於108年下半年陸續完成關鍵基礎設施提供者之指定程序[4]。 此外，政府捐助之財團法人，依該法第3條第9項之規定，指其營運及資金運用計畫應依預算法第41條第3項規定送立法院，及其年度預算書應依同條第4項規定送立法院審議之財團法人。故如為地方政府捐助之財團法人，則非屬資安法所稱特定非公務機關之範圍。公營事業之認定，則可參考公營事業移轉民營條例第3條之規定，指（一）各級政府獨資或合營者；（二）政府與人民合資經營，且政府資本超過百分之五十者；（三）政府與前二款公營事業或前二款公營事業投資於其他事業，其投資之資本合計超過該投資事業資本百分之五十者。目前公營事業如臺灣電力股份有限公司、中華郵政股份有限公司、臺灣自來水股份有限公司等均屬之。 二、責任內容 資安法之責任架構，可區分為「事前規劃」、「事中維運」及「事後改善」等三個階段，分述如下： （一）事前規劃 就事前規劃部分，資安法要求各公務機關及特定非公務機關均應先規劃及訂定「資通安全維護計畫」及「資通安全事件通報應變機制」，使各機關得據此落實相關之資安防護措施，各機關並應依據資通安全責任等級分級辦法之規定，依其重要性進行責任等級之分級，辦理分級辦法中所要求之應辦事項[5]，並將應辦事項納入安全維護計畫中。 此外，在機關所擁有之資通系統[6]部分，各機關如有自行或委外開發資通系統，尚應依據分級辦法就資通系統進行分級（分為高、中、普三級），並就系統之等級採取相應之防護基準措施，以高級為例，從7大構面中，共須採取75項控制措施。 （二）事中維運 事中維運部分，資安法要求各機關應定期提出資通安全維護計畫之實施情形，上級或中央目的事業主管機關並應定期進行各機關之實地稽核及資通安全演練作業。各機關如有發生資通安全事件，應於機關知悉資通安全事件發生時，於規定時間內[7]，依機關訂定之通報應變機制採取資通安全事件之通報及損害控制或復原措施，以避免資通安全事件之擴大。 （三）事後改善 在事後改善部分，如各機關發生資通安全事件或於稽核時發現缺失，則均應進行相關缺失之改善，提出改善報告，並應針對缺失進行追蹤評估，以確認缺失改善之情形。 三、情資分享 為使資通安全情資流通，並考量網路威脅可能來自於全球各地，資安法第8條規定主管機關應建立情資分享機制，進行情資之國際合作。情資分享義務原則於公務機關間，就特定非公務機關部分，為鼓勵公私間之協力合作，故規定特定非公務機關得與中央目的事業主管機關進行情資分享。 我國已於107年1月將政府資安資訊分享與分析中心（G-ISAC）調整提升至國家層級並更名為「國家資安資訊分享與分析中心」（National Information Sharing and Analysis Center, N-ISAC）。透過情資格式標準化與系統自動化之分享機制，提升情資分享之即時性、正確性及完整性，建立縱向與橫向跨領域之資安威脅與訊息交流，以達到情資迅速整合、即時分享及有效應用之目的[8]。 四、罰則 為使資安法之相關規範得以落實，資安法就公務機關部分，訂有公務機關所屬人員資通安全事項獎懲辦法以資適用。公務機關應依據獎懲辦法之內容，配合機關內部之人事考評規定訂定獎懲基準，而獎懲辦法適用之人員，除公務人員外，尚包含機關內部之約聘僱人員。就特定非公務機關部分，資安法則另訂有相關之罰則，針對未依資安法及相關規定辦理應辦事項之特定非公務機關，中央目的事業主管機關得令限期改正，並按情節處10萬至100萬元之罰鍰。惟就資通安全事件通報部分，因考量其影響範圍層面較廣，故規定特定非公務機關如未依規定進行通報，則可處以30萬元至500萬元之罰鍰。 參、事件評析 公務機關及特定非公務機關為落實資安法之相關規範，勢必投入相關之資源及人力，以符合資安法之要求。考量公務機關或特定非公務機關之資源有限，故建議可從目前組織內部所採用之個人資料保護或資訊安全管理措施進行盤點與接軌，以避免資源或相關措施重複建置，以下則列舉幾點建議： 一、風險評估與安全措施 資安法施行細則第6條要求安全維護計畫訂定風險評估、安全防護及控制措施機制，與個人資料保護法施行細則第12條要求建立個人資料風險評估及管理機制之規定相似，故各機關於適用上可協調內部之資安與隱私保護機制，共同擬訂單位內部之風險評估方式與管理措施規範。 二、通報應變措施 資安法第18條要求機關應訂定資通安全事件通報應變機制，而個人資料保護法第12條亦規定有向當事人通知之義務，兩者規定雖不盡相同，惟各機關於訂定通報應變機制上，可將兩者通報應變程序進行整合，以簡化通報流程。 三、委外管理監督 資安法第9條要求機關負有對於委外廠商之監管義務，個人資料保護法施行細則第8條亦訂有委託機關應對受託者為適當監督之規範。兩者規範監督之內容雖不同，惟均著重對於資料安全及隱私之保護，故各機關可從資料保護層面著手，訂定資安與個人資料保護共同之檢核項目，來進行委外廠商資格之檢視，並將資安法及個人資料保護法之相關要求分別納入委外合約中。 四、資料盤點及文件保存 資安法施行細則第6條要求於建置安全維護計畫時，須先進行內部之資產盤點及分級，而個人資料保護法施行細則第12條中，則要求機關須訂有使用記錄、軌跡資料及證據保存之安全措施。故各機關於資產盤點時，可建立內部共同之資料盤點清單及資料管理措施，並增加資料使用軌跡紀錄，建置符合資安與個人資料之資產盤點及文件軌跡保存機制。 [1] 參水利法第12條。 [2] 參中央行政機關組織基準法第37條。 [3] 軍事及情報機關依資通安全管理法施行細則第2條規定，軍事機關指國防部及其所屬機關（構）、部隊、學校；情報機關指國家情報工作法第3條第1項第1款（包含國家安全局、國防部軍事情報局、國防部電訊發展室、國防部軍事安全總隊）及第2項規定之機關。另須注意依國家情報工作法第3條第2項規定，行政院海岸巡防署、國防部政治作戰局、國防部憲兵指揮部、內政部警政署、內政部移民署及法務部調查局等機關（構），於其主管之有關國家情報事項範圍內，視同情報機關。 [4] 羅正漢，〈臺灣資通安全管理法上路一個月，行政院資安處公布實施現況〉，iThome, 2019/02/15，https://www.ithome.com.tw/news/128789 （最後瀏覽日：2019/5/13）。 [5] 公務機關及特定非公務機關之責任等級目前分為A、B、C、D、E等五級，各機關應依據其責任等級應從管理面、技術面及認知與訓練面向，辦理相應之事項。 [6] 資通系統之定義，依資通安全管理法第3條第1款之規定，指用以蒐集、控制、傳輸、儲存、流通、刪除資訊或對資訊為其他處理、使用或分享之系統。 [7] 公務機關及特定非公務機關於知悉資通安全事件後，應於1小時內依規定進行資通安全事件之通報；如為第一、二級資通安全事件，並應於知悉事件後72小時內完成損害控制或復原作業，第三、四級資通安全事件，則應於知悉事件後36小時內完成損害控制或復原作業。 [8] 〈國家資安資訊分享與分析中心(N-ISAC)〉，行政院國家資通安全會報技術服務中心，https://www.nccst.nat.gov.tw/NISAC（最後瀏覽日：2019/5/14）。