落實完善數位資料管理機制，有助於降低AI歧視及資料外洩風險
落實完善數位資料管理機制，
有助於降低AI歧視及資料外洩風險
資訊工業策進會科技法律研究所
2023年07月07日
近年來，科技快速發展，AI(人工智慧)等技術日新月異，在公私部門的應用日益廣泛，而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出，隨著由OpenAI開發的ChatGPT取得成功，更促使各領域對於AI應用的高度重視與投入[1]，與此同時，AI歧視及資料外洩等問題，亦成為社會各界的重大關切議題。
壹、事件摘要
目前AI科技發展已牽動全球經濟發展，根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力：下一個生產力前沿(The next productivity frontier)》研究報告指出，預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中，45%受訪者認為ChatGPT問世，增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險，僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料，將可能複製人類偏見，造成AI歧視問題，而且若程式碼有漏洞或帳戶被盜用時，亦會造成資料外洩問題。
貳、重點說明
首先，關於AI歧視問題，以金融領域為例，近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時，如決定是否能取得貸款，應確保申請人不受性別或膚色等歧視[4]，同時亦有論者認為若用於訓練AI的歷史資料，本身存有偏見問題，則可能導致系統自動拒絕向邊緣化族群貸款，在無形之中加劇，甚至永久化對於特定種族或性別的歧視[5]。
其次，關於資料外洩問題，資安公司Group-IB指出因目前在預設情況下，ChatGPT將保存使用者查詢及AI回應的訊息紀錄，若帳戶被盜，則可能洩露機敏資訊。據統計在2022年6月至2023年5月間，在亞太地區有近41000個帳戶被盜，而在中東和非洲地區有近25000個帳戶被盜，甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時，ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外，甚至發生個人資料外洩問題，即用戶可能知悉他人的姓名、電子郵件，付款地址，信用卡到期日及號碼末四碼等資料[7]。
參、事件評析
對於AI歧視及資料外洩等問題，應透過落實完善數位資料治理與管理機制，以降低問題發生的風險。首先，在收集訓練資料時，為篩選適合作為模型或演算法基礎的資料，應建立資料評估或審查機制，減少或避免使用有潛在歧視問題的資料，以確保分析結果之精確性。
其次，不論對於訓練資料、分析所得資料或用戶個人資料等，均應落實嚴謹的資料保密措施，避免資料外洩，如必須對於資料進行標示或分類，並依照不同標示或分類，評估及採取適當程度的保密措施。同時應對於資料進行格式轉換，以無法直接開啟的檔案格式進行留存，縱使未來可能不慎發生資料外洩，任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時，亦應採取適當加密傳送機制，避免遭他人竊取，盜取帳戶或個人資料。
財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善，於2021年7月發布「重要數位資料治理暨管理制度規範（Essential Data Governance and Management System，簡稱EDGS）」，完整涵蓋數位資料的生成、保護與維護，以及存證資訊的取得、維護與驗證的流程化管理機制，故對於不同公私部門的AI相關資料，均可參考EDGS，建立系統性數位資料管理機制或強化既有機制。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
[1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023).
[2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023).
[3]Gartner, supra note 1.
[4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023).
[5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023).
[6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023).
[7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- (已額滿)114年「企業營業秘密保護實務座談會」(北部場)–營業秘密因應數位環境之保護風險及管理對策
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 114年「企業營業秘密保護實務座談會」（南部場）
- 114年「企業營業秘密保護實務座談會」（中部場）
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
中研院今天發表一份研究成果：利用「基因改造」，成功的將七十公克的胖老鼠減重到四十公克，而且沒有什麼副作用。未來經過人體實驗，將有機會成為人類減肥的最新方法。 研究團隊發現，脂肪細胞活性與細胞內的粒腺體含量有關，而「粒腺體」就相當於細胞的「火力發電廠」，專門幫助代謝熱量、並轉化為能量供體內使用。當脂肪細胞含有大量粒線體的時候，就可以自行代謝體內所堆積的油脂、健康瘦身。計劃主持人、分子生物研究所副研究員李英惠解釋：利用藥物刺激，可以誘發體內的一種「Gs蛋白」，在老鼠胚胎上進行基因改造，或是後天以藥物餵食老鼠，活化體內GS蛋白質，透過各種方式，証明GS蛋白質的確可以增加脂肪細胞中粒腺體含量和活性，慢慢的代謝掉細胞內堆積的油脂。研究團隊還意外發現，改造後的老鼠，不但不容易發胖，而且平均壽命還增加了20%。 目前動物實驗已經證明：體內具有這種改造過的脂肪細胞，不但不容易發胖，壽命也可以增長。未來經過人體實驗，將有可能成為人類「健康減肥」的最新方法。
荷蘭資料保護局：Google隱私權政策違反該國資料保護法荷蘭資料保護局（Data Protection Authority, DPA）歷經長達七個月的調查，於2013年11月28日發布新聞稿，聲明Google違反該國資料保護法，因其未適當告知用戶他們蒐集了什麼資料、對資料做了些什麼事。 DPA主席Jacob Kohnstamm表示：「Google在未經你我同意的情形下，對我們的個人資料編織了一張無形的網，而這是違法的。」調查報告援引了Google執行長Eric Schmidt在2010年一場訪談中所說的話：「你不用鍵入任何字，我們知道你正在什麼地方、去過什麼地方，甚至或多或少知道你在想些什麼。」。 調查顯示Google為了展示個人化的廣告及提供個人化的服務，而將不同服務取得的個人資料加以合併，如搜尋記錄、所在位置及觀看過的影片等。然而，從用戶的觀點來看，這些服務係基於全然不同的目的，而Google亦未事先提供用戶同意或拒絕的選項。依照荷蘭資料保護法的規定，Google合併個人資料前，應經當事人明示同意，而該同意無法藉由概括（隱私）服務條款取得。針對DPA的聲明，Google回應他們已經提供用戶詳細資訊，完全符合荷蘭法律。 DPA表示將通知Google出席聽證會，就調查結果進行討論，並決定是否對Google採取強制措施。但是，從Google的回應看來，他們不太可能在聽證過後改變心意。以先前Google街景車透過Wi-fi無線網路蒐集資料的案例為鑑，Google（市值達3500億美元）若繼續拒絕遵循，將有可能面臨高達1佰萬歐元的罰鍰。
歐盟執委會發布「歐盟太空交通管理方法」聯合通告歐盟執委會發布「歐盟太空交通管理方法」聯合通告 資訊工業策進會科技法律研究所 2022年3月10日 2022年2月15日，歐盟執委會（European Commission）發布「歐盟太空交通管理方法（An EU Approach for Space Traffic Management）」聯合通告（Joint Communication）。由於可重複使用之火箭、小型衛星等技術越發成熟，以及私人太空活動發展，地球軌道上之衛星數量呈現指數成長，嚴重威脅歐盟及其成員國的太空資產韌性（resilience）與安全性，亦使太空交通管理（Space Traffic Management, STM）成為具有優先性之公共安全議題。在此背景下，歐盟執委會發布聯合通告，希望能確立歐盟之STM方法。在維護歐盟戰略自主性與產業競爭力的同時，提升太空使用之整體安全性（safety and security）與永續性[1]。 壹、背景說明 根據聯合公告的定義，所謂太空交通管理（Space Traffic Management）為保障整體安全性與永續地近用與執行太空活動之方法，包含太空監視與追蹤（Space Surveillance and Tracking, SST）之太空情況感知（Space Situational Awareness, SSA）活動、軌道碎片減緩與移除、太空軌道與無線電頻譜之管理、太空梭的重返大氣層活動，以及太空運作之完整生命週期，包含發射、太空載具進入軌道、除役後脫離軌道等階段[2]。 伴隨近年衛星相關技術進步，許多國家與企業著眼於衛星應用所帶來的利益與發展潛力，紛紛投入太空產業。然而，隨著各國對衛星的依賴性提升，衛星作為軍事攻擊目標的可能性也同步升高，具有敵對關係的國家可能會使用反衛星導彈進行攻擊，而此一行動將造成大量的太空碎片，不僅使軌道交通更為壅塞，更將嚴重影響軌道上物體的安全性，使太空交通管理成為重要問題[3]。 為應對產業蓬勃發展與軌道碎片造成之太空交通問題，2014年4月，歐洲議會（European Parliament）與歐洲理事會（European Council）公布有關《建立太空監視與追蹤支援框架之第541/2014/EU號決定（Decision No 541/2014/EU of the European Parliament and of the Council of 16 April 2014 establishing a Framework for Space Surveillance and Tracking Support）》，其目的在於確保對歐洲經濟、社會和公民之整體安全性而言，重要且屬於歐盟及其成員國之太空基礎設施、裝置和服務的長期可用性。該框架評估並降低歐洲發射太空載具，以及在軌道上碰撞之風險，使太空載具經營者能更有效率地對風險減緩措施進行規劃。此外，上開框架會調查不受控制返回地球大氣層的太空載具與碎片，以盡早對可能受影響之歐盟公民與基礎設施提出警告。最後，該框架亦尋求能防止太空碎片增生之作法，希望盡可能降低太空碎片的影響[4]。 在第541/2014/EU號決定發布後，歐盟持續關注並推動STM領域之發展，包含透過「地平線2020（Horizon 2020）」計畫給予STM領域相關之研究與創新項目補助[5]；於2021年2月公布之「民用、國防與太空產業協同行動計畫（Action Plan on Synergies between civil, defence and space industries）」中，將發展STM標準與規範作為旗艦項目之一[6]；於2021年4月公布《建立聯盟太空計畫與歐盟太空計畫機關，並廢止歐盟第912/2010號、第1285/2013號與第377/2014號規則，及第541/2014/EU號決定之第2021/696號規則（Regulation (EU) 2021/696 of the European Parliament and of the Council of 28 April 2021 establishing the Union Space Programme and the European Union Agency for the Space Programme and repealing Regulations (EU) No 912/2010, (EU) No 1285/2013 and (EU) No 377/2014 and Decision No 541/2014/EU）》中，將太空物體、太空碎片與太空環境相關之整體安全性與永續發展列為執行目標之一[7]；並於歐洲理事會2021年5月公布之「人類的新太空（New Space for People）」結論文件中，強調歐洲STM標準之制定的重要性[8]。受上述發展之影響，歐盟執委會意識到其有必要制定歐盟之STM方法，以因應未來新興之全球挑戰[9]。 貳、內容摘要 不同於第541/2014/EU號決定及第2021/696號規則，本次歐盟發布之聯合通告雖不具法律上之拘束力，但其從整體說明STM之運作、影響與未來發展規劃，並指出四項關鍵行動。 一、評估STM之要求與對歐盟之影響 歐盟執委會於聯合通告中指出，歐盟必須明確認識STM所涉各利害關係人之需求與潛在影響，並需整合各領域之利害關係人，使其無論在認知或行動上皆能保持一致。為此，歐盟執委會與高級代表（High Representative）預計於2022年中建立具有包容性與透明性之諮詢機制，透過與利害關係人定期對話，蒐集所有與STM及軍事、民用要求相關之資訊，並於2023年初進行初步彙整[10]。 二、加強歐盟SST之能力 為應對STM相關之挑戰，歐盟須提高其SST能力，透過加速對自動避碰服務（automatic collision-avoidance services）、人工智慧與量子技術的研發與使用，進一步提升歐盟的戰略自主性。據此，聯合公告規劃於2023年中分析STM需求，以識別更高效率與高性能SST系統所需之必要資源。聯合公告亦建議向產業界開放歐盟太空監視與追蹤聯盟（EU Space Surveillance and Tracking Consortium）之資料共享平台中，有利於發展STM服務附加價值研究之部分資料，並以該平台為基礎，提高SST偵測技術精準度，並擴大歐盟外SST設備之布建，建立歐盟太空物體目錄（catalogue of space objects），同時與產業界合作建立兼具技術與創新之論壇，以促進並推動SST技術之發展[11]。 三、制定STM監管框架 STM之監管框架可分為三個面向，分別為在歐盟層級制定不具拘束力之標準與指引、具有拘束力之法規，以及藉由積極的獎勵措施，鼓勵歐盟之經營者遵守標準與指引。在標準與指引部分，其規劃於2023年底舉辦論壇，就新歐洲與國際標準之制定進行交流與溝通，並推廣其選定之標準與指引，同時建立可用於協助成員國處理太空活動許可申請之工具箱（toolbox）。在法規部分，其預計於2023年底初步設定太空活動應遵循之義務，如要求所有在歐盟提供服務的衛星經營者應對其碰撞避免（collision avoidance）服務進行登記，且該服務之性能應至少與現有之歐盟SST服務相當。2024年年中，歐盟執委會期望透過與成員國間之交流，根據各成員國之能力，協助會員國制定STM相關之識別與監管規範。此外，為使歐盟市場內部保持一致性，以減少產業之跨國成本並維持競爭力，聯合通告指出歐盟執委會應根據利害關係人需求、已制定之規範與標準等，於2024年底提出歐盟層級之STM立法提案。最後，在獎勵措施部分，歐盟執委會預計於2023年底，確認有關落實STM標準和指引之獎勵措施和認證機制，並於2024年底具體落實前述之措施與機制[12]。 四、在全球層面推廣歐盟的STM方法 STM不僅是歐盟領域內之事務，更與全球各國息息相關。為此，聯合通告積極推動歐盟與其全球合作夥伴的雙邊、多邊合作，透過參與聯合國、確定或幫助建立處理STM相關議題之特定機關，以在全球層面執行具體的STM解決方案[13]。 參、評析 地球軌道資源有限，而隨著衛星的多元應用與重要性的上升，如何透過STM促進軌道資源的利用與確保其安全性，為目前國際上倍受關注之議題。歐盟本次之聯合通告自需求面出發，調查並評估各相關領域利害關係人的需求，並規劃透過諮詢機制建立各界共識，以即時因應未來發展。 就產業發展而言，我國在半導體、晶片、射頻（Radio frequency）器材等精密機械技術上具有發展優勢，目前已有多家廠商成功加入國際衛星大廠的地面接收設備、天線之製造供應鏈[14]。另一方面，我國政府亦長期推動自主衛星研發與製造，2019年1月15日由行政院核定之「第三期太空長程發展計畫」中，預計投入251億元用於發展共計10顆之先導型高解析度光學遙測衛星、超高解析度智能遙測衛星、合成孔徑雷達衛星[15]。科技部亦於2020年啟動「小型立方衛星計畫」，自主研製我國之1.5U、2U、3U[16]立方衛星[17]，並與經濟部共同規劃於2021年至2025年投入40億元預算[18]，預計於2025年發射首顆由臺灣自主研發的低軌衛星。 綜上所述，雖然目前我國已發射之衛星數量無法與英美、歐盟，以及部分國際衛星企業相比，但觀我國之產業與政策推動現況，可得知自主衛星研製與發射為我國太空產業的重要發展目標，「歐盟太空交通管理方法」聯合通告中，有關STM需求分析、諮詢機制、優先發展技術項目、資料共享平台、法制規劃，以及其未來制定之標準內容，可作為我國借鑒與參採之對象。 [1]Space: EU initiates a satellite-based connectivity system and boosts action on management of space traffic for a more digital and resilient Europe, EUROPEAN COMMISSION, Feb. 15, 2022, https://ec.europa.eu/commission/presscorner/detail/en/ip_22_921 (last visited Mar. 10, 2022). [2]Joint Communication to the European Parliament and the Council - An EU Approach for Space Traffic Management - An EU contribution addressing a global challenge, 2022 O.J. (C 4) 1, 2-3. [3]Jeff Foust, Russia destroys satellite in ASAT test, SPACENEWS, Nov. 15, 2021, https://spacenews.com/russia-destroys-satellite-in-asat-test/ (last visited Mar. 10, 2022). [4]Decision No 541/2014/Eu of the European Parliament and of the Council of 16 April 2014 establishing a Framework for Space Surveillance and Tracking Support, 2014 O.J. (L 158/227) 1, 5. [5]EUROPEAN COMMISSION [EC], Questions and Answers: Space Traffic Management (2022), https://ec.europa.eu/commission/presscorner/detail/en/QANDA_22_923 (last visited Mar. 10, 2022). [6]Communication from the Commission to the European Parliament, the European Council, the Council, the European Economic and Social Committee and the Committee of the Regions - Action Plan on synergies between civil, defence and space industries, at 16, COM (2021) 70 final (Feb. 22, 2021). [7]Regulation (EU) 2021/696 of the European Parliament and of the Council of 28 April 2021 establishing the Union Space Programme and the European Union Agency for the Space Programme and repealing Regulations (EU) No 912/2010, (EU) No 1285/2013 and (EU) No 377/2014 and Decision No 541/2014/EU, 2021 O.J. (L 170/69), 1, 25. [8]EUROPEAN COUNCIL, Council Conclusions on “New Space for People” 7 (2021). [9]OJ C 4 15/2/2022, supra note 2 at 2. [10]Id. at 5-6. [11]Id. at 6-9. [12]Id. at 10-12. [13]Id. at 12-15. [14]工商時報，〈低軌衛星組國家隊 8檔供應鏈受注目〉，2021/12/09，https://ctee.com.tw/news/stocks/562117.html （最後瀏覽日：2022/03/10）。 [15]國家實驗研究院，〈我國第三期國家太空科技發展長程計畫 精進衛星科技 開創太空關鍵產業〉，2019/02/13，https://www.narlabs.org.tw/xmdoc/cont?sid=0J044506862104822629&xsmsid=0I148622737263495777 （最後瀏覽日：2022/03/10）。 [16]1U為邊長10公分的立方體。 [17]國家實驗研究院科技政策與資訊中心－科技產業資訊室，〈科技部小型立方觀測衛星即將升空〉，2021/01/21，https://iknow.stpi.narl.org.tw/Post/Read.aspx?PostID=17455 （最後瀏覽日：2022/03/10）。 [18]劉韋廷，〈科技部歲末記者會－四年將投入40億元 拚2025年發射首顆低軌衛星〉，ANUE鉅亨，2021/01/13，https://news.cnyes.com/news/id/4560441 （最後瀏覽日：2022/03/10）。
聯合國討論網路身份管理計畫聯合國國家安全組織(U.N. National Security Agency)計畫於一項名為Q6/17之「網路使用者身份管理計畫」提案中，討論如何以修改網路架構之方式，確保網路通訊來源之真實性與可追溯性。此項計畫被認為可能對網路匿名性產生極大衝擊。 目前網路所賴以溝通訊息之TCP/IP通訊架構，仍允許使用者於一定範圍內保有於網路上匿名發言或活動之可能，例如Tor線上匿名軟體(Tor: anonymity online)之運作即是。然而，此種匿名式的運作架構，被抨擊可能威脅網路安全，例如駭客可利用大量偽造來源地址(spoofed source IP addresses)，發動分散式阻斷服務(DDoS)攻擊。 有鑑於此，Q6/17提案乃嘗試藉由網路連線技術架構的調整，確保未來任何網路上之活動皆可追蹤出原始網路通訊來源(“IP Trackback”)。然而，此種作法被批評為將摧毀網路匿名特性，並對個人隱私造成侵害，或成為各國政府打擊政治異議人士的工具。發表匿名言論權利曾受許多國家憲法或國際條約的肯認，例如1995年美國最高法院於McIntyre v. Ohio Elections Commission一案，做出「匿名發表權乃受憲法保護之人民基本權」見解，歐盟亦有「網路通訊自由宣言(Declaration on Freedom of Communication on the Internet)」。故Q6/17嘗試消弭發表網路匿名言論之技術突破，是否能通過世界各國憲法之嚴格檢驗，仍值得後續關注研究。