美國情報體系發布「情報體系運用人工智慧倫理架構」
美國國家情報體系（United States Intelligence Community）係於1981年依據行政命令第12333號（Executive Order 12333）所建立，其任務為蒐集、分析與提供外國情報與反情報資訊美國國家領導人，服務對象包含美國總統、執法單位以及軍事單位。其於2020年6月提出「情報體系人工智慧倫理架構」（Artificial Intelligence Ethics Framework for the Intelligence Community），為人工智慧系統與訓練資料、測試資料之採購、設計、研發、使用、保護、消費與管理提出指引，並指出人工智慧之利用須遵從以下事項：
一、於經過潛在風險評估後，以適當且符合目的之方法利用；
二、人工智慧之使用應尊重個人權利與自由，且資料取得應合法且符合相關政策與法規之要求；
三、應於利用程序內結合人類判斷與建立問責機制，以因應AI產品之風險並確保其決策之適當性。
四、於不破壞其功能與實用性之前提下，盡可能確認、統計以及降低潛在之歧視問題。
五、AI進行測試時應同時考量其未來利用上可預見之風險。
六、持續維持AI模型之迭代（Iteration）、版本與改動之審查。
七、AI之建立目的、限制與設計之輸出項目，應文件化。
八、盡可能使用可解釋與可理解之方式，讓使用者、審查者與公眾理解為何AI會產出相關決策。
九、持續不定期檢測AI，以確保其符合當初建置之目的。
十、確認AI於產品循環中各階段之負責人，包含其維護相關紀錄之責任。
本文為「經濟部產業技術司科技專案成果」
余和謙
法律研究員 編譯整理
Intelligence Community, Principle of Artificial Intelligence Ethics For The Intelligence Community（2020）, https://www.intelligence.gov/artificial-intelligence-ethics-framework-for-the-intelligence-community (last visited Aug. 10, 2020).
吳佳琳，〈歐盟公布人工智慧白皮書〉，法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8427&no=64（最後瀏覽日：2020/08/10）。
蔡宜臻，〈歐盟議會發布《可信賴人工智慧倫理準則》〉，法律要聞，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=0&d=8248&no=64（最後瀏覽日：2020/08/10）。
歐盟執委會發布《受禁止人工智慧行為指引》 資訊工業策進會科技法律研究所 2025年02月24日 歐盟繼《人工智慧法》[1]（Artificial Intelligence Act, 下稱AI Act）於2024年8月1日正式生效後，針對該法中訂於2025年2月2日始實施之第5條1，有關「不可接受風險」之內容中明文禁止的人工智慧行為類型，由歐盟執委會於2025年2月4日發布《受禁止人工智慧行為指引》[2]。 壹、事件摘要 歐盟AI Act於2024年8月1日正式生效，為歐盟人工智慧系統引入統一之人工智慧風險分級規範，主要分為四個等級[3]： 1. 不可接受風險（Unacceptable risk） 2. 高風險（High risk） 3. 有限風險，具有特定透明度義務（Limited risk） 4. 最低風險或無風險（Minimal to no risk） AI Act之風險分級系統推出後，各界對於法規中所說的不同風險等級的系統，究竟於實務上如何判斷？該等系統實際上具備何種特徵？許多內容仍屬概要而不確定，不利於政府、企業遵循，亦不利於各界對人工智慧技術進行監督。是以歐盟本次針對「不可接受風險」之人工智慧系統，推出相關指引，目的在明確化規範內涵規範，協助主管機關與市場參與者予以遵循。 貳、重點說明 一、AI Act本文第5條1（a）、（b）－有害操縱、欺騙與剝削行為 （一）概念說明 本禁止行為規定旨在防止透過人工智慧系統施行操縱與剝削，使他人淪為實現特定目的工具之行為，以保護社會上最為脆弱且易受有害操控與剝削影響的群體。 （二）禁止施行本行為之前提要件 1.該行為必須構成將特定人工智慧系統「投放於歐盟市場」（placing on the market）[4]、「啟用」（putting into service）[5]或「使用」（use）[6]。 2.應用目的：該人工智慧系統所採用的技術具有能實質扭曲個人或團體行為的「目的」或「效果」，此種扭曲明顯削弱個人或團體做出正確決定的能力，導致其做出的決定偏離正常情形。 3.技術特性：關於(a)有害的操縱與欺騙部分，係指使用潛意識（超出個人意識範圍）、或刻意操控或欺騙的技術；關於(b)有害地利用弱勢群體部分，是指利用個人年齡、身心障礙或社會經濟狀況上弱點。 4.後果：該扭曲行為已造成或合理可預見將造成該個人、另一人或某群體的重大傷害。 5.因果關係：該人工智慧系統所採用的技術、個人或團體行為的扭曲，以及由此行為造成或可合理預見將造成的重大傷害之間，具備相當因果關係。 二、AI Act本文第5條1（c）－社會評分行為 （一）概念說明 本禁止行為規定旨在防止透過人工智慧系統進行「社會評分」可能對特定個人或團體產生歧視和不公平的結果，以及引發與歐盟價值觀不相容的社會控制與監視行為。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該人工智慧系統必須用於對一定期間內，自然人及群體的社會行為，或其已知、預測的個人特徵或人格特質進行評價或分類。 3.後果：透過該人工智慧系統所產生的社會評分，必須可能導致個人或群體，在與評分用資料生成或蒐集時無關的環境遭受不利待遇，或遭受與其行為嚴重性不合比例的不利待遇。 三、AI Act本文第5條1（d）－個人犯罪風險評估與預測行為 （一）概念說明 本禁止行為規定之目的，旨在考量自然人應依其實際行為接受評判，而非由人工智慧系統僅基於對自然人的剖析、人格特質或個人特徵等，即逕予評估或預測個人犯罪風險。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該人工智慧系統必須生成旨在評估或預測自然人施行犯罪行為風險的風險評估結果。 3.後果：前述風險評估結果僅依據於對自然人的剖析，或對其人格特質與個人特徵的評估。 4.除外規定：若人工智慧系統係基於與犯罪活動直接相關的客觀、可驗證事實，針對個人涉入犯罪活動之程度進行評估，則不適用本項禁止規定。 四、AI Act本文第5條1（e）－無差別地擷取（Untargeted Scraping）臉部影像之行為 （一）概念說明 本禁止行為規定之目的，旨在考量以人工智慧系統從網路或監視器影像中無差別地擷取臉部影像，用以建立或擴充人臉辨識資料庫，將嚴重干涉個人的隱私權與資料保護權，並剝奪其維持匿名的權利。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該行為以建立或擴充人臉辨識資料庫為目的。 3.技術特性：填充人臉辨識資料庫的方式係以人工智慧工具進行「無差別的擷取行為」。 4.因果關係：建立或擴充人臉辨識資料庫之影像來源，須為網路或監視器畫面。 五、AI Act本文第5條1（f）－情緒辨識行為 （一）概念說明 本禁止行為規定之目的，旨在考量情緒辨識可廣泛應用於分析消費者行為，以更有效率的手段執行媒體推廣、個人化推薦、監測群體情緒或注意力，以及測謊等目的。然而情緒表達在不同文化、情境與個人反應皆可能存在差異，缺乏明確性、較不可靠且難以普遍適用，因此應用情緒辨識可能導致歧視性結果，並侵害相關個人或群體的權利，尤以關係較不對等的職場與教育訓練環境應加以注意。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該系統係用於推斷情緒。 3.因果關係：該行為發生於職場或教育訓練機構。 4.除外規定：為醫療或安全目的而採用的人工智慧系統不在禁止範圍內。例如在醫療領域中，情緒辨識可協助偵測憂鬱症、預防自殺等，具有正面效果。 六、AI Act本文第5條1（g）－為推測敏感特徵所進行之生物辨識分類行為 （一）概念說明 本禁止行為規定之目的，旨在考量利用人工智慧之生物辨識分類系統（Biometric Categorisation System）[7]，可依據自然人的生物辨識資料用以推斷其性取向、政治傾向、信仰或種族等「敏感特徵」在內的各類資訊，並可能在當事人不知情的情況下依據此資訊對自然人進行分類，進而可能導致不公平或歧視性待遇。 （二）禁止施行本行為之前提要件 1.該行為必須屬於將特定人工智慧系統「投放於歐盟市場」、「啟用」或「使用」。 2.應用目的：該行為係針對個人進行分類；而其辨識目的係為推斷其種族、政治傾向、工會成員身分、宗教或哲學信仰、性生活或性取向等。 3.技術特性：該系統必須為利用人工智慧，並依據自然人的生物辨識資料，將其歸類至特定類別之生物辨識分類系統。 4.因果關係：前述分類依據為其生物辨識資訊。 5.除外規定：本項禁止規定未涵蓋對合法取得的生物辨識資料進行標記（Labelling）或過濾（Filtering）行為，如用於執法目的等。 七、AI Act本文第5條1（h）－使用即時遠端生物辨識（Remote Biometric Identification, RBI）系統[8]執法[9]之行為 （一）概念說明 本禁止行為規定之目的，旨在考量在公共場所使用即時RBI系統進行執法，可能對人民權利與自由造成嚴重影響，使其遭受監視或間接阻礙其行使集會自由及其他基本權利。此外，RBI系統的不準確性，將可能導致針對年齡、族群、種族、性別或身心障礙等方面的偏見與歧視。 （二）禁止施行本行為之前提要件 1.該行為必須涉及對即時RBI系統的「使用」行為。 2.應用目的：使用目的須為執法需要。 3.技術特性：該系統必須為利用人工智慧，在無需自然人主動參與的情況下，透過遠距離比對個人生物辨識資料與參考資料庫中的生物辨識資料，從而達成識別自然人身份目的之RBI系統。 4.因果關係：其使用情境須具備即時性，且使用地點須為公共場所。 參、事件評析 人工智慧技術之發展固然帶來多樣化的運用方向，惟其所衍生的倫理議題仍應於全面使用前予以審慎考量。觀諸歐盟AI Act與《受禁止人工智慧行為指引》所羅列之各類行為，亦可觀察出立法者對人工智慧之便利性遭公、私部門用於「欺詐與利用」及「辨識與預測」，對《歐盟基本權利憲章》[10]中平等、自由等權利造成嚴重影響的擔憂。 為在促進創新與保護基本權利及歐盟價值觀間取得平衡，歐盟本次爰參考人工智慧系統提供者、使用者、民間組織、學術界、公部門、商業協會等多方利害關係人之意見，推出《受禁止人工智慧行為指引》，針對各項禁止行為提出「概念說明」與「成立條件」，期望協助提升歐盟AI Act主管機關等公部門執行相關規範時之法律明確性，並確保具體適用時的一致性。於歐盟內部開發、部署及使用人工智慧系統的私部門企業與組織，則亦可作為實務參考，有助確保其自身在遵守AI Act所規定的各項義務前提下順利開展其業務。 [1]European Union, REGULATION (EU) 2024/1689 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL (2024), https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202401689 (last visited Feb. 24, 2025). [2]Commission publishes the Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act., European Commission, https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act (last visited Feb. 24, 2025). [3]AI Act, European Commission, https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (last visited Feb. 24, 2025). [4]依據本指引第2.3點，所謂「投放於歐盟市場」（placing on the market），係指該人工智慧系統首次在歐盟市場「提供」；所謂「提供」，則係指在商業活動過程中，以收費或免費方式將該AI系統供應至歐盟市場供分發或使用。 [5]依據本指引第2.3點，所謂「啟用」（putting into service），係指人工智慧系統供應者為供應使用者首次使用或自行使用，而於歐盟內供應人工智慧系統。 [6]依據本指引第2.3點，「使用」（use）之範疇雖未在AI Act內容明確定義，惟應廣義理解為涵蓋人工智慧系統在「投放於歐盟市場」或「啟用」後，其生命週期內的任何使用或部署；另參考AI Act第5條的規範目的，所謂「使用」應包含任何受禁止的誤用行為。 [7]依據AI Act第3條(40)之定義，生物辨識分類系統係指一種依據自然人的生物辨識資料，將其歸類至特定類別之人工智慧系統。 [8]依據AI Act第3條(41)之定義，RBI系統係指一種在無需自然人主動參與的情況下，透過遠距離比對個人生物辨識資料與參考資料庫中的生物辨識資料，從而達成識別自然人身份目的之人工智慧系統。 [9]依據AI Act第3條(46)之定義，「執法（law enforcement）」一詞，係指由執法機關或其委任之代表，代替其執行目的包括預防、調查、偵測或起訴刑事犯罪，或執行刑事處罰，並涵蓋防範與應對公共安全威脅等範疇之行為。 [10]CHARTER OF FUNDAMENTAL RIGHTS OF THE EUROPEAN UNION, Official Journal of the European Union, https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:12012P/TXT (last visited Feb. 24, 2025).
德國車輛及其系統新技術研發計畫德國經濟與能源部於2017年11月公布車輛及其系統新技術補助計畫期中報告，補助的研究計畫聚焦於自動駕駛技術及創新車輛技術兩大主軸。 在自動駕駛研究中，著重於創新的感測器和執行系統、高精準度定位、車聯網間資訊快速，安全和可靠的傳輸、設備之間的協作、資料融合和處理的新方法、人機協作、合適的測試程序和驗證方法、電動汽車之自動駕駛功能的具體解決方案。其中以2016年1月啟動的PEGASUS研究項目最受關注，該計畫係為開發高度自動化駕駛的測試方法奠定基礎，特別是在時速達130公里/小時的高速公路上。 在汽車創新技術的研究發展上，著重於公路和鐵路運輸如何降低能源消耗和溫室氣體排放，包括透過交通工具輕量化以提高能源效率、改善空氣動力學之特性、減少整體傳動系統的摩擦阻力、創新的驅動技術。另外，也特別注重蒐集和利用在車輛操作期間產生的資料，例如在於操作和駕駛策略的設計，維護和修理，或車輛於交通中相互影響作用。 本報告簡介相關高度實用性技術研究計畫，同時展望未來研究領域，以面對現今產業數位化的潮流和能源效率及氣候保護的發展的新挑戰，因此，資通訊技術、自動控制技術以及乾淨動力來源技術，將會是未來交通領域研究的重點。
歐盟電信網路新修規章通過網路中立條款2015年10月27日歐洲議會通過電信網路新修規章(Regulation 2015/2120)，內容包括網路中立(Net Neutrality)條款，該規章將拘束歐盟全體會員國之資訊通信法規，並確立歐盟境內之網路中立原則。在本次立法之前，歐盟境內未建立統一的網路中立法規，僅荷蘭、斯洛維尼亞及芬蘭制定國內網路中立法規。 網路中立係指各種網路應用、內容或服務，均應受到平等對待，網路服務業者 (Internet Service Provider，以下簡稱ISP)不得任意實施差別待遇，例如攔阻(blocking)、延後傳送順序或降速(throttling)等。依據歐盟新修規章第3(3)條規定，ISP應平等處理所有網路流量，但同條之例外條款允許ISP在特定條件下，採取合理的流量管制措施。ISP流量管制之標的必須係基於因技術上服務需求之差異，所客觀形成之不同類別，換句話說，ISP不得因商業考量而對個別網路使用者產生差別待遇，僅得針對客觀的類別進行流量差異管制，例如點對點(Peer-to-Peer，P2P)傳輸軟體下載與語音電話，因流量傳輸需求不同，屬於不同的類別，是故，對於這兩種類別可採取不同之傳輸速度。同時，ISP的管制措施必須符合透明、非歧視性及比例原則。ISP亦不得監看特定內容，而管制期間不得超過必要之期限。 除了上述因客觀類別所採取之差別待遇之外，該規章亦賦予ISP得因特定法定事項而採取流量管制，該法定事項包括： 1.基於法律規範或執法需要而進行管制：包括符合歐盟法或會員國國內法之規定、以及法院或行政機關之命令或授權。 2.為了維持網路服務之完整性及安全性所採取之管制，包括網路、透過網路提供之服務或終端使用者(個人及企業)之終端設備。 3.防止即將產生之網路塞車或減輕網路塞車情況，但其前提為相同之網路服務類別必須給予平等之待遇。 歐盟之新修規章試圖在網路中立原則下，建立合理的管制措施規範。但該規章仍存有一些爭議性，包括： 1.為了讓醫療用途等網路流量能被優先處理，該規章允許ISP針對類別差異給予不同傳輸速度。但類別之區分方式仍不夠明確，可能導致ISP得恣意實施差別待遇。 2.法條未限制網路公司與電信業者結盟，ISP可依據商業契約讓某些網路使用不計入資費的使用量(zero rating)，可能導致大公司占據競爭優勢，不利新興公司的發展。 3.有關加密資料之類別決定，ISP須進行解密查看才知道該加密資料符合何種傳輸類別，但此舉會引發資料保護之問題，因此加密資料之傳輸問題仍尚待解決。 4.為了促使網路暢通，該規章允許網路塞車時或有塞車之虞時，ISP可進行流量管制。但後續必須清楚界定網路塞車之虞的情況，以避免賦予ISP過多管制權限。 歐盟新修規章已完成立法，後續將交由歐盟電信管制機關(Body of European Regulators for Electronic Communications，BEREC)訂立細部辦法，以拘束歐盟各會員國的網路服務業者，同時各會員國也必須修改國內相關法規，以符合該規章之規範。
中國發布《個人信息保護合規審計辦法》，明確企業個資審計責任中國國家互聯網信息辦公室於2025年2月12日公布《個人信息保護合規審計管理辦法》（下稱《辦法》）及其配套指引，自2025年5月1日正式實施。《辦法》及指引的發布，旨在落實《個人信息保護法》中的稽核規定，完善個資合規監督架構，為企業提供執行審計的制度依據。 《辦法》區分合規審計為兩大形式：企業可自行或委託專業機構定期進行審計；另當主管機關發現高風險處理活動或發生重大資料外洩事件時，有權要求企業限期完成外部審計，並提交報告。針對處理規模較大的企業，《辦法》特別規定，凡處理超過1,000萬人個資的業者，須至少每兩年完成一次審計。 針對大規模蒐用個資企業，《辦法》亦強化其配合責任，對於處理超過100萬人資料的企業，須設置個資保護負責人；對大型平台服務業者，則須成立主要由外部人員主導的獨立監督機構，以確保審計客觀性。 在審計執行層面，《辦法》對第三方審計機構的條件、獨立性與保密義務提出具體要求，並禁止將合規審計轉委託，防堵審計品質不一，或個資分享過程增加外洩風險。同時，也規範同一機構或審計負責人不得連續三次審計同一對象，以強化審計公正性。 《合規審計指引》進一步列出具體審查項目，包括處理合法性、告知義務、資料共享、敏感及未成年個資保護、境外傳輸、自動化決策與安全措施等，協助企業全面落實個資合規審查。