落實完善數位資料管理機制，有助於降低AI歧視及資料外洩風險
落實完善數位資料管理機制，
有助於降低AI歧視及資料外洩風險
資訊工業策進會科技法律研究所
2023年07月07日
近年來，科技快速發展，AI(人工智慧)等技術日新月異，在公私部門的應用日益廣泛，而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出，隨著由OpenAI開發的ChatGPT取得成功，更促使各領域對於AI應用的高度重視與投入[1]，與此同時，AI歧視及資料外洩等問題，亦成為社會各界的重大關切議題。
壹、事件摘要
目前AI科技發展已牽動全球經濟發展，根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力：下一個生產力前沿(The next productivity frontier)》研究報告指出，預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中，45%受訪者認為ChatGPT問世，增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險，僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料，將可能複製人類偏見，造成AI歧視問題，而且若程式碼有漏洞或帳戶被盜用時，亦會造成資料外洩問題。
貳、重點說明
首先，關於AI歧視問題，以金融領域為例，近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時，如決定是否能取得貸款，應確保申請人不受性別或膚色等歧視[4]，同時亦有論者認為若用於訓練AI的歷史資料，本身存有偏見問題，則可能導致系統自動拒絕向邊緣化族群貸款，在無形之中加劇，甚至永久化對於特定種族或性別的歧視[5]。
其次，關於資料外洩問題，資安公司Group-IB指出因目前在預設情況下，ChatGPT將保存使用者查詢及AI回應的訊息紀錄，若帳戶被盜，則可能洩露機敏資訊。據統計在2022年6月至2023年5月間，在亞太地區有近41000個帳戶被盜，而在中東和非洲地區有近25000個帳戶被盜，甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時，ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外，甚至發生個人資料外洩問題，即用戶可能知悉他人的姓名、電子郵件，付款地址，信用卡到期日及號碼末四碼等資料[7]。
參、事件評析
對於AI歧視及資料外洩等問題，應透過落實完善數位資料治理與管理機制，以降低問題發生的風險。首先，在收集訓練資料時，為篩選適合作為模型或演算法基礎的資料，應建立資料評估或審查機制，減少或避免使用有潛在歧視問題的資料，以確保分析結果之精確性。
其次，不論對於訓練資料、分析所得資料或用戶個人資料等，均應落實嚴謹的資料保密措施，避免資料外洩，如必須對於資料進行標示或分類，並依照不同標示或分類，評估及採取適當程度的保密措施。同時應對於資料進行格式轉換，以無法直接開啟的檔案格式進行留存，縱使未來可能不慎發生資料外洩，任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時，亦應採取適當加密傳送機制，避免遭他人竊取，盜取帳戶或個人資料。
財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善，於2021年7月發布「重要數位資料治理暨管理制度規範（Essential Data Governance and Management System，簡稱EDGS）」，完整涵蓋數位資料的生成、保護與維護，以及存證資訊的取得、維護與驗證的流程化管理機制，故對於不同公私部門的AI相關資料，均可參考EDGS，建立系統性數位資料管理機制或強化既有機制。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
[1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023).
[2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023).
[3]Gartner, supra note 1.
[4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023).
[5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023).
[6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023).
[7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 製程工業AI應用與規範研討會
- 美國聯網車監管制度與合規實務說明會
英國技術移轉政府辦公室（Government Office for Technology Transfer, GOTT）於2022年4月成立，主要解決公部門研發成果，即「知識資產」（knowledge assets, KA），因面臨運用不足及管理等困境，並積極推動公部門衍生新創政策，促進KA產業化。 GOTT會依研發法人的需求及經驗程度，提供個別支援性服務，如協助較無KA運用經驗之法人設置KA運用工作規則及管理方式等直接技術性指導，亦提供較有KA運用經驗之法人額外投資資金及其他資源挹注。 GOTT於2024年7月5日發布過去一年（2023年4月1日至2024年3月31日）之施政報告，主要重點簡述如下： （1）對「玫瑰書」（the Rose Book），即政府KA管理指引，提出細部操作指引，如：「PSB內KA管理負責人角色任命指引」、「協助PSB制定KA管理策略指引」、「智慧財產權及其機密性指引」、「附件A–知識資產類別與類型」、「附件B–KA評估工具」、「附件C–商業化路線」、「附件D–獲取KA指引」、「附件E–人才流動指引」以及「申請KA補助基金指引」等。 （2）推出首個政府對公部門創新研發之市場驗證加速器計劃，稱為「公共研究創新和市場加速器」（the Public Research Innovation and Market Accelerator, PRIMA），協助公部門創新者測試其研發構想、產品及服務是否有市場發展潛力。 （3）發布「公部門衍生新創公司研究」（Public Sector Spinouts Study），為英國政府首次對公部門推動衍生新創政策及制度進行審查，顯示英國推動上遇有許多推動障礙，研究最後對英國政府及GOTT提供多項施政建議。
歐盟法院判決釐清GDPR民事賠償不受損害最低程度限制歐盟法院（Court of Justice of the European Union, CJEU）於2023年12月14日對Gemeinde Ummendorf（C‑456/22）案作出判決。歐盟法院試圖釐清《歐盟一般個人資料保護規則》（General Data Protection Regulation, GDPR）第82條的民事求償規範中，資料主體受到非財產上的損害要到何種程度才可獲得賠償。 本案源自於兩位自然人原告與德國的烏門多夫市政府（Municipality of Ummendorf）之間的紛爭。2020年，烏門多夫市政府未經兩位原告同意情況下，在網路上公布市議會議程與行政法院判決，這些資訊內容均多次提及兩位原告的姓名與地址。兩位原告認為市政府故意違反GDPR，因此依據GDPR第82條請求市政府賠償，並進一步主張該條意義下的非財產損害，不需要任何損害賠償門檻。然而，市政府則持相反意見。 長久以來，德國法院傾向認為，GDPR的非財產上損害需要超過某個「最低損害門檻」才可獲得賠償。然而，承審法院決定暫停訴訟程序，並將是否應有「最低損害門檻」以及其基準為何的問題，提交給歐盟法院進行先訴裁定。 歐盟法院考慮到，GDPR的宗旨在於確保在歐盟境內處理個人資料時對自然人提供一致和高水準的保護，如要求損害必須達到一定的嚴重性閾值或門檻才可賠償，恐因為成員國法院認定的基準不同，進而破壞各國實踐GDPR 的一致性。因此，歐盟法院最後澄清，GDPR的民事賠償不需要「最低損害門檻」，只要資料主體能證明受有損害，不論這個損害有多輕微，都應獲得賠償。
日本發布生成式AI智財保護及透明性守則日本發布生成式AI智財保護及透明性守則 資訊工業策進會科技法律研究所 2026年09月09日 近年隨各國生成式AI服務普及，技術訓練資料來源與智慧財產權保護問題益受權利人關注，如何在確保AI技術發展下，兼顧既有權利的保護，已成為AI治理的主要課題之一。日本此次針對生成式AI訓練資料之透明化，提出業者自主揭露、建立查詢機制、賦予訴訟中權利人與一般使用者請求揭露依據的實務操作具體規範，以完備透明揭露機制，確保權利人及使用者皆能於安全、安心之環境下利用生成式AI。 壹、事件摘要 日本知的財産戰略本部依日本《人工智慧相關技術之研究開發及活用推進法》（令和7年法律第53號）之意旨，運用「遵循或解釋」之運作方式，於2026年8月25日公布《生成ＡＩの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード》[1]（生成式AI適切利活用等相關知的財產保護及透明性守則，下稱本守則）。本守則為自願性質，要求生成式AI開發者及提供者就模型使用、學習資料及當責性等事項進行透明化揭露，並就智慧財產權保護措施揭示所採措施；並賦予權利人與一般生成式AI生成物使用人得於符合一定要件下，向生成式AI事業者請求揭露特定比對資訊之權利。內閣府另行公布「概要開示対象事項 具体例」供各揭露事項之記載程度的具體參照[2]。 貳、重點說明 一、適用對象包括開發者、提供者、權利人、使用人等利害關係人 本守則適用對象包括「生成式AI開發者」及「生成式AI提供者」(以下合稱生成式AI「事業者」)。但適用範圍並不包括非對公眾提供生成式AI之對象，例如：僅承接開發過程一部分工作、將成果交付予開發者之受託人；僅從事研究而未對公眾提供者；僅利用單一法人或個人資料特化建構、且僅供該資料提供者使用之系統；僅供特定企業集團或團體內部使用之專用系統。於日本境內未設本店或主要事務所之國外事業者，如向日本提供其服務，仍應適用本守則。 二、採「遵循或解釋」官方公開揭示的運作機制 事業者應於公司網站公開受採用表明、公開各原則之實施事項(即「遵循」)，事業者就個別情況認為不適當之原則，得說明不實施理由後不予實施(即「解釋」)，但說明應力求使使用者及權利人獲得充分理解。就「解釋」之認定基準，本守則規定僅陳述尚未建立實施體制，不足以構成「解釋」，應依事業規模等因素說明體制建置完成之時期；已提出必要依據，證明依本原則揭露於技術上不可行者，可視為已完成「解釋」。 為使受採用狀況可視化(公開揭示)，上開事項應依內閣府所定格式提出申報，原則上每年至少檢視、更新一次。內閣府將製作「遵循或解釋」相關參考格式，並公開已申報事業者清單及其公司網站連結，惟不就申報內容進行審查，對於第三人之查詢等亦不予回覆。 三、透明性確保措施 本守則要求事業者應揭露之透明性事項分為模型使用、學習資料、當責三大類，應揭露的項目包括： (一) 使用模型相關事項：名稱（識別碼、版本等）、含公開日期在內之沿革（過去版本或修正紀錄）、架構與設計規格（含第三人授權狀況、使用所需之硬體軟體及授權）、使用規範（預設用途，及限制、禁止用途之明確化），以及模型訓練過程之內容（訓練方法等）。 (二) 學習資料相關事項：訓練及驗證等所用資料之種類（含RAG使用之資料）、網路爬取或自第三人取得之非公開資料集相關事項、公開資料集相關事項、以其他方式蒐集之資料相關事項、合成資料之使用有無及目的，以及爬蟲程式之目的、資料蒐集期間、名稱與識別碼，是否使用第三人爬蟲程式及其名稱、識別碼。 (三) 當責相關事項：開發、提供、使用過程中決策之可追蹤、回溯狀態，可追溯性之提升、負責人之明示、相關人員責任之分配、對利害關係人之具體因應，以及文書化。 四、智慧財產權保護措施之揭露 本守則要求事業者採取下列智慧財產權保護措施： (一) 建立智慧財產保護制度：訂定智慧財產權保護原則、明確化責任體制，每年至少檢視一次並對外公開要旨；對訓練所得之紀錄保存一定期間 (二) 合法進行訓練資料取得：資料活用（含開發、學習）不侵害他人智慧財產權；採用遵循付費牆等存取限制及robots.txt等機器可讀指示之爬蟲程式，並就各使用者代理逐一公開上開措施，且於變更時通知 (三) 盡可能採取侵權防免措施：包括致力於避免對盜版網站進行爬取；採取防止生成侵害智慧財產權之生成物之技術性措施；採取電子浮水印、C2PA等可證明內容出處及沿革之技術性措施；對使用者周知不應利用有侵權疑慮之生成物 (四) 整備權利人適時適當救濟之窗口：明確化申訴要件，並保存因應紀錄。 五、使用者、權利人及其受委任律師或代理人均可依一定程序請求揭露 賦予使用者、權利人(及其受委任律師或代理人)兩類主體得向生成式AI事業者請求揭露特定資訊之權利，以供使用者確認其所用AI是否使用特定著作為訓練資料，或權利人確認相同或近似的著作被事業者納入AI成為訓練資料。二者程序架構相同，均得請求揭露訓練驗證資料（指透過網路爬取或自第三人取得之非公開資料集、公開資料集、含合成資料在內之資料集，或以其他方式蒐集之資料，惟不以此為限），但因訴訟、聲請調解、聲請訴訟外紛爭解決程序（ADR）或其他法律程序而有必要之權利人，及其受委任律師或代理人，可請求查證的是自行查詢之URL[3]；一般使用者則可以請求查證的係是否含有與其所生成之生成物相同或近似內容[4]。相關請求須具備三項要件： (一) 足認具備請求資格之理由，即權利人及其受委任律師或代理人須說明具備訴訟等程序資格之事由，而一般使用者則須提出生成物及所用提示詞； (二) 明示利用目的並承諾不作目的外使用，權利人及其受委任律師或代理人並須進一步承諾不將回覆轉作嗣後提起訴訟、調解或ADR之用； (三) 說明請求揭露理由與參照(可供查證的)資訊。 依請求人身分於適用程序上略有區別，並均以「生成式AI事業者容易存取及確認者為限」為限。 參、事件評析 我國《人工智慧基本法》第4條第5款規定，政府推動人工智慧研發應用應遵循「透明與可解釋」原則，人工智慧產出應做適當資訊揭露或標記；第5條第2項規定，經中央目的事業主管機關會商數位發展部認定為高風險應用者，應明確標示注意事項或警語；第16條第2項則規定，各目的事業主管機關應協助相關產業自行訂定產業指引及行為規範。日本此次公布的守則所建構之透明化與揭露請求機制，本文認為具有下列可參考之處： 一、機關不須立於審查、承責之角色，但有法律效力時須以第三方驗證機制配套 本守則明示透明化效果繫於業者自主誠信履行，明文規定日本內閣府對業者申報內容不進行審查，且對第三人查詢亦不予回覆，此一設計使主管機關毋須承擔審查責任，僅提供申報格式與公開清單之行政協助角色，殊值承受責任壓力的行政機關參考。但若將來將類似遵循或解釋機制提升為具法律效力之規範，應同時建立第三方驗證機制，例如由主管機關或指定機構就業者申報內容進行抽查或複核，藉公眾審查與問責機制，對業者形成遵循與誠信申報之壓力，避免僅以業者單方陳述作為唯一依據。 二、軟法指引須深化至具體記載程度，始能發揮引導效果 本守則另有由內閣府公布「概要開示対象事項 具体例」，就各事項應揭露之記載程度提供具體範例，顯示軟法之引導效果，繫於指引深化之程度，僅列原則性事項而未進一步定明記載程度或格式範例者，業者實務操作易生歧異，透明化效果亦難以彰顯。我國《人工智慧基本法》第4條第5款及第16條第2項就透明化及產業行為規範，除應有相關指引外亦宜向下展開實作之基準或格式範例，以利軟法引導機制發揮實效。 三、軟法之表態不限於正面列舉，亦應及於未能遵循之說明義務 本守則就「解釋」特別指出，僅陳述尚未建立實施體制，不構成解釋，須進一步依事業規模等因素說明體制建置完成之時期，或提出必要依據證明依本原則揭露於技術上不可行者，始視為已完成解釋。此一設計顯示，透明化義務之履行不僅止於正面陳報遵循程度，亦及於未能遵循時具體說明理由及依據之義務。類此規範模式可運用於著作合理使用之指引，透過反向說明那些無法被認同屬合理使用的情況，間接明確可主張合理使用的應備條件，降低不確定的模糊空間。 四、達成透明化目的應併用揭露與標記 我國《人工智慧基本法》第4條第5款規定人工智慧產出「應做適當資訊揭露或標記」，然於日本此守則中可見諸透明性揭露事項與智慧財產權保護措施中電子浮水印、C2PA等技術性措施併陳，顯示揭露與標記於功能上有別。揭露解決使查閱者得知資訊內容之問題，標記則解決生成物本身出處可辨識、可追溯之問題，二者併存運用可兼顧事前資訊公開與事後來源查核。我國後續訂定操作規範時，宜避免將兩者理解為得擇一履行之選項。 五、智慧財產權保護措施屬事業者應建立之基本管理制度 本守則所列智慧財產權保護措施九項事項，包括保護原則之訂定與責任體制之明確化、遵循付費牆及機器可讀指示之爬蟲政策、訓練紀錄之保存、技術性防護措施之採行，以及權利人救濟窗口之整備等，其性質應定位為生成式AI事業者於資料蒐集、模型訓練及生成物提供各階段應建立之基本管理制度，我國將來訂定之產業AI應用指引，可參採納入事業者內部治理應具備之基礎架構，而非僅為對外揭露之事項。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://www.tips.org.tw） [1]知的財産戦略本部，〈生成ＡＩの適切な利活用等に向けた知的財産の保護及び透明性に関するプリンシプル・コード〉，2026年8月25日，https://www.cas.go.jp/jp/seisakukaigi/titeki2/ai_kentoukai/kaisai/pdf/ai_principle_code.pdf（最後瀏覽日：2026年9月8日）。 [2]内閣府知的財産戦略推進事務局，〈概要開示対象事項 具体例〉，2026年8月25日，https://www.cas.go.jp/jp/seisakukaigi/titeki2/ai_kentoukai/kaisai/pdf/ai_principle_code_gutairei.pdf（最後瀏覽日：2026年9月8日）。 [3] 例如自行創作作品並刊載於網站A之人，如發現與該作品相同或近似之生成式AI生成物，得向生成式AI事業者出示該網站A作品刊載頁面之URL，就該網域是否列入爬蟲程式之爬取對象、是否列入自第三人取得之訓練資料來源等事項請求揭露。 [4] 例如AI使用者發現其用生成式AI的生成物，有相同或近似之內容刊載於網站B，得向提供生成式AI服務A之生成式AI提供者出示該生成式AI生成物、生成該生成物時所使用之提示詞、該生成物之利用目的及網站B之URL，就該URL之網域部分是否列入生成式AI服務A所搭載生成式AI系統開發時訓練資料之爬取對象、是否列入自第三人取得之訓練資料來源等事項。
美國商務部調整《出口管制規則》允許美國企業與華為合作制定5G標準美國商務部工業安全局（Department of Commerce, Bureau of Industry and Security, BIS）於2020年6月15日宣布修改《出口管制規則》（Export Administration Regulations, EAR），調整美國企業和中國大陸華為公司商業往來的相關禁令，允許美國企業和華為合作制定5G標準。國際標準為技術開發的重要基礎，企業在標準制定的參與和領導力，將同步影響5G、自動駕駛、AI及其他尖端技術的未來發展；美國為鞏固全球創新領導地位，積極倡導國內產業參與標準制定成為國際標準，保護國家安全與外交政策利益。雖然華為及其關係企業在2019年5月，因存在重大國家安全風險，被美國商務部列入實體管制清單，禁止美國企業在未獲商務部許可的情況下與華為進行任何業務往來，但此項政策不應妨礙美國企業參與重要的國際標準制定活動。 本次《出口管制規則》補充「一般性暫行核准（Temporary General License）」附錄，允許華為及其68家關係企業在參與國際標準化組織與5G標準制定等特殊情形下，得依據美國行政管理和預算局（Office of Management and Budget, OMB）A-119號通知所制定之標準，取得《出口管制規則》中涉及EAR99或出於反恐原因被列入美國商業管制清單之貨品與技術。代表美國企業毋需取得商務部的暫行核准，也可以在國際標準制定組織中與中國大陸華為等公司分享用於制定5G標準的相關資訊，甚至合作制定5G標準。另外，《出口管制規則》僅在非出於商業目的之合法標準制定情況下，允許美國企業向華為及其關係企業揭露此類技術；若是出於商業目的揭露，仍然須受《出口管制規則》拘束並應保存記錄。