歐盟執委會通過關於《人工智慧責任指令》之立法提案
歐盟執委會（European Commission）於2022年9月28日通過《人工智慧責任指令》（AI Liability Directive）之立法提案，以補充2021年4月通過之《人工智慧法》草案（Artificial Intelligence Act）。鑑於人工智慧產品之不透明性、複雜性且具自主行為等多項特徵，受損害者往往難以舉證並獲得因人工智慧所造成之損害賠償，《人工智慧責任指令》立法提案即為促使因人工智慧而受有損害者，得以更容易獲得賠償，並減輕受損害者請求損害賠償之舉證責任。
《人工智慧責任指令》透過引入兩個主要方式：（一）可推翻之推定（rebuttable presumptions）：人工智慧責任指令透過「因果關係推定（presumption of causality）」來減輕受損害者之舉證責任（burden of proof）。受損害者（不論是個人、企業或組織）若能證明人工智慧系統因過失或不遵守法規要求之義務，致其受有損害（包括基本權利在內之生命、健康、財產或隱私等），並且該損害與人工智慧系統之表現具有因果關係，法院即可推定該過失或不遵守義務之行為造成受損害者之損害。相對的，人工智慧之供應商或開發商等也可提供相關證據證明其過失不可能造成損害，或該損害係由其他原因所致，以推翻該損害之推定。（二）證據揭露機制（disclosure of evidence mechanism）：若受害者之損害涉及高風險人工智慧時，得要求自該供應商或開發商等處獲取證據之權利。受害者透過證據揭露機制能夠較容易地尋求法律賠償，並得以找出究責的對象。
歐盟執委會認為以安全為導向的《人工智慧法》，為人工智慧訂定橫向規則，旨在降低風險和防止損害，但仍需要《人工智慧責任指令》之責任規定，以確保損害風險出現時，相關賠償得以被實現。但歐盟執委會仍選擇了較小的干預手段，《人工智慧責任指令》針對過失之責任制度進行改革，並未採取舉證責任倒置（a reversal of the burden of proof）之作法，而是透過「可推翻之推定」，一方面減輕受損害者之舉證責任，使受損害者得對影響人工智慧系統並產生過失或侵害行為之人提出損害賠償；另一方面賦予人工智慧之供應商或開發商等有機會推翻前揭造成損害之推定，以避免人工智慧系統之供應商或開發商面臨更高的責任風險，可能阻礙人工智慧產品和服務創新。
張瀠心
法律研究員 編譯整理
European Commission, New liability rules on products and AI to protect consumers and foster innovation, Sep. 28, 2022, New liability rules on products and AI to protect consumers (europa.eu) (last visited Jan. 8, 2023).
European Commission, Questions & Answers: AI Liability Directive, Sep. 28, 2022, Questions & Answers: AI Liability Directive (europa.eu) (last visited Jan. 8, 2023).
European Commission, Directive of the european parliament and of the council:On adapting non-contractual civil liability rules to artificial intelligence, Sep. 28, 2022, Proposal for a Directive on adapting non contractual civil liability rules to artificial intelligence, (last visited Jan. 8, 2023).
荷蘭資料保護局（Data Protection Authority, DPA）歷經長達七個月的調查，於2013年11月28日發布新聞稿，聲明Google違反該國資料保護法，因其未適當告知用戶他們蒐集了什麼資料、對資料做了些什麼事。 DPA主席Jacob Kohnstamm表示：「Google在未經你我同意的情形下，對我們的個人資料編織了一張無形的網，而這是違法的。」調查報告援引了Google執行長Eric Schmidt在2010年一場訪談中所說的話：「你不用鍵入任何字，我們知道你正在什麼地方、去過什麼地方，甚至或多或少知道你在想些什麼。」。 調查顯示Google為了展示個人化的廣告及提供個人化的服務，而將不同服務取得的個人資料加以合併，如搜尋記錄、所在位置及觀看過的影片等。然而，從用戶的觀點來看，這些服務係基於全然不同的目的，而Google亦未事先提供用戶同意或拒絕的選項。依照荷蘭資料保護法的規定，Google合併個人資料前，應經當事人明示同意，而該同意無法藉由概括（隱私）服務條款取得。針對DPA的聲明，Google回應他們已經提供用戶詳細資訊，完全符合荷蘭法律。 DPA表示將通知Google出席聽證會，就調查結果進行討論，並決定是否對Google採取強制措施。但是，從Google的回應看來，他們不太可能在聽證過後改變心意。以先前Google街景車透過Wi-fi無線網路蒐集資料的案例為鑑，Google（市值達3500億美元）若繼續拒絕遵循，將有可能面臨高達1佰萬歐元的罰鍰。
全球創新指數（GII）評估COVID-19對於全球創新的影響全球創新指數（Global Innovation Index，簡稱GII）為世界智慧財產權組織（WIPO）與歐洲工商管理學院（INSEAD）等單位，共同衡量全球經濟創新績效之參考指標，於今年（2020）9月2日所發佈的全球創新指數顯示，COVID-19嚴重的阻礙全球創新的發展，但卻也對於特定領域（如醫療衛生）帶來新的創新契機。 今年與2009年（全球經濟危機時）相比，世界金融體系運作仍保持平穩，但用於資助創新型企業的資金，由於全球投資者對於疫情影響新創企業營利表現擔憂，資金的投入也連帶受到影響。而在創新融資方面，鎖定新創早期階段投資的創投公司為確保日後競爭力，轉向對當今熱門標的（如生命科學等）等進行投資，若屬於研發密集型新創企業（研發時間較長）及非投資熱點（區域）的企業，投資方面則所受疫情衝擊較大。 觀察全球主要國家，雖然皆制訂相關補助計劃用以緩解因疫情所帶來之衝擊，例如中短期欲透過貸款擔保爲企業提供支持。然而，這些補助措施並非直接爲創新和新創企業提供資金。儘管如此，專家對於全球科學和創新受COVID-19的影響也非全然悲觀，部分源自於全球對於資本回報的期待，也預估未來風險投資及創新也將轉向醫療衛生、遠距教學、大數據、電子商務、機器人等領域。
為了確保網絡安全，歐盟頒佈新的網路安全計畫網絡活動無遠弗屆，其所帶來的影響也逐漸引起世界各國的關注。依據歐盟針對網絡安全現況所做的調查發現，首先，現行估計存有150,000隻電腦病毒在網路間流竄，並已造成148,000部電腦受到威脅；第二，世界經濟論壇（World Economic Forum）指出，在未來的十年內，主要重大資訊基礎設施估計將有10%遭到破壞，其將導致2500億美金的損失；第三，著名資安公司（Symantec與McAfee）估計，全世界因網路犯罪而受害者，每年將會損失2900億歐元。相反地，因網路犯罪而受益者，其獲利將可高達每年7500億歐元；第四，依據 Eurobarometer在2012年針對網絡安全的民調指出，38%歐盟網路使用者因網絡安全因素已改變他們的網路行為方式；74%使用者同意，成為網絡安全受害者的風險已經逐漸增加；12%使用者已經遭受線上詐欺且89%使用者已避免在網上揭露個人資料；第五，據網絡暨資訊安全（NIS）的公眾諮詢發現，56.8%受訪者指出，在過去一年已經歷NIS事件對其網絡活動所帶來的嚴重影響；第六，Eurostat figures指出，直到2012年一月，在歐盟境內的企業僅有26%已經制定出完整的ICT安全政策。 有鑑於網路安全風險所帶來的效應已漸受重視，歐盟執委會（European Commission）會同歐盟外交暨安全政策高級代表（High Representative of the Union for Foreign Affairs and Security Policy共同發佈網絡安全策略，並計畫延引出歐盟執委會在NIS面向上的新指令（directive）。新的歐盟網絡安全策略，名為「開放、安全與可靠網絡空間」，代表著歐盟在預防和反應網絡攻擊和侵擾問題上的全面性預見。在該策略中，包含五個重大優先處理事項： 一、達到網絡韌性（Achieving cyber resilience） 二、徹底減少網路犯罪（Drastically reducing cybercrime） 三、針對一般安全暨防禦政策，發展網絡防禦政策和能力（Developing cyber defence policy and capabilities relatedto the Common Security and Defence Policy (CSDP)） 四、對網絡安全發展出企業性和技術性資源（Developing the industrial and technological resources for cyber-security） 五、為歐盟建立一個完整的國際網絡空間政策與促進歐盟核心價值（Establishing a coherent international cyberspace policy for the European Union and promoting core EU values） 為了達成歐盟網絡安全策略所形塑的優先事項，歐盟執委會亦計畫針對NIS來頒佈新的指令以落實策略項目，其中包含，首先，要求歐盟會員國必須採納NIS策略且指定國家級機關（需具有足夠人力和財務資源）來預防、處理和回應NIS風險與事件；第二，透過安全基礎設施和組成一般性的同儕審議，在歐盟會員國與執委會間建立合作機制來分享NIS風險和事件的早期預警；第三，某些領域重大基礎設施的運作者（金融服務、交通、能源或健康）、資訊社會服務的推動者（app商店電子商務平台、線上支付、雲端運算、搜尋引擎、社群網絡）和公家行政部門必須在其核心服務上，採納風險管理作法和報告主要網絡安全事件。 從歐盟網絡安全策略和執委會計畫頒佈的NIS指令可以發現，歐盟對於新世代的網絡安全風險已經有完整的預見與具體的因應措施。針對新型態的網絡安全威脅，我國如何能及早適時預警並作出相應的防範機制，以確保產業經濟、公共交通、資訊工業和國防安全等不會受到外部威脅，將是我國政府必須先行正視的問題。
美國發布了「消費者隱私權法」草案美國白宮在2015年2月27日發布了「消費者隱私權法」（Consumer Privacy Bill of Rights Act）草案，目的在於擴大消費者資料的保護範圍。 該草案的重點分列如下： 透明性：受規範主體必須提供資訊主體簡潔、明顯、易懂的公告，公告內容必須提供簡潔、明瞭及即時的隱私與安全運作，包含資訊保存、揭露以及個人資料存取機制。 個人控制：受規範主體應該在合理範圍內提供機制，讓資料主體能控制其個人資料之處理，同時也規範應讓消費者撤銷個人資料使用的同意。 注重資料蒐集與合理使用：受規範的公司機構必須依據其清楚、合理的說明規則來進行個人資料的蒐集、保存與利用。同時，在資料蒐集之特定目的完成後的合理時間內，必須針對所蒐集的個人資料進行刪除或是去識別化。 安全性的維護：為了維護個人資料之安全性，以防止其遺失、陷入危險、改變以及未經授權之使用或是揭露，公司機構必須進行安全風險評估，並且採取合理的資訊安全防護措施。 存取與正確性：受規範的公司機構必須提供資訊主體合理的存取權利，同時也應該採取合理的步驟，來維護資料的正確性。 擔負隱私維護的責任：受規範的公司機構必須針對員工實施資安教育訓練、進行隱私評估、隱私設計、遵守隱私保護義務以及採取適當的措施來遵循本草案之規定。 不受本草案規範之公司機構： 25名員工以下的小型公司，且其處理者僅限於員工與求職者之個人資料。 未刻意蒐集、處理、使用、保存或揭露個人病史、原生國籍、性傾向、性別、宗教信仰、資產狀況、精確的位置資訊、獨一無二的生物識別資料或是社會安全號碼，並符合以下要件之一者： 在12個月內蒐集個人資料筆數在10,000筆下； 5名員工以下。 除了要求產業發展處理消費者資料的標準或規則，該草案也要求「聯邦貿易委員會」（Federal Trade Commission, FTC）確認產業所制定的標準或規則必須符合「消費者隱私權法」的規定，包括提供消費者有關其資料如何被收集、使用與分享的明確通知。如果進行消費者資料收集的公司機構違反了「消費者隱私權法」，將會面臨FTC或是州檢察長所發起的法律行動。 該草案引起了產業界極大的反彈，隱私團體也批評該草案太過寬鬆，留給產業界太多自由空間，同時目前國會由共和黨所主導，因此後續立法工作的進行將會面臨極大的挑戰。