美國與歐盟宣布跨大西洋資料保護框架
美國和歐盟執委會於2022年3月25日宣布將建立新的跨大西洋資料保護框架（Trans-Atlantic Data Privacy Framework），該框架將促進美國與歐洲之間的資料流通，並解決歐盟法院在2020年宣布隱私盾協議（EU-U.S. Privacy Shield framework）無效時所提出的疑慮與問題。
該框架是重新建立美國與歐盟兩地個人資料傳輸的一個重要法律機制。美國承諾將實施新措施，以確保訊號情報活動（signals intelligence activities）是在必要且合法的國家安全目標下進行，並且不得不成比例地影響對個人隱私和公民自由的保護。基此，美國承諾的新措施包含強化美國訊號情報活動的隱私及公民自由保障機制、建立獨立且具約束力的救濟措施，以及強化美國情報機構對現有訊號情報活動的程序且分層監督。對於歐盟公民而言，將有全新且高標準的規範來保護個人資料；而對於美歐間的民眾和企業而言，該框架將可促進資料持續流動，足以鞏固歐美兩地每年高達一兆美元的跨境貿易，並使各種規模的企業能夠在彼此的市場中競爭。
資料流通對於美歐雙方的經濟關係以及所有企業而言都至關重要。事實上，美國和歐洲之間的資料流通所創造的經濟價值高達7.1兆美元，高居世界首位。在此背景下，新的跨大西洋資料隱私框架將強化美國與歐盟雙方對隱私、資料保護、法治和整體國家安全的共同承諾，未來美國與歐盟雙方將依此框架持續推進雙方各自相關的法律規範。
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【上午場】通傳產業個資管理機制與資料加值運用座談會
- 【下午場】通傳產業個資管理機制與資料加值運用座談會
- 長照系統相關資服業個資線上宣導說明會
廖振宇
研究助理 編譯整理
WHITE HOUSE, Fact Sheet: FACT SHEET: United States and European Commission Announce Trans-Atlantic Data Privacy Framework (Mar. 25, 2022), https://www.whitehouse.gov/briefing-room/statements-releases/2022/03/25/fact-sheet-united-states-and-european-commission-announce-trans-atlantic-data-privacy-framework/ (last visited Mar. 27, 2022)
European Commission , EU Commission and United States agree on new framework for transatlantic data flows: EU-US Privacy Shield (Feb. 02, 2016), https://ec.europa.eu/commission/presscorner/detail/en/IP_16_216 (last visited Mar. 27, 2022)
於去年(2009)年11月20日，歐盟會員國通過了一項關於化妝品上市與安全相關的新規則(REGULATION OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL on cosmetic products，以下簡稱化妝品規則)，該項規則也將歐盟過往用以規範化妝品的55項指令化整為零，成為一項單一且更具法律拘束力之規範。 化妝品規則中前言中也特別肯認奈米物質於化妝品之應用為未來趨勢，而有必要於消費者保護、貨物自由流通以及對於製造商之法律確定性之間取得一衡平作法。針對此種內含奈米物質化妝品之管理，該規則也十分重視對產品內含奈米物質之事實提供資訊之義務。以標示為例，化妝品規則第19條針對此等化妝品，要求以「nano」字樣標明於包裝上之成分標示。值得注意的是，德國針對是項條款於去年(2009)年11月17日於歐盟理事會之官方文件中表達不同意見。認為此種標示可能被消費者誤解為一警告標示，且亦強調市售的化妝品皆屬通過嚴格的安全測試者，此也表示對內含奈米級物質之化妝品不應再給予額外的檢視。其也認為消費者對於奈米物質所關切之重點，應為此等奈米物質對產品之特性所生之改變，而非產品中是否含有奈米物質。 在歐盟綠黨成員和環保遊說團體針對奈米科技刻正鼓吹「沒有數據，就不得上市」原則之際，該項原則將加重業者證明自身產品安全無虞之舉證責任，業者也擔心該項原則將導致市面上有數百種產品自市場中下架，而德國上述聲明的意見，似乎較傾向於業者以奈米物質之功能而非以物質本身作為標示基礎之意見。
新加坡發布最新版《醫療照護人工智慧指引》新加坡發布最新版《醫療照護人工智慧指引》 資訊工業策進會科技法律研究所 2026年06月10日 壹、背景摘要 新加坡衛生部（Ministry of Health, MOH）與衛生科學局（Health Sciences Authority, HSA）於2026年3月10日共同發布更新版《醫療照護人工智慧指引》（Artificial Intelligence in Healthcare Guidelines Version 2.0，以下簡稱AIHGle 2.0）[1]。延續2021年初版架構，以病人安全與強化信任為主軸，就人工智慧，特別是機器學習、深度學習及生成式人工智慧，在醫療場域之開發、部署與使用，分別課予開發者、部署者及使用者之責任，並以全生命週期治理一以貫之，期使創新與信任並行。 AIHGle 2.0 係 MOH 與 HSA 共同更新之指引，定位為非強制性之最佳實務建議，做為《健康照護服務法》（Healthcare Services Act 2020, HCSA）、規範醫療器材之《健康產品法》（Health Products Act 2007, HPA）、《個人資料保護法》（PDPA），以及資通訊媒體發展局（IMDA）之人工智慧治理模範框架等相關法令規範或政策的補充。 貳、重點說明 該指引將醫療 AI 之利害關係人明確區分為：開發者（Developers），即開發、整合或維護醫療 AI 解決方案者；部署者（Deployers），指受 HCSA 規範並導入 AI 以強化照護服務之醫療機構；使用者（Users），即實際操作 AI 之醫事人員分別有專章規範。於適用範圍上，AIHGle 2.0 雖廣泛適用於各類 AI，惟聚焦於風險較高之機器學習與深度學習複雜系統，生成式人工智慧則歸屬於其中一環。指引並將醫療場域 AI 使用情境三分為臨床（Clinical）、臨床作業（Clinical-Ops）與作業（Ops），明定其聚焦於對病人照護結果有直接或間接影響之前二者；至純屬作業性質者，則回歸 IMDA 跨產業之治理框架辦理。 一、釐清三大利害關係人之分工與權責 該指引明確將醫療 AI 之參與者區分為開發者、部署者與使用者三類，並就各方於系統生命週期中之責任分別訂定[2]。同時，其建議以服務水準協議（SLA）固化開發者與部署者間之權責，及標準作業程序（SOP）明定使用者責任： (一)開發者：負責法規遵循，以全產品生命週期（Total Product Lifecycle, TPLC）方法管理解決方案，確保訓練資料之品質與公平性，並備置使用者說明、提供上市後支援。 (二)部署者：負責建立組織內部治理平台，辦理部署前測試驗證、員工訓練與不良事件因應，並建立病人溝通流程；且導入 AI 後病人之照護成果應維持或優於未導入時之水準。 (三)使用者：應就 AI 輸入與輸出資料維持專業判斷與查證，並於 AI 異常時啟動應變措施，以確保病人安全。 二、建立以風險為本之評估架構，強制要求人為監督 針對直接或間接影響病人照護成果之「臨床」與「臨床作業」情境，指引強制規定所有 AI 之使用均須具備人為監督（human oversight），AI 僅為輔助工具，不得取代專業判斷；並依人為介入程度與風險高低，將風險類別區分為三類[3]： (一)人在迴路中（human-in-the-loop）：人類保有完全控制權，無人類指令即無法執行決策，屬輕至中度風險。 (二)人在迴路上（human-over-the-loop）：人類處於監測角色，遇異常時接管控制，屬中至重度風險。 (三)人在迴路外（human-out-of-the-loop）：無人為介入；指引明文禁止部署於無人監督下獨立作成臨床決策之 AI 系統，屬重度風險。 三、導入全產品生命週期（TPLC）管理 AIHGle 2.0指引要求開發者以全面而整合之策略管理 AI 解決方案，自初期之規劃、設計與開發，歷經模型評估、上市後監測與維護，甚至是生命週期終止之除役階段，都有不同角色區分的全程嚴謹之風險評估、軟體驗證與可追溯性要求[4]。 四、具體化七大倫理原則之落實方式 指引結合醫學倫理與 AI 治理，揭示七項倫理原則：安全、公平、透明、可解釋、穩健、資安與資料保護，以及 AI 與人類價值或目標之對齊。其特色在於不僅列出原則，更分就開發者、部署者與使用者給出具體之操作化範例；以「公平」原則為例，開發者須使用具代表性資料，部署者須監測非預期偏誤，使用者則須運用臨床判斷以減緩偏誤[5]。 五、針對新興技術與應用提出具體對策 因應 AI 能力快速演進，指引就三大新興發展領域分別提出風險減緩策略。包括：具持續學習能力之 AI，提醒防範「模型漂移」（model drift，即效能隨時間衰退）及資料揭露風險，要求建立追蹤模型效能之健全監測系統；就生成式 AI（Generative AI, GenAI）點出幻覺（hallucination）、產生不當內容、資料揭露與易受對抗式提示攻擊等放大風險，建議透過紅隊測試、檢索增強生成（Retrieval-Augmented Generation, RAG）、建立事實查核工作流程及加註 AI 產出警語予以因應；直接面向消費者之 AI 應用：因脫離傳統醫療場域之安全監督，AIHGle 2.0指引特別建議應實施嚴格的充分說明措施，以外行人易懂之介面設計，並強化消費者教育，以確保安全[6]。 參、事件評析 我國衛福部配合「人工智慧基本法」賦予目的事業主管機關訂定風險管理規範與協助產業訂定指引的權責，亦於115年5月29日頒布《醫療機構應用生成式人工智慧指引》[7]，雖同以病人安全與負責任創新為目的、同採非強制之行政指導，但規範對象、範圍與法制脈絡不同。惟若從產業指引的全面性與涵蓋範圍來看，新加坡的AIHGle 2.0指引相比於我國指引，在以下幾個面向，特別是對象範圍有較高的完整度，於衛福部指引仍有可借鏡的地方，亦可供將來我國其他各主管機關的產業指引制定參酌： 一、規範範圍不限於「生成式 AI」，完整的對其他與新興 AI 的涵蓋 新加坡指引適用範圍從簡單的規則式決策樹、機器學習到生成式 AI 等各類技術，目前衛福部指引考量具備自主決策與執行能力的 AI Agent，因可能直接影響病人健康結果，涉及病人安全、醫療責任與法規適用等議題，因此暫未納入指引適用範圍，而限定適用於「生成式人工智慧」系統。但隨技術演進、生成式以外之 ML/DL 乃至漸具自主能力之系統亦會進入臨床場域，將來仍宜及早規劃、適時滾動納入新加坡完整廣納各類技術於單一框架。 二、以持續修正、評估甚至終止機制因應技術迭代與部署後學習 新加坡特別訂定「具持續學習能力之 AI 解決方案」的規範，指明這類模型會依部署後的新資料更新行為，容易產生「模型漂移（model drift）」包括效能退化、意外資料揭露的風險，故特別提醒開發者與部署者必須建立健全的監測系統與追蹤評估機制，而且使用者必須警覺與通報示警。 三、完整地納入而非偏重「部署者」視角，提供對「AI 產業（開發者）」的直接指導 衛福部指引主要作為預備導入或已經導入生成式人工智慧系統之醫療機構的內部治理為主要對象與目的，但就產業指引角度，醫療AI 開發廠商產業端，僅透過醫療機構的「供應商管理與採購作業」角度，以合約要求廠商揭露資訊、約定責任分工等進行間接規範，未能有專屬開發實務準則，提供從初期的規劃設計，如確保訓練資料的品質、公平性與隱私強化技術、模型應以獨立測試資料集檢驗準確度，到上市後監督與維護的詳細直接指引，確實較為可惜。 四、涵蓋直接面向消費者端之 AI 應用風險提醒 衛福部指引的適用情境聚焦於醫療機構內的醫療或管理作業，例如病歷撰寫、臨床決策支援等。對於民眾自行透過手機或穿戴式裝置使用的醫療/健康 AI 應用則未加著墨。新加坡指引特別針對產業直接面向消費者之 AI 應用提出規範，指出這類應用由於脫離傳統醫療場域與專業人員的安全監督，特別須重視資訊的有效、可理解、對應不同程度使用者的提供與說明，必須實施外行人易於理解的介面與嚴格的防護欄，且部署者與醫事人員有責任教育病人正確使用，並在不清楚時尋求專業建議。 五、風險評估構面納入人為介入並強調組織治理與監督機制的建立 新加坡指引特別建議醫療機構建立內部治理平台，以於 AI 解決方案的整個生命週期中，維持對其組織內所部署所有醫療 AI 解決方案的評估、監督、維護、指引，該平台應具備相關的臨床、作業、技術與法律知識，有明確的稽核權責分離。衛福部指引以生成式 AI 為專門對象，確實就基礎模型偏差、輸出幻覺、使用者依賴（deskilling）及服務中斷等風險之操作化有較詳細的說明，但若能就風險評估除亦考慮影響性與發生可能性外，並以「人為介入程度」作為風險分級依據，將可更徹底的將負責任AI、人為最終判斷，納入、內化於組織的風險管理機制中。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]新加坡衛生部（Ministry of Health）與衛生科學局（Health Sciences Authority），《醫療照護人工智慧指引》（Artificial Intelligence in Healthcare Guidelines）第2.0版，2026年3月，網址：https://isomer-user-content.by.gov.sg/3/23fb5b36-56b4-4abb-9370-75c9ddcaf3ed/AIHGle%202.0.pdf（最後瀏覽日：2026/06/05）。 [2]前揭註1之第4章責任分工，頁11；各方責任詳見第5章開發者、第6章部署者、第7章使用者，頁14~32；服務水準協議與標準作業見頁12~13。 [3]前揭註1之風險評估框架，頁23。 [4]前揭註1之第5.2節全產品生命週期管理，頁16~20。 [5]前揭註1之3章倫理原則，頁8~10。 [6]前揭註1，頁33至36（第8章新興發展：第8.1節具持續學習能力之AI、第8.2節生成式AI、第8.3節直接面向消費者應用）。 [7]衛生福利部，《醫療機構應用生成式人工智慧指引》，115年5月29日衛部醫字第1151663164號函頒。
未事先告知即監視員工之通訊 企業被判侵犯個人隱私根據2005年一項統計調查指出，員工超過一千人的公司中，36.1％對員工從公司內部外寄的電子郵件加以監視，而同時亦有26.5％的公司正準備對員工由公司內部發送的電子郵件加以監視。若是以員工超過二萬人的公司來看，更有高達40％的公司已然利用過濾科技對員工外寄的電子郵件加以監視，而正準備利用相關科技對員工外寄的電子郵件加以監視的公司亦高達32％。 然而根據歐洲人權法院近日所做出的判決，不論公司是否訂有清楚的員工使用政策，一旦公司並未告知員工其在公司內的通訊或電子郵件往來可能會受到公司的監視，則該公司將可能違反歐洲人權公約(European Convention on Human Rights)。 該案例乃是由於一位任職於英國南威爾斯之卡馬森學院(Carmarthenshire College)的員工—Lynette Copland發現自己的網路使用情形及電話均遭到工作單位之監視，憤而向歐洲法院提出告訴。由於卡馬森學院並未提醒員工在工作場合之電子郵件、電話或其他通訊可能遭到監視，因此Lynette Copland之律師主張當事人在工作場合之電話、電子郵件、網路使用等其他通訊都應具有合理的隱私權期待，而受到歐洲人權公約第8條的保障。歐洲法院判決Lynette Copland可獲得約5910美元之損害賠償以及1,1820美元之訴訟費用。
愛沙尼亞首創「數位遊牧簽證」吸引高收入高專業的數位遊牧民族2020年6月3日，愛沙尼亞議會通過了「外國人法（Aliens Act）」修正案，批准了全球首創專為「數位遊牧民族（Digital Nomads, DN）」設計的「數位遊牧簽證（Digital Nomad Visa, DNV）」，並於同年8月1日正式開辦。 「數位遊牧民族（DN）」為近年來興起的一種工作與生活型態，意指無需固定的工作時間與地點，只要有網路就能工作，通常是邊工作邊旅遊、經常在各國移動的生活型態，一般傳統的工作簽證或旅遊簽證較難直接適用。 今年因COVID-19疫情影響，許多人轉為遠距工作，也使更多人成為DN。而以數位治國聞名全球的愛沙尼亞，於2014年推出e-Residency（數位公民計畫）向全球招收數位公民後，進一步推出「數位遊牧簽證（DNV）」。DNV申請人可以是受雇者、企業經營者或是自由工作者，必須為外國企業工作、經營外國企業或是客戶位於國外（但不禁止在當地兼職）；其次，申請人必須證明近6個月每月3,504歐元（約新臺幣12萬元）的收入，取得DNV者即可到當地居住一年。該政策看重其高收入、高消費能力，以及高專業性，能在IT、金融、行銷或相關領域獨立工作，為當地科技業提供創意與技術，帶動產業、增加產值；其在境內期間的收益亦可成為充實國家稅捐的標的，在經濟上具有正面效益，在社會上亦可增加多元性、開拓國際事業，並提升國際知名度。