美國產業安全局發布2024年版出口管制案例彙編，協助產學界識別違法行為
美國商務部產業安全局（Bureau of Industry and Security，下稱BIS）於2024年7月1日發布出口管制刑事與行政執法案例彙編—《別讓這些事情發生在你身上！》（Don’t Let This Happen to You）。彙編內容除介紹BIS各單位的工作目標與組織架構外，也概述主管機關的裁罰手段，包括刑事及行政裁罰、避免行為人即將發生或繼續違法出口、再出口或國內移轉所採取之限制措施（Denial of Export Privileges）、列管制清單、沒收資產等；亦提供人民救濟管道，如提早通報違法行為的自願自主揭露（Voluntary Self-Disclosures）規定等；更收錄新的執法案例。
該彙編以中國、俄羅斯、伊朗及其他地區之出口目的地為主軸，就管制理由涉及國家安全、軍事、大規模毀滅性武器等理由，分別介紹重點違法案例。提供產、學界識別違法行為時之參考。
對於2024年結案的重點案例，重點摘要如下：
1.愛沙尼亞T公司違反美國出口管制規定，非法將「座標磨床」（jig grinder）輸往俄羅斯，分別遭罰34萬美金及48萬美金。
2.英國籍F氏意圖自美國違法輸出工業微波系統（industrial microwave system）及反無人機系統（counter-drone system）至伊朗，遭判18個月有期徒刑。
3.印第安納大學（Indiana University）的布魯明頓果蠅庫存中心（Bloomington Drosophila Stock Center）向多個國家的研究機構及大學出口含有蓖麻毒素A 亞基轉基因（transgenes of the A subunit of the ricin toxin）的轉基因果蠅，而未申請出口許可，遭停止出口，並須對行政人員進行出口管制教育訓練。
本文為「經濟部產業技術司科技專案成果」
陳奕夫
專案經理 編譯整理
Bureau of Industry and Security, BIS Releases New Edition of “Don’t Let This Happen to You!” (2024), https://www.bis.gov/press-release/bis-releases-new-edition-dont-let-happen-you (last visited Aug. 15, 2024).
陳奕夫，〈美國商務部、財政部以及司法部發布遵循美國出口管制與制裁規範聯合指引〉，資訊工業策進會科技法律研究所，2024年4月，https://stli.iii.org.tw/article-detail.aspx?no=64&tp=1&d=9155（最後瀏覽日：2024/08/15）。
陳奕夫，〈簡評美國產業及安全局與希捷科技公司出口管制違法行政和解案〉，《科技法律透析》，第35卷第6期，頁7-12（2023）。
日本國家網路安全辦公室（国家サイバー統括室）於2026年3月5日，代表日本連署了「AI、機器學習供應鏈風險與緩和措施」（Artificial intelligence and machine learning Supply chain risks and mitigations）之國際文書（下稱本文書），並公布本文書內容。本文書是由隸屬於澳洲訊號局（Australian Signals Directorate，簡稱ASD）之澳洲網路安全中心（Australian Cyber Security Centre，簡稱ACSC）主導訂定，主要針對有導入或開發 AI、機器學習系統與元件等需求的組織，揭示其可能存在供應鏈風險與提升整體網路安全之重要性，並就AI開發或採購階段，組織應留意相關風險與可採行之緩和措施。有關連署國家，除了日本與澳洲以外，也包括加拿大、紐西蘭、韓國、新加坡、英國與美國等共八個國家皆已完成連署。 本文書內容強調組織於管理 AI、機器學習等風險時，應將 AI 供應鏈視為整體網路安全戰略的一環，同時評估產品或服務之整體生命週期風險，不應著重於單一技術，而是組織需要掌握整體供應鏈的全貌，包括特定關係事業者、活用AIBOM（AI物料清單，主要用來記錄AI模型相關資產與資訊，提供快速定位與管控AI問題模型功能）或SBOM（軟體物料清單，主要記錄軟體相依元件，用於漏洞管理與供應鏈透明度）、意識到是否已針對AI、機器學習系統可能帶來的風險，進行漏洞管理，以及針對AI、機器學習系統所導致之網路安全事件建立應處機制等。 本文書將AI、機器學習供應鏈風險大致區分為五類：AI 數據、機器學習模型、AI 軟體、AI 基礎設施（含硬體），以及第三方服務，本文書指出AI、機器學習應用於供應鏈時可能產生之風險，其中包括數據品質不良、資料受竄改、模型遭植入惡意程式碼、軟體元件複雜導致難以保證其安全、硬體與韌體擴大攻擊面，以及導入第三方服務致使供應鏈產生弱點等。 此外，本文書也針對各類風險提出可行的因應方法，例如： 1.數據面：需做標準化搜集、外部資料檢疫、資料前處理與完整性驗證。 2.模型面：需從可信來源取得透明模型，實施性能驗證與惡意程式偵測。 3.軟體面：需做完整性驗證、元件審核，並透過 SBOM 掌握已知弱點。 4.硬體面：需確認設備無惡意內容，並在網路中適當分區。 5.第三方服務面：需持續評估與監控供應商的資安實務與脆弱性管理。 總結來說，日本已意識到國家網路安全治理下，針對AI、機器學習的安全，不單是模型安全，而是涉及整體性供應鏈安全。日本藉由與他國連署國際文書，不僅強化國際合作，同時建立供應鏈網路安全共識，因應AI對於國家供應鏈之網路安全挑戰，從資料、模型、軟體、硬體到第三方服務等視角提出具體因應方法，作為全面提升國家整體網路安全環境之參考指引。日本透過強化與他國合作，提升國家網路安全治理之作法，值得我國未來借鏡參考。
日本個人資料保護法修正案允許變更利用目的引發各界議論日本國會於本會期（2015年1月）中，進行個人資料保護法修正草案（個人情報保護法の改正案）的審議。修正草案研擬之際，歷經多次討論，IT總合戰略本部終於在2014年6月公布修正大綱，後於同年12月公布其架構核心。 本次修正，主要目標之一，是使日本成為歐盟（EU）所認可之個人資料保護程度充足的國家，進而成為歐盟所承認得為國際傳輸個人資料的對象國；為此，此次修正新增若干強化措施，包含（1）設立「個人資料保護委員會」;（2）明訂敏感資料（包含種族、病歷、犯罪前科等）應予以嚴格處理；（3）明訂資料當事人就其個人資料得行使查詢或請求閱覽等權利。 本次修正的另一個目標，則是促進個人資料利用及活用的可能性。2014年中，日本內閣府提出「有關個人資料利活用制度修正大綱」，提倡利用、活用個人資料所帶來的公共利益，並指出，過往的法規僅建構於避免個人資料被濫用的基礎，已不符合當今需求，且易造成適用上的灰色地帶，應透過修法予以去除；未來應推動資料的利用與活用相關制度，來提升資料當事人及公眾的利益。本次修正因此配合鬆綁，允許符合下述法定條件下，得變更個人資料之利用目的：（1）於個人資料之蒐集時，即把未來可能變更利用目的之意旨通知資料當事人；（2）依個人資料保護委員會所訂規則，將變更後的利用目的、個人資料項目、及資料當事人於變更利用目的後請求停止利用的管道等，預先通知本人；（3）須使資料當事人容易知悉變更利用目的等內容；（4）須向個人資料保護委員會申請。 目標間的兩相衝突，使得該案提送國會審議時，引發諸多爭議。論者指出：允許在特定條件上變更個人資料的利用目的，雖顧全資料利用的價值，但似不符合歐盟個人資料保護指令對於個人資料保護的基準，恐使日本無法獲得歐盟認可成為資料保護程度充足的國家，亦徹底喪失此次修正的最重要意義。
歐洲人權法院（ECtHR）認為土耳其政府封鎖網站之行為，有違歐洲人權公約言論自由規定歐洲人權法院（ECtHR）在去年(2012)12月作出一項因封鎖網路而侵害言論自由的判決。該判決認為土耳其政府封鎖整個Google網站的行為，已違反歐洲人權公約第10條關於言論自由之保障。 土耳其法院在2009年審理侮辱有土耳其國父之稱的凱末爾將軍案時，判決封鎖設在Google平台的某網站，但土耳其通訊主管機關(Telecommunications Directorate)向法院建議，因技術上問題，建議封鎖整個Google網域才能達到效果，此舉連帶影響本案上訴人架設於Google平台上的網站也一併遭致封鎖，上訴人在窮盡國內訴訟程序後，進而向歐洲人權法院提告。 歐洲人權法院認為，網路目前已經成為表達言論的一個重要工具與場域，根據歐洲人權公約第10條規定，立法限制言論自由必須明確，以便當事人能夠遵循。但土耳其法令（Law no. 5651）並無可封鎖整個網域之相關規定；此外，亦有證據顯示土耳其政府並未盡告知義務，且該網路平台Google亦無拒絕遵循當地國法令之情形；至於通訊主管機關建議法院封鎖整個Google網域行為，亦違反土耳其法令（Law no. 5651）之授權範圍。因此歐洲人權法院認為土耳其政府已經違反歐洲人權公約第10條規定。 根據歐洲安全與合作組織(Organization for Security and Co-operation in Europe)的調查指出，在2012年土耳其政府至少封鎖了3700個網站，包括YouTube、DailyMotion、Google等知名網站。 而總部設在倫敦的維護言論自由知名組織Article19（取名自世界人權宣言第19條言論自由保障而來）主任Agnes Callamard博士也指出，本案是網路言論自由的重大勝利，尤其是當前各國政府積極尋求各種網路管制手段時，更應注意立法限制言論自由必須具有明確的法源基礎且應有救濟管道，以落實歐洲人權公約保障言論自由之意義。
歐盟頒布新的能源相關產品環保設計指令歐盟能源使用產品環保設計指令（Directive 2005/32/EC establishing a framework for the setting of ecodesign requirements for energy-using products）自2005年施行4年後，從上(11)月20日起，已通過新的能源相關產品環保設計指令（Directive 2009/125/EC establishing a framework for the setting of ecodesign requirements for energy-related products），更新取代舊有指令。本新指令最主要特色，在於將環保設計適用範圍從「能源使用產品」擴大延伸至「能源相關產品」。 繼去（2008）年10月歐盟執委會才公告指示清單，篩選出10種在2009-2011年優先執行環保設計措施之能源使用產品類別後，其包括：空調和換氣系統、電子和燃油的加熱設備、食品備製設備、工業和實驗室鍋爐、機床、網路連結、資料處理和資料儲存設備、冷藏和冷凍設備、聲音和影像設備、變壓器及用水設備等，依歐盟新指令規定，未來不只是使用到能源的產品，其他所有能有助節約能源之產品，以及對末端使用者而言為獨立部分且其環保績效可獨立評估之服務，皆屬新指令之適用範圍。例如，蓮蓬頭與其他衛浴設備、隔離材料與雙層玻璃等。 新指令依規定將於2011年10月21日全面實施，執委會應於3年內公告優先執行之產品種類，而各會員國應於2010年11月20日前訂定國內法規。 歐盟新指令主要影響，將使更多元產品之生產者擔負起製作生態特性說明（ecological profile）之責任，且需於符合指令要求後始得於產品標示CE標示。