美國國家安全局發布「軟體記憶體安全須知」
美國國家安全局（National Security Agency, NSA）於2022年11月10日發布「軟體記憶體安全須知」（“Software Memory Safety” Cybersecurity Information Sheet），說明目前近70%之漏洞係因記憶體安全問題所致，為協助開發者預防記憶體安全問題與提升安全性，NSA提出具體建議如下：
1.使用可保障記憶體安全之程式語言（Memory safe languages）：建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言，以取代C與C++等無法保障記憶體安全之程式語言。
2.進行安全測試強化應用程式安全：建議使用靜態（Static Application Security Testing, SAST）與動態（Dynamic Application Security Testing, DAST）安全測試等多種工具，增加發現記憶體使用與記憶體流失等問題的機會。
3.強化弱點攻擊防護措施（Anti-exploitation features）：重視編譯（Compilation）與執行（Execution）之環境，以及利用控制流程防護（Control Flow Guard, CFG）、位址空間組態隨機載入（Address space layout randomization, ASLR）與資料執行防護（Data Execution Prevention, DEP）等措施均有助於降低漏洞被利用的機率。
搭配多種積極措施增加安全性：縱使使用可保障記憶體安全之程式語言，亦無法完全避免風險，因此建議再搭配編譯器選項（Compiler option）、工具分析及作業系統配置等措施增加安全性。
鄭岱宜
法律研究員 編譯整理
NSA Releases Guidance on How to Protect Against Software Memory Safety Issues, National Security Agency, https://www.nsa.gov/Press-Room/News-Highlights/Article/Article/3215760/nsa-releases-guidance-on-how-to-protect-against-software-memory-safety-issues/ (last visited Jan. 30, 2023).
阮韻蒨，〈美國公布實施零信任架構相關資安實務指引〉，科技法律研究所，2022/09，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=8885&no=64（最後瀏覽日︰2023/01/30）。
法國國家資訊自由委員會（Commission Nationale de l'Informatique et des Libertés, CNIL）於2025年9月18日作成裁罰決定，認定巴黎百貨公司SAMARITAINE SAS（La Samaritaine）（莎瑪麗丹百貨公司，下稱該公司）於職場內設置「偽裝成煙霧偵測器」的隱藏攝影機，該設備具備錄音功能且未適當評估風險與內部控制紀錄，並涉及個資事件通報義務未即時履行等多項違反《一般資料保護規則》（General Data Protection Regulation, GDPR）規定，最終遭裁處10萬歐元（約新台幣355萬元）的行政罰鍰。 本次事件係因該公司聲稱庫房商品失竊率增加，遂於2023年8月在兩處庫房安裝5台外觀形似煙霧偵測器但可錄音的攝影機，但員工並未事前知悉。然而，攝影機於裝設後數週即被員工發現，並在2023年9月被拆除而停止運作。CNIL之所以介入，係因2023年11月經媒體報導及後續申訴事件引發關注，進而啟動稽查程序。以下為CNIL認定本案的主要違規事項： 1.違反公平、透明與可歸責性（GDPR Art. 5(1)(a)、5(2)）：隱藏式攝影機設計使員工難以察覺且未予以告知；該公司未完成事前分析或影響評估、未妥善文件化紀錄，因此難認有以公平且透明方式處理個資。 2.違反資料最小化（GDPR Art.5(1)(c)）：攝影機具備「收音」功能，導致員工私領域對話等資料被蒐集，與所稱之防竊等特定目的未有相符，屬過度蒐集行為。 3.未建立個資侵害通報與紀錄（GDPR Art. 33(1)、33(5)）：員工拆除設備時留存載有錄影錄音內容的SD卡，公司在知悉後未於法定時限內通報並建檔紀錄；CNIL指出此類「失去對載體控制」情形並無任何模糊空間，且因其中內含員工影音資料，對自由權具有風險，依法應通報。 4.個人資料保護長（Data Protection Officer, DPO）未及時參與（GDPR Art. 38(1)）：DPO直至該攝影機拆除後才被告知，未能於事前提供風險控管與審酌是否符合法規範建議，而違反應「適時、適當參與」之要求。 本案可視為CNIL對職場監視劃出的紅線警告，雇主即使基於特定目的而採用不易察覺的監視措施，仍須在保護財產和人身安全的目標，與保護員工隱私間取得合理平衡，例如：蒐集期間具有「暫時性」；蒐集範圍最小化，無不必要收音等較小侵害手段；並應讓組織的DPO事前參與把關，完成比例性分析與風險評估，否則可能構成對員工基本權利與自由的重大干預。同時，內部也應建立事故應變流程，避免因誤判或延誤而使單一事件擴大成多重違規與裁罰風險。
澳洲政府發布「國家 AI 計畫」 將採用科技中立的AI治理模式澳洲工業、科學及資源部（Department of Industry, Science and Resources）於2025年12月2日發布「國家AI計畫」（National AI Plan），擘劃了澳洲至2030年的AI發展藍圖，將「掌握機遇」、「普及效益」與「確保人民安全」列為三大發展方向。該計畫將透過基礎建設投資、人才培育、產業支持，以及強化監管能力等途徑，打造一個更具競爭力、包容性與安全性的 AI 生態系統。 國家AI計畫的另一個重點在於，澳洲政府打算透過現有的法律監管架構治理AI，而不另立AI專法。此舉是回應澳洲生產力委員會（Productivity Commission）於8月提出之建言：政府在推動創新與訂定規範時必須取得平衡，應暫緩推動「高風險 AI 的強制護欄（mandatory guardrails）」，僅有在現行制度無法處理AI衍生之危害時，才有必要考慮制定 AI 專法。 據此，國家AI計畫指出，面對AI可能造成的危害，現有制度已有辦法進行處理。例如面對使用AI產品或服務的爭議，可依循《消費者保護法》（Australian Consumer Law）取得權利保障；AI產品或服務的風險危害，亦可透過《線上安全法》（Online Safety Act 2021）授權，制定可強制執行的產業守則（enforceable industry codes）來應對。澳洲政府未來也將推動《隱私法》（Privacy Act 1988）修法，意欲在「保護個人資訊」與「允許資訊被使用及分享」之間取得適當平衡。 同時，由於採用分散式立法的關係，澳洲特別成立「AI 安全研究院」（Australian AI Safety Institute, AISI），以強化政府因應 AI 相關風險與危害的能力。AISI將協助政府部門內部進行監測、分析並共享資訊，使部門間能採取即時且一致的治理政策。 澳洲政府曾在2024年9月研議針對高風險AI進行專門的監管，但因擔心過度立法恐扼殺AI發展轉而採用「科技中立」的監管方式，以既有法律架構為基礎推動AI治理。此與歐盟的AI治理邏輯大相逕庭，未來是否會出現現行制度無法處理之AI危害，抑或採用現行法制並進行微調的方式即可因應，值得持續觀察。
由Meta案看數位資料商業化面臨之跨國問題於2023年5月22日愛爾蘭資料保護委員會（Ireland's Data Protection Commission, DPC）對於Facebook的母公司Meta將歐盟境內資料傳輸到美國的行為做出開罰12億歐元的決定，並暫停資料跨境傳輸行為，再次引起了各界對於資料跨境傳輸的關注。 針對跨國提供網路服務的企業，如何確保企業處理資料的方式可以符合多國的法規要求，向來是一困難的問題。自從2015年「安全港隱私準則」（Safe Harbour Privacy Principles）被歐盟法院宣告失效後，美國與歐盟試圖就資料跨境傳輸重新達成一個可符合雙方要求的框架，包含2020年被歐盟法院宣告無效的「隱私盾框架」（EU-US Privacy Shield Framework），而2022年3月雙方達成原則性同意的歐盟美國資料隱私框架（EU-U.S. Data Privacy Framework, DPF），惟就美國於同年10月發布用以實施之行政命令（EO 14086），亦於2023年5月被歐洲議會認為對於歐盟境內資料的保護不足。 2023年6月8日英國跟美國共同發布建立英美資料橋（UK-US data bridge）的聯合聲明，以建立起英美之間的資料流動機制，但該英美資料橋是基於歐盟美國資料隱私框架做進一步的擴展，能否符合歐盟對於資料保護的要求，目前尚無法預期。 目前的商業模式中資料跨境傳輸是難以避免的現實困境，各國亦就資料跨境傳輸建立框架，企業需持續關注自身營業所在地之法規變化，以即時因應調整自身管理機制。 本文同步刊登於TIPS網站（https://www.tips.org.tw/）
日本發布生成式AI智財保護及透明性守則日本發布生成式AI智財保護及透明性守則 資訊工業策進會科技法律研究所 2026年09月09日 近年隨各國生成式AI服務普及，技術訓練資料來源與智慧財產權保護問題益受權利人關注，如何在確保AI技術發展下，兼顧既有權利的保護，已成為AI治理的主要課題之一。日本此次針對生成式AI訓練資料之透明化，提出業者自主揭露、建立查詢機制、賦予訴訟中權利人與一般使用者請求揭露依據的實務操作具體規範，以完備透明揭露機制，確保權利人及使用者皆能於安全、安心之環境下利用生成式AI。 壹、事件摘要 日本知的財産戰略本部依日本《人工智慧相關技術之研究開發及活用推進法》（令和7年法律第53號）之意旨，運用「遵循或解釋」之運作方式，於2026年8月25日公布《生成ＡＩの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード》[1]（生成式AI適切利活用等相關知的財產保護及透明性守則，下稱本守則）。本守則為自願性質，要求生成式AI開發者及提供者就模型使用、學習資料及當責性等事項進行透明化揭露，並就智慧財產權保護措施揭示所採措施；並賦予權利人與一般生成式AI生成物使用人得於符合一定要件下，向生成式AI事業者請求揭露特定比對資訊之權利。內閣府另行公布「概要開示対象事項 具体例」供各揭露事項之記載程度的具體參照[2]。 貳、重點說明 一、適用對象包括開發者、提供者、權利人、使用人等利害關係人 本守則適用對象包括「生成式AI開發者」及「生成式AI提供者」(以下合稱生成式AI「事業者」)。但適用範圍並不包括非對公眾提供生成式AI之對象，例如：僅承接開發過程一部分工作、將成果交付予開發者之受託人；僅從事研究而未對公眾提供者；僅利用單一法人或個人資料特化建構、且僅供該資料提供者使用之系統；僅供特定企業集團或團體內部使用之專用系統。於日本境內未設本店或主要事務所之國外事業者，如向日本提供其服務，仍應適用本守則。 二、採「遵循或解釋」官方公開揭示的運作機制 事業者應於公司網站公開受採用表明、公開各原則之實施事項(即「遵循」)，事業者就個別情況認為不適當之原則，得說明不實施理由後不予實施(即「解釋」)，但說明應力求使使用者及權利人獲得充分理解。就「解釋」之認定基準，本守則規定僅陳述尚未建立實施體制，不足以構成「解釋」，應依事業規模等因素說明體制建置完成之時期；已提出必要依據，證明依本原則揭露於技術上不可行者，可視為已完成「解釋」。 為使受採用狀況可視化(公開揭示)，上開事項應依內閣府所定格式提出申報，原則上每年至少檢視、更新一次。內閣府將製作「遵循或解釋」相關參考格式，並公開已申報事業者清單及其公司網站連結，惟不就申報內容進行審查，對於第三人之查詢等亦不予回覆。 三、透明性確保措施 本守則要求事業者應揭露之透明性事項分為模型使用、學習資料、當責三大類，應揭露的項目包括： (一) 使用模型相關事項：名稱（識別碼、版本等）、含公開日期在內之沿革（過去版本或修正紀錄）、架構與設計規格（含第三人授權狀況、使用所需之硬體軟體及授權）、使用規範（預設用途，及限制、禁止用途之明確化），以及模型訓練過程之內容（訓練方法等）。 (二) 學習資料相關事項：訓練及驗證等所用資料之種類（含RAG使用之資料）、網路爬取或自第三人取得之非公開資料集相關事項、公開資料集相關事項、以其他方式蒐集之資料相關事項、合成資料之使用有無及目的，以及爬蟲程式之目的、資料蒐集期間、名稱與識別碼，是否使用第三人爬蟲程式及其名稱、識別碼。 (三) 當責相關事項：開發、提供、使用過程中決策之可追蹤、回溯狀態，可追溯性之提升、負責人之明示、相關人員責任之分配、對利害關係人之具體因應，以及文書化。 四、智慧財產權保護措施之揭露 本守則要求事業者採取下列智慧財產權保護措施： (一) 建立智慧財產保護制度：訂定智慧財產權保護原則、明確化責任體制，每年至少檢視一次並對外公開要旨；對訓練所得之紀錄保存一定期間 (二) 合法進行訓練資料取得：資料活用（含開發、學習）不侵害他人智慧財產權；採用遵循付費牆等存取限制及robots.txt等機器可讀指示之爬蟲程式，並就各使用者代理逐一公開上開措施，且於變更時通知 (三) 盡可能採取侵權防免措施：包括致力於避免對盜版網站進行爬取；採取防止生成侵害智慧財產權之生成物之技術性措施；採取電子浮水印、C2PA等可證明內容出處及沿革之技術性措施；對使用者周知不應利用有侵權疑慮之生成物 (四) 整備權利人適時適當救濟之窗口：明確化申訴要件，並保存因應紀錄。 五、使用者、權利人及其受委任律師或代理人均可依一定程序請求揭露 賦予使用者、權利人(及其受委任律師或代理人)兩類主體得向生成式AI事業者請求揭露特定資訊之權利，以供使用者確認其所用AI是否使用特定著作為訓練資料，或權利人確認相同或近似的著作被事業者納入AI成為訓練資料。二者程序架構相同，均得請求揭露訓練驗證資料（指透過網路爬取或自第三人取得之非公開資料集、公開資料集、含合成資料在內之資料集，或以其他方式蒐集之資料，惟不以此為限），但因訴訟、聲請調解、聲請訴訟外紛爭解決程序（ADR）或其他法律程序而有必要之權利人，及其受委任律師或代理人，可請求查證的是自行查詢之URL[3]；一般使用者則可以請求查證的係是否含有與其所生成之生成物相同或近似內容[4]。相關請求須具備三項要件： (一) 足認具備請求資格之理由，即權利人及其受委任律師或代理人須說明具備訴訟等程序資格之事由，而一般使用者則須提出生成物及所用提示詞； (二) 明示利用目的並承諾不作目的外使用，權利人及其受委任律師或代理人並須進一步承諾不將回覆轉作嗣後提起訴訟、調解或ADR之用； (三) 說明請求揭露理由與參照(可供查證的)資訊。 依請求人身分於適用程序上略有區別，並均以「生成式AI事業者容易存取及確認者為限」為限。 參、事件評析 我國《人工智慧基本法》第4條第5款規定，政府推動人工智慧研發應用應遵循「透明與可解釋」原則，人工智慧產出應做適當資訊揭露或標記；第5條第2項規定，經中央目的事業主管機關會商數位發展部認定為高風險應用者，應明確標示注意事項或警語；第16條第2項則規定，各目的事業主管機關應協助相關產業自行訂定產業指引及行為規範。日本此次公布的守則所建構之透明化與揭露請求機制，本文認為具有下列可參考之處： 一、機關不須立於審查、承責之角色，但有法律效力時須以第三方驗證機制配套 本守則明示透明化效果繫於業者自主誠信履行，明文規定日本內閣府對業者申報內容不進行審查，且對第三人查詢亦不予回覆，此一設計使主管機關毋須承擔審查責任，僅提供申報格式與公開清單之行政協助角色，殊值承受責任壓力的行政機關參考。但若將來將類似遵循或解釋機制提升為具法律效力之規範，應同時建立第三方驗證機制，例如由主管機關或指定機構就業者申報內容進行抽查或複核，藉公眾審查與問責機制，對業者形成遵循與誠信申報之壓力，避免僅以業者單方陳述作為唯一依據。 二、軟法指引須深化至具體記載程度，始能發揮引導效果 本守則另有由內閣府公布「概要開示対象事項 具体例」，就各事項應揭露之記載程度提供具體範例，顯示軟法之引導效果，繫於指引深化之程度，僅列原則性事項而未進一步定明記載程度或格式範例者，業者實務操作易生歧異，透明化效果亦難以彰顯。我國《人工智慧基本法》第4條第5款及第16條第2項就透明化及產業行為規範，除應有相關指引外亦宜向下展開實作之基準或格式範例，以利軟法引導機制發揮實效。 三、軟法之表態不限於正面列舉，亦應及於未能遵循之說明義務 本守則就「解釋」特別指出，僅陳述尚未建立實施體制，不構成解釋，須進一步依事業規模等因素說明體制建置完成之時期，或提出必要依據證明依本原則揭露於技術上不可行者，始視為已完成解釋。此一設計顯示，透明化義務之履行不僅止於正面陳報遵循程度，亦及於未能遵循時具體說明理由及依據之義務。類此規範模式可運用於著作合理使用之指引，透過反向說明那些無法被認同屬合理使用的情況，間接明確可主張合理使用的應備條件，降低不確定的模糊空間。 四、達成透明化目的應併用揭露與標記 我國《人工智慧基本法》第4條第5款規定人工智慧產出「應做適當資訊揭露或標記」，然於日本此守則中可見諸透明性揭露事項與智慧財產權保護措施中電子浮水印、C2PA等技術性措施併陳，顯示揭露與標記於功能上有別。揭露解決使查閱者得知資訊內容之問題，標記則解決生成物本身出處可辨識、可追溯之問題，二者併存運用可兼顧事前資訊公開與事後來源查核。我國後續訂定操作規範時，宜避免將兩者理解為得擇一履行之選項。 五、智慧財產權保護措施屬事業者應建立之基本管理制度 本守則所列智慧財產權保護措施九項事項，包括保護原則之訂定與責任體制之明確化、遵循付費牆及機器可讀指示之爬蟲政策、訓練紀錄之保存、技術性防護措施之採行，以及權利人救濟窗口之整備等，其性質應定位為生成式AI事業者於資料蒐集、模型訓練及生成物提供各階段應建立之基本管理制度，我國將來訂定之產業AI應用指引，可參採納入事業者內部治理應具備之基礎架構，而非僅為對外揭露之事項。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]知的財産戦略本部，〈生成ＡＩの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード〉，2026年8月25日，https://www.cas.go.jp/jp/seisakukaigi/titeki2/ai_kentoukai/kaisai/pdf/ai_principle_code.pdf（最後瀏覽日：2026年9月8日）。 [2]内閣府知的財産戦略推進事務局，〈概要開示対象事項 具体例〉，2026年8月25日，https://www.cas.go.jp/jp/seisakukaigi/titeki2/ai_kentoukai/kaisai/pdf/ai_principle_code_gutairei.pdf（最後瀏覽日：2026年9月8日）。 [3] 例如自行創作作品並刊載於網站A之人，如發現與該作品相同或近似之生成式AI生成物，得向生成式AI事業者出示該網站A作品刊載頁面之URL，就該網域是否列入爬蟲程式之爬取對象、是否列入自第三人取得之訓練資料來源等事項請求揭露。 [4] 例如AI使用者發現其用生成式AI的生成物，有相同或近似之內容刊載於網站B，得向提供生成式AI服務A之生成式AI提供者出示該生成式AI生成物、生成該生成物時所使用之提示詞、該生成物之利用目的及網站B之URL，就該URL之網域部分是否列入生成式AI服務A所搭載生成式AI系統開發時訓練資料之爬取對象、是否列入自第三人取得之訓練資料來源等事項。