英國與美國為人工智慧安全共同開發簽署合作備忘錄
英國技術大臣（U.K. Secretary of State for Science）蜜雪兒·多尼蘭（Michelle Donelan）和美國商務部長（U.S. Secretary of Commerce）吉娜·雷蒙多（Gina Raimondo）於2024年4月1日在華盛頓特區簽署一份合作備忘錄（MOU），雙方將共同開發先進人工智慧（frontier AI）模型及測試，成為首批就測試和評估人工智慧模型風險等進行正式合作之國家。
此備忘錄之簽署，是為履行2023年11月在英國的布萊切利公園（Bletchley Park）所舉行的首屆人工智慧安全峰會（AI Safety Summit）上之承諾，諸如先進AI的急速進步及濫用風險、開發者應負責任地測試和評估應採取之適當措施、重視國際合作和資訊共享之必要性等等，以此為基礎羅列出兩國政府將如何在人工智慧安全方面匯集技術知識、資訊和人才，並開展以下幾項聯合活動：
1.制定模型評估的共用框架（model evaluations），包括基礎方法（underpinning methodologies）、基礎設施（infrastructures）和流程（processes）。
2.對可公開近用模型執行至少一次聯合測試演習（joint testing exercise）。
3.在人工智慧安全技術研究方面進行合作，以推進先進人工智慧模型之國際科學知識，並促進人工智慧安全和技術政策的一致性。
4.讓英、美兩國安全研究所（AI Safety Institute）間的人員互相交流利用其團體知識。
5.在其活動範圍內，依據國家法律、法規和契約規定來相互共享資訊。
換言之，兩國的機構將共同制定人工智慧安全測試之國際標準，以及適用於先進人工智慧模型設計、開發、部署、使用之其他標準。確立一套通用人工智慧安全測試方法，並向其他合作夥伴分享該能力，以確保能夠有效應對這些風險。就如英國技術大臣蜜雪兒·多尼蘭強調的，確保人工智慧的安全發展是全球性問題，只有通過共同努力，我們才能面對技術所帶來的風險，並利用這項技術幫助人類過上更好的生活。
- The Bletchley Declaration(2023, November 1), The Bletchley Declaration by Countries Attending the AI Safety Summit 1-2 November 2023, GOV.UK
- U.S. and UK Announce Partnership.(2024, April 1), U.S. and UK Announce Partnership on Science of AI Safety, U.S. Department of Commerce
- Michelle Donelan, UK-US Partnership on AI safety research, UK Parliament, April 16, 2024
林允中
法律研究員 編譯整理
The Bletchley Declaration(2023, November 1), The Bletchley Declaration by Countries Attending the AI Safety Summit 1-2 November 2023, GOV.UK, https://www.gov.uk/government/publications/ai-safety-summit-2023-the-bletchley-declaration/the-bletchley-declaration-by-countries-attending-the-ai-safety-summit-1-2-november-2023 (last visit June 30, 2024).
U.S. and UK Announce Partnership.(2024, April 1), U.S. and UK Announce Partnership on Science of AI Safety, U.S. Department of Commerce, https://www.commerce.gov/news/press-releases/2024/04/us-and-uk-announce-partnership-science-ai-safety (last visit June 30, 2024).
Michelle Donelan, UK-US Partnership on AI safety research, UK Parliament, April 16, 2024, https://questions-statements.parliament.uk/written-statements/detail/2024-04-16/hcws409 (last visit June 30, 2024).
世界經濟論壇（World Economic Forum, WEF）於2022年1月18日發布《2022年全球網路安全展望》（Global Cybersecurity Outlook 2022），以面對因COVID-19大流行所致之遠距辦公、遠距學習、遠距醫療等新形態數位生活模式快速發展，以及日漸頻繁之具破壞性網路攻擊事件。為考量國家應優先考慮擴展數位消費工具（digital consumer tools）、培育數位人才及數位創新，本報告說明今年度網路安全發展趨勢及未來所要面對之挑戰包括如下： COVID-19使得工作習慣轉變，加快數位化步伐：約有87%企業高階管理層計畫透過加強參與及管理第三方的彈性政策、流程與標準，提高其組織的網路韌性（cyber resilience）。 企業資安長（chief information security officers, CISO）及執行長（chief executive officers, CEO）之認知差異主要有三點：(1)92%的CEO認為應將網路韌性整合到企業風險管理戰略中，惟僅55%CISO同意此一作法；(2)由於領導層對網路韌性認知差異，導致安全優先等級評估與政策制定可能產生落差；(3)缺乏網路安全人才以面對網路安全事件。 企業最擔心之三種網路攻擊方式為：勒索軟體（Ransomware attacks）、社交工程（social-engineering attacks），以及惡意內部活動。惡意內部活動係指企業組織之現任或前任員工、承包商或業務合作夥伴，以對組織產生負面影響方式濫用其關鍵資產。 憂心中小企業數位化不足：本研究中有88%之受訪者表示，擔心合作之中小企業之數位化程度不足，導致供應鏈或生態系統中使其網路韌性受阻。 網路領導者認為建立明確有效的法規範，將有助於鼓勵資訊共享與促進合作。
歐盟創業教育政策推動對我國創業人才培育之啟示 美國羅德島州通過《羅德島資料透明度與隱私保護法》，保護個人資料不被濫用，該法案將於2026年1月1日生效隨著網路蓬勃發展，個人資料之蒐集、處理及利用越來越普遍，同時也造成資料洩漏和濫用的問題日益嚴重，進而對隱私和個人資料構成侵害與威脅，為保障人民隱私和增強資料透明度，羅德島州州議會於2024年通過了一項具有里程碑意義的法律—《羅德島資料透明度與隱私保護法》（Rhode Island Data Transparency and Privacy Protection Act）。其核心內容包括以下幾個方面： 一、 適用對象：於羅德島州州內經營商業之營利組織（下簡稱企業），或主要生產製造商品、提供服務予該州居民之企業，且： 1. 在前一年度控制或處理超過三萬五千筆個人資料（personally identifiable information）者，但單純為完成付款交易之資料除外。 2. 控制或處理超過一萬筆個人資料，且總營收超過百分之二十係源自於銷售個人資料者。 二、 資料蒐集企業與資料當事人權利義務： 1. 選擇同意與退出權：前開適用對象應賦予資料當事人即消費者就其個人資料之蒐集、處理，行使選擇同意權（opt in）與退出權（opt out）。 2. 資料蒐集與利用透明度：要求企業蒐集個資前，須明確告知資料當事人蒐集目的、利用範圍以及可能的資料共享對象，並取得其同意。 3. 控制權：資料當事人有權向企業請求查詢、修改及刪除自己的資料，企業在接到請求後，必須即時處理該請求，並於45天之法定期限內准駁其請求；必要時得於通知當事人合理事由後，展延一次。 4. 安全維護措施：企業必須採取適當之安全維護措施來保護個人資料不受未經授權的近用、洩漏、竄改或毀損。前述措施，包括但不限於資料加密、權限管控等技術上管控措施。 5. 資料保護評估：企業須就「對消費者傷害風險較高」活動進行評估並保存文件化紀錄，包括： （1） 為精準行銷之目的（Targeted Advertising）； （2） 銷售個人資料； （3） 為資料剖析之目的處理個人資料，且具合理可預見的風險將可能對消費者之財務、身體或名譽造成不公平或欺騙性的待遇，或非法的衝擊影響。 《羅德島資料透明度與隱私保護法》強化企業對資料隱私保護之責任，並督促其遵守法律要求。預計施行後將能加強對資料主體個人資料知情權、控制權、透明度及資料安全之保障。
歐盟隱私工作小組支持擴大通知義務之業者範圍歐盟隱私權工作小組(working party)日前公布其對「隱私與電子通訊指令」(Directive on Privacy and Electronic Communications, 2002/58/EC)之修正意見，藉此重申支持個人資料外洩通知責任立法之立場，並建議擴大適用通知責任之業者範圍至涉及線上交易之電子商務之服務提供者。此項建議隨即遭到歐盟理事會及委員會之反對，認為通知責任應僅限於電信公司，而不應擴及其他電子商務服務提供者。 歐盟隱私權工作小組於2009年2月初提出的報告指出，個人資料外洩通知責任法制(Data Breach Notification Law)之建立對於資訊社會服務(Information Society Service)之發展是必要的，其有助於個人資料保護監督機構(Data Protection Authorities)執行其職務，以確認受規範之服務提供者是否採取適當的安全措施。再者，亦可間接提高民眾對於資訊社會相關服務使用之信心，保護其免於身份竊盜(identity theft)、經濟損失以及身心上之損害。 然而，歐盟理事會及歐洲議會則反對該項修正建議，其一方面認為不應擴張資料外洩通知責任制度適用之業者，另一方面則認為對於是否透過法制規範課予業者通知之義務，應由各國立法者決定是否立法，甚或由業者依資料外洩情形嚴重與否，來判斷是否通知其各國個人資料保護相關組織及客戶。此外，參考外國實施之成效，美國雖有多數州別採用資料外洩通知責任制度，但並非所有的隱私權團體皆肯認該項制度；英國資訊委員會對於該制度之成效則仍存質疑，因從過去為數眾多的個人資料外洩事件看來，其效果已逐漸無法彰顯。 雖然歐盟個人資料保護官(European Data Protection Supervisor)與歐盟隱私權工作小組之看法一致，但其與歐洲議會與歐盟理事會仍存有歧見，對於個人資料外洩通知責任制度之建立，似乎仍有待各方相互協商尋求共識，方能決定是否納入歐盟隱私及電子通訊指令之規範。