美國眾議院通過電信基礎設施安全四大法案，以防止採用構成國家安全風險的設備
美國眾議院（United States House of Representatives）於2021年10月20日通過安全設備法案（Secure Equipment Act）、通訊安全諮詢法案（Communications Security Advisory Act）、資通訊科技戰略法案（Information and Communication Technology Strategy Act）與國土安全部軟體供應鏈風險管理法案（DHS Software Supply Chain Risk Management Act），以提高網路之可信任度、防止採用構成國家安全風險的設備、支持小型通訊網路供應商，並促進產業供應鏈的經濟競爭力。美國總統拜登（Joseph Robinette Biden Jr.）於同年11月11日完成簽署《安全設備法》。
《安全設備法》旨在禁止聯邦通訊委員會（Federal Communications Commission, FCC）頒發設備許可予構成美國國家安全風險之公司，其目的係為防止美國的網路系統遭受中國大陸設備的監控，保護美國公民的隱私與安全。近年來，美國以國家安全與技術、隱私保護為由，逐步以政府禁令或動用政府影響力，防堵華為、中興等其認為與中國政府關係密切之中國通訊設備業者。自2019年5月15日美國白宮頒布之第13873號行政命令，至2021年10月20日美國眾議院通過電信設施基礎安全四大法案，並美國商務部於隔日即發布「禁止出售、出口駭客監視工具予曾有侵犯人權紀錄的專制政府及地緣政治之敵人」等規定，各種限制手段展現美國保護國土安全之決心。
此外，《通訊安全諮詢法案》、《資通訊科技戰略法案》與《國土安全部軟體供應鏈風險管理法案》分別就通訊網路的安全性、可靠性與操作性；資通訊技術供應鏈報告（例如：定義何謂「對美國經濟競爭力至關重要的資通訊技術」等）」；以及資通訊技術或服務合約之指導方針如何改善國家網路安全等相關事項予以規範。目前，此三大法案皆於參議院二讀後提交至委員會，後續發展應密切關注。
本文為「經濟部產業技術司科技專案成果」
- H.R.3919 - Secure Equipment Act of 2021
- H.R.4067 - Communications Security, Reliability, and Interoperability Council Act
- H.R.4028 - Information and Communication Technology Strategy Act
- H.R.4611 - DHS Software Supply Chain Risk Management Act of 2021
- Department of Commerce Bureau of Industry and Security, Information Security Controls: Cybersecurity Items
- 美國總統簽署《安全可信通訊網路法》
- 美國國會《促進美國5G國際領導力法案》
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 美國聯網車監管制度與合規實務說明會
陳祺潔
副法律研究員 編譯整理
United States Congress, H.R.3919 - Secure Equipment Act of 2021 (Oct. 20, 2021), https://www.congress.gov/bill/117th-congress/house-bill/3919/text (last visited Nov. 16, 2021).
United States Congress, H.R.4067 - Communications Security, Reliability, and Interoperability Council Act (Oct. 20, 2021), https://www.congress.gov/bill/117th-congress/house-bill/4067/text (last visited Nov. 16, 2021).
United States Congress, H.R.4028 - Information and Communication Technology Strategy Act (Oct. 20, 2021), https://www.congress.gov/bill/117th-congress/house-bill/4028/text?r=46&s=1 (last visited Nov. 16, 2021).
United States Congress, H.R.4611 - DHS Software Supply Chain Risk Management Act of 2021 (Oct. 20, 2021), https://www.congress.gov/bill/117th-congress/house-bill/4611/text (last visited Nov. 16, 2021).
Department of Commerce Bureau of Industry and Security, Information Security Controls: Cybersecurity Items (Oct. 21, 2021), https://www.federalregister.gov/documents/2021/10/21/2021-22774/information-security-controls-cybersecurity-items (last visited Nov. 10, 2021).
何穎欣，〈美國總統簽署《安全可信通訊網路法》〉，資策會科法所，2020年09月，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8523（最後瀏覽日：2021/11/08）。
許祐寧，〈美國國會《促進美國5G國際領導力法案》〉，資策會科法所，2020年02月，https://stli.iii.org.tw/article-detail.aspx?no=67&tp=5&d=8394（最後瀏覽日：2021/11/08）。
歐盟執委會（European Commission，下稱執委會）於2020年底提出數位服務法（Digital Services Act，DSA）以及數位市場法（Digital Market Act，DMA），而歐洲議會（European Parliament）最終於2022年7月5日以壓倒性的多數決通過上述法案，待歐盟理事會（Council of the European Union）核准通過後，法案將在公告於歐盟官方公報（EU Official Journal）後20天生效，並分別依規定時間開始適用。歐盟理事會已於2022年7月18日率先核准通過DMA，並正進行登載公報相關程序，DMA將於生效日起六個月後開始適用。以下將簡述兩法案主要內容： 1.數位服務法（DSA）：主要係處理線上非法內容、不實資訊以及其他社會風險等散播問題。依DSA，數位服務提供者於其服務或交易平台應針對涉及侵害基本權之非法內容即時採取反制措施、強化平台交易者之查核並提高可追溯性、增加平台的透明度及有責性，並應禁止具誤導性及部分特定類型之定向廣告，如針對兒童的廣告或以敏感資訊為基礎的廣告等。 2.數位市場法（DMA）：要求大型的主流線上平台於數位市場擔任「守門人」（gatekeeper），以確保消費者有公平的交易環境。守門人應與第三方交互使用服務，並使商業用戶得存取於其平台所生之資料，且不得：在其平台的檢索（index）與索引（crawl）相關排名中自我偏好（self-preferencing）自身產品及服務、令使用者難以卸載預先安裝之軟體或應用程式、以廣告為目的利用使用者個資。值得注意的是，執委會得對違反DMA規定之守門人處以其最高全球總營收10%的罰鍰，累犯者之罰鍰上限將提高至年度營收的20%。
美國科羅拉多州通過《人工智慧消費者保護法》2024年5月17日，科羅拉多州州長簽署了《人工智慧消費者保護法》（Consumer Protections for Artificial Intelligence Act，Colorado AI Act，下簡稱本法），其內容將增訂於《科羅拉多州修訂法規》（Colorado Revised Statutes，簡稱CRS）第6篇第17部分，是美國第一部廣泛對AI規範的法律，將於2026年2月1日生效。 本法旨在解決「高風險人工智慧系統」的演算法歧視（Algorithmic Discrimination）的問題 ，避免消費者權益因為演算法之偏見而受到歧視。是以，本法將高風險AI系統（High-risk Artificial Intelligence System）定義為「部署後作出關鍵決策（Consequential Decision）或在關鍵決策中起到重要作用的任何AI系統」。 而後，本法藉由要求AI系統開發者（Developers）與部署者（Deployers）遵守「透明度原則」與「禁止歧視原則」，來保護消費者免受演算法歧視。規定如下： (一)系統透明度： 1.開發者應向部署者或其他開發者提供該系統訓練所使用的資料、系統限制、預期用途、測試演算法歧視之文件以及其他風險評估文件。 2.部署者應向消費者揭露高風險人工智慧系統的預期用途，也應在高風險人工智慧系統做出決策之前向消費者提供聲明，聲明內容應該包含部署者之聯絡方式、該系統的基本介紹、部署者如何管理該系統可預見之風險等資訊。 (二)禁止歧視： 1.開發者應實施降低演算法歧視之措施，並應協助部署者理解高風險人工智慧系統。此外，開發者也應該持續測試與分析高風險人工智慧系統可能產生之演算法歧視風險。若開發者有意修改該系統，應將更新後的系統資訊更新於開發者網站，並須同步提供給部署者。 2.部署者應該實施風險管理計畫，該風險管理計畫應包含部署者用於識別、紀錄降低演算法歧視風險之措施與負責人員，且風險管理計畫應定期更新。在制定風險管理計畫時，必須參考美國商務部國家標準暨技術研究院（National Institute of Standards and Technology, NIST）的《人工智慧風險管理框架》（AI Risk Management Framework, AI RMF 2.0）與ISO/IEC 42001等風險管理文件。 美國普遍認為科羅拉多州的《人工智慧消費者保護法》為目前針對人工智慧系統最全面之監管法規，可作為其他州有關人工智慧法規的立法參考，美國各州立法情況與作法值得持續關注。
英國政府公布「英國醫療器材監管的未來」公眾諮詢結果並確立未來監管方向英國藥物及保健產品管理局（Medicines and Healthcare Products Regulatory Agency, MHRA）於2022年6月22日公布「英國醫療器材監管的未來之公眾諮詢政府回應」（Government response to consultation on the future regulation of medical devices in the United Kingdom），確立未來醫材監管方向。本次諮詢收到將盡900件回應（民眾與業者大約各半），結果顯示民眾業者對於強化醫療器材安全監管的支持。 MHRA將強化MHRA的執法權力，以確保病患安全，並且關注健康不平等議題並減少AI偏見問題；其監管設計上會考量歐盟和全球標準，並致力於建立英國符合性評鑑（UK Conformity Assessed, UKCA）。MHRA於安全方面，將增加製造商、進口商與經銷商的責任，並要求有英國地址的負責人對瑕疵商品負擔法律責任（構成法律責任的要件與製造商同）。其亦將要求製造商賠償被不良事件影響的人、禁止行銷上使用引人錯誤之表示、導入醫材之單一識別碼（Unique Device Identifiers, UDI）與增加註冊所需提供之資料，且製造商須建置上市後不良反應監測系統並回報統計上顯著的不良事件趨勢。創新方面，MHRA欲增設「創新醫療器材上市管道」和「軟體醫材上市管道」，以顧及創新與軟體醫材特殊需求。針對一般軟體醫材（software as a medical device, SaMD）與人工智慧軟體醫材（AI as a medical device, AIaMD）的監管，MHRA僅欲於法規中增加「軟體」的定義，其他規範將由指引的形式公布。此外，其將AIaMD視為SaMD的一種，並不會額外訂定AIaMD相關規範。
強制蒐集人體生物資料的人權標準－聯合國人權事務委員會的見解