歐盟正式通過資料治理法（DGA），歐盟資料共享發展跨出一大步
歐盟理事會（Council of the European Union）於2022年5月16日正式通過了資料治理法（Data Governance Act, 簡稱DGA），本法是歐盟執委會（European Commission）於2020年11月提案，經過一年多的意見徵詢與協商，歐盟議會（European Parliament）於今（2022）年4月6日以501票贊成通過，隨後由歐盟理事會通過公布，本法預計將於2023年8月正式生效。
DGA包含幾大面向，除了針對資料中介服務（data intermediation）、資料利他主義（data altruism）、歐盟資料創新委員會（European Data Innovation Board）等機制建立的規定外，在第二章特別針對公部門所持有之特定類別資料的再利用（reuse）進行規定。當公部門持有的資料涉及第三方受特定法律保護的權利時（如涉及第三方之商業機密、智慧財產、個資等），本法規定公部門只要符合特定條件下可將此類資料提供外界申請利用；若為提供符合歐盟整體利益的服務且具有正當理由和必要性的例外情況下，得授予申請對象專有權（exclusive rights），但授權期間不得超過12個月；歐盟應以相關技術確保所提供資料之隱私和機密性。
再者，各會員國應指定現有機構或創建一個新機構擔任提供上述資料類型的單一資訊點（Single Information Point, SIP），以電子方式公開透明地提供資料清單，包含可申請利用之資料的來源及相關描述（至少包含資料格式、檔案大小、再利用的條件等），以提供中小企業、新創企業便利、可信的資料查詢管道。此外，歐盟執委會應建立一個單一近用點（Single Access Point, SAP），提供一個可搜尋公部門資料的電子登記機制（a searchable electronic register of public-sector data），讓使用者得直接搜尋各會員國單一資訊點（SIP）中所提供的資料及相關資訊。
DGA是歐盟2020年2月發布歐盟資料戰略（European Data Strategy）後的第一個立法，歐盟希望透過本法建立一套能提升資料可利用性和促進公私部門間資料共享的機制，以創造歐盟數位經濟的更高價值。
「本文同步刊登於TIPS網站（https://www.tips.org.tw）」
謝明均
副法律研究員 編譯整理
Council approves Data Governance Act, EU Council, Mar. 16, 2022, https://www.consilium.europa.eu/en/press/press-releases/2022/05/16/le-conseil-approuve-l-acte-sur-la-gouvernance-des-donnees/ (last visited May 22, 2022)
Data governance: Parliament approves new rules boosting intra-EU data sharing, European Parliament, Apr. 7, 2022, https://www.europarl.europa.eu/news/en/press-room/20220401IPR26534/data-governance-parliament-approves-new-rules-boosting-intra-eu-data-sharing (last visited May 22, 2022)
歐盟發布《歐洲資料治理規則》草案，資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8585&no=64（最後瀏覽日：2022/05/22）
孫鈺婷，〈資料中介者於資料共享應用之實踐──以歐洲資料治理規則草案為例〉，《科技法律透析》，第33卷第10期，頁10-17 (2021)。
美國眾議院外交事務委員會於2022年6月13日在兩黨創新法案(HR4521)會議上，就對外投資機制新提案發表聯合聲明。兩黨達成協議修訂《國家關鍵能力防禦法案》(National Critical Capabilities Defense Act of 2022, NCCDA)，擴大對外投資審查制度。促使美國制定NCCDA對外投資審查立法乃係源於經濟和國家安全考量，美國關注特定技術向中國轉讓以及美國企業可能透過特定投資幫助提升中國能力之風險。因此，雖然NCCDA會給國際投資帶來不確定性，但美國兩黨及兩院內部仍支持實施特定形式的對外投資審查程序，並且與利益相關者就如何制定強而有力且具針對性的對外投資機制進行建設性的討論，目的是確保美國不會將關鍵產業製造能力拱手讓給外國競爭對手。 NCCDA授權成立國家關鍵能力委員會(Committee on National Critical Capabilities)，由美國貿易代表署擔任主席並與供應鏈安全相關聯邦機構成員共同組成，審查特定對外業務交易和活動包括：界定需要境外投資審查的活動範圍、明訂出境審查流程、及關鍵產業項目等。依據NCCDA第11條「國家關鍵能力(National Critical Capabilities)」定義，指對美國至關重要的有形及無形的系統和資產，若此類系統和資產無法開發、失能或遭到破壞，將對國家安全造成破壞性影響。委員會應負責界定涉及「國家關鍵能力」產品、供應鏈和服務；列舉國家關鍵能力產業領域包括：能源、醫療、通訊、國防、運輸、航空航太、機器人、人工智慧、半導體、造船、水等。若美國人和外國實體從事「涵蓋活動」者，必須在展開活動前至少60天以書面形式通知委員會。委員會將會通知審查，若確定所涵蓋的活動對國家關鍵能力構成不可接受的風險，委員會可以實施緩解措施，或建議總統採取特定行動，包括暫停和禁止該活動。美國兩黨期待各方利益相關者能以書面形式參與討論，確保NCCDA法案通過並滿足各方需求，使美國與盟友國的對外投資機制保持一致。
強化AI安全防線：八國連署AI與機器學習供應鏈風險管理指南日本國家網路安全辦公室（国家サイバー統括室）於2026年3月5日，代表日本連署了「AI、機器學習供應鏈風險與緩和措施」（Artificial intelligence and machine learning Supply chain risks and mitigations）之國際文書（下稱本文書），並公布本文書內容。本文書是由隸屬於澳洲訊號局（Australian Signals Directorate，簡稱ASD）之澳洲網路安全中心（Australian Cyber Security Centre，簡稱ACSC）主導訂定，主要針對有導入或開發 AI、機器學習系統與元件等需求的組織，揭示其可能存在供應鏈風險與提升整體網路安全之重要性，並就AI開發或採購階段，組織應留意相關風險與可採行之緩和措施。有關連署國家，除了日本與澳洲以外，也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時，應將 AI 供應鏈視為整體網路安全戰略的一環，同時評估產品或服務之整體生命週期風險，不應著重於單一技術，而是組織需要掌握整體供應鏈的全貌，包括特定關係事業者、活用AIBOM（AI物料清單，主要用來記錄AI模型相關資產與資訊，提供快速定位與管控AI問題模型功能）或SBOM（軟體物料清單，主要記錄軟體相依元件，用於漏洞管理與供應鏈透明度）、意識到是否已針對AI、機器學習系統可能帶來的風險，進行漏洞管理，以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類：AI 數據、機器學習模型、AI 軟體、AI 基礎設施（含硬體），以及第三方服務，本文書指出AI、機器學習應用於供應鏈時可能產生之風險，其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面，以及導入第三方服務致使供應鏈產生弱點等。 此外，本文書也針對各類風險提出可行的因應方法，例如： 1.數據面：需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面：需從可信來源取得透明模型，實施性能驗證與惡意程式偵測。 3.軟體面：需做完整性驗證、元件審核，並透過 SBOM 掌握已知弱點。 4.硬體面：需確認設備無惡意內容，並在網路中適當分區。 5.第三方服務面：需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說，日本已意識到國家網路安全治理下，針對AI、機器學習的安全，不單是模型安全，而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書，不僅強化國際合作，同時建立供應鏈網路安全共識，因應AI對於國家供應鏈之網路安全挑戰，從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法，作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作，提升國家網路安全治理之作法，值得我國未來借鏡參考。
美國FDA發布保密證書指引草案，可防止研究人員被迫揭露研究參與者可識別個人之敏感性資料美國FDA（Food and Drug Administration）於2019年11月22日發布「保密證書（Certificates of Confidentiality, CoC）」指引草案。保密證書之目的在於防止研究人員在任何聯邦、州或地方之民事、刑事、行政、立法或其他程序中被迫揭露有關研究參與者可識別個人之敏感性資料，以保護研究參與者之隱私。保密證書主要可分為兩種，對於由聯邦所資助，從事於生物醫學研究、行為研究，臨床研究或其他研究，於研究時會收集可識別個人之敏感性資料之研究人員而言，保密證書會依法核發予該研究人員，稱為法定型保密證書（mandatory CoC）；而對於從事非由聯邦所資助之研究的研究人員而言，原則上保密證書不會主動核發予該研究人員，惟當研究涉及FDA管轄之產品時，可由FDA自行裁量而核發保密證書，稱為裁量型保密證書（discretionary CoC），本指引草案旨在提供裁量型保密證書之相關規範。 FDA建議裁量型保密證書之申辦者先自問以下四個問題，且所有問題之答案應該皆為肯定：(1)申辦者所參與之人體研究是否收集可識別個人之敏感性資料？(2)申辦者是否為該臨床研究之負責人？(3)申辦裁量型保密證書之人體研究是否涉及受FDA管轄之產品的使用或研究？(4)申辦者之研究措施是否足以保護可識別個人之敏感性資料之機密性？ 於FDA完成審查後，將向申辦人傳送電子回覆信件，表明是否核准裁量型保密證書。若結果為核准，則該電子回覆信件即可作為保密證書。該保密證書之接受者應執行法律所規定以及FDA於電子回覆信件中所要求之保證事項，以保護人體研究參與者之隱私。
全球最大無人機製造商DJI在美對科技新興公司Yuneec 提起專利侵權訴訟SZ DJI Technology Co.和DJI Europe B.V.（下簡稱DJI）來自中國，是世界上最大的無人機製造商，DJI向加州中區聯邦地區法院起訴科技新興公司Yuneec Intemational Co.Ltd.和Yuneec Usa Inc.（下簡稱Yuneec）涉嫌侵害其跟踪移動目標系統，和可拆卸支架360度攝影機鏡頭的兩項專利，且請求法院發布禁制令，以阻止進一步銷售，並請求損害賠償。 這兩項專利，一為美國專利編號9164506“跟踪移動目標系統”，一旦遠端操作員指定了目標，無人機會自動跟蹤並保持相機拍攝目標；另一個專利為美國專利編號9280038，可讓無人機的照相機旋轉360度進行拍攝，並連接到分離的手持式攝像機，DJI強調公司多年來為開發該產品投注相當的時間和資源。 總部位於香港的Yuneec在一月的消費電子展（Consumer Electronics Show）上引起轟動，Yuneec使用GPS感知技術避免危險區域如機場，媒體於消費展後的報導稱Yuneec的無人駕駛飛機已經威脅到DJI市場上的地位。 Yuneec在5月25日向加州中區聯邦地區法院提起反訴認為其無侵權，並表示目標跟踪是一個抽象的概念不能以此申請專利，“跟踪是一個古老的概念” Yuneec的代表律師威爾遜表示，“該506專利並不是要揭露新的跟踪技術，相反的它只是描述並使用眾所周知的無人機的跟踪技術“。而另項專利可拆卸的支架360度攝影機鏡頭，如GoPros已有類似的產品，甚至遠比DJI的產品還早之前。 本文同步刊登於TIPS網站（https://www.tips.org.tw）