「安全、韌性、高效、永續的數位基礎設施」,是歐盟「數位十年計畫」(Digital Decade Policy Programme 2030)所擘劃的政策目標之一。執委會於2024年2月21日發布「如何掌握歐洲的數位基礎設施需求?」(How to master Europe's digital infrastructure needs ?)白皮書,詳細盤點歐盟數位基礎設施的發展現狀及所面臨的挑戰,提出可能的政策方案並公開諮詢各界意見。
其中有關頻率管理的部分,執委會認為成員國間各自為政的頻率釋出與管理政策拖累了整體歐盟的5G布建進程,目前5G的涵蓋率與普及率仍不如預期,成員國間的數位發展程度也參差不齊,法規環境差異對跨境提供服務所造成的障礙亦導致數位單一市場難以成形。為避免相同困境在6G重演及因應發展衛星通訊服務帶來的跨境頻率管理議題,歐盟將更進一步同調各成員國的頻率管理政策與規範環境,提高歐盟對頻率政策的掌控,確保歐盟通訊網路的安全性、獨立性和完整性。
海纜的安全性亦受到關注,歐盟既有電子通訊網路和服務的監管架構並未就雲端服務業者規範相關的義務,但隨著大型雲端服務業者持續投入海纜建設,歐盟已經有超過60% 的國際流量透過非公眾網路業者建設的海纜傳輸,監理上的漏洞已經形成歐盟通訊網路的安全隱患。
執委會將與各界展開廣泛的討論與磋商,研議能確保安全與韌性之數位基礎設施的政策工具及監理框架。在頻率管理方面,希望能提高歐盟的一致性與協調性,為地面通訊、衛星通訊及其他新興應用的頻率使用提供更統一甚至單一的授權流程及選擇條件,以促進數位單一市場的形成;在海纜方面亦規劃建立歐盟層級的聯合治理體系,將針對海纜的風險、弱點及依賴性做全面性的評估,亦將資助既有海纜的升級與新海纜的設立,同時確保供應鏈的安全性及降低對高風險第三國的依賴。
美國FDA擬修法調整臨床實驗知情同意義務之豁免標準 資訊工業策進會科技法律研究所 蔡宜臻法律研究員 2018年11月27日 壹、事件摘要 知情同意(informed consent)是人體試驗受試者保護重要的一環,同時也是生物醫學長期以來的研究傳統,然其規範內容卻會因科技與研究方式的改變而略有調整。美國食品藥物管理局(Food and Drug Administration, FDA)於2018年11月15日發布一份法規提案(proposed rule),公開徵求意見評論。該提案目的在於調整FDA知情同意的相關規定,未來FDA希望允許人體試驗倫理委員會(Institutional Review Boards, IRB)在試驗僅有最小風險(minimal risk)的情況下,得以裁決一臨床實驗案可豁免知情同意的責任,或更改某些「告知要項」[1]。本次法規提案徵詢終止日為2019年1月14日,FDA並規劃於本法規命令正式公告施行後,廢止其於2017年7月所發佈之《IRB豁免或變更臨床實驗之知情同意指南》(IRB Waiver or Alteration of Informed Consent for Clinical Investigations Involving No More Than Minimal Risk to Human Subjects)[2] 貳、重點說明 目前FDA僅允許在危及生命[3]或緊急研究(emergency research)[4]的情況下,得以例外不必符合知情同意的一般要求(general requirements)[5]。而根據FDA於2018年11月15日發布於聯邦公報(Federal Register)的法規提案內容,FDA打算新增「試驗僅有最小風險」(The research involves no more than minimal risk to subjects)做為豁免或變更知情同意項目的甄別標準之一。如此一來若是修法通過,FDA對於知情同意豁免與否的認定標準就會跟1991年制訂的《美國聯邦受試者保護通則》(Federal Policy for the Protection of Human Subjects,簡稱the Common Rule)[6]更加接近。換言之,未來修法通過後,由FDA管理的人體臨床實驗將有三種情形得以豁免或變更知情同意義務:危及生命、緊急研究與僅具有最小風險的研究。 所謂最小風險,係指「研究中預期的傷害或不適的概率和程度,不大於在日常生活中或在進行常規身體或心理檢查時通常遇到的傷害或不適」[7],比如:不需新藥研究申請(investigational new drug application, IND)的新藥研究;醫療器材臨床試驗豁免(investigational device exemption, IDE)之醫療器材研究;檢體之取得為無創(受試者之頭髮或指甲)的臨床研究;為研究目的而蒐集聲音、影片、數據或圖像紀錄;研究個體或群體的特徵或行為;個人或焦點團體訪談等質性研究[8]。FDA指出本次法規提案當中所指的最小風險定義與其附隨條件將與《美國聯邦受試者保護通則》自1991年施行以來之規定一致,即該研究只要同時符合以下四點便可望由IRB審查豁免或變更知情同意義務[9]: 僅有最小風險的研究[10]。 若不豁免或變更知情同意義務,則研究無法順利進行[11]。 不造成受試者權利跟福祉之負面影響[12]。 受試者將在適當時機獲悉進一步研究資訊[13]。 此次提案的法源依據是2016年通過的《21世紀治癒法》(21st Century Cures Act)第3024節所修正之《聯邦食品藥物化妝品法》(Federal Food, Drug, and Cosmetic Act)第505(i)(4)、520(g)(3)節。《21世紀治癒法》第3024節賦予FDA權力放寬臨床實驗的知情同意義務,其立法背景是由於目前FDA相關規範對知情同意要求相對嚴格,當研究者無法滿足現有法規對於知情同意的要求,便可能使潛在的有價值的研究被迫停止[14];又或在某些情形下,要求研究者在進行臨床實驗時取得研究對象的知情同意並不切實際[15]。《21世紀治癒法》通過後,FDA隨即於2017年7月發布《IRB豁免或變更臨床實驗之知情同意指南》,當中指出FDA並不打算在僅有最小風險的臨床研究中,反對IRB做出豁免或變更知情同意項目的判定,若本次法規提案後續正式生效,FDA便會廢止此指南,使其轉為FDA規則(regulation)。 參、事件評析 知情同意是生物醫學研究的學術傳統,包含兩大重點,一是令研究對象充分知悉其所參與的研究,包含其研究目的、內容、風險與預期利益;二是確保研究對象在做出同意或不同意之意思表示時,其意思表示之真實性,由此保障受試者的自主權[16]。 知情同意之概念最早源自1947年的紐倫堡法典(Nuremburg Code),其規範內涵在過去數十年間因為生物醫學的研究方法與進行模式的變革而產生變化。早年的臨床研究主要由政府資助、在單一的機構進行,涉及的受試者人數相對有限;而近三、四十年,醫學研究漸漸發展成多機構、多中心甚至跨國的研究案,受試者可能高達數萬甚至數十萬,同時也逐漸形成跨領域的研究轉型,涉及如社會學、心理學、教育、環境、氣候等學科。在此情形下,研究方法與資料取得勢必與過去截然不同,傳統的知情同意的制度漸漸無法滿足現代醫學研究的需要。1978年貝爾蒙特報告(Belmont Report)便強調應評估臨床研究的風險是否超過日常可接受範圍[17],1981年美國據此制定《美國衛生及公共服務部人體研究保護政策最終規則》(Final regulations amending basic HHS policy for the protection of human research subjects)[18]便首次將「不超過日常風險的臨床實驗」[19]納為知情同意之豁免或變更之標準;1991年制定的《美國聯邦受試者保護通則》亦延續此概念並進一步做出更明確定義(見前述),惟當時FDA基於其業務為確保藥品、生物製劑以及醫療器材安全與執照核發,與《美國聯邦受試者保護通則》作為拘束十六個聯邦機關的一般性規範不同,因此未將「僅有最小風險的臨床實驗」納為豁免或變更知情同意義務的標準[20]。 時序進展至今,資通訊技術的進步所累積的巨量資料逐漸成為生醫研究的重要研究資源,面對這項轉變與研究者對於倫理審查委員會專業性的質疑,美國近年再度嘗試調整修法。2016年通過之《21世紀治癒法》便要求FDA將「僅有最小風險的臨床實驗」納為得豁免或變更免除知情同意的標準之一,可被視為是期望FDA向更為寬鬆的《美國聯邦受試者保護通則》靠攏;另方面,2017年修訂《美國聯邦受試者保護通則》之最終規則(final rule,將於2019年1月生效),也新增「若是研究涉及取得可識別的個人資料或可識別的生物標本,需要證明若無這些資料研究將無法進行」[21],作為豁免或變更知情同意義務的要件,許是為避免個人資料因知情同意的放寬而有遭受濫用之虞。不過這項要件在本次FDA法規提案並未提及。 綜上述,本文整理兩大爭點: 一、最小風險判定標準之不確定性。 最小風險之定義雖明確指「研究中預期的傷害或不適的概率和程度,不大於在日常生活中或在進行常規身體或心理檢查時通常遇到的傷害或不適」[22],惟最小風險之判定仍存在不確定空間。FDA雖強調將承繼《美國聯邦受試者保護通則》自1991年施行以來個案累積之最小風險判定標準,但此一不確定性直接影響的是受試者的自主權,侵害美國憲法所保障的人權精神;此外,也有批評指出FDA所援引的《美國聯邦受試者保護通則》對於最小風險的定義文字過於模糊,容易造成誤解或誤判[23][24][25]。 二、本次法規提案並未新增《美國聯邦受試者保護通則》即將於2019年1月生效的項目,或再度造成FDA規定與其他聯邦機構未能一致的情形。 FDA本次法規提案新增「最小風險」的其中一個原因便是希望盡可能與《美國聯邦受試者保護通則》標準一致。然令人困惑的是,其並未新增《美國聯邦受試者保護通則》即將於2019年1月實施的豁免或變更知情同意義務的要件:「若是研究涉及取得可識別的個人資料或可識別的生物標本,需要證明若無這些資料研究將無法進行」[26]。換言之,即便此次修法提案通過,依舊與會與《美國聯邦受試者保護通則》有落差。更甚者,《美國聯邦受試者保護通則》所新增的要件,實意在保障個人資料不會因知情同意的豁免範圍改變而遭到恣意使用或揭露,有助於保護個人隱私與資料自主,而FDA並未將其納入法規提案內容,或可能造成個資保護之漏洞。此項缺失FDA於法規提案當中亦有提及,或可期待後續修正[27]。 肆、結語 FDA原有關於豁免或變更知情同意的規定與《美國聯邦受試者保護通則》存有寬嚴程度落差,FDA此前僅限定在有生命危險與緊急研究的情形方可為之;而《美國聯邦受試者保護通則》由於是一種一般性規範,所以保障程度較為寬鬆。FDA本次修法將使部分僅有最小風險的臨床實驗可以更為順利進行,同時也使FDA知情同意的規範更加接近當前《美國聯邦受試者保護通則》的規定。惟最小風險的認定存在不確定性,其所可能侵害的是受試者自主權,不可不慎。又,《美國聯邦受試者保護通則》即將在2019年1月規定研究蒐集之個人資料必須對研究有絕對必要方可,而本次FDA的法規提案未見跟進此一新增要件。由於本提案仍在意見評論階段,是以FDA後續是否再度更新提案內容,值得後續關注。 [1] Institutional Review Board Waiver or Alteration of Informed Consent for Minimal Risk Clinical Investigation, 83 Fed. Reg. 57378-57386(Nov. 15, 2018) https://www.federalregister.gov/documents/2018/11/15/2018-24822/institutional-review-board-waiver-or-alteration-of-informed-consent-for-minimal-risk-clinical (last visited Nov. 26, 2018) [2] FOOD AND DRUG ADMINISTRATION[FDA], FDA In Brief: FDA takes steps to allow greater flexibility for clinical investigators about informed consent in minimal risk situations.(2018/11/13) https://www.fda.gov/NewsEvents/Newsroom/FDAInBrief/ucm625747.htm (last visited Nov. 26, 2018) [3] 21 CFR 50.23 [4] 21 CFR 50.24 [5] 有關更多FDA豁免告知同意之項目類別與細部說明,可參考https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm?fr=50.23; https://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm?fr=50.24 (last visited Jan. 8, 2019) [6] 45 CFR 46, subpart A. [7]“the probability and magnitude of harm or discomfort anticipated in the research are not greater in and of themselves than those ordinarily encountered in daily life or during the performance of routine physical or psychological examinations or tests.” (46 CFR 102(i); 21 CFR 50.3(k); 21 CFR 56.102(i)). [8] U.S. DEPARTMENY OF HEALTH & HUMAN SERVICES [HHS], OHRP Expedited Review Categories.(1998) https://www.hhs.gov/ohrp/regulations-and-policy/guidance/categories-of-research-expedited-review-procedure-1998/index.html (last visited Nov. 26, 2018) [9] 45 CFR 46.116 [10] “The research involves no more than minimal risk to subjects” [11] “The research could not be carried out practicably without the waiver or alteration” [12] “The waiver or alteration will not adversely affect the rights and welfare of the subjects” [13] “Where appropriate, the subjects will be provided with additional information about their participation” [14] FOOD AND DRUG ADMINISTRATION[FDA], FDA In Brief: FDA takes steps to allow greater flexibility for clinical investigators about informed consent in minimal risk situations.(2018/11/13) https://www.fda.gov/NewsEvents/Newsroom/FDAInBrief/ucm625747.htm (last visited Nov. 26, 2018) [15] id. [16] 陳子平,〈醫療上「充分說明與同意」之法理在刑法上的效應(上)〉,《月旦法學雜誌》,第278期,頁224(2010)。 [17] THE NATIONAL COMMISSION FOR THE PROTECTION OF HUMAN SUBJECTS OF BIOMEDICAL AND BEHAVIORAL RESEARCH, The Belmont Report—Ethical Principles and Guidance for the Protection of Human Subjects of Research(1978), https://videocast.nih.gov/pdf/ohrp_appendix_belmont_report_vol_2.pdf (last visited Jan. 9, 2019) [18] Final regulations amending basic HHS policy for the protection of human research subjects. 46(16) Fed. Reg. 8366–8391 (Jan. 26, 1981) [19] “those risks encountered in the daily lives of the subjects of the research” (46(16) FR 8373) [20] NATIONAL CENTER FOR BIOTECHNOLOGY INFORMATION[NCBI], Determining Minimal Risk in Social and Behavioral Research(2014), https://www.ncbi.nlm.nih.gov/books/NBK217976/ (last visited Jan. 9, 2019) [21]“if the research involves using identifiable private information or identifiable biospecimens, the research could not practicably be carried out without using such information or biospecimens in an identifiable format” (45 CFR 46.116(f)(3)(iii)) [22] 21 CFR 50.3(k), 56.102(i) [23] Regulations.gov, https://www.regulations.gov/document?D=FDA-2018-N-2727-0010 (last visited Dec. 20, 2018) [24] Shah S, Whittle A, Wilfond B, Gensler G & Wendler D., How do institutional review boards apply the federal risk and benefit standards for pediatric research, JOURNAL OF THE AMERICAN MEDICAL ASSOCIATION, 291(4), 476–482(2004). [25] Lidz C & Garverich S., What the ANPRM missed: Additional needs for IRB reform. JOURNAL OF LAW, MEDICINE AND ETHICS, 41(2), 390–396(2013). [26] 45 CFR 46.116(f)(3)(iii) [27] Supra note No. 1
德國聯邦經濟與能源部提出《GAIA-X計畫》建立歐洲聯合雲端資料基礎建設2019年10月29日,德國聯邦經濟與能源部提出GAIA-X計畫(Project GAIA-X),蒐集德國聯邦政府、產業和科學界代表意見,與歐洲夥伴合作共創高性能、具競爭力、安全可信賴的歐洲聯合雲端資料基礎建設平台。GAIA-X計畫被視為歐洲開放、透明的雲端數位生態系統搖籃,用戶得以在可信任的環境中,提供整合安全的共享資料;透過雲端資料的跨國合作,為歐洲國家、企業和公民創造聯邦資訊共享環境、促進數位創新、建構全新商業模式。GAIA-X計畫將嚴格遵循資料保護、公開透明、真實性與可信賴性、數位主權(Digital Sovereignty)、自由市場與歐洲價值創造、系統模組化及互操作性(Modularity and Interoperability)、資料可用性等歐洲價值觀及原則。 GAIA-X計畫設定的目標包括:1.維護歐洲數位主權;2.減少對外國雲端供應鏈依賴;3.拓展歐洲雲端服務的國際市場;4.塑造創新數位生態系統。透過建立資料技術與數位經濟相關的基礎設施,將統一安全規格的雲端技術,落實在公共管理、衛生部門、企業和科研機構用戶與供應商間,形成開放數位資料共享的大平台。另外,GAIA-X計畫能進一步強化歐洲雲端服務供應商及歐洲商業模式的全球競爭力與規模,透過聯合雲端資料基礎建設,連接歐洲大小型企業、公部門、醫療及金融機構的伺服器,將全歐洲對於數位技術的多項投資串連在一起,積極發展AI人工智慧、智慧醫療、數位金融監管等新興產業,得以確保歐洲數位安全並提高雲端資料處理能力。
落實完善數位資料管理機制,有助於降低AI歧視及資料外洩風險落實完善數位資料管理機制, 有助於降低AI歧視及資料外洩風險 資訊工業策進會科技法律研究所 2023年07月07日 近年來,科技快速發展,AI(人工智慧)等技術日新月異,在公私部門的應用日益廣泛,而且根據美國資訊科技研究與顧問公司Gartner在2023年5月發布的調查指出,隨著由OpenAI開發的ChatGPT取得成功,更促使各領域對於AI應用的高度重視與投入[1],與此同時,AI歧視及資料外洩等問題,亦成為社會各界的重大關切議題。 壹、事件摘要 目前AI科技發展已牽動全球經濟發展,根據麥肯錫公司近期發布的《生成式人工智慧的經濟潛力:下一個生產力前沿(The next productivity frontier)》研究報告指出,預測生成式AI(Generative AI)有望每年為全球經濟增加2.6兆至4.4兆的經濟價值[2]。同時在美國資訊科技研究與顧問公司Gartner對於超過2500名高階主管的調查中,45%受訪者認為ChatGPT問世,增加其對於AI的投資。而且68%受訪者認為AI的好處大於風險,僅有5%受訪者認為風險大於好處[3]。然而有社會輿論認為AI的判斷依賴訓練資料,將可能複製人類偏見,造成AI歧視問題,而且若程式碼有漏洞或帳戶被盜用時,亦會造成資料外洩問題。 貳、重點說明 首先,關於AI歧視問題,以金融領域為例,近期歐盟委員會副主席Margrethe Vestager強調若AI用於可能影響他人生計的關鍵決策時,如決定是否能取得貸款,應確保申請人不受性別或膚色等歧視[4],同時亦有論者認為若用於訓練AI的歷史資料,本身存有偏見問題,則可能導致系統自動拒絕向邊緣化族群貸款,在無形之中加劇,甚至永久化對於特定種族或性別的歧視[5]。 其次,關於資料外洩問題,資安公司Group-IB指出因目前在預設情況下,ChatGPT將保存使用者查詢及AI回應的訊息紀錄,若帳戶被盜,則可能洩露機敏資訊。據統計在2022年6月至2023年5月間,在亞太地區有近41000個帳戶被盜,而在中東和非洲地區有近25000個帳戶被盜,甚至在歐洲地區也有近17000個帳戶被盜[6]。另外在2023年3月時,ChatGPT除了發生部分用戶能夠檢視他人聊天紀錄標題的問題外,甚至發生個人資料外洩問題,即用戶可能知悉他人的姓名、電子郵件,付款地址,信用卡到期日及號碼末四碼等資料[7]。 參、事件評析 對於AI歧視及資料外洩等問題,應透過落實完善數位資料治理與管理機制,以降低問題發生的風險。首先,在收集訓練資料時,為篩選適合作為模型或演算法基礎的資料,應建立資料評估或審查機制,減少或避免使用有潛在歧視問題的資料,以確保分析結果之精確性。 其次,不論對於訓練資料、分析所得資料或用戶個人資料等,均應落實嚴謹的資料保密措施,避免資料外洩,如必須對於資料進行標示或分類,並依照不同標示或分類,評估及採取適當程度的保密措施。同時應對於資料進行格式轉換,以無法直接開啟的檔案格式進行留存,縱使未來可能不慎發生資料外洩,任意第三人仍難以直接開啟或解析資料內容。甚至在傳送帳戶登入訊息時,亦應採取適當加密傳送機制,避免遭他人竊取,盜取帳戶或個人資料。 財團法人資訊工業策進會科技法律研究所長期致力於促進國家科技法制環境完善,於2021年7月發布「重要數位資料治理暨管理制度規範(Essential Data Governance and Management System,簡稱EDGS)」,完整涵蓋數位資料的生成、保護與維護,以及存證資訊的取得、維護與驗證的流程化管理機制,故對於不同公私部門的AI相關資料,均可參考EDGS,建立系統性數位資料管理機制或強化既有機制。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]Gartner, Gartner Poll Finds 45% of Executives Say ChatGPT Has Prompted an Increase in AI Investment (May 3, 2023), https://www.gartner.com/en/newsroom/press-releases/2023-05-03-gartner-poll-finds-45-percent-of-executives-say-chatgpt-has-prompted-an-increase-in-ai-investment (last visited June 30, 2023). [2]McKinsey, The economic potential of generative AI: The next productivity frontier (June 14, 2023), https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/the-economic-potential-of-generative-AI-the-next-productivity-frontier#introduction (last visited June 30, 2023). [3]Gartner, supra note 1. [4]Zoe Kleinman, Philippa Wain & Ashleigh Swan, Using AI for loans and mortgages is big risk, warns EU boss (June 14, 2023), https://www.bbc.com/news/technology-65881389 (last visited June 30, 2023). [5]Ryan Browne & MacKenzie Sigalos, A.I. has a discrimination problem. In banking, the consequences can be severe (June 23, 2023), https://www.cnbc.com/2023/06/23/ai-has-a-discrimination-problem-in-banking-that-can-be-devastating.html (last visited June 30, 2023). [6]Group-IB, Group-IB Discovers 100K+ Compromised ChatGPT Accounts on Dark Web Marketplaces; Asia-Pacific region tops the list (June 20, 2023), https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/ (last visited June 30, 2023). [7]OpenAI, March 20 ChatGPT outage: Here’s what happened (Mar. 24, 2023),https://openai.com/blog/march-20-chatgpt-outage (last visited June 30, 2023).
歐盟法院取消adidas(阿迪達斯)三條紋商標2019年6 月19日歐盟普通法院(THE GENERAL COURT)於以商標並不具備獨特性裁定,長年深植人心之Adidas「三條紋」商標(下稱系爭商標)無效。 Adidas於2013年底,將系爭商標向歐盟智慧財產局提交「圖形商標」(figurative mark)之註冊申請,並登記商標用途為服裝、鞋類、帽子。而於隔年比利時鞋類公司Shoe Branding Europe BVBA依相關規定(Article 52(1)(a)、Article 7(1)(b) of Regulation No 207/2009)提出系爭商標無效之申請,經審議後系爭商標因無任何獨特性,批准無效。隨後Adidas向歐盟智慧財產局提出上訴(Articles 58 to 64 of Regulation No 207/2009),上訴聲明中並未針對系爭商標缺乏獨特性一事提出異議,而是稱系爭商標已符合「經使用取得其獨特性」之規定(Article 7(3) and Article 52(2) of Regulation No 207/2009)。惟歐盟智慧財產局認為,Adidas無法證明系爭商標在歐盟境內有經使用而取得獨特性駁回上訴,隨後Adidas再向歐盟普通法院提出訴訟。 最終歐盟普通法院之裁決,仍維持2016年歐盟智慧財產局取消此系爭商標註冊之決定。歐盟普通法院認為Adidas未能證明「三條紋」在全歐盟28國內有「獨特性」,系爭商標僅只為「普通的象徵標記」。所謂「獨特性」應為於全歐盟國之消費者清楚知悉系爭商標之「三條紋」等於Adidas,並能與其他公司之產品作出區分。