世界衛生組織(World Health Organization, WHO)於2023年10月19日發布「人工智慧於健康領域之監管考量因素」(Regulatory considerations on artificial intelligence for health)文件,旨在協助各國有效監管健康領域之人工智慧,發揮其潛力同時最大限度地降低風險。本文件以下列六個領域概述健康人工智慧之監管考量因素:
(1)文件化與透明度(Documentation and transparency)
開發者應預先規範(pre-specifying)以及明確記錄人工智慧系統(以下簡稱AI系統)之預期醫療目的與開發過程,如AI系統所欲解決之問題,以及資料集之選擇與利用、參考標準、參數、指標、於各開發階段與原始計畫之偏離及更新等事項,並建議以基於風險之方法(Risk-based approach),根據重要性之比例決定文件化之程度、以及AI系統之開發與確效紀錄之保持。
(2)風險管理與AI系統開發生命週期方法(Risk management and AI systems development lifecycle approaches)
開發者應在AI系統生命之所有階段,考慮整體產品生命週期方法(total product lifecycle approach),包括上市前開發管理、上市後監督與變更管理。此外,須考慮採用風險管理方法(risk management approach)來解決與AI系統相關之風險,如網路安全威脅與漏洞(vulnerabilities)、擬合不足(underfitting)、演算法偏差等。
(3)預期用途、分析及臨床確效(Intended use, and analytical and clinical validation)
開發者應考慮提供AI系統預期用途之透明化紀錄,將用於建構AI系統之訓練資料集組成(training dataset composition)之詳細資訊(包括大小、設定與族群、輸入與輸出資料及人口組成等)提供給使用者。此外,可考慮透過一獨立資料集(independent dataset)之外部分析確效(external analytical validation),展示訓練與測試資料以外之效能,並考慮將風險作為臨床確效之分級要求。最後,於AI系統之上市後監督與市場監督階段,可考慮進行一段期間密集之部署後監督(post-deployment monitoring)。
(4)資料品質(Data quality)
開發者應確認可用資料(available data)之品質,是否已足以支援AI系統之開發,且開發者應對AI系統進行嚴格之預發布評估(pre-release evaluations),以確保其不會放大訓練資料、演算法或系統設計其他元素中之偏差與錯誤等問題,且利害關係人還應考慮減輕與健康照護資料有關之品質問題與風險,並繼續努力創建資料生態系統,以促進優質資料來源之共享。
(5)隱私與資料保護(Privacy and data protection)
開發者於AI系統之設計與部署過程中,應考慮隱私與資料保護問題,並留意不同法規之適用範圍及差異,且於開發過程之早期,開發者即應充分瞭解適用之資料保護法規與隱私法規,並應確保開發過程符合或超過相關法規要求。
(6)參與及協作(Engagement and collaboration)
開發者於制定人工智慧創新與部署路線圖之期間,需考慮開發可近用且具有充足資訊之平台,以於適合與適當情況下促進利害關係人間之參與及協作;為加速人工智慧領域實務作法之進化,透過參與及協作來簡化人工智慧監管之監督流程即有必要。
本文為「經濟部產業技術司科技專案成果」
自2009年起,歐盟執委會(European Commission,下稱執委會)開始推動統一化歐盟境內手機及其他類似電子設備之充電器,以減少不必要的電子垃圾,並改善電子設備充電器規格紊亂所造成消費者的不便利。多年來,市面上充電連接埠的規格已從過去的三十多種減少為USB Type-C、USB micro-B以及Lightning三種規格。執委會更於今(2021)年9月23日提出《無線電設備指令》(Radio Equipment Directive, 2014/53/EU)增修條文提案,欲透過立法建立統一的充電解決方案,該提案包括: 1.統一充電連接埠 USB Type-C為所有智慧型手機、平板、相機以及耳機等電子設備的通用充電連接埠,一個USB Type-C充電器將能為各種廠牌的產品充電。 2.統一快速充電技術 防止各製造商無正當理由地限制充電速度,並確保電子設備在使用任何可相容的充電器時都能有相同的充電速度。 3.電子設備及充電器的分拆販售 防止消費者被迫購買不必要的充電器,並減少未使用的充電器數量,進而達成降低電子垃圾之目的。 4.提供消費者更多資訊 製造商應提供消費者其產品之充電性能相關資訊,以利消費者判斷其現有的充電器與該產品是否相容,該資訊亦有助於消費者為該產品選購相容的充電器。 此提案仍需待歐洲議會(European Parliament)及歐盟部長理事會(Council of the European Union)決議,若決議通過,製造商將有24個月的過渡期來調整產品設計。
美參議員盧比歐推動禁止與中國交易敏感科技之法案美國共和黨參議員盧比歐(Marco Rubio),亦為「美國國會及行政當局中國委員會」(Congressional-Executive Commission on China,簡稱CECC)之主席,於2018年5月宣布一項針對中國的立法——「美中公平貿易執行法」(Fair Trade with China Enforcement Act)。該法案以保護國家安全為目的,成為禁止美中兩國交易「敏感科技」之法源,同時,更提高課徵跨國公司來自中國的所得稅,藉以箝制中國竊取美國智慧財產。 而為因應中國國務院所提「中國製造2025」戰略計畫,其重點發展科技——機器人、航太、潔淨能源車(robotics, aerospace and clean-energy cars),該法案亦對中資持有美國研發製造上揭科技之公司的持股權予以限制。除此之外,該法更將禁止美國政府及其包商購買中國華為(Huawei)、中興通訊(ZTE)兩間公司的任何電信通訊設備或服務;美國國會和美國總統川普均指稱兩間公司會透過產品暗中監看美國,而施壓美國私人企業亦勿販售兩公司產品。 也許正如盧比歐參議員對外發表「美中公平貿易執行法」時所言,當今如何回應中國日益劇增對國家安全、竊取敏感科技之威脅,實為地緣政治(geopolitical)待解關鍵。
美國對於聯網環境中「關鍵基礎設施」之資訊安全議題展開行動面對境外網路安全的風險,美國歐巴馬總統於2013年2月12日,正式簽署「改善關鍵基礎設施之網路安全」行政命令(Executive Order 13636–Improving Critical Infrastructure Cyber security),據該行政命令第二款,將「關鍵基礎設施」定義為,「對於美國至關重要,而當其無法運作或遭受損害時,將削弱國家安全、經濟穩定、公共健康或安全之有形或虛擬系統或資產」,遂採取相對廣義之解釋。該行政命令第七款,亦指示美國商務部「國家標準技術研究所」(National Institute of Standard and Technology, NIST),將研議ㄧ個提升關鍵基礎設施資通訊安全之架構(Framework to Improve Critical Infrastructure Cybersecurity),將美國聯邦憲法所保障的企業商業機密、個人隱私權和公民自由等法益納入考量。 針對關鍵基礎設施引發重要之法制議題,美國副司法部長Mr. James M. Cole表示,由於關鍵基礎設施影響所及者,乃人民在法律下的權益,公部門政府將在該項議題上與私部門共同合作(partnership),且未來將研議通過立法途徑(legislation),將隱私權和公民權保護(the incorporation of privacy and civil liberties safeguards)納入關鍵基礎設施資通訊安全法制之全盤考量,相關趨勢殊值注意。
美國發布了「消費者隱私權法」草案美國白宮在2015年2月27日發布了「消費者隱私權法」(Consumer Privacy Bill of Rights Act)草案,目的在於擴大消費者資料的保護範圍。 該草案的重點分列如下: 透明性:受規範主體必須提供資訊主體簡潔、明顯、易懂的公告,公告內容必須提供簡潔、明瞭及即時的隱私與安全運作,包含資訊保存、揭露以及個人資料存取機制。 個人控制:受規範主體應該在合理範圍內提供機制,讓資料主體能控制其個人資料之處理,同時也規範應讓消費者撤銷個人資料使用的同意。 注重資料蒐集與合理使用:受規範的公司機構必須依據其清楚、合理的說明規則來進行個人資料的蒐集、保存與利用。同時,在資料蒐集之特定目的完成後的合理時間內,必須針對所蒐集的個人資料進行刪除或是去識別化。 安全性的維護:為了維護個人資料之安全性,以防止其遺失、陷入危險、改變以及未經授權之使用或是揭露,公司機構必須進行安全風險評估,並且採取合理的資訊安全防護措施。 存取與正確性:受規範的公司機構必須提供資訊主體合理的存取權利,同時也應該採取合理的步驟,來維護資料的正確性。 擔負隱私維護的責任:受規範的公司機構必須針對員工實施資安教育訓練、進行隱私評估、隱私設計、遵守隱私保護義務以及採取適當的措施來遵循本草案之規定。 不受本草案規範之公司機構: 25名員工以下的小型公司,且其處理者僅限於員工與求職者之個人資料。 未刻意蒐集、處理、使用、保存或揭露個人病史、原生國籍、性傾向、性別、宗教信仰、資產狀況、精確的位置資訊、獨一無二的生物識別資料或是社會安全號碼,並符合以下要件之一者: 在12個月內蒐集個人資料筆數在10,000筆下; 5名員工以下。 除了要求產業發展處理消費者資料的標準或規則,該草案也要求「聯邦貿易委員會」(Federal Trade Commission, FTC)確認產業所制定的標準或規則必須符合「消費者隱私權法」的規定,包括提供消費者有關其資料如何被收集、使用與分享的明確通知。如果進行消費者資料收集的公司機構違反了「消費者隱私權法」,將會面臨FTC或是州檢察長所發起的法律行動。 該草案引起了產業界極大的反彈,隱私團體也批評該草案太過寬鬆,留給產業界太多自由空間,同時目前國會由共和黨所主導,因此後續立法工作的進行將會面臨極大的挑戰。