美國田納西州《確保肖像、聲音和圖像安全法案》要求第三方若利用生成工具重製肖像、聲音或圖像應得本人之事前同意
作為鄉村音樂發源地的美國田納西州，有著蓬勃的音樂產業，匯聚來自各路的表演藝術工作者，因而對相關從業者的個人公開權（Right of Publicity）保障尤為重視，早在1984年即制訂《個人權利保護法》（Personal Rights Protection Act），確保該權利不會因權利人死亡而消滅，屬於可由他人繼承之財產權，允許繼承人自由轉讓和授權，包含其姓名（Name）、肖像（Image）、形象（Likeness）之權利主張，但被繼承人之聲音仍不在權利主張的範疇。
惟現今AI深偽仿聲技術所生成之音樂亦可能侵害音樂人及藝術家的智慧財產權，因而於2024年3月21日由州長簽署《確保肖像、聲音和圖像安全法案》（Ensuring Likeness Voice and Image Security Act），簡稱貓王法案（ELVIS Act），該法案於3月7日獲得州議會兩黨一致支持，首度明確將個人公開權得主張之範圍擴及至表演者的聲音（NIL+V），其目的是為了應對AI生成音樂的突破性進展，以保護音樂創作人及表演藝術家之權利免受AI技術侵害，這是全美首部禁止他人未經授權使用或重製權利人的聲音以供訓練AI模型或生成深偽內容所制定的法律（註：加州雖已將聲音作為權利保護客體但非針對AI技術之侵害），明確規定第三人在未得本人之同意下，若意圖利用AI深偽技術生成經仿製、偽造或變造的圖片、影音、聲音等數位檔案，而後續冒用本人名義進行公開發表或公開演出詞曲創作人及表演藝術工作者之聲音或影像的行為，則須承擔相應的民事侵權行為責任，以及構成歸類在微罪的刑事犯罪，刑期最高可處11個月又29天的監禁或2,500美元以下的罰金，該法案預計於今年7月1日生效，且僅適用於在田納西州境內的工作者。
該法案所保護之主體除音樂創作人及表演藝術家外，亦包含動畫配音員及串流媒體盛行下廣播與網路節目的播音員（俗稱播客），以確保這類主要仰賴聲音維生的工作者能免於AI仿聲技術而減損其專業價值；另外若有與詞曲創作人或表演藝術工作者締結專屬合約之唱片公司或經紀公司亦為訴訟程序的適格當事人，可代理公司旗下的工作者尋求救濟管道；最後，若利用權利人的姓名（Name）、肖像（Image）、形象（Likeness）或聲音（Voice）屬於法案中列舉的合理使用行為，如基於公益目的、新聞播報、轉化性使用、偶然入鏡或著作之附帶性利用等，則應屬美國憲法第一修正案之保障範圍而非在該法案的規範射程。
除田納西州之外，美國尚有其他39個州提出或正在推動相似的法案，但全美目前仍欠缺統一性的立法；聯邦政府仍尚在研擬如何保護表演藝術工作者個人公開權的階段，日前在田納西州政府今年1月時提出貓王法案的草案後不久，由美國眾議院議員組成的跨黨派小組曾公佈《禁止人工智慧偽造和未經授權的重製法案》（或稱為《禁止人工智慧詐欺法案》），旨在推動建立聯邦層級的框架性立法，以確保個人的聲音或肖像權屬美國憲法第一修正案的保障範圍，而該提案據稱是針對美國參議院去年10月提出的《鼓勵原創、培育藝術和維繫安全娛樂法案》（或稱為《禁止仿冒法案》）的更新及補充，以維護公共利益，創造具有原創性、正當性及安全性的休閒娛樂環境。
- JD Supra, First-of-Its-Kind AI Law Addresses Deep Fakes and Voice Clones (Apr. 2, 2024)
- Billboard, Tennessee Adopts ELVIS Act, Protecting Artists’ Voices From AI Impersonation (Mar. 21, 2024)
- Music Business Worldwide, ELVIS ACT SIGNED INTO LAW IN TENNESSEE TO PROTECT ARTISTS’ VOICE AND LIKENESS FROM THE MISUSE OF AI (Mar. 21, 2024)
2009年，馬里蘭州立法通過去氧核醣核酸（下稱DNA）採集法（DNA Collection Act），允許警方向已經被起訴但尚未定讞之犯罪嫌疑人採集DNA樣本，其適用對象主要在於暴力犯罪或一級竊盜案件。對此問題，美國大約有26州立有與馬里蘭州類似的法案，例如維吉尼亞州的執法單位對於暴力犯罪在經過逮捕後即可進行DNA採集。然而，該法案卻引發了隱私權利與公眾安全之平衡的爭論。 此次爭議爆發於Alonzo Jay King Jr. v. State of Maryland案，案件中Alonzo Jay King Jr.在2009年被起訴暴力攻擊，且因此被警方採集DNA，而後又在經過DNA比對之後，發現與2003年一宗強制性交案件所遺留下的DNA樣本符合，並據此判決Alonzo Jay King Jr.強制性交罪。本案經Alonzo Jay King Jr.上訴高等法院後，高等法院認為調查人員採集其基因資料並以之與舊案件進行比對，已經侵犯了美國憲法第四修正案所賦予人民的合理隱私期待，屬於不合法的搜索，並據此判決禁止向犯罪嫌疑人採集DNA樣本。本案目前正在最高法院上訴中，而最高法院首席法官John Roberts日前發布了一份命令，阻止了高等法院判決的生效，並使得馬里蘭州在最高法院作出判決之前仍然能夠採集DNA；全案預計將在10月進行聽證，未來，最高法院將如何判決，值得吾人注意。
歐盟通過最新基因改造生物指令，並堅持產品標示歐洲議會於今（2015）年1月13日通過最新決議（10972/3/2014 – C8-0145/2014）「修正2001/18/EC歐洲議會與理事會指令，關於會員國限制或禁止境內進行基因改造生物耕作之可能性」（Directive of the European Parliament and of the Council amending Directive 2001/18/EC as regards the possibility for the Member States to restrict or prohibit the cultivation of genetically modified organisms (GMOs) in their territory），允許會員國自行決定限制或全面禁止GMO於其國境內耕作，以排除GMO產品。此變革在於，原歐洲議會與理事會2001/18/EC指令、歐洲議會與理事會第1829/2003號決議，允許全歐盟境內使用GMO種子、植物繁殖材料進行耕作；而一旦歐盟許可後，會員國除非有符合歐盟法規定例外，否則不得於其境內再為禁止、限制或障礙。 基於歐洲聯盟「輔助原則」（Principle of Subsidiarity），並考量GMO耕作議題與國家、地區及在地區域土地利用、農業結構與生態維持之關聯度高，其與歐盟GMO產品上市之授權進入內部市場仍有所不同，因此新通過之指令，提供會員國更多裁量彈性，在不影響「歐盟食品安全局」（European Food Safety Authority）之GMO風險評估結果下，會員國在歐盟允許GMO產品上市後，得自行決定是否允許GMO作物於其境內耕作。 由於歐盟與美國之「跨大西洋貿易與投資伙伴協定」（Transatlantic Trade and Investment Partnership），及歐盟與加拿大雙邊自由貿易協定（Comprehensive Economic and Trade Agreement），使歐洲民眾對於GMO產品進入歐洲產生恐慌，且在年初即受到消費者保護團體及農民聯盟之嚴厲批評，因此在前述新通過指令之立場下，歐盟農業委員會委員Phil Hogan在今年1月15日國際綠色週（International Green Week）強調，基於消費者保護，歐盟堅持產品中含有基因改造生物者，皆需進行標示。僅透過條碼掃描才能得知是否為GMO產品，此美國建議之方式仍不符合歐盟規定。
美國公布實施零信任架構相關資安實務指引美國公布實施零信任架構相關資安實務指引 資訊工業策進會科技法律研究所 2022年09月10日 美國國家標準技術研究院（National Institute of Standards and Technology, NIST）所管轄的國家網路安全卓越中心（National Cybersecurity Center of Excellence, NCCoE），於2022年8月前公布「NIST SP 1800-35實施零信任架構相關資安實務指引」（NIST Cybersecurity Practice Guide SP 1800-35, Implementing a Zero Trust Architecture）系列文件初稿共四份[1] ，並公開徵求意見。 壹、發布背景 此系列指引文件主要係回應美國白宮於2021年5月12日發布「改善國家資安行政命令」(Executive Oder on Improving the Nation’s Cybersecurity) [2]當中，要求聯邦政府採用現代化網路安全措施（Modernizing Federal Government Cybersecurity），邁向零信任架構（advance toward Zero Trust Architecture）的安全防護機制，以強化美國網路安全。 有鑑於5G網路、雲端服務、行動設備等科技快速發展，生活型態因疫情推動遠距工作、遠距醫療等趨勢，透過各類連線設備隨時隨地近用企業系統或資源進行遠端作業，皆使得傳統的網路安全邊界逐漸模糊，難以進行邊界防護，導致駭客可透過身分權限存取之監控缺失，對企業進行攻擊行動。為此NIST早於2020年8月已公布「SP 800-207零信任架構」（Zero Trust Architecture, ZTA）標準文件[3] ，協助企業基於風險評估建立和維護近用權限，如請求者的身分和角色、請求近用資源的設備狀況和憑證，以及所近用資源之敏感性等，避免企業資源被不當近用。 貳、內容摘要 考量企業於實施ZTA可能面臨相關挑戰，包含ZTA部署需要整合多種不同技術和確認技術差距以構建完整的ZTA架構；擔心ZTA可能會對環境運行或終端客戶體驗產生負面影響；整個組織對ZTA 缺乏共識，無法衡量組織的ZTA成熟度，難確定哪種ZTA方法最適合業務，並制定實施計畫等，NCCoE與合作者共同提出解決方案，以「NIST SP 800-207零信任架構」中的概念與原則，於2022年8月9日前發布實施零信任架構之實務指引系列文件初稿共四份，包含： 一、NIST SP 1800-35A：執行摘要（初稿）（NIST SP 1800-35A: Executive Summary (Preliminary Draft)） 主要針對資安技術長（chief information security and technology officers）等業務決策者所編寫，可使用該指引來瞭解企業於實施ZTA所可能遭遇挑戰與解決方案，實施ZTA所能帶來優點等。 二、NIST SP 1800-35B：方法、架構和安全特性（初稿）（NIST SP 1800-35B: Approach, Architecture, and Security Characteristics (Preliminary Draft)） 主要針對關注如何識別、理解、評估和降低風險的專案經理和中層管理決策者所編寫，闡述風險分析、安全/隱私控制對應業務流程方法（mappings）的設計理念與評估內容。 三、NIST SP 1800-35C：如何操作指引（初稿）（NIST SP 1800-35C: How-To Guides (Preliminary Draft)） 主要針對於現場部署安全工具的IT 專業人員所編寫，指導和說明特定資安產品的安裝、配置和整合，提供具體的技術實施細節，可全部或部分應用指引中所揭示的例示內容。 四、NIST SP 1800-35D：功能演示（初稿）（NIST SP 1800-35D: Functional Demonstrations (Preliminary Draft)） 此份指引主要在闡述商業應用技術如何被整合與使用以建構ZTA架構，展示使用案例情境的實施結果。 參、評估分析 美國自總統發布行政命令，要求聯邦機構以導入ZTA為主要目標，並發布系列指引文件，透過常見的實施零信任架構案例說明，消除零信任設計的複雜性，協助組織運用商用技術來建立和實施可互操作、基於開放標準的零信任架構，未來可預見數位身分將成為安全新核心。 此外，NIST於2022年5月發布資安白皮書－規劃零信任架構：聯邦管理員指引[4] ，描繪NIST風險管理框架（Risk Management Framework, RMF）逐步融合零信任架構的過程，幫助聯邦系統管理員和操作員在設計和實施零信任架構時使用RMF。 我國企業若有與美國地區業務往來者，或欲降低遠端應用的安全風險者，宜參考以上標準文件與實務指引，以建立、推動和落實零信任架構，降低攻擊者在環境中橫向移動和提升權限的能力，與保護組織重要資源。 [1] Implementing a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://www.nccoe.nist.gov/projects/implementing-zero-trust-architecture (last visited Aug. 22, 2022). [2] Executive Order on Improving the Nation’s Cybersecurity, THE WHITE HOUSE, https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity (last visited Aug. 22, 2022). [3] SP 800-207- Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/publications/detail/sp/800-207/final (last visited Aug. 22, 2022). [4] NIST Releases Cybersecurity White Paper: Planning for a Zero Trust Architecture, NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY, https://csrc.nist.gov/News/2022/planning-for-a-zero-trust-architecture-white-paper (last visited Aug. 22, 2022).
從交易成本概念談智慧財產資訊揭露的原則與效益