經濟合作與發展組織發布《促進AI可歸責性：在生命週期中治理與管理風險以實現可信賴的AI》
經濟合作與發展組織（Organisation for Economic Co-operation and Development, OECD）於2023年2月23日發布《促進AI可歸責性：在生命週期中治理與管理風險以實現可信賴的AI》（Advancing accountability in AI: Governing and managing risks throughout the lifecycle for trustworthy AI）。本報告整合ISO 31000：2018風險管理框架（risk-management framework）、美國國家標準暨技術研究院（National Institute of Standards and Technology, NIST）人工智慧風險管理框架（Artificial Intelligence Risk Management Framework, AI RMF）與OECD負責任商業行為之盡職調查指南（OECD Due Diligence Guidance for Responsible Business Conduct）等文件，將AI風險管理分為「界定、評估、處理、治理」四個階段：
1.界定：範圍、背景、參與者和風險準則（Define: Scope, context, actors and criteria）。AI風險會因不同使用情境及環境而有差異，第一步應先界定AI系統生命週期中每個階段涉及之範圍、參與者與利害關係人，並就各角色適用適當的風險評估準則。
2.評估：識別並量測AI風險（Assess: Identify and measure AI risks）。透過識別與分析個人、整體及社會層面的問題，評估潛在風險與發生程度，並根據各項基本價值原則及評估標準進行風險量測。
3.處理：預防、減輕或停止AI風險（Treat: Prevent, mitigate, or cease AI risks）。風險處理考慮每個潛在風險的影響，並大致分為與流程相關（Process-related）及技術（Technical）之兩大處理策略。前者要求AI參與者建立系統設計開發之相關管理程序，後者則與系統技術規格相關，處理此類風險可能需重新訓練或重新評估AI模型。
4.治理：監控、紀錄、溝通、諮詢與融入（Govern: Monitor, document, communicate, consult and embed）。透過在組織中導入培養風險管理的文化，並持續監控、審查管理流程、溝通與諮詢，以及保存相關紀錄，以進行治理。治理之重要性在於能為AI風險管理流程進行外在監督，並能夠更廣泛地在不同類型的組織中建立相應機制。
許嘉芳
法律研究員 編譯整理
Organisation for Economic Co-operation and Development [OECD], Advancing accountability in AI: Governing and managing risks throughout the lifecycle for trustworthy AI (Feb. 23, 2023), https://www.oecd-ilibrary.org/docserver/2448f04b-en.pdf?expires=1683078463&id=id&accname=guest&checksum=030F1E26850085E4A7AC6B1EB60266A1 (last visited May 3, 2023).
Advancing accountability in AI, Organisation for Economic Co-operation and Development, https://oecd.ai/en/accountability (last visited May 3, 2023).
陳箴，〈美國國家標準與技術研究院公布人工智慧風險管理框架（AI RMF 1.0）〉，2023年2月，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8974（最後瀏覽日：2023/05/03）。
張瀠心，〈歐盟執委會通過關於《人工智慧責任指令》之立法提案〉，2023年1月，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=8958（最後瀏覽日：2023/05/03）。
美國華府行政管理與預算辦公室（Office of Management and Budget）頒布執行M-13-13 Open Data政策備忘錄之指導綱要（Supplemental Guidance on the Implementation of M-13-13 “Open Data Policy－Managing Information as an Asset”），目的在於澄清問題及提供執行細節以協助政府部門實施執行命令第13642號及M-13-13 Open Data政策備忘錄。透過實踐本指導綱要，各政府部門將能確保用以盤點、管理及開放資料的基礎設施之完備，進而開創因開放資料所產生之價值。 資料在依據本綱要進行盤點時，主管機關必須一併予以分級，其近用層級（Access Levels），區分為公開（Public）、限閱（Restricted Public）、非公開資料（Non-public）。資料公開前會經過完整之隱私權保護及資訊安全事項檢視，無違反相關法律和政策規範者，始釋出予大眾。 針對備忘錄之五項執行要求，本指導綱要即分為五項對應指導，介紹如下： 1.建立及維運大型資料盤點目錄：目的在使聯邦政府部門建立清楚且完整之資料資產目錄，而在製作盤點目錄後，必須持續改進、維護資料，並以擴展、豐富、開放三種面向來評估檢視盤點目錄之成熟度。 2.建立及維運公開資料清單：為增進資料查詢之容易度及可用性，各部門須篩選上述資料盤點目錄中屬於公開層級或可以被公開之資料，並建立及發布公開資料清單，作為盤點目錄之子目錄，使民眾得以知悉現有公開資料，及接續地將被公開之資料。各部門基於裁量權，亦可決定是否列入限閱或非公開資料資產，使民眾能知悉該筆資料之存在以及近用該資料之程序。 3.建立用戶參與資料釋出程序：此程序將提供資料用戶參與促進資料釋出及認定釋出之優先順序。由關鍵的資料用戶來幫助聯邦政府認定資料資產價值，而被認定最高價值之資料將優先、快速釋出。 4.當資料無法釋出時，須以文件證明：政府部門必須確認資料經過完整之隱私權保護及資訊安全事項檢視，無違反相關法律和政策規範者，才能公開資料。當認定資料涉及違反上述規範時，則須以文件證明其諮詢該政府部門中所設之法律顧問單位（Office of General Counsel）或同類單位後之決定，再依據三種資料近用資層級予以分類。 5.指導綱要中要求列出各部門應該負責管理資訊之窗口。 原定11月1日為完備上述基礎設施建置之最後期限，然為因應美國自10月1日起聯邦政府關門，特寬限延期至11月30日；在11月30日後，各部門將於每季報告執行進展，而部門開放資料之績效將被列為跨部門優先追蹤對象。
國內版RoHS 將比照歐盟規定歐盟有毒物質禁用指令（ RoHS ）已自今年 7 月起上路，國際間陸續有其他國家跟進：目前為止，美國約有半數的州已通過相關法令，加州從明年起亦將開始實施；至於亞洲的日本已與歐盟同步實施、韓國將於明年 7 月上路；澳洲草案也已經出爐，至於實施日期則未定。 為與國際接軌，環保署也正積極推動國內版 RoHS ，目前法案名稱尚未確定，不過內容將會與國際接軌，除限制電子電機等產品，不得含有鉛、汞、鎘、六價鉻、聚溴聯苯和聚溴二苯醚等六種有毒化學物質或限制其比率外，檢驗標準亦將比照歐盟，採用事後市場管理機制，亦即先放行產品進口，並採事後抽測方式檢驗，因為採事前市場管理，將造成貿易障礙，實施檢驗亦有困難。至於罰責方面則仍須商榷，環保署表示目前我國要先合併「廢棄物清理法」與「資源回收再利用法」的法源，預定在年底前召開公聽會並送行政院審查，最快也要等明年立法院第一會期通過後才會實施。
著作權侵權暫停了妙娃種子園藝盆的銷售3D列印設計分享網站Shapeways在週五收到從任天堂神奇寶貝國際公司一個停止侵權的函(cease and desist)，是有關於藝術家Claudia Ng的類似神奇寶貝妙娃種子的陶瓷園藝盆設計，他將園藝盆在Shapeways網站上販售，但Shapeways在收到警告信函後移除了網站上的產品列表。 根據Claudia Ng所述，任天堂神奇寶貝國際公司是要求所有有關此模型相關的收益。原本產品列表上並未直接將神奇寶貝遊戲名稱用於此盆栽設計名稱，Claudia Ng標註牠是植物怪獸(succulent monster)，但產品列表中數次提及了神奇寶貝公司。最新版的設計將近2.5英吋(6.5公分)高，售價為49美元，目前有多種顏色提供銷售。 Claudia Ng表示：我想這是落於衍生和轉化著作的範疇，我並非一個律師，但我猜測這至少是最廣義的相關法規解釋裡。發生這件事我並不意外，只不過我原本預期該公司會追蹤的是那些有更多侵權設計的人。雖然我承認我個人喜愛的神奇寶貝啟發了我的靈感，但不是神奇寶貝的粉絲也都會喜歡這設計的原因就在於神奇寶貝本身的動物本質(generic-ness)。大多數都公認牠像一隻肥貓。而且我也被要求去設計其他的動物或生物。 Claudia Ng可能會被安排和任天堂神奇寶貝國際公司接觸，雖然他無法確定從這場可能的會議中會發生甚麼事。 3D列印設計分享上有可能設計的產品會侵害他人權利，設計者在靈感啟發上到設計成品時皆須有避免侵權的考量，以免不只無法獲利也有侵權的風險。
英國法院命令ISP業者提供用戶資料據統計，英國因為盜版軟體的猖獗，每年損失高達16億英鎊，且有持續上升之趨勢。為遏止網路侵權行為，英國高等法院（the High Court）日前命令該國包含BT、NTL、Telewest等10家ISPs業者，需提供用戶資料以協助權利人進行網路侵權行為案件之調查。 本案源自於反盜版聯盟（ Federation Against Software Theft，簡稱Fast）於2005年1月之要求。FAST經過長達一年之調查，鎖定了150個利用P2P軟體非法進行資料分享之個人，為進一步取得渠等之個人資料，Fast於日前請求英國法院，命令各該業者交出相關侵權者之資料。高等法院根據資料保護法（Data Protection Act）之規定，同意Fast之請求，下令ISPs業者必須在兩個禮拜內提供侵權行為人之姓名、地址與其他個人詳細資料，以利Fast會同警察及檢察官進一步調查侵權情形並提起告訴。 目前軟體業者對於網路盜版軟體之處理方式，大多是透過『通知即取下』（ Notice and Take-down）程序，要求網站業者協助，將侵權軟體刪除或移除連結，但遭取下之連結，隨時有可能在其他網站上再次被公布，並無法真正解決侵權行為之問題。唯有直接將侵權者繩之以法，始可能達到嚇阻之效果。但權利人卻往往礙於難以取得侵權者之真實姓名與聯絡方式，而無法對侵權者有效提起民刑事訴訟以維護其權利。Fast表示，此次行動只是其策略的第一步，最終希望能達到在發現網路侵權行為發生之當下，便能立即要求ISPs業者提供該侵權行為者之資料。 若侵權行為罪名成立，這些透過 P2P 軟體進行網路侵權行為者將可能被處以 2 年以下有期徒刑或無上限之罰金。