美國商務部於2023年3月21日對《晶片與科學法》(CHIPS Act)獎勵計畫中的國家安全護欄條款(guardrails)提出法規草案預告(Notice of Proposed Rulemaking, NPRM),並對外徵詢公眾意見,確保美國和盟友間的技術協調合作,促進共同國家安全利益。CHIPS作為國家安全倡議,以重建和維持美國在全球半導體供應鏈中的領導地位為目標,並確保CHIPS所補助的資金及尖端技術,不會直接或間接使中華人民共和國、俄羅斯、伊朗和北韓等特定國家受益或用於惡意行為,若CHIPS受補助者參與限制交易,政府可以收回全部資金補助。護欄條款對受補助者實施限制說明如下:
1.限制在特定國家擴張先進設施:自獲得補助起10年內,禁止對特定國家或地區的尖端和先進半導體設施為重大投資、協助擴大半導體製造能力。投資金額達100,000美元定義為重大交易,將設施生產能力提高5%為擴大半導體製造能力。
2.限制在特定國家擴建傳統設施:禁止在特定國家擴充半導體新生產線或將傳統半導體設施的生產能力擴大超過10%。若半導體設施的產出「主要服務」於該國國內市場(超過85%),則允許建造新的傳統設施,但最終產品只能在該國家或地區銷售。
3.半導體屬對國家安全至關重要項目:擬將一系列晶片歸類為涉及國家安全,並與國防部和情報局協商制訂清單管制,包括用於量子運算、輻射密集環境,和其他專業軍事能力的新進和成熟製程晶片。
4.加強美國出口管制:透過出口管制和CHIPS國家安全護欄條款,調整對儲存晶片的技術門檻限制並加強控制。對邏輯晶片應用,會設定比出口管制更加嚴格的門檻。
5.限制聯合研究和技術授權:限制與特定外國實體就引起國家安全問題的技術或產品進行聯合研究和技術授權工作。聯合研究定義為由兩人或多人進行的任何研究和開發,技術授權為向另一方提供專利、營業秘密或專屬技術的協議。
本文為「經濟部產業技術司科技專案成果」
論美國與歐盟半導體之保護策略 蔡立亭 資訊工業策進會科技法律研究所 2021年12月 根據美國白宮於2021年9月23日的公告,COVID-19的流行衝擊產業的供應鏈;政府藉由法案的施行,積極預防晶片的短缺[1]。為保護產業的發展,與國際競爭力,不僅美國致力於晶片的自給自足;歐盟鑒於國際趨勢,亦積極強化技術能力[2]。本文擬研析於2021年,美國、歐盟促進半導體發展的策略,並聚焦於相關的法制與聯盟。 壹、事件摘要 據調查報告指出,由於近年大量外購半導體與設置境外公司,美國於全球半導體的產量占比,已明顯下降,並欠缺先進技術的能力[3]。申言之,美國於半導體生產的量與質,皆已呈現危機。基於穩定國內產業之供需,和提升半導體技術的量能,美國政府積極擬定《2021財政年國防授權法》;半導體產業並組成聯盟凝聚共識,共同維護半導體供應鏈之健全。 歐洲亦致力於推進半導體的發展,提出《歐洲晶片法案》(European Chips Act)[4],歐盟並另成立「處理器與半導體技術聯盟」(the Alliance for Processors and Semiconductor technologies)[5]。申言之,歐洲以法案與產業聯盟,共同強化歐洲整體於國際半導體之技術量能。 貳、重點說明 承上所論,為協助境內半導體產業的發展,提升研發技術能力,美國與歐盟創造適合的生態環境。由政府制定規範,挹注相關資源;產業並聚集為聯盟,協力提升半導體產能。本文以下擬分述之。 一、美國 美國《2021財政年國防授權法》的H Division其他事項第99主題(TITLE XCIX),為「創造有助於美國生產半導體的激勵措施」[6]。係資助發展安全且穩定的半導體,和半導體供應鏈;並含建立多邊半導體基金[7],以及與國外共同籌資機制(common funding mechanism)[8]。在提升半導體研究與發展的層面,則成立「國家半導體科技中心」,參與的單位為商務部、國防部、能源局與國家科學基金會[9]。該中心的任務為執行半導體的製造、設計、研究[10];並建立投資基金,與私部門合作,以支持新創公司、產學合作,提升美國的半導體生態系[11]。申言之,美國以國家主導,跨部會協作,挹注經費,整合半導體的研究資源。 美國半導體聯盟(Semiconductors in America Coalition,SIAC)係由製造與使用半導體的公司,組成跨部門聯盟,其任務為藉由提升半導體的製造與研究,強化美國的經濟、關鍵基礎設施,與國家安全[12]。另,美國半導體工業協會(Semiconductor Industry Association,SIA)自1977年成立[13],成員類型包含半導體設計與製造公司總部位於美國者(特許會員)、總部位於美國境外而對美國具有重要性者(國際半導體會員)、在半導體產業供應鏈中的公司且期待對聯盟的公共政策具有發言權者(企業會員),和非屬半導體產業的公司(企業夥伴)[14]。SIA的任務為推動政策與法規,提升國際競爭力,和維持技術領先性[15]。換言之,聯盟包含境外成員的參與,以共同推動半導體的發展。 二、歐盟 歐盟之《歐洲晶片法》則尚處於研議階段,係由歐盟委員會主席Ursula von der Leyen於2021年9月提出,並認為應連結半導體設計、製造與測試的能力[16]。歐盟委員Thierry Breton指出,該法案應包含三個構面:一為歐洲半導體研究策略,此為歐洲在全球半導體價值鏈中的優勢;次為藉由共同計畫,以提升歐洲的產出能力;三為國際合作的框架[17]。擬以法案深化歐洲半導體產業的研究、技術量能。 歐洲處理器與半導體技術聯盟,係於2021年7月成立,總體目標為識別晶片生產與企業技術發展需求間的落差[18]。並轉化為兩個主要的行動,一為強化歐洲電子設計的生態系統;次為建立必要的製造能力[19]。藉由檢視晶片的供需,以協調整體生態系的發展。 參、事件評析 綜上所論,美國與歐洲輔助境內半導體的發展,可歸納為縱向層面:以立法的方式,編列預算並保護技術。以橫向層面觀察,半導體產業組成聯盟,可由產業界的視角,交流相關技術經驗,和調整規範以符合技術發展實務。 美國與歐盟積極整合相關的資源,提升境內之半導體研究與技術,競爭國際之領導地位。觀察美國《2021財政年國防授權法》對半導體產業的輔助,或可歸納為1、國際合作籌資;2、跨部會合作;與3、公私協力。歐盟之《歐洲晶片法案》並擬於2022年第2季有相關的倡議[20]。或亦將注重國際合作,以優化半導體產業。 針對半導體聯盟之設置,成員或包含國際會員,以協調相關的政策、法規,整合半導體的供給與需求。申言之,美國與歐盟槓桿國際資源,輔助境內半導體產業,提升研發技術,與半導體供應之量能。 [1] Sameera Fazili and Peter Harrell, When the Chips Are Down: Preventing and Addressing Supply Chain Disruptions, Briefing Room Blog (September 23, 2021), https://www.whitehouse.gov/briefing-room/blog/2021/09/23/when-the-chips-are-down-preventing-and-addressing-supply-chain-disruptions/#3 (last visited Oct. 13, 2021). [2] EU’s costly plan to close the semiconductor gap, Bloc would do better to focus on chip design and specialist machinery, FINANCIAL TIMES, Oct. 4, 2021, https://www.ft.com/content/a016f686-791f-4a3f-9e7a-c6389896862b (last visited Nov. 2, 2021). [3] FACT SHEET: Biden-Harris Administration Announces Supply Chain Disruptions Task Force to Address Short-Term Supply Chain Discontinuities, 100-Day Review Outlines Steps to Strengthen Critical Supply Chains, Final Report, The White House, https://www.whitehouse.gov/briefing-room/statements-releases/2021/06/08/fact-sheet-biden-harris-administration-announces-supply-chain-disruptions-task-force-to-address-short-term-supply-chain-discontinuities/ (last visited Oct. 18, 2021). [4] Ursula von der Leyen, President of the European Commission, 2021 State of the Union Address by President von der Leyen, Address at European Commission (September 15, 2021), 1, at 4, https://ec.europa.eu/commission/presscorner/detail/ov/SPEECH_21_4701 (last visited Oct. 21, 2021). [5] Digital sovereignty: Commission kick-starts alliances for Semiconductors and industrial cloud technologies, European Commission, https://ec.europa.eu/commission/presscorner/detail/en/IP_21_3733 (last visited Oct. 20, 2021). [6] TITLE XCIX—CREATING HELPFUL INCENTIVES TO PRODUCE SEMICONDUCTORS FOR AMERICA, William M. (Mac) Thornberry National Defense Authorization Act for Fiscal Year 2021, Authenticated U.S. Government Information GPO, One Hundred Sixteenth Congress of the United States of America at the second session, 1, at 1456, https://www.congress.gov/bill/116th-congress/house-bill/6395/text (last visited Oct. 22, 2021). [7] SEC. 9905. Funding for development and adoption of measurably secure semiconductors and measurably secure semiconductors supply chains (a), id., at 1467. [8] SEC. 9905. Funding for development and adoption of measurably secure semiconductors and measurably secure semiconductors supply chains (b), id., at 1468. [9] SEC. 9906. Advanced microelectronics research and development (c) (1), id., at 1471. [10] SEC. 9906. Advanced microelectronics research and development (c) (2) (A), id., at 1471. [11] SEC. 9906. Advanced microelectronics research and development (c) (2) (B), id., at 1472. [12] About, SIAC Semiconductors in America Coalition, https://www.chipsinamerica.org/about/ (last visited Oct. 20, 2021). [13] History, SIA Semiconductor Industry Association, https://www.semiconductors.org/about/history/ (last visited Oct. 21, 2021). [14] Join SIA, SIA Semiconductor Industry Association, https://www.semiconductors.org/about/become-a-member/ (last visited Oct. 21, 2021). [15] Mission, SIA Semiconductor Industry Association, https://www.semiconductors.org/about/mission/ (last visited Nov. 2, 2021). [16] Ursula von der Leyen, supra note 4. [17] 歐盟官方發布內容:Thierry Breton, How a European Chips Act will put Europe back in the tech race, Blog (September 15, 2021), https://ec.europa.eu/commission/commissioners/2019-2024/breton/blog/how-european-chips-act-will-put-europe-back-tech-race_en (last visited Oct. 20, 2021). Linked in發布內容:Thierry Breton, How a European Chips Act will put Europe back in the tech race, Linked in (September 15, 2021), https://www.linkedin.com/pulse/how-european-chips-act-put-europe-back-tech-race-thierry-breton/?published=t (last visited Oct. 21, 2021). [18] Alliance on Processors and Semiconductor technologies, Shaping Europe’s digital future, European Commission, https://digital-strategy.ec.europa.eu/en/policies/alliance-processors-and-semiconductor-technologies (last visited Oct. 20, 2021). [19] Industrial Alliance on Processors and Semiconductor Technologies, Internal Market, Industry, Entrepreneurship and SMEs, European Commission, https://ec.europa.eu/growth/industry/policy/industrial-alliance-on-processors-and-semiconductor-technologies_en (last visited Oct. 20, 2021). [20] EUROPEAN COMMISSION, Commission Work Programme 2022 Annex I: New initiatives (October 19, 2021), 1, at 2, https://ec.europa.eu/info/system/files/factsheet_cwp_2022_annex_v4.pdf (last visited Nov. 1, 2021).
歐盟委員會發布NIS 2實施條例以定義資安重大事件.Pindent{text-indent: 2em;} .Noindent{margin-left: 2em;} .NoPindent{text-indent: 2em; margin-left: 2em;} .No2indent{margin-left: 3em;} .No2Pindent{text-indent: 2em; margin-left: 3em} .No3indent{margin-left: 4em;} .No3Pindent{text-indent: 2em; margin-left: 4em} 歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》(Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union,下稱NIS 2)的第一個實施條例(下稱「實施條例」)。NIS 2要求企業發生重大事件(Significant incident)後24小時內,應向會員國主管機關通報,依實施條例之規定,符合以下任一條件會被視為重大事件: 1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。 2. 造成商業機密洩漏。 3. 已造成或能造成自然人死亡。 4. 對自然人健康已造成或能造成大量傷害。 5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。 6. 反覆發生的事件。 7. 符合第5條至第14條特定資訊服務的事件。 實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條,定義「反覆發生」的要件,包含:(1)6個月內發生兩次;(2)有相同的根本原因;(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件,而其他資訊服務則包含DNS(domain name system)服務、TLD(top-level domain)網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等,對於不同服務可能造成的影響各別列舉視為重大事件的條件。 歐盟委員會發布該實施條例確立何謂重大事件,並依歐盟考量資訊安全威脅所制定的NIS 2,將公共電子通訊網路或服務、會員國等進行連結,要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務,建立資訊安全通報機制,確保歐盟有整體的資訊安全戰略及框架,阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準,其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響,以及資通系統運作遭中斷對可用性的影響為依據,但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義,可做為我國相關主管機關參考對象,研擬更準確的資通安全事件標準。
美國國家標準暨技術研究院發布「人工智慧風險管理框架:生成式AI概況」美國國家標準暨技術研究院(National Institute of Standard and Technology, NIST)2024年7月26日發布「人工智慧風險管理框架:生成式AI概況」(Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile),補充2023年1月發布的AI風險管理框架,協助組織識別生成式AI(Generative AI, GAI)可能引發的風險,並提出風險管理行動。GAI特有或加劇的12項主要風險包括: 1.化學、生物、放射性物質或核武器(chemical, biological, radiological and nuclear materials and agents, CBRN)之資訊或能力:GAI可能使惡意行為者更容易取得CBRN相關資訊、知識、材料或技術,以設計、開發、生產、使用CBRN。 2.虛假內容:GAI在回應輸入內容時,常自信地呈現錯誤或虛假內容,包括在同一情境下產出自相矛盾的內容。 3.危險、暴力或仇恨內容:GAI比其他技術能更輕易產生大規模煽動性、激進或威脅性內容,或美化暴力內容。 4.資料隱私:GAI訓練時需要大量資料,包括個人資料,可能產生透明度、個人資料自主權、資料違法目的外利用等風險。 5.環境影響:訓練、維護和運行GAI系統需使用大量能源而影響碳排放。 6.偏見或同質化(homogenization):GAI可能加劇對個人、群體或社會的偏見或刻板印象,例如要求生成醫生、律師或CEO圖像時,產出女性、少數族群或身障人士的比例較低。 7.人機互動:可能涉及系統與人類互動不良的風險,包括過度依賴GAI系統,或誤認GAI內容品質比其他來源內容品質更佳。 8.資訊完整性:GAI可能無意間擴大傳播虛假、不準確或誤導性內容,從而破壞資訊完整性,降低公眾對真實或有效資訊的信任。 9.資訊安全:可能降低攻擊門檻、更輕易實現自動化攻擊,或幫助發現新的資安風險,擴大可攻擊範圍。 10.智慧財產權:若GAI訓練資料中含有受著作權保護的資料,可能導致侵權,或在未經授權的情況下使用或假冒個人身分、肖像或聲音。 11.淫穢、貶低或虐待性內容:可能導致非法或非自願性的成人私密影像或兒童性虐待素材增加,進而造成隱私、心理、情感,甚至身體上傷害。 12.價值鏈和組件整合(component integration):購買資料集、訓練模型和軟體庫等第三方零組件時,若零組件未從適當途徑取得或未經妥善審查,可能導致下游使用者資訊不透明或難以問責。 為解決前述12項風險,本報告亦從「治理、映射、量測、管理」四大面向提出約200項行動建議,期能有助組織緩解並降低GAI的潛在危害。
美國營業秘密之獨立經濟價值的認定趨勢變化2023年6月來自美國法院的兩份營業秘密意見,強調了獨立經濟價值的重要性,並打破過往學者認為該要件沒有判斷實益的擔憂。所謂的獨立經濟價值,是指任何資訊若要成為營業秘密,所需具備源自其保密狀態的經濟價值。由於兩份意見都不允許原告透過薄弱之推論與假設,來證明其營業秘密具有獨立之經濟價值,顯示出法院對獨立經濟價值之認定趨勢的變化。 其中一份意見來自美國第四巡迴上訴法院,該法院認為原告未能提供充分的證據證明其營業秘密之價值,並駁回原告以該公司被收購之價格或授權其專有資料庫VulnDB所得收入,作為其75項涉案營業秘密經濟價值的論點。美國第四巡迴上訴法院強調,原告不僅需證明所主張之營業秘密具有經濟價值,尚需證明該經濟價值源自所主張之營業秘密的保密狀態。 另一份意見來自美國俄亥俄州北區地方法院,該法院駁回了原告透過其執行長的宣誓書來證明所主張之營業秘密具有獨立經濟價值的作法。儘管該宣誓書討論了法院經常認定為營業秘密的資訊,比如交易的形式、未經審計的財務報表等,但美國俄亥俄州北區地方法院仍拒絕主觀證詞,要求原告提供所主張之營業秘密具有獨立經濟價值的客觀指標或理由。 企業該如何證明其營業秘密具有獨立之經濟價值? 企業可透過下列方式來證明其營業秘密具有獨立之經濟價值,包括: 1.開發成本:開發營業秘密的時間與材料成本,但過去的研發成本未必等於現在的經濟價值; 2.授權、租賃費:他人付費使用其營業秘密的事實; 3.內部通訊紀錄:他人承認該營業秘密所帶來的好處或前僱員、承包商與其競爭對手分享營業秘密的事實; 4.展現出優勢:透過營業秘密資訊獲得一份有價值的合約或滿足某些標準、條件之要求; 5.降低成本/提高效率:透過營業秘密減少原物料之投入及所需時間或提高生產之效率。 隨著美國法院對獨立經濟價值之認定趨勢的變化,營業秘密案件之原告所負的舉證責任將逐漸提高。據此,當企業欲提出不當使用營業秘密之損害賠償時,應盡早開始收集相關證據,以滿足法院對於營業秘密之獨立經濟價值的認定標準。 本文同步刊登於TIPS網站(https://www.tips.org.tw)。