歐盟通過經濟安全關鍵技術領域建議，以利會員國進行關鍵技術風險評估
歐盟執委會（European Commission）於2023年10月3日公布「關於歐盟經濟安全關鍵技術領域之建議」（Recommendation on Critical Technology Areas for the EU’s Economic Security），以便與各會員國進行經濟安全關鍵技術之風險評估。該建議源自於歐盟於6月發布之「歐盟經濟安全戰略」（European Economic Security Strategy）目的在於地緣政治緊張之局勢下，將最大限度的減少經濟流動所帶來之風險，為歐盟經濟安全制定全面的戰略方針。此「建議」列出十大關鍵技術領域的清單，係根據以下標準進行風險評估：
（1）技術是有促成及轉型之本質（Enabling and Transformative Nature of the Technology）。
（2）民用與軍用融合技術之風險（The Risk of Civil and Military Fusion）。
（3）科技可能被用於侵害人權之風險（The Risk the Technology Could Be Used in Violation of Human rights）。
根據上述標準所列出十個關鍵技術領域後，其中有四個領域項目被認定是最敏感之技術領域，分別有半導體、人工智慧技術、量子技術及生物技術四大類別。
歐盟積極制定此計畫，以確保先進技術不落入敵國手中，減少對於如中國等國家單一供應商之依賴；歐盟預計於今年年底與會員國進行廣泛的風險評估，以確保下一步可能所採取的措施，可能包含出口管制及對外之審查投資，預計於2024年初提案。
本文為「經濟部產業技術司科技專案成果」
- Commission recommends carrying out risk assessments on four critical technology areas: advanced semiconductors, artificial intelligence, quantum, biotechnologies, European Commission, Oct 3, 2023
- COMMISSION RECOMMENDATION of 3.10.2023 on critical technology areas for the EU's economic security for further risk assessment with Member States, European Commission, Oct 3, 2023
- ANNEX to the Commission Recommendation on critical technology areas for the EU's economic security for further risk assessment with Member States, European Commission, Oct 3, 2023
劉心妍
副法律研究員 編譯整理
Commission recommends carrying out risk assessments on four critical technology areas: advanced semiconductors, artificial intelligence, quantum, biotechnologies, European Commission, Oct 3, 2023, https://ec.europa.eu/commission/presscorner/detail/en/IP_23_4735 (last visited Nov 1, 2023).
COMMISSION RECOMMENDATION of 3.10.2023 on critical technology areas for the EU's economic security for further risk assessment with Member States, European Commission, Oct 3, 2023, https://defence-industry-space.ec.europa.eu/system/files/2023-10/C_2023_6689_1_EN_ACT_part1_v8.pdf (last visited Nov 1, 2023).
ANNEX to the Commission Recommendation on critical technology areas for the EU's economic security for further risk assessment with Member States, European Commission, Oct 3, 2023, https://defence-industry-space.ec.europa.eu/system/files/2023-10/C_2023_6689_1_EN_annexe_acte_autonome_part1_v9.pdf (last visited Nov 1, 2023).
阮韻蒨，〈美國白宮發布「國家安全策略」〉，《科技法律透析》，第35卷第6期，頁4（2023）。
吳彬詣，〈美國《2022保護美國智慧財產權法》之簡析與我國國家核心關鍵技術營業秘密之借鏡〉，《科技法律透析》，第35卷第8期，頁48~72（2023）。
陳奕夫，〈美國歐盟貿易和技術委員會發布第四次聯合聲明，強化高科技技術及貿易安全合作〉，資訊工業策進會科技法律研究所，2023/6，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9019（最後瀏覽日：2023/11/1）。
科法觀點
英國教育部（Department for Education，以下簡稱DfE）於2026年7月7日更新《保障兒童在教育領域之安全2026》（Keeping children safe in education 2026，下稱KCSIE 2026），將「生成式AI」納入學校之兒少保護與網路安全體系，供英國幼稚園至大學等學校參考，以保障及促進18歲以下兒童及青少年之福祉。此文件性質為不具強制力之指引，自同年9月1日起生效。以下簡要介紹《KCSIE 2026》重點。 《KCSIE 2026》建議除有正當理由，否則校方應遵循以下： 1.政策面，學校應將網路安全管理方法列入校內既有兒少保護政策中，如當學生使用AI生成具傷害性之內容（AI深偽照片、影片等）時，校方應啟動關於影像濫用的兒少保護程序。 2.系統管理面，建議學校應建立適當的過濾與監控系統（filtering and monitoring systems），每年至少應審查一次過濾系統之功能是否正常運作。 由校內人員組成之高級管理團隊（Senior Leadership Team, SLT）成員主導審查，以及由校方指定的一名或多名安全保護主管（Designated Safeguarding Lead, DSL）與IT人員從旁協助。審查重點除應確保過濾功能正常，亦應確保工作人員理解相關規定並知道向上通報事件之方式，並應留存相關審查紀錄。 建議學校除此份文件外，亦應參考英國DfE發布之《生成式AI產品安全標準》（Generative AI: product safety standards），評估AI工具是否符合教育領域的過濾與監控需求。 3.人員面，建議教職員的入職培訓以及每年至少一次兒少保護新知培訓中，應考量網路安全與學校的兒少保護政策並加以整合。 關於前文提及英國DfE於2026年1月更新之《生成式AI產品安全標準》，此文件性質同為不具強制力之指引，其提出11項安全標準供教育科技開發商、學校及學院供應商規劃與評估其生成式AI產品，包含：智慧財產權、隱私與資料保護、認知發展、心理健康及過濾機制等項目。其中，「智慧財產權」，主要提到除取得著作權人同意，否則AI產品不應儲存「輸入的資料」，亦不應將「輸入的資料」用於任何商業用途，包含但不限於作為訓練資料、產品開發。「隱私與資料保護」包含如：AI生命週期中應進行資料保護影響評估，若未確認合法依據，不得蒐集、儲存、分享或使用個人資料於任何商業目的，包括用於訓練與微調模型。「過濾機制」係指學校應確保採購之AI產品具過濾功能，可有效防止使用者（學生）接觸不當的內容。 由前文可得知，學校導入AI工具，不宜只評估AI功能之便利性，也應確認是否二次利用輸入之資料、資料傳輸至何處、具資料存取權限的人員範圍，以及是否具備過濾機制，並採取因應措施，如教職員培訓等。 臺灣教育領域導入生成式AI時，可參考此思維，於採購及委外開發流程，要求供應商揭露資料流向、限制二次利用（如用於訓練與微調模型）並保留系統操作紀錄，再由校方建立權限設定、過濾機制及事件應變制度，使教育AI的創新應用奠基於可追溯、可管控的資料管理基礎。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/）
日本成立供應鏈資通安全聯盟（Supply Chain Cybersecurity Consortium）日本經濟產業省（下稱經產省）於2020年6月12日發布其國內產業資通安全現況與將來對策（昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性）報告，指出近期針對供應鏈資通安全弱點企業所展開的攻擊，有顯著增長趨勢。為此，該報告建議共組供應鏈的企業間，應密切共享資訊；於關鍵技術之相關資訊有外洩之虞時，應向經產省提出報告；若會對多數利害關係人產生影響，並應公開該報告。遵循該報告之建議要旨，同年11月1日在各產業主要的工商團體引領下，設立了「供應鏈資通安全聯盟（原文為サプライチェーン・サイバーセキュリティ・コンソーシアム，簡稱SC3）」，以獨立行政法人資訊處理推進機構（独立行政法人情報処理推進機構，IPA）為主管機關。其目的在於擬定與推動供應鏈資通安全之整體性策略，而經產省則以觀察員（オブザーバー）的身分加入，除支援產業界合作，亦藉此強化政府與業界就供應鏈資通安全議題之對話。 只要贊同上述經產省政策方向與聯盟方針，任何法人或個人均得參加SC3。針對產業供應鏈遭遇資安攻擊的問題，經產省與IPA已有建構「資通安全協助隊（サイバーセキュリティお助け隊）」服務制度（以下稱協助隊服務），邀集具相關專長之企業，在其他企業遭遇供應鏈資安攻擊時，協助進行事故應變處理、或擔任事故發生時之諮詢窗口。而SC3則規畫為這些參與提供協助隊服務的企業建立審查認證制度。其具體任務包含擬定認證制度的審查基準草案、以及審查機關基準草案，提供IPA來建構上述基準。依該制度取得認證的企業，將獲授權使用「資通安全協助隊」的商標。同時在業界推廣協助隊服務制度，讓取得認證的中小企業得以之為拓展其業務的優勢與宣傳材料。
歐盟將擬訂關鍵促成技術（Key Enabling Technologies）促進總策略因為生物科技（Biotechnology）、奈米科技（Nanotechnology）、微（奈）米電子與半導體（Micro- and nanoelectronics, including semiconductor）、光電（Photonics）、及先進材料（Advanced materials）等五大科技，能夠被廣泛的應用在各種產業上，並可協助現有科技作出重大的改善，故在2009年9月歐盟委員會（European Commission）所公布的一份溝通文件（Communication）當中，被認定為是可以加強競爭力，並協助經濟永續發展的關鍵促成技術（Key Enabling Technologies, KETs）。 在該份名為「為我們的未來做準備：發展歐洲關鍵促成技術促進總策略」（Preparing for our future: developing a common strategy for key enabling technologies in the EU）的文件中，歐盟委員會指出，KETs的技術外溢效益和其所能產生的加成效果，可以同時提昇其他領域的表現，如通訊技術、鋼鐵、醫療器材、汽車、及航太等領域，故將對歐盟地區未來的經濟永續發展有著重大的影響，也可以協助面對社會與環境的重大挑戰。 該文件指出，雖然歐盟擁有許多KETs的相關研發成果，對促進研發成果產業化之措施卻有所不足。在此溝通文件中所規劃的發展策略，配合歐盟持續的在研發作出更多的投資，將會協助歐盟充分應用這些可提高歐盟未來競爭力的KETs。 因為KETs的推展須注意系統性的相關聯性，所以數個不同的政策必需被同時考慮。在溝通文件中提出了十項應被考慮的面向，包括（1）將研發政策專注於KETs；（2）促進境內產學研單位間以及產業供應鏈間的技術移轉；（3）促進歐盟與會員國間發展共同的策略方案和操作專案；（4）運用各會員國境內之補助政策；（5）結合KETs的應用與氣候變遷政策；（6）創造市場需求並配合公共採購；（7）與國際間高科技政策相比較並加強國際合作；（8）透過雙邊或多邊貿易談判創造KETs有利的貿易條件；（9）促進歐洲投資銀行（European Investment Bank, EIB）給予高科技產業優惠貸款；以及（10）透過高等教育與在職訓練提昇技術水準。 歐盟委員會將會建立一個獨立的高階專家團體，去繪製歐盟有關各KETs的長期策略藍圖，並將於2010年年底向部長會議（Council of Ministers）報告。
美國眾議院通過電信基礎設施安全四大法案，以防止採用構成國家安全風險的設備美國眾議院（United States House of Representatives）於2021年10月20日通過安全設備法案（Secure Equipment Act）、通訊安全諮詢法案（Communications Security Advisory Act）、資通訊科技戰略法案（Information and Communication Technology Strategy Act）與國土安全部軟體供應鏈風險管理法案（DHS Software Supply Chain Risk Management Act），以提高網路之可信任度、防止採用構成國家安全風險的設備、支持小型通訊網路供應商，並促進產業供應鏈的經濟競爭力。美國總統拜登（Joseph Robinette Biden Jr.）於同年11月11日完成簽署《安全設備法》。 《安全設備法》旨在禁止聯邦通訊委員會（Federal Communications Commission, FCC）頒發設備許可予構成美國國家安全風險之公司，其目的係為防止美國的網路系統遭受中國大陸設備的監控，保護美國公民的隱私與安全。近年來，美國以國家安全與技術、隱私保護為由，逐步以政府禁令或動用政府影響力，防堵華為、中興等其認為與中國政府關係密切之中國通訊設備業者。自2019年5月15日美國白宮頒布之第13873號行政命令，至2021年10月20日美國眾議院通過電信設施基礎安全四大法案，並美國商務部於隔日即發布「禁止出售、出口駭客監視工具予曾有侵犯人權紀錄的專制政府及地緣政治之敵人」等規定，各種限制手段展現美國保護國土安全之決心。 此外，《通訊安全諮詢法案》、《資通訊科技戰略法案》與《國土安全部軟體供應鏈風險管理法案》分別就通訊網路的安全性、可靠性與操作性；資通訊技術供應鏈報告（例如：定義何謂「對美國經濟競爭力至關重要的資通訊技術」等）」；以及資通訊技術或服務合約之指導方針如何改善國家網路安全等相關事項予以規範。目前，此三大法案皆於參議院二讀後提交至委員會，後續發展應密切關注。