英國展開醫療器材監管公眾意見徵詢並公布《人工智慧軟體醫材改革計畫》
英國藥物及保健產品管理局（Medicines and Healthcare Products Regulatory Agency, MHRA）於2021年9月16日展開期待已久的「英國醫療器材監管的未來」公眾意見徵詢（Consultation on the Future of Medical Devices Regulation in the United Kingdom），並公布「人工智慧軟體醫材改革計畫」（Software and AI as a Medical Device Change Programme）。英國欲從醫療器材上市前核准至其壽命結束進行監管改革，徹底改變一般醫療器材與人工智慧軟體醫療器材之監管方式。意見徵詢已於2021年11月25日結束，而該修正案預計於2023年7月生效，與英國針對醫療器材停止使用歐盟CE（Conformité Européenne, 歐洲合格認證）標誌並要求採用英國UKCA（UK Conformity Assessed, 英國合格評定）標誌的日期一致。
人工智慧軟體醫材改革計畫則包含十一個工作項目（work package，下稱WP），WP1與WP2分別為監管資格與監管分類，皆涉及監管範圍之劃定；WP3與WP4分別涉及軟體醫材上市前與上市後，如何確保其安全性與有效性的監管之研究；WP5針對軟體醫材之網路安全進行規範；WP6與WP7涉及加速創新軟體醫材審核上市之特別機制，分別為類似「創新藥品藥證審核與近用途徑」 （innovative licensing and access pathway）的機制，以及允許適時上市並持續研究監控風險的「氣閘分類規則」（airlock classification rule）；WP8為確保智慧型手機之健康應用程式安全、有效與品質之規範研究；WP9~WP11則分別針對人工智慧軟體醫材之安全與有效性、可解釋性（interpretability）以及演進式（adaptive）人工智慧進行法規調適之研究。
MHRA預計透過指引、標準、流程之公布而非立法方式實現其監管此領域的目標。MHRA亦透露，針對上述工作項目，其已與重點國家和國際機構進行研究合作，已有不少進展即將公布。
本文為「經濟部產業技術司科技專案成果」
- Consultation on the future regulation of medical devices in the United Kingdom
- Software and AI as a Medical Device Change Programme
- Transforming the regulation of software and artificial intelligence as a medical device
- Software and AI as a medical device: 10 clues from the MHRA on the new UK regime
- Software Medical Devices and AI in the UK - Proposed Reforms
- 英國推出《藥品和醫療器材法》草案
- FDA發佈人工智慧/機器學習行動計畫
陳箴
專案經理 編譯整理
Consultation on the future regulation of medical devices in the United Kingdom, UK.GOV, https://www.gov.uk/government/consultations/consultation-on-the-future-regulation-of-medical-devices-in-the-united-kingdom (last visited Dec. 01, 2021).
Software and AI as a Medical Device Change Programme, UK.GOV, https://www.gov.uk/government/publications/software-and-ai-as-a-medical-device-change-programme/software-and-ai-as-a-medical-device-change-programme (last visited Dec. 01, 2021).
Transforming the regulation of software and artificial intelligence as a medical device, UK.GOV, https://www.gov.uk/government/news/transforming-the-regulation-of-software-and-artificial-intelligence-as-a-medical-device (last visited Dec. 01, 2021).
Software and AI as a medical device: 10 clues from the MHRA on the new UK regime, Baker McKenzie, https://viewpoints.bakermckenzie.com/post/102h7lm/software-and-ai-as-a-medical-device-10-clues-from-the-mhra-on-the-new-uk-regime (last visited Dec. 01, 2021).
Software Medical Devices and AI in the UK - Proposed Reforms, Lexology, https://www.lexology.com/library/detail.aspx?g=29f845ab-e6c3-46fa-8fe2-7c83888802b2 (last visited Dec. 01, 2021).
英國推出《藥品和醫療器材法》草案，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8455&no=64（最後瀏覽日：2021/12/03）。
FDA發佈人工智慧/機器學習行動計畫，資訊工業策進會科技法律研究所，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8628&no=64（最後瀏覽日：2021/12/03）。
現今生殖醫學進步相當快速，透過諸如胚胎殖入前之基因診斷（ PGD ）、組織配對（ tissue match ）等新興生物技術，人們將有能力選擇未來孩子的外表、智力、健康甚至性別等，故就現今的科技發展而言，篩選具有某種特徵之嬰兒的技術能力早已具備，反而是相關的倫理、道德及社會共識等等卻是最難的部分，這也是有關「訂製嬰兒」（ design babies ）之爭議焦點。 近幾年，訂製嬰兒的討論在英國非常熱烈，在英國，人工生殖之進行應依人工生殖與胚胎學法規定，獲得 「人類生殖與胚胎管理局」 （ Human Fertilization and Embryology Authority, HFEA ）之許可，至於進行人工生殖之同時，父母親是否得附加進一步的條件以「訂製嬰兒」，則一直有爭議。英國高等法院在 2002 年 12 月 20 日的一項判決中曾認為，國會制訂人工生殖與胚胎學法之目的，乃是在協助不孕婦女能夠生兒育女，至於組織配對的行為，則不在該法授權目的之內，因此 HFEA 無權就此等行為給予准駁。惟 2003 年 4 月 8 日 ，上訴法院推翻了高等法院的判決結果，但也進一步指出，這並不代表未來所有在進行 PGD 的同時加做組織配對之行為都是被允許的，想要施行這項技術之任何人，仍然需於事前取得 HFEA 的許可，新近 HFEA 已放寬管制規範，准許對更多種遺傳性疾病進行篩檢。 英國泰晤士報最近報導，一名英國女子已獲得英國 HFEA 同意 ，讓醫師將其透過體外受精方式培養出來的胚胎，利用基因篩檢技術，選擇出健康之胚胎植入其子宮內，以避免將她所罹患的遺傳性眼癌「視網膜母細胞瘤」基因傳給下一代。 本案婦女雖經 HFEA 同意「訂製嬰兒」，但仍會使「胚胎殖入前之基因診斷」（ PGD ）程序的爭議加劇，反對人士堅稱，基因篩檢的過程中勢必摧毀部分胚胎，且 為了某些目的而製造胚胎，將使人類被商品化，被訂製之嬰兒在長大成人後，若得知其出生之目的乃是在於治療其它親人，其心裡會對自己產生懷疑，並影響對自己人格的認同與其心理狀態。隨著生物技術發展飛快，許多可能背離社會良俗的行為恐將不斷出現，而法規能否隨之跟上則是生技產業能否興盛與倫理道德可否兼顧之重要關鍵。
美國各州逐步研議透過立法豁免企業資安事件賠償責任美國各州逐步研議透過立法豁免企業資安事件賠償責任 資訊工業策進會科技法律研究所 2024年06月10日 為鼓勵企業採用資安標準與框架，美國已有幾州開始透過立法限縮企業資安事件賠償責任，企業若能舉證證明已符合法令或遵循業界認可之資安框架和標準，則於資安攻擊事件所致損害賠償訴訟中，將無需承擔賠償責任。 壹、事件摘要 為避免有心人士於未取得經授權下近用網路和敏感資料，企業往往投入大量資源打造資安防護架構，惟在現今網路威脅複雜多變的環境下，仍可能受到惡意資安攻擊，導致資料外洩事件發生，導致企業進一步面臨訴訟求償風險，其中多數指控為未實施適當的資安措施。為此美國佛羅里達州和西維吉尼亞州研議透過立法限縮企業之資安事件賠償責任，以鼓勵企業採用資安標準、框架與資安相關法令。 貳、重點說明 繼美國俄亥俄州[1]、猶他州[2]和康乃狄克州[3]相繼頒布法令，讓已實施適當安全維護措施之企業，豁免資安攻擊所致資料外洩之損害賠償責任，佛羅里達州和西維吉尼亞州近期亦提出相似法案，以下介紹兩州法案之重點： 一、佛羅里達州 美國佛羅里達州於2023年11月公布《資安事件責任法案》 （H.B 473: Cybersecurity Incident Liability）[4]，法案納入「安全港條款」（Safe Harbor），當企業遭受資安攻擊致生個資外洩事件，如可證明已遵循產業認可的資安標準或框架，實施適當的資安措施與風險控管機制，則可免於賠償責任，以鼓勵企業採納資安標準或框架。 為適用安全港條款，企業須遵循佛羅里達州資訊保護法（The Florida Information Protection Act），針對資料外洩事件，通知個人、監管機關和消費者，並建立與法案內所列當前產業認可的資安標準、框架，或是特定法令規範之內容具一致性的資安計畫（Cybersecurity Programs）： （一）當前產業認可的資安標準、框架 1. 國家標準暨技術研究院（National Institute of Standards and Technology, NIST）改善關鍵基礎設施資安框架（Framework for Improving Critical Infrastructure Cybersecurity）。 2. NIST SP 800-171－保護非聯邦系統和企業中的受控非機密資訊。 3. NIST SP 800-53 和 SP 800-53A－ 資訊系統和企業的安全和隱私控制/ 評估資訊系統和企業中的安全和隱私控制。 4. 聯邦政府風險與授權管理計畫（Federal Risk and Authorization Management Program, FedRAMP）安全評估框架。 5. 資安中心（ The Center for Internet Security, CIS）關鍵安全控制。[5] 6. ISO/IEC 27000系列標準。 7. 健康資訊信任聯盟（The Health Information Trust Alliance, HITRUST）通用安全框架（Common Security Framework）[6]。 8. 服務企業控制措施類型二（Service Organization Control Type 2, SOC 2）框架。 9. 安全控制措施框架（Secure Controls Framework）。 10. 其他類似的產業標準或框架。 （二）特定法令規範 企業（entity）如受以下法令規範，亦得適用安全港條款，如法令有修訂，企業應在發布修訂後的一年內更新其資安計畫： 1. 健康保險可攜與責任法（The Health Insurance Portability and Accountability Act, HIPAA）之安全要求。 2. 金融服務現代化法（The Gramm-Leach-Bliley Act）第五章。 3. 2014 年聯邦資訊安全現代化法（The Federal Information Security Modernization Act of 2014）。 4. 健康資訊科技促進經濟和臨床健康法（The Health Information Technology for Economic and Clinical Health Act, HITECH）之安全要求。 5. 刑事司法資訊服務系統 （The Criminal Justice Information Services, CJIS）安全政策。 6. 州或聯邦法律規定的其他類似要求。 該法案雖於2024年3月5日經佛羅里達州參議院三讀通過，但於2024年6月26日遭州長否決[7]，其表示法案對於企業的保障範圍過於廣泛，如企業採取基礎的資安措施與風險控管機制，便得主張適用安全港條款，將可能導致消費者於發生個資外洩事件時，無法受到足夠的保障。州政府鼓勵利害關係人與該州網路安全諮詢委員會（Florida Cybersecurity Advisory Council）合作，探求法案的替代方案，以保護消費者資料。 二、西維吉尼亞州 美國西維吉尼亞州於2024年1月29日提出眾議院第5338號法案[8]，修訂西維吉尼亞法典（Code of West Virginia），增訂第8H章資安計畫安全港條款（Safe Harbor for Cybersecurity Programs），如企業符合業界認可的資安標準、框架或依特定法令建立與實施資安計畫，包含個人資訊和機敏資料的管理、技術和企業保障措施，將能夠於侵權訴訟中，主張適用避風港條款。 法令內明列評估企業所建立的資安計畫規模和範圍是否適當之要素，包含： 1. 企業的規模和複雜性； 2. 企業的活動性質和範圍； 3. 受保護資訊的敏感性； 4. 使用資安防護工具之成本和可用性； 5. 企業可運用的資源。 （一）當前產業認可的資安標準、框架 除與佛羅里達州法案所列舉業界認可的資安標準之前六項相同，另增加： 1 NIST SP 800-76-2個人身分驗證生物辨識規範（Biometric Specifications for Personal Identity Verification）[9]。 2. 資安成熟度模型認證（The Cybersecurity Maturity Model Certification, CMMC）至少達到第2級，並經外部驗證（external certification）。 （二）特定法令規範 除與佛羅里達州法案所列舉特定法令之前四項相同，另增加：由聯邦環境保護局（Environmental Protection Agency, EPA）、資安暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA）或北美可靠性公司（North American Reliability Corporation）[10]所採用任何適用於關鍵基礎設施保護的規則、法規或指南。 惟目前法案已於2024年3月27日被西維吉尼亞州長否決[11]，其表示透過安全港條款鼓勵企業實踐資安框架雖立意良好，但也可能遭濫用而帶來不當影響，例如TikTok等大型國際企業，如在違背公民意願情況下共享個人資料時，將免於訴訟，恐有損其公民權益，未來州政府將與利害關係人持續進行協商。 參、事件評析 佛羅里達州和西維吉尼亞州近期同步公布有關限制企業於資安事件之責任相關法案，內容亦為相似，西維吉尼亞州之法案目前已遭否決，主要係擔心該豁免條款遭到不當濫用；佛羅里達州之法案亦因對於企業保障過廣與無法保障消費者個資安全考量，而遭州長否決。 法案中明列受產業普遍認可的資安標準、框架與政府所頒布特定法令，有助企業明確遵循與採納，建立與實施資安計畫，惟如何舉證所建立之資安計畫或實施之資安措施，與法案所列之資安標準、框架，或是特定法令規範，具有實質上的一致性，仍不明確，將可能阻礙企業於訴訟上行使抗辯與主張責任豁免權。未來美國如何權衡產業穩健發展與民眾個資保障，仍有待持續觀察。 [1] Chapter 1354 - Ohio Revised Code, Ohio Laws, https://codes.ohio.gov/ohio-revised-code/chapter-1354 (last visited May 24, 2024). [2]Part 7 Cybersecurity Affirmative Defense Act, Utah StateLegislative, https://le.utah.gov/xcode/Title78B/Chapter4/78B-4-P7.html (last visited May 24, 2024). [3]Frederick Scholl, Connecticut’s New Breach Notification and Data Security Laws: Carrots and Sticks, Quinnipiac University, July,1,2021,https://www.qu.edu/quinnipiac-today/connecticuts-new-breach-notification-and-data-security-laws-2021-07-01/ (last visited May 24, 2024). [4]CSHB 473-Cybersecurity Incident Liability, The Florida Senate,https://www.flsenate.gov/Session/Bill/2024/473 (last visited Jun. 28, 2024). [5]資安中心（ The Center for Internet Security, CIS）為美國非營利組織，負責推動CIS Controls，針對實際發生的資安攻擊行為提供防禦建議，作為企業保護 IT 系統和資料時可參考之最佳實務作法。資料來源：About us, Center for Internet Security, https://www.cisecurity.org/about-us (last visited Jun. 6, 2024). [6]What is HITRUST?, Schneider Downs,https://schneiderdowns.com/cybersecurity/what-is-hitrust/ (last visited May 24, 2024). [7]Governor of Florida, Vote letter for House Bill 473(2024), https://www.flgov.com/wp-content/uploads/2024/06/Veto-Letter_HB-473.pdf (last visited Jun. 28, 2024). [8]2024 REGULAR SESSION ENROLLED Committee Substitute for House Bill 5338, WEST VIRGINIA LEGISLATURE,https://www.wvlegislature.gov/Bill_Status/bills_text.cfm?billdoc=hb5338%20sub%20enr.htm&yr=2024&sesstype=RS&i=5338 (last visited May 24, 2024). [9]NIST SP 800-76-2 Biometric Specifications for Personal Identity Verification, National Institute of Standards and Technology, https://csrc.nist.gov/pubs/sp/800/76/2/final (last visited May 24, 2024). [10]北美電力可靠性公司（North American Electric Reliability Corporation, NERC），為一家非營利機構，致力推動關鍵基礎設施保護相關標準，以強化北美大規模電力系統（亦即電網）的可靠性和安全性，資料來源：https://www.nerc.com/Pages/default.aspx (last visited May 24, 2024). [11]Governor of West Virginia, Enrolled Committee Substitute for House Bill 5338(2024),https://www.wvlegislature.gov/Bill_Text_HTML/2024_SESSIONS/RS/veto_messages/HB5338.pdf (last visited May 24, 2024).
Google與Klausner Technologies公司之專利訟訴和解根據路透社（Reuters）報導指出，Google，和日前亦接獲到Klausner Technologies公司之專利訴訟LG， Apple，Skype以同意授權方式，結束可視覺化語音信箱（visual voicemail）之智慧財產權訴訟案。 提出訴訟案為Klausner Technologies公司之CEO，亦為可視覺化語音信箱技術發明人Judah Klausner，其擁有美國、歐洲與亞洲之專利。目前市場上熱門的可觸控式手機具有可視覺化語音信箱特性，包含Apple’s iPhone都具有其功能性。 此案主要涉及Klausner之專利擁有可視覺化語音信箱技術，類似電子郵件，使用者可利用電腦或電話傳送可視覺化之語音訊息，並讓使用者具選擇性收取訊息。 目前Google擁有兩種服務，受Klausner’s專利之影響，其一讓使用者透過Grand Central提供一簡單網際網路語音溝通平台，另一為具Android自由軟體平台之智慧型手機。該案以和解方式結束，但Klausner婉拒與路透社說明，該公司與Google之間協議內容。
英國消費者保護法明確將數位內容商品消費納入規範，加重企業經營者責任英國在今年10月1日正式實施新的消費者保護法，除了明確規定30天內可以退還瑕疵商品外（舊法並無規定明確的期間），最主要重要變革在於納入數位內容商品消費的相關條款，以促進目前蓬勃發展的數位內容產業。 依照新法的規定，所謂的數位內容係指以數位形式（in digital form）所產製或提供之資料，據此包括了任何可以下載的商品以及串流服務，例如app、音樂、電影、遊戲以及電子書。其中關於消費者之保障如下： 一、在一定要件下有權利要求企業經營者修復或替換有瑕疵之數位內容商品； 二、若數位內容商品之瑕疵無法回復時，得要求企業經營者退還百分之百所支付的款項； 三、除此之外，若是數位內容商品因故而造成消費者的載具損害時，例如因所販售的軟體帶有電腦病毒而使消費者電腦中毒，企業經營者應負損害賠償責任。 根據英國娛樂產業公會（Entertainment Retailers Association），英國在去年(2014)有關數位內容商品（音樂、影片、遊戲）的消費額達到28億英鎊（約897億新台幣），英國舊消費者保護法並未針對數位內容商品有明確的規範，尤以近年數位內容商品的糾紛不斷（尤以遊戲為大宗），此次修法無疑是對常在網路購買數位商品的消費者一大保障。