世界衛生組織公布「人工智慧於健康領域之倫理與治理」指引

  世界衛生組織(World Health Organization, WHO)於2021年6月底公布「人工智慧於健康領域之倫理與治理」(Ethics and governance of artificial intelligence for health)指引。目前人工智慧於在改善診斷、治療、健康研究、藥物開發及公共衛生等健康領域皆有廣泛之應用與前景,而該指引首先指出人工智慧應用於健康領域中最相關之法律與政策外,並強調相關應用皆須以「倫理」及「人權」作為相關技術設計、部署與使用之核心,最後則提出人工智慧應用於健康領域之六大關鍵原則:

一、保護人類自主性(autonomy):本指引認為人類仍應該掌有關於醫療保健系統之所有決定權,而人工智慧只是輔助功能,無論是醫療服務提供者或患者皆應在知情之狀態下作決定或同意。

二、促進人類福祉、安全與公共利益:人工智慧不應該傷害人類,因此須滿足相關之事前監管要求,同時確保其安全性、準確性及有效性,且其不會對患者或特定群體造成不利影響。

三、確保透明度、可解釋性與可理解性(intelligibility):開發人員、用戶及監管機構應可理解人工智慧所作出之決定,故須透過記錄與資訊揭露提高其透明度。

四、確立責任歸屬(responsibility)與問責制(accountability):人工智慧在醫學中所涉及之內部責任歸屬相當複雜,關於製造商、臨床醫師及病患間相關之問責機制之設計將會成為各國之挑戰,故須存在有效之機制來確保問責,也應避免責任分散之問題產生。

五、確保包容性(inclusiveness)與衡平性(equity):應鼓勵應用於健康領域之人工智慧能被廣泛且適當地使用,無論年齡、性別、收入及其他特徵而有差別待遇,且應避免偏見之產生。

六、促進具適應性(responsive)及可持續性之人工智慧:人工智慧應符合設計者、開發者及用戶之需求與期待,且能充分具適應性之回應且符合使用環境中之要求。

相關連結
你可能會想參加
※ 世界衛生組織公布「人工智慧於健康領域之倫理與治理」指引, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8712&no=55&tp=1 (最後瀏覽日:2026/06/28)
引註此篇文章
你可能還會想看
美國聯邦貿易委員會(FTC)持續開鍘違約揭露用戶個資的業者

美國聯邦貿易委員會(Federal Trade Commission,FTC)根據《健康違規通知規則》(Health Breach Notification Rule,HBNR),於2023年2月1日和3月2日分別對GoodRx Holdings Inc.公司和BetterHelp, Inc.公司提出擬議命令(Proposed order)。擬議命令指經由行政機關調查案件後提出的改善建議,且經聯邦法院批准後對被調查公司生效。這兩件案例是FTC於2021年後擴大《健康違規通知規則》適用範圍從傳統的健康產業及於網路行業後的首次執法。GoodRx Holdings Inc.公司提供藥物資訊平台與折扣訊息;而BetterHelp, Inc.公司提供遠距醫療服務。兩者在2017到2020年間均向他們的消費者聲明,將妥善保護所蒐集之個資,然而卻轉手將取得個資揭露給Facebook、Snapchat和Google等第三方公司,用來進行目標式廣告的投放。 FTC對GoodRx的擬議命令要求其停止向第三方揭露使用者的個人資料,並處以支付150萬美元的罰鍰。對BetterHelp, Inc.的命令除要求其停止共享使用者的個人資料外,更要求BetterHelp, Inc.向網站的使用者進行退款,退款總額上限高達780萬美元。FTC在擬議命令中建議:涉及敏感性健康資料的事業負責人,除了需要重新檢視目前持有資料的隱私和安全性外,最好能建立一套完整的資料管理流程。流程包括對當事人充分說明蒐集利用目的、取得當事人完整的知情同意、制定完整的個人資料管理及保存銷毀程序、限制員工對資料的存取權限等等。最後也最重要的是要「信守承諾」,這兩個案例中的業者都是違反了自己當初對使用者的承諾,最終才導致被處罰的結果。

Google被控不當蒐集蘋果公司Safari瀏覽器用戶的個人資料

  案件緣於Judith Vidal-Hall等三人對Google提告,主張Google規避蘋果公司Safari瀏覽器預設之隱私設定,在未取得用戶同意前,逕行使用cookies追蹤其網路活動,蒐集瀏覽器產生的資訊(the Browser-Generated Information, or ‘BGI’),並利用其對用戶發送目標廣告。原告認為這些作法可能使用戶的隱私資訊被第三人所探知,而且與Google保護隱私之公開聲明立場相違。此案於2015年3月27日由英國上訴審法官做成判決,並進入審理程序(裁判字號:[2015] EWCA Civ 311)。   本案主要爭點包含,究竟用戶因使用瀏覽器所產生的資訊是否屬於個人資料?濫用隱私資訊是否構成侵權行為?以及在沒有金錢損失(pecuniary loss)的情形下,是否仍符合英國資料保護法(Data Protection Act 1998)第13條所指損害(damage)的定義,進而得請求損害賠償?   法院於判決認定,英國資料保護法旨在實現「歐盟個人資料保護指令」(Data Protection Directive,95/46/EC)保護隱私權的規定,而非經濟上之權利,用以確保資料處理系統(data-processing systems)尊重並保護個人的基本權利及自由。並進一步說明,因隱私權的侵害往往造成精神損害,而非財產損害,從歐洲人權公約(European Convention of Human Rights)第八條之規定觀之,為求對於隱私權的保障,允許非財產權利的回復;倘若限縮對於損害(damage)的解釋,將會有礙於「歐盟個人資料保護指令」立法目的的貫徹。   法院強調,該判決並未創造新的訴因(cause of action),而是對於已經存在的訴因給予正確的法律定位。從而,因資料控制者(data controller)的不法侵害行為的任何損害,都可以依據英國資料保護法第13條第2項請求損害賠償。   本案原告律師表示:「這是一則具有里程碑意義的判決。」、「這開啟了一扇門,讓數以百萬計的英國蘋果用戶有機會對Google提起集體訴訟」。原告之一的Judith Vidal-Hall對此也表示肯定:「這是一場以弱勝強(David and Goliath)的勝利。」   註:Google 在2012年,曾因對蘋果公司在美國蒐集使用Safari瀏覽器用戶的個資,與美國聯邦貿易委員會(United States Federal Trade Commission)以2,250萬美元進行和解。

簡介〈歐盟提供合格信任服務者依循標準建議〉

簡介〈歐盟提供合格信任服務者依循標準建議〉 資訊工業策進會科技法律研究所 2021年6月25日 壹、事件摘要   歐盟於2014年通過「歐盟內部市場電子交易之電子身分認證及信賴服務規章」(簡稱eIDAS規章)[1],並於2016年7月正式生效。eIDAS規章是在歐盟1999年電子簽章指令[2]的基礎上,進一步建構一個更安全、更具信賴、更易於使用電子簽章的法律框架,以促進整個歐盟跨境間的電子交易環境,進而達到歐盟數位單一市場的目標[3]。   eIDAS規章共有六章,其核心包含兩大部分[4],在第二章中規範了電子識別機制(Electronic Identification),並於第三章中建構一系列電子交易中相關信任服務(Trust Services, TS)的法律架構,包含電子簽章(Electronic signatures)、電子封條(Electronic seals)、電子時戳(Electronic time stamps)、電子註冊傳輸服務(Electronic registered delivery services)、網站認證(Website authentication)。每種信任服務,又可以區分由一般的信任服務提供者(Trust Service Provider, TSP)或由合格信任服務提供者(Qualified Trust Service Provider, QTSP)提供,要成為QTSP必須經各成員國的監督機關授予合格地位後,才能提供該類合格信任服務(Qualified Trust Service, QTS),在eIDAS規章中合格信任服務具有更高的法律效力。譬如,根據eIDAS規章第25條第2項規定,合格電子簽章(qualified electronic signature)與手寫簽章具有同等的法律效力。   歐盟網路安全局(European Union Agency for Cybersecurity, ENISA[5])於2021年3月發布一份報告,提供合格信任服務者依循標準的建議(Recommendations For QTSPs Based On Standards) [6],給想要申請成為QTSP的業者參考。 貳、重點說明   承前所述,eIDAS規章的目的是要建構一個促進跨境、跨產業的電子交易的環境,為弭平各會員國對於電子識別服務的落差,報告中指出,必須透過法律框架(Legal framework)、信賴框架(Trust framework)、標準化框架(Standardisation framework)共同達成,以提升歐盟數位單一市場中企業和消費者的信任,並促進信任服務和產品的使用。 (一)法律框架   eIDAS規章中規定了9種QTS的安全要求及其提供者的義務,包括: 1.電子簽章的合格憑證; 2.電子封條的合格憑證; 3.網站認證的合格憑證; 4.合格電子時戳服務; 5.合格電子簽章的合格驗證服務; 6.合格電子封條的合格驗證服務; 7.合格電子簽章的合格維護服務; 8.合格電子封條的合格維護服務; 9.合格電子註冊傳輸服務。 (二)信賴框架   其次,eIDAS規章透過事前(ex ante)和事後(ex post)監督的方式,來確保QTSP及其提供的QTS符合eIDAS規章中的法律要求。欲申請成為QTSP須先經過符合性評估機構(Conformity Assessment Body, CAB)的評估,由其出具評估報告後,再由各成員國的監督機關決定是否授予QTSP資格;取得QTSP資格後會受到不定期稽核,且至少每24 個月須再次自費通過CAB評估審核[7]。 (三)標準化框架   eIDAS規章中對各項TS的安全要求是採取技術中立(technology-neutral)的態度,並未限定要採用何種特定技術。換言之,TSP可以透過不同的技術達到eIDAS規章中要求的必要安全程度。事實上,歐盟希望在eIDAS規章所建構的法律框架和信賴框架中,透過產業自律,慢慢形成相關的標準共識。   歐盟從2009年開始,就由歐洲標準化委員會(European Committee for Standardization, CEN)、歐洲電信標準協會(European Telecommunications Standards Institute, ETSI)等歐盟標準化組織協助擬定和更新電子簽章的相關標準,希望可以建立一個更完整的標準化框架,以解決歐盟跨境使用電子簽章遭遇的問題,至今已經建構出一系列電子簽章和相關信任服務的標準,以滿足國際及eIDAS規章的要求,ETSI/CEN與數位簽章有關的標準包含七個面向。 1.介紹性   此類標準主要是關於各類簽章的共通定義、研究、其他關於整體性架構的介紹。 2.簽章的建立與驗證   此類標準主要是關於簽章建立及驗證的政策與安全要求、所要遵循的規則和程序、格式、保護剖繪(Protection Profiles, PP)[8]。 3.簽章建立和其他相關設備   此類標準主要是與電子簽章產生的設備,以及其他與數位簽章相關服務的設備有關。 4.加密   此類標準主要是與簽章的加密有關,譬如金鑰產生演算法(key generation algorithms)和雜湊函數(hash functions)等。 5.支持數位簽章及相關服務的TSP   此類標準主要是關於核發合格憑證的QTSP、網站認證憑證的TSP、時戳服務的TSP、提供簽章驗證服務的TSP等。 6.信任應用服務提供者   此類標準主要與應用電子簽章提供加值服務的TSP有關,如電子傳輸服務、資料檔案長期保存服務等。 7.信任服務資格提供者   此類標準主要與eIDAS規章中信任名單(trusted lists)相關的程序和格式有關[9]。   其中,在ETSI/CEN關於數位簽章的標準中,主要與QTSP有關的標準如下: 1.電子簽章的合格憑證(eIDAS規章第28條)   ETSI EN 319 411-2(且要符合EN 319 401、EN 319 411-1、EN 319 412-2、EN 319 412-5)。 2.電子封條的合格憑證(eIDAS規章第38條)   ETSI EN 319 411-2(且要符合EN 319 401、EN 319 411-1、EN 319 412-3、EN 319 412-5)。 3.網站認證的合格憑證(eIDAS規章第45條)   ETSI EN 319 411-2(且要符合EN 319 401、EN 319 411-1、EN 319 412-4、EN 319 412-5)。 4.合格電子時戳(eIDAS規章第42條)   ETSI EN 319 421(且要符合EN 319 401)、EN 319 422。 5.合格電子簽章的合格驗證服務(eIDAS規章第33條)   ETSI TS 119 441(且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 6.合格電子封條的合格驗證服務(eIDAS規章第40條)   ETSI TS 119 441(且要符合EN 319 401)、TS 119 442、EN 319 102-1、TS 119 102-2、TS 119 172-4。 7.合格電子簽章的合格維護服務(eIDAS規章第34條)   ETSI EN 319 401、TS 119 511、TS 119 512。 8.合格電子封條的合格維護服務(eIDAS規章第40條)   ETSI EN 319 401、TS 119 511、TS 119 512。 9.合格電子註冊傳輸服務(eIDAS規章第44條)   ETSI EN 319 401、EN 319 521、EN 319 522、EN 319 531、EN 319 532。 參、事件評析   從歐盟ENISA的建議可以瞭解,歐盟希望透過介紹歐盟標準化組織所制定的相關電子簽章標準,來引導資通訊廠商申請成為QTSP,提供歐盟企業和使用者更安全、更值得信賴的電子簽章相關服務,以強化使用者的信心,進而促進整個歐盟電子交易的蓬勃發展。   近年來,我國企業也積極投入數位轉型,在邁向數位化的過程通常需要由外部的資通訊廠商協助。然而,由於企業對於資通訊技術不熟悉,因此在選擇資通訊廠商時,往往不知道如何判斷其專業能力,或許企業可以參考上述的介紹,以該廠商是否符合歐盟相關標準的要求,作為選擇資通訊廠商的參考依據,以確保資通訊廠商的能力具有一定水準,這樣對於企業數位轉型及進軍歐盟市場會相當有助益。    [1]Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv%3AOJ.L_.2014.257.01.0073.01.ENG (last visited Jun. 24, 2021). [2]Directive 1999/93/EC of the European Parliament and of the Council of 13 Dec. 1999 on the a Community Framework for Electronic Signatures, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A31999L0093 (last visited Jun. 24, 2021). [3]參前註1,eIDAS前言(3). [4]中文介紹可參考李姿瑩,〈歐盟eIDAS對國內電子簽章和身分認證規範之可能借鏡〉,《科技法律透析》,第31卷第11期,25-32頁,(2019年11月)。 [5]「歐盟網路安全局」原名為「歐盟網路及資訊安全局」(European Union Agency for Network and Information Security),2019年更改為現名,但該局的英文縮寫仍維持舊稱ENISA。The European Union Agency for Cybersecurity - A new chapter for ENISA, ENISA, https://www.enisa.europa.eu/news/enisa-news/the-european-union-agency-for-cybersecurity-a-new-chapter-for-enisa (last visited Jun. 24, 2021). [6]European Union Agency for Cybersecurity [ENISA], Recommendations for Qualified Trust Service Providers based on Standards (2021), https://www.enisa.europa.eu/publications/reccomendations-for-qtsps-based-on-standards (last visited Jun. 24, 2021). [7]參前註1,eIDAS規章第20條。 [8]保護剖繪是指申請者依共同準則規章(common criteria, CC)製作之資通安全產品安全基本需求文件,可提供資通安全產品開發者開發產品之依據。〈常見問題/Q02.何謂保護剖繪?〉,國家通訊傳播委員會,https://ise.ncc.gov.tw/faq(最後瀏覽日:2021/06/24)。 [9]參前註1,eIDAS規章第22條第2項、第4項。

日本通過數位社會形成基本法

  日本國會於2021年5月12日,通過由内閣官房資通訊技術總合戰略室提出之數位社會形成基本法(デジタル社会形成基本法)。數位社會之形成,將有助於提升國際競爭力與國民便利性,因應少子化、高齡化與其他重要課題,本法之立法目的係為推動數位社會形成,使日本國內經濟健全發展,幫助國民幸福之實現。   本法之重點概如下述: 數位社會之定義係指藉由先進資通訊技術,適當有效活用各式各樣大量之電磁紀錄資訊,使各領域均得創新蓬勃發展之社會。 數位社會形成之理念係為了使國民生活能切實感受到寬裕和富足,實現國民得安全安心生活之社會,降低數位落差,並確保在數位社會下,個人與法人權利以及其他法律所保護之利益。 國家須制定數位社會形成之政策,具體包含確保高度資訊通訊網路與資通訊技術之可及性、整合國家與地方自治團體資訊系統、使國民得活用國家與地方自治團體之資訊、建立公部門基礎資訊資料庫、確保資通安全等。 為形成數位社會,明定國家、地方政府及企業之相關責任義務。 依數位廳設置法設置由內閣管轄之數位廳,並制定數位社會形成相關之重點計畫。 廢止高度資通訊網路社會形成基本法(IT基本法),以數位社會形成基本法為新資通訊技術戰略。

TOP