美國國土安全部發布「2024人工智慧路線圖」，確保AI安全開發與部署
美國國土安全部（Department of Homeland Security, DHS）於2024年3月17日發布「2024人工智慧路線圖」（2024 Artificial Intelligence Roadmap）（下稱AI路線圖），設立三大目標，將偕同旗下機關與產官學研各界合作，確保AI的安全開發與部署，保護國家關鍵基礎設施安全，以強化國家安全。
美國拜登總統於2023年10月30日簽署的第14110號總統行政命令《安全可靠且值得信賴的人工智慧開發暨使用》（Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence）（下稱AI總統行命令），要求DHS應管理使用於關鍵基礎設施與資通安全的AI、制定全球AI標準並推廣、降低利用AI造成具有大規模殺傷力武器攻擊之風險、保護AI智慧財產權、以及吸引AI領域人才，以促使、加強AI開發與部署等事項。為踐行上述事項，DHS制定AI路線圖，其三大目標如下：
（1） 負責任的使用AI以推進國安任務（Responsibly Leverage AI to Advance Homeland Security Mission）：透過建置AI基礎建設、建立AI系統測試與評估（Testing and Evaluation, T&E）、推動AI人才培育計畫等行動措施，帶領主管機關負責任的使用AI，以保護國家安全及避免AI對關鍵基礎設施的風險，確保AI於使用過程中係尊重個人隱私、保護公民權利與自由。
（2） 促進AI安全與資安（Promote Nationwide AI Safety and Security）：利用AI技術改善與預防關鍵基礎設施之安全與資安風險、制定關鍵基礎設施之AI使用指引、以及成立AI安全與資安委員會（AI Safety and Security Board, AISSB），彙集產官學研各界專家意見。
（3） 透過擴大AI國際合作來引領AI發展（Continue to Lead in AI Through Strong, Cohesive Partnerships）：將透過與產官學研各界合作，擴大AI的國際合作，並持續與公眾進行意見交流與分享，推廣AI政策或相關行動措施；DHS亦將持續與參眾議院及其他主管機關匯報AI相關之工作進度與未來規劃，以提升部門AI的透明度，並建立公眾對AI的信任。
本文為「經濟部產業技術司科技專案成果」
劉心妍
副法律研究員 編譯整理
U.S. Department of Homeland Security, 2024 Artificial Intelligence Roadmap, Mar. 17, 2024, https://www.dhs.gov/sites/default/files/2024-03/24_0315_ocio_roadmap_artificialintelligence-ciov3-signed-508.pdf (last visited May 7, 2024).
陳政陽，〈日本公布設立AI安全研究所與著手訂定AI安全性評鑑標準〉，資訊工業策進會科技法律研究所，2024/4，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9157〈最後瀏覽日：2024/5/7〉。
周晨蕙，〈日本經產省和總務省共同發布AI業者指引草案，公開徵集意見〉，資訊工業策進會科技法律研究所，2024/4，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9146〈最後瀏覽日：2024/5/7〉。
吳彬詣，〈歐盟執委會發布人工智慧創新政策套案〉，資訊工業策進會科技法律研究所，2024/4，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9143〈最後瀏覽日：2024/5/7〉。
科法觀點
歐盟執委會提出資料治理與資料政策 資訊工業策進會科技法律研究所 2020年10月12日 歐盟執委會(European Commission，以下簡稱執委會)於2020年7月提出「資料治理與資料政策」(Data Governance and Data Policies at the European Commission)[1]，旨在說明歐盟執委會將如何透過資料治理及相關政策，轉型為資料驅動型組織(data-driven organization)，並提供一致的方向或原則，促進執委會下各政務總署(Directorate-General)及事務部門(Service Department)(以下簡稱相關部門機構)之資料共享。 壹、背景目的 「促成歐洲適應數位時代，並使執委會成為完全數位化、具敏捷性、靈活性與透明性的歐盟組織」是執委會現任主席Ursula von der Leyen所提出的2019年至2024年政策願景之一[2]。隨著數位化發展，透明(transparent)、循證式(evidence-based)的決策需運用人工智慧資料分析技術，「資料」是直接影響人工智慧運用於政策決定的關鍵要素。欲提升人工智慧運用結果被信賴的程度，首先必須有可查找(findable)、可近用(accessible)、可互通(interoperable)、安全(secure)且高品質(high-quality)的資料。歐盟機構內部資料、資訊與知識的共享與治理，有助於此願景之達成。 因此，執委會提出「資料治理與資料政策」，建立執委會統一的資料治理架構與政策原則，幫助執委會轄下相關部門機構共同遵循資料管理(data management)、資料近用、資料保護、智慧財產權、資訊安全等相關法律與監理要求。同時，執委會亦期能藉此優化資料建立(creation)、蒐集(collection)、取得(acquisition)、存取(access)、利用(use)、處理(processing)、共享(sharing)、保存(preservation)與刪除(deletion)等資料生命週期必經流程，改善資料品質，提升資料管理及共享之效率。 貳、內容摘要 「資料治理與資料政策」的適用範圍為執委會及其相關部門機構所擁有、利用或再利用的資料集，包括政策決定所使用的資料、行政資料與個人資料。在「資料治理與資料政策」的執行上，則導入「遵守或解釋」(comply-or-explain)原則，除非法律明示規定為選擇性適用，否則執委會轄下相關部門機構皆需遵守；倘未遵守，則需就無法遵守的原因提出解釋。以下分別就「資料治理」與「資料政策」兩大部分重點說明。 一、資料治理 主要目的在建構執委會統一的資料治理架構，釐清相關角色的責任與相互依賴關係。依角色與任務的不同，執委會將資料治理分為三層級，並由秘書總署集體治理團隊(Secretariat-General corporate governance team)支援三層級的執行工作。 （一）策略層級(strategic level) 由資訊管理指導委員會(Information Management Steering Board, IMSB)，處理資料治理與資料政策相關議題，界定長期推動願景、提供政策方向、監督推動與執行之進程，並作出策略決定。 （二）管理階層(managerial level) 由資料議題相關的組織、委員會、團體所組成之資料協調小組(data coordination groups)、各地區資料聯絡窗口(local data correspondent)、執委會各相關部門機構下的資料治理委員會(data governance board)，以及策略層級就各資料集所指定之資料擁有者(data owner)，依策略層級所提出之願景與政策方向，在各處建立並執行資料政策、監督執行進度，並向策略層級報告執行進度及任何超出其決策權限之問題。 （三）運作階層(operational level) 由資料擁有者選出或指派資料管理員(data steward)，並與資料利用者(data user)實際執行資料政策，必要時將相關議題提到管理層級解決。 二、資料政策 就資料管理(data management)、資料互通性與標準(data interoperability and standards)、資料品質(data quality)、資料保護與資訊安全(data protection and information security)等核心面向，建立上位原則。 其中關於「資料管理」部分，又依資料生命週期細分。例如在「資料集建立、蒐集或取得」方面採取一次性原則，故執委會轄下相關部門機構在建立、蒐集或取得資料之前，需探詢必要資料或資訊是否已存在，避免重複取得。主要需求資料集的部門機構，應協助讓其他執委會相關部門機構或歐盟機構也獲得使用該資料集之權利。又例如「資料集存取、使用與共享」方面，除非歐盟相關的執委會決定、指令或規則另有規定[3]，否則以「需要共享」(need to share)或「預設共享」(share by default)為原則，並使用一致化的資料管理與視覺化工具或資料平台。 針對「資料互通性與標準」與「資料品質」兩部分，著重在執委會內部的共通一致性，包括資料格式、資料相關詞彙、資料品質的定義與量測等。而在「資料保護與資訊安全」方面，則強調「歐盟機關個人資料保護規則」[4]相關義務，以及歐盟資料保護監督機關(European Data Protection Supervisor, EDPS)所提相關指引之遵循。 參、簡析 觀察歐盟執委會的「資料治理與資料政策」，可知其資料治理架構與相關政策，是以形成一個資料共享再利用生態系為藍圖。除了強調資料一次性建立及資料預設共享等原則，更從組織管理角度，界定不同單位或角色的任務與責任，並凸顯資料治理管理組織的建構，對資料政策執行之重要性。 我國政府長期致力於數位國家之發展，在政府資料開放政策推動上已有不少成果，例如建立政府資料開放平台、訂定各級機關資料開放作業原則、統一資料開放格式等。為持續厚植數位國家的資料應用能量，建議未來可進一步完善政府資料治理構面，兼納「政府對民眾之資料開放」及「公務機關間之資料共享」等面向，借鏡歐盟執委會之作法，確立資料共享再利用之管理架構及原則，提升政府資料應用的效率與效能。 [1] EUROPEAN COMMISSION, Data Governance and Data Policies at the European Commission (2020), https://ec.europa.eu/info/sites/info/files/summary-data-governance-data-policies_en.pdf (last visited Oct. 5, 2020). [2] See Ursula von der Leyen, My Agenda for Europe: Political Guidelines for the Next European Commission 2019-2024 (2019), https://ec.europa.eu/commission/sites/beta-political/files/political-guidelines-next-commission_en.pdf (last visited Oct. 8, 2020). [3] 例如歐盟執委會決定Commission Decision 2011/833/EU、歐盟規則Regulation (EC) No 1049/2001及歐盟指令Directive (EU) 2019/1024等，有關近用歐盟資料之例外規定。 [4] Regulation on the Protection of Natural Persons with regard to the Processing of Personal Data by the Union Institutions, Bodies, Offices and Agencies and On the Free Movement of Such Data, and Repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC, Council Regulation 2018/1725, 2018 O.J. (L295) 39.
新加坡公布「於安全性應用程式負責任地利用生物特徵識別資料指引」協助組織合理利用生物特徵識別資料新加坡個人資料保護委員會（Singapore Personal Data Protection Commission, PDPC）於2022年5月17日，公布「於安全性應用程式負責任地利用生物特徵識別資料指引」（Guide on the Responsible Use of Biometric Data in Security Applications），協助物業管理公司（Management Corporation Strata Title, MCST）、建築物及場所所有者或安全服務公司等管理機構，使各管理機構更負責任地利用安全攝影機和生物特徵識別系統，以保護蒐集、利用或揭露的個人生物特徵識別資料。 隨著安全攝影機等科技應用普及化，管理機構以錯誤方法處理個人生物特徵識別資料之情形逐漸增多，因此PDPC發布該指引供管理機構審查其措施。其中包括以下重點： （1）定義生物特徵識別資料包含生理、生物或行為特徵，及以此資料所建立之生物特徵識別模版； （2）說明維安攝影機及生物特徵識別系統運用所應關鍵考量因素，如避免惡意合成生物特徵之身分詐欺、設定過於廣泛而使系統識別錯誤等情形，並舉例資料保護產業最佳範例，如資料加密以避免系統風險、設計管理流程以控管資料等； （3）說明生物特徵識別資料在個資法之義務及例外； （4）列出實例說明如何安全監控之維安攝影機，並提供佈署建築物門禁或應用程式存取控制指引，例如以手機內建生物識別系統管理門禁，以取代直接識別生物特徵，並有提供相關建議步驟及評估表。 該指引雖無法律約束力，仍反映出PDPC對於安全環境中處理生物特徵識別資料之立場。而該指引目前僅針對使用個人資料的安全應用程式之管理機構應用情境，並未涵蓋其他商業用途，也未涵蓋基於私人目的使用安全或生物特徵識別系統之個人，如以個人或家庭身分使用居家高齡長者監控設備、住宅生物特徵識別鎖等應用情境。
OECD發布《抓取資料以訓練AI所衍生的智慧財產問題》報告經濟合作與發展組織（Organisation for Economic Co-operation and Development, OECD）於2025年2月9日發布《抓取資料以訓練AI所衍生的智慧財產問題》報告（Intellectual property issues in artificial intelligence trained on scraped data），探討AI訓練過程中「資料抓取」對智慧財產之影響，並提出政策建議，協助決策者保障智財權的同時推動AI創新。 資料抓取是獲取AI大型語言模型訓練資料之主要方法，OECD將其定義為「透過自動化方式，從第三方網站、資料庫或社群媒體平臺提取資訊」。而未經同意或未支付相應報酬的抓取行為，可能侵害作品之創作者與權利人包括著作權、資料庫權（database rights）等智慧財產及相關權利。對此，報告分析各國政策法律的因應措施，提出四項關鍵政策建議： 一、 訂定自願性「資料抓取行為準則」 訂定適用於AI生態系的準則，明確AI資料彙整者（aggregators）與使用者的角色，統一術語以確保共識。此外，準則可建立監督機制（如登記制度），提供透明度與文件管理建議，並納入標準契約條款。 二、 提供標準化技術工具 標準化技術工具可保護智財權及協助權利人管理，包括存取控制、自動化契約監控及直接支付授權金機制，同時簡化企業合規流程。 三、 使用標準化契約條款 由利害關係人協作訂定，可解決資料抓取的法律與營運問題，並可依非營利研究或商業應用等情境調整。 四、 提升法律意識與教育 應提升對資料抓取及其法律影響的認知，協助權利人理解保護機制，教育AI系統使用者負責任地運用資料，並確保生態系內各方明確瞭解自身角色與責任。
歐盟公布人工智慧白皮書歐盟執委會於2020年2月19日發表《人工智慧白皮書》（White Paper On Artificial Intelligence-A European approach to excellence and trust）指出未來將以「監管」與「投資」兩者並重，促進人工智慧之應用並同時解決該項技術帶來之風險。 在投資方面，白皮書提及歐洲需要大幅提高人工智慧研究和創新領域之投資，目標是未來10年中，每年在歐盟吸引超過200億歐元關於人工智慧技術研發和應用資金；並透過頂尖大學和高等教育機構吸引最優秀的教授和科學家，並在人工智慧領域提供世界領先的教育課程。 而在監管方面，白皮書提到將以2019年4月發布之《可信賴之人工智慧倫理準則》所提出之七項關鍵要求為基礎，未來將制定明確之歐洲監管框架。在監管框架下，應包括下列幾個重點：1.有效實施與執行現有歐盟和國家法規，例如現行法規有關責任歸屬之規範可能需要進一步釐清；2.釐清現行歐盟法規之限制，例如現行歐盟產品安全法規原則上不適用於「服務」或是是否涵蓋獨立運作之軟體（stand-alone software）有待釐清；3.應可更改人工智慧系統之功能，人工智慧技術需要頻繁更新軟體，針對此類風險，應制定可針對此類產品在生命週期內修改功能之規範；4.有效分配不同利害關係者間之責任，目前產品責任偏向生產者負責，而未來可能須由非生產者共同分配責任；5.掌握人工智慧帶來的新興風險，並因應風險所帶來之變化。同時，白皮書也提出高風險人工智慧應用程式的判斷標準與監管重點，認為未來應根據風險來進行不同程度之監管。執委會並透過網站向公眾徵求針對《人工智慧白皮書》所提出建議之諮詢意見，截止日期為2020年5月19日。