因應使用「生成式AI（Generative AI）」工具的營業秘密管理強化建議
2024年7月1日，美國實務界律師撰文針對使用生成式AI（Generative AI）工具可能導致的營業秘密外洩風險提出營業秘密保護管理的強化建議，其表示有研究指出約56%的工作者已經嘗試將生成式AI工具用於工作中，而員工輸入該工具的資訊中約有11%可能包含公司具有競爭力的敏感性資訊或客戶的敏感資訊，以Chat GPT為例，原始碼（Source Code）可能是第二多被提供給Chat GPT的機密資訊類型。系爭機密資訊可能被生成式AI工具提供者（AI Provider）用於訓練生成式AI模型等，進而導致洩漏；或生成式AI工具提供者可能會監控和存取公司輸入之資訊以檢查是否有不當使用，此時營業秘密可能在人工審查階段洩漏。
該篇文章提到，以法律要件而論，生成式AI有產生營業秘密之可能，因為營業秘密與著作權和專利不同之處在於「發明者不必是人類」；因此，由生成式 AI 工具協助產出的內容可能被視為營業秘密，其範圍可能包括：公司的內部 AI 平台、基礎的訓練算法和模型、輸入參數和輸出結果等。惟基於目前實務上尚未有相關案例，故生成式AI輸出結果在法律上受保護的範圍與條件仍需待後續的判例來加以明確。
實務專家提出，即使訴訟上尚未明確，企業仍可透過事前的管理措施來保護或避免營業秘密洩露，以下綜整成「人員」與「技術」兩個面向分述之：
一、人員面：
1.員工（教育訓練、合約）
在員工管理上，建議透過教育訓練使員工了解到營業秘密之定義及保護措施，並告知向生成式AI工具提供敏感資訊的風險與潛在後果；培訓後，亦可進一步限制能夠使用AI工具的員工範圍，如只有經過培訓及授權之員工才能夠存取這些AI工具。
在合約方面，建議公司可與員工簽訂或更新保密契約，納入使用生成式AI的指導方針，例如：明確規定禁止向生成式AI工具輸入公司營業秘密、客戶數據、財務信息、未公開的產品計劃等機密資訊；亦可增加相關限制或聲明條款，如「在生成式AI工具中揭露之資訊只屬於公司」、「限制公司資訊僅能存儲於公司的私有雲上」等條款。
2.生成式AI工具提供者（合約）
針對外部管理時，公司亦可透過「終端使用者授權合約（End User License Agreement，簡稱EULA）」來限制生成式AI工具提供者對於公司在該工具上「輸入內容」之使用，如輸入內容不可以被用於訓練基礎模型，或者該訓練之模型只能用在資訊提供的公司。
二、技術方面：
建議公司購買或開發自有的生成式AI工具，並將一切使用行為限縮在公司的私有雲或私有伺服器中；或透過加密、防火牆或多種編碼指令（Programmed）來避免揭露特定類型的資訊或限制上傳文件的大小或類型，防止機密資訊被誤輸入，其舉出三星公司（Samsung）公司為例，三星已限制使用Chat GPT的用戶的上傳容量為1024位元組（Bytes），以防止輸入大型文件。
綜上所述，實務界對於使用生成式AI工具可能的營業秘密風險，相對於尚未可知的訴訟攻防，律師更推薦企業透過訴訟前積極的管理來避免風險。本文建議企業可將前述建議之作法融入資策會科法所創意智財中心於2023年發布「營業秘密保護管理規範」中，換言之，企業可透過「營業秘密保護管理規範」十個單元（包括從最高管理階層角色開始的整體規劃建議、營業秘密範圍確定、營業秘密使用行為管理、員工管理、網路與環境設備管理、外部活動管理，甚至是後端的爭議處理機制，如何監督與改善等）的PDCA管理循環建立基礎的營業秘密管理，更可以透過上述建議的做法（對單元5.使用管理、單元6.1保密約定、單元6.4教育訓練、單元7.網路與環境設備管理等單元）加強針對生成式AI工具之管理。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
徐婕伊
專案經理 編譯整理
Diana H. Leiden & Helen Winters, Harnessing Generative AI: Best Practices For Trade Secret Protection, Mondaq, Jul. 1, 2024, https://www.mondaq.com/unitedstates/new-technology/1485314/harnessing-generative-ai-best-practices-for-trade-secret-protection#authors (last visited Jul. 26, 2024).
<營業秘密保護管理規範>，財團法人資訊工業策進會科技法律研究所網站，https://stli.iii.org.tw/publish-detail.aspx?no=72&d=7212（最後瀏覽日：2024/07/30）。
歐盟於2016年5月公布將成立個人化醫療國際聯合會(International Consortium for Personalised Medicine, IC PerMed)，並草擬發展倡議。其成立背景為目前用來治療大部分病人之一般藥品效果未如預期，且因藥物嚴重副作用導致需急性醫療入院情形，約超過60%之比例。此外，歐盟的醫療照護成本將隨著人口老化以及慢性疾病增加而加重。個人化醫療具有特定預防目的以及治療方法，因此，病人利用最佳的治療方是，可避免試驗與治療錯誤之問題。個人化醫療是一個快速成長的市場，歐洲醫療照護產業具有發展潛力，並同時帶來經濟成長與就業機會。 歐盟認為，儘管個人化醫療尚未有明確定義，但依據Horizon2020諮詢小組(Horizon 2020 Advisory Group)定義為利用個人表現型或基因型特徵之醫療模型，針對正確的個人、治療時間，以明確的醫療政策為目標進行診治，或者是找出疾病特徵給予即時的預防。其中，重要部份在於，個人化關注的不僅是藥品或醫療產品，尚需對於生物機制以及環境與疾病、健康之間的交互作用等進行瞭解是否影響整體的健康照護。雖然歐洲部分國家已經開始引進個人化醫療，但實際上歐洲仍處在早期執行階段，尚待更多的研究開發。 為此，歐盟執委會與部分健康研究機構以及決策組織團體等共同合作，決議成立個人化醫療國際聯合會，目標為2016年底之前開始此項計畫。歐盟執委會與IC PerMed組織成員合作，將進行以下事項: 1.將歐洲建立成為全球個人化醫療研究領導者地位 2.透過合作研究支持個人化醫療醫學 3.將個人化醫療的利益展現於民眾以及醫療照護體制 4.為精準醫療提供給民眾做好準備 IC PerMed將聚焦在研發補助與合作，以實現上述所設定之任務。目前，IC PerMed正研擬發展倡議藍圖。依據草擬之藍圖，IC PerMed將提供各組織成員之間彈性合作架構。藍圖主要建構於個人化醫療歐洲願景(Shaping Europe’s Vision for Personalised Medicine)之相關文件，該文件屬於政策研發議程(Strategic Research and Innovation Agenda, SRIA)之一部分，同時為先前歐盟所補助之PerMed(2013~2015)計畫範圍之一。依據PerMed SRIA，發展可區分為五項領域，包括: 發展過程與結果、整合巨量資料與ICT解決模式、將基礎轉為臨床研究、將研發鏈結市場、以及形成延續性的醫療照護體系。未來，IC PerMed發展倡議藍圖將依上述五個領域建構，並在2016年底預計公布第一部分的施行願景。
歐盟發布新版「向第三國傳輸個人資料標準契約條款」歐盟執委會以（EU）2021/914號執行決定（Implementing Decision）所發布的新版「向第三國傳輸個人資料標準契約條款（New Standard Contractual Clause for the transfer of personal data to third countries，下稱SCC）」已於9月27日起正式取代舊版條款。 新SCC發布於2021年6月27日，旨在滿足歐盟法院（the Court of Justice of the European Union, CJEU）以2020年7月Schrems II判決所訂定之資訊保護需達「足夠充分（substantially sufficient）」標準。該版SCC為因應不同情境之跨境資料傳輸，而設計採取4種模組之規範條款供涉及歐盟境外之第三方資料傳輸者（控制者與接收者）依循參採，包括： 規範模組一：從資料控制者（Data Controller）到資料控制者的資訊傳輸（Transfer from controller to controller, C2C） 規範模組二：從資料控制者到資料處理者（Data Processor）的資料傳輸（Transfer from controller to processor, C2P） 規範模組三：從資料處理者到資料處理者的資料傳輸（Transfer from processor to processor, P2P） 規範模組四：從資料處理者到資料控制者的資料傳輸（Transfer from processor to controller, P2C） 本次執行決定亦設立了轉換期以利各方進行合規審查與契約調整：雖然舊版已於2021年9月27日廢止不再適用，原已適用舊版SCC之契約，至遲仍得實施至2022年12月27日止。（亦即新版SCC公佈後的18個月內）。 在此執行決定下，歐洲資料保護委員會 （European Data Protection Board）亦發布「關於如何確保對個人資料傳輸採取適當保護措施建議（Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data）」釐清GDPR「傳輸影響評估（Transmission Impact Assessment, TIA）之機制流程 。 隨著資通科技之快速崛起跨境個資傳輸已成為企業常態，而此種現象近期甚至在交通自動化的科技發展下逐漸擴及交通業別，其中全球航運和物流公司在全球範圍內傳輸個資，其中甚至包括用於履行和營銷目的之乘客資料、員工個人資料和客戶業務聯繫資訊等敏感個資已成為常態，應儘速因應相關法制之發展，解決全球範圍內快速發展的隱私合規問題。
美國能源部發布「電力資料自願行為守則」保護消費者資料與隱私權利美國能源部（Department of Energy, DOE）所屬之電力傳輸與能源可靠度辦公室（Office of Electricity Delivery and Energy Reliability, OE）與聯邦智慧電網工作小組（Federal Smart Grid Task Force）對於由智慧電網技術所生之資料相關隱私保護問題，經過一系列包括相關業者在內的公眾意見徵集與專家學者討論後，於2015年1月12日所發布之「自願行為守則」（Voluntary Code of Conduct, VCC），係屬美國總統歐巴馬同日宣示政策，公布對於強化消費者安全、處理身分盜用（identity theft）、並促進線上隱私保護之總體策略方向中的重要部份。 「自願行為守則」的適用對象是供電業者與第三方，目的在於保護包括能源使用資訊（energy usage information）在內的電業消費者資料，並提高消費者的隱私意識與相關資料在提供與近用上所須行使的同意與控制。「自願行為守則」揭示其三大目標，包括：（一）於鼓勵創新的同時，適切地保護消費者資料的隱私與機密性，並提供可靠與不致於無法負擔之電業與能源相關服務；（二）提供消費者對其自身資料的適當近用（appropriate access）；以及（三）不生違反或取代任何聯邦、州、或地方主管機關之法令或管制措施之效果。 而為求取前揭目標之達成與實現，「自願行為守則」訂有五大步驟。此五大步驟包括：（一）「消費者之注意與意識」：透過相關規定向消費者解釋資料蒐集的相關政策與程序，並聚焦於消費者的選擇與責任，藉以讓消費者了解其所必須行使之同意；（二）「消費者之選擇與同意」：透過相關規定讓消費者能為非原始目的（Secondary Purposes）——例如向數個第三方為差別化之近用授權、限制近用之期間、留存資料釋出之記錄、取消授權、以及於授權終止或不再需要相關資料時之資料處置或去識別化等——對其資料之近用進行相關管控、確認有哪些類型的資料與揭露無須消費者同意、以及要求特定資料應直接由消費者處取得；（三）「消費者資料近用」：透過相關規定允許消費者近用其資料、確認可能的錯誤、以及要求更正的相關程序，其中包括在特定情況下就非常態性要求收取費用的可能性；（四）「資料的完整性與安全性」：透過相關規定規範網路安全管理計畫，以及聚合性資料（Aggregated Data）或匿名性資料的建立方式；（五）「自發性執行、管理、與矯正」：透過相關規定對自願採納本「自願行為守則」之服務提供者的行動作出規範，以確保其遵守行為守則。「自願行為守則」雖屬自律規範，但其制定過程有包括電力業者在內之利害關係人的充分參與，並經充分之專家與公民意見徵集，被預期在公布之後將有相當程度之約束力量，並能令因智慧電網與能源資通訊技術所生之相關隱私權保護問題得到更進一步的解決。
美國上訴法院：行為人不得以「主觀上對犯罪行為之無意識」阻卻著作權之侵害在電腦與網際網路普及與便利的今日，只要上網搜尋一些特定軟體，非常容易就能下載侵害智慧財產權的音樂或是影片，這樣的行為當然是非法的，但在美國出現爭議，若未成年人利用電腦非法下載，可否用「不知道這是犯罪行為」來抗辯侵權呢？ 美國就發生了這樣的案例，現年22歲Whitney Harper，於2004年被美國唱片業協會（The Recording Industry Association of America，RIAA）控告其使用Kazaa分享軟體，下載阿姆（Eminem）、瑪麗亞凱莉（Mariah Carey）等37首歌曲，並將該37首歌曲透過線上分享軟體讓其他使用者亦得下載，RIAA認為此行為侵害了這些歌曲的智慧財產權，要求Whitney Harper每首歌曲需付750美元懲罰性賠償。 在訴訟中，唱片公司主張，其已於每張CD上貼上警示標籤；而Whitney Harper則抗辯自己不應該負擔如此高的罰款，係因當時她只有16歲，沒有意識到未經授權下載歌曲是違法行為，且認為下載就像利用網路聽收音機節目一樣，應該是免費的，認為自己無罪。 雖然有一些法官支持Whitney Harper的爭辯，不過第五巡迴上訴法院認為，無論Whitney Harper是否知悉其下載音樂之行為係屬違法，只要唱片公司有公告未經授權之重製行為即侵害著作權，與被告Whitney Harper之主觀意識無關。最後第五巡迴上訴法院確認Whitney Harper有罪，並判定 Whitney Harper共需賠償27,750美元。 Whitney Harper不滿其判決結果，向美國最高法院提起上訴，但法院拒絕其上訴。