日本國會2024年5月10日通過、同月17日公布《重要經濟安全資訊保護及活用法》(重要経済安保情報の保護及び活用に関する法律,以下簡稱經安資訊保護法),建立安全許可(セキュリティ・クリアランス)制度,規範政府指定重要經濟安全資訊(以下簡稱經安資訊)、向業者提供經安資訊之方式,以及可近用經安資訊之人員資格等事項,以保護與重要經濟基礎設施有關,外流可能影響國家及國民安全之重要資訊,並同時促進此類資訊之利用。
根據經安資訊保護法規定,行政機關首長得指定機關業務相關之重要資訊,如與關鍵基礎設施、關鍵原物料相關,外洩可能影響經濟安全之資訊為經安資訊。並得於下列情形,向其他行政機關、立法機關及司法機關、特定民間業者提供經安資訊:
1.其他行政機關:有利用經安資訊之必要時。
2.立法機關及司法機關:提供資訊對經濟安全不會有顯著影響時。
3.特定民間業者:為促進有助於經濟安全保障之行為,必要時得依契約向符合保安基準之業者提供經安資訊。
此外,經安資訊保護法進一步規定近用、處理經安資訊者,須通過適格性評價(適性評価),評價重點包括當事人犯罪紀錄、藥物濫用紀錄、有無精神疾病、有無酗酒、信用狀況等。由於上述內容涉及當事人隱私,故行政機關進行適格性評價前,須取得當事人同意。
本文為「經濟部產業技術司科技專案成果」
歐洲議會通過《人工智慧法案》 朝向全球首部人工智慧監管標準邁進下一步 資訊工業策進會科技法律研究所 2023年06月26日 觀察今年的科技盛事屬ChatGPT討論度最高,將人們從區塊鏈、元宇宙中,帶入人工智慧(AI)領域的新發展。ChatGPT於2022年11月由OpenAI開發的生成式人工智慧,透過深度學習模型,理解和生成自然語言,其功能包含回答各類型問題(如科學、歷史)、生成邏輯結構之文章(如翻譯、新聞標題)、圖形、影像等內容。然而對於人工智慧的發展,究竟如何去處理人機間互動關係,對於風險之管理及相關應用之規範又該如何,或許可從歐盟的法制發展看出端倪。 壹、事件摘要 面對人工智慧的發展及應用,歐盟執委會(European Commission)早在2018年6月成立人工智慧高級專家組(AI HLEG),並於隔年(2019)4月提出「可信賴的人工智慧倫理準則」(Ethics Guidelines for Trustworthy AI),要求人工智慧需遵守人類自主、傷害預防、公平、透明公開等倫理原則。於2021年4月21日歐盟執委會提出「人工智慧法律調和規則草案」(Proposal for a Regulation Laying Down Harmonised Rules on Artificial Intelligence (Artificial Intelligence Act) and Amending Certain Union Legislative Acts)(以下稱人工智慧法案),於2023年內部市場委員會(Internal Market Committee)與公民自由委員會(Civil Liberties Committee)通過並交由歐洲議會審議(European Parliament),最終《人工智慧法案》於2023年6月14日通過。後續將再歐盟理事會(Council of the European Union)與辯論協商,尋求具共識的最終文本[1]。 貳、重點說明 由於「歐盟議會通過」不等於「法案通過」,實際上歐盟立法機制不同於我國,以下透過法案內容說明的契機,概述一般情況下歐盟之立法流程: 一、歐盟立法過程 通常情況下,法案由歐盟執委會(下簡稱執委會)提出,送交歐盟理事會及歐洲議會,作為歐盟的「立法者」歐洲理事會(下簡稱理事會)與歐洲議會(下簡稱議會)將針對法案獨立討論並取得各自機關內之共識。大致上立法程序有可分為三階段,在一讀階段若理事會與議會對於執委會版本無修改且通過,則法案通過,若任一機關修改,則會進行到二讀階段。針對法案二讀若仍無法取得共識,則可召開調解委員會(Conciliation)協商,取得共識後進入三讀。簡單來說,法案是否能通過,取決於理事會與議會是否取得共識,並於各自機關內表決通過[2]。 目前《人工智慧法案》仍處於一讀階段,由於法案具備爭議性且人工智慧發展所因應而生之爭議迫在眉睫,議會通過後將與執委會、理事會進入「三方會談」(Trilogue)的非正式會議,期望針對法案內容取得共識。 二、人工智慧法案 (一)規範客體 《人工智慧法案》依風險及危害性程度分級,其中「不可接受風險」因抵觸歐盟基本價值原則禁止(符合公益目標,如重大或特定犯罪調查、防止人身安全遭受危害等例外許可)。「高風險」則為法案規範之重點,除針對系統技術穩健、資料處理及保存訂有規範外,針對人為介入、安全性等也訂定標準。 而針對高風險之範疇,此次議會決議即擴大其適用範圍,將涉及兒童認知、情緒等教育及深度偽造技術(Deepfake)納入高風險系統,並強調應遵循歐盟個人資料保護規範。此外對於社會具有高影響力之系統或社群平臺(法案以4500萬用戶做為判斷基準),由執委會評估是否列為高風險系統。針對目前討論度高的生成式人工智慧(ChatGPT),議會針對法案增訂其系統於訓練及應用目的上,應揭露其為生成式人工智慧所產出之內容或結果,並摘要說明所涉及之智慧財產權[3]。 (二)禁止項目 關於《人工智慧法案》對於高風險系統之要求,從執委會及理事會的觀點來看,原則上重點在於對弱勢的保護及生物資料辨識之權限。歐盟禁止人工智慧系統影響身理及心理,包含對於特定族群如孩童、身心障礙者等弱勢族群之不平等待遇。同時原則禁止即時遠端的生物辨識利用,包含對於人性分析、動作預測等對於人類評價、分類之應用,例外情況如犯罪調查、協尋失蹤兒童、預防恐怖攻擊、關鍵基礎設施破壞等情況時方被允許。此次議會決議提高禁止即時遠端生物辨識的標準,包含納入敏感資訊的蒐集如性別、種族、政治傾向等,及其他臉部辨識、執法、邊境管制、情緒辨識等項目[4]。 參、事件評析 有關《人工智慧法案》雖歐洲議會已一讀通過,然而後續仍要面對與歐盟理事會的協商討論,並取得共識才能規範整個歐盟市場。因此上述規範仍有變數,但仍可推敲出歐盟對於人工智慧(含生成式)的應用規範態度。在面對日新月異的新興科技發展,其立法管制措施也將隨著橫向發展,納入更多種面向並預測其走向趨勢。因人工智慧有應用多元無法一概而論及管制阻礙創新等疑慮,觀察目前國際上仍以政策或指引等文件,宣示人工智慧應用倫理原則或其風險之管理,偏重產業推動與自律。 觀察歐盟《人工智慧法案》之監管目的,似期望透過其市場規模影響國際間對於人工智慧的監管標準。倘若法案後續順利完成協商並取得共識通過,對於如OpenAI等大型人工系統開發商或社群平臺等,若經執委會評估認定為高風險系統,勢必對於未來開發、應用帶來一定衝擊。因此,歐盟對於人工智慧監管的態度及措施實則牽一髮而動全身,仍有持續觀察之必要。 本文同步刊登於TIPS網站(https://www.tips.org.tw) [1]The AI Act, Future of Life Institute, https://artificialintelligenceact.eu/developments/ (last visited Jun. 20, 2023) [2]The ordinary legislative procedure, Council of European Union, https://www.consilium.europa.eu/en/council-eu/decision-making/ordinary-legislative-procedure/ (last visited Jun. 19, 2023) [3]EU AI Act: first regulation on artificial intelligence, European Parliament, Jun. 14, 2023, https://www.europarl.europa.eu/news/en/headlines/society/20230601STO93804/eu-ai-act-first-regulation-on-artificial-intelligence (last visited Jun. 21, 2023) [4]MEPs ready to negotiate first-ever rules for safe and transparent AI, European Parliament, Jun. 14, 2023, https://www.europarl.europa.eu/news/en/press-room/20230609IPR96212/meps-ready-to-negotiate-first-ever-rules-for-safe-and-transparent-ai(last visited Jun. 21, 2023)
英國發布《AI保證介紹》指引,藉由落實AI保證以降低AI系統使用風險英國發布《AI保證介紹》指引,藉由落實AI保證以降低AI系統使用風險 資訊工業策進會科技法律研究所 2024年03月11日 人工智慧(AI)被稱作是第四次工業革命的核心,對於人們的生活形式和產業發展影響甚鉅。各國近年將AI列為重點發展的項目,陸續推動相關發展政策與規範,如歐盟《人工智慧法》(Artificial Intelligence Act, AI Act)、美國拜登總統簽署的第14110號行政命令「安全可靠且值得信賴的人工智慧開發暨使用」(Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence)、英國「支持創新的人工智慧監管政策白皮書」(A Pro-innovation Approach to AI Regulation)(下稱AI政策白皮書)等,各國期望發展新興技術的同時,亦能確保AI使用的安全性與公平性。 壹、事件摘要 英國科學、創新與技術部(Department for Science, Innovation and Technology,DSIT)於2024年2月12日發布《AI保證介紹》(Introduction to AI assurance)指引(下稱AI保證指引),AI保證係用於評測AI系統風險與可信度的措施,於該指引說明實施AI保證之範圍、原則與步驟,目的係為讓主管機關藉由落實AI保證,以降低AI系統使用之風險,並期望提高公眾對AI的信任。 AI保證指引係基於英國政府2023年3月發布之AI政策白皮書提出的五項跨部會AI原則所制定,五項原則分別為:安全、資安與穩健性(Safety, Security and Robustness)、適當的透明性與可解釋性(Appropriate Transparency and Explainability)、公平性(Fairness)、問責與治理(Accountability and Governance)以及可挑戰性 與補救措施(Contestability and Redress)。 貳、重點說明 AI保證指引內容包含:AI保證之適用範圍、AI保證的三大原則、執行AI保證的六項措施、評測標準以及建構AI保證的五個步驟,以下將重點介紹上開所列之規範內容: 一、AI保證之適用範圍: (一)、訓練資料(Training data):係指研發階段用於訓練AI的資料。 (二)、AI模型(AI models):係指模型會透過輸入的資料來學習某些指令與功能,以幫助建構模模型分析、解釋、預測或制定決策的能力,例如GPT-4。,如GPT-4。 (三)、AI系統(AI systems):係利用AI模型幫助、解決問題的產品、工具、應用程式或設備的系統,可包含單一模型或多個模型於一個系統中。例如ChatGPT為一個AI系統,其使用的AI模型為GPT-4。 (四)、廣泛的AI使用(Broader operational context):係指AI系統於更為廣泛的領域或主管機關中部署、使用的情形。 二、AI保證的三大原則:鑒於AI系統的複雜性,須建立AI保證措施的原則與方法,以使其有效執行。 (一)、衡量(Measure):收集AI系統運行的相關統計資料,包含AI系統於不同環境中的性能、功能及潛在風險影響的資訊;以及存取與AI系統設計、管理的相關文件,以確保AI保證的有效執行。 (二)、評測(Evaluate):根據監管指引或國際標準,評測AI系統的風險與影響,找出AI系統的問題與漏洞。 (三)、溝通(Communicate):建立溝通機制,以確保主管機關間之交流,包含調查報告、AI系統的相關資料,以及與公眾的意見徵集,並將上開資訊作為主管機關監理決策之參考依據。 三、AI保證的六項措施:主管機關可依循以下措施評測、衡量AI系統的性能與安全性,以及其是否符合法律規範。 (一)、風險評估(Risk assessment):評測AI系統於研發與部署時的風險,包含偏見、資料保護和隱私風險、使用AI技術的風險,以及是否影響主管機關聲譽等問題。 (二)、演算法-影響評估(Algorithmic-impact assessment):用於預測AI系統、產品對於環境、人權、資料保護或其他結果更廣泛的影響。 (三)、偏差審計(Bias audit):用於評估演算法系統的輸入和輸出,以評估輸入的資料、決策系統、指令或產出結果是否具有不公平偏差。 (四)、合規性審計(Compliance audit):用於審查政策、法律及相關規定之遵循情形。 (五)、合規性評估(Conformity assessment):用於評估AI系統或產品上市前的性能、安全性與風險。 (六)、型式驗證(Formal verification):係指使用數學方法驗證AI系統是否滿足技術標準。 四、評測標準:以國際標準為基礎,建立、制定AI保證的共識與評測標準,評測標準應包含以下事項: (一)、基本原則與術語(Foundational and terminological):提供共享的詞彙、術語、描述與定義,以建立各界對AI之共識。 (二)、介面與架構(Interface and architecture):定義系統之通用協調標準、格式,如互通性、基礎架構、資料管理之標準等。 (三)、衡量與測試方式(Measurement and test methods):提供評測AI系統的方法與標準,如資安標準、安全性。 (四)、流程、管理與治理(Process, management, and governance):制定明確之流程、規章與管理辦法等。 (五)、產品及性能要求(Product and performance requirements):設定具體的技術標準,確保AI產品與服務係符合規範,並透過設立安全與性能標準,以達到保護消費者與使用者之目標。 五、建構AI保證的步驟(Steps to build AI assurance) (一)、考量現有的法律規範(Consider existing regulations):英國目前雖尚未針對AI制定的法律,但於AI研發、部署時仍會涉及相關法律,如英國《2018年資料保護法》(Data Protection Act 2018)等,故執行AI保證時應遵循、考量現有之法律規範。 (二)、提升主管機關的知識技能(Upskill within your organisation):主管機關應積極了解AI系統的相關知識,並預測該機關未來業務的需求。 (三)、檢視內部風險管理問題(Review internal governance and risk management):須適時的檢視主管機關內部的管理制度,機關於執行AI保證應以內部管理制度為基礎。 (四)、尋求新的監管指引(Look out for new regulatory guidance):未來主管機關將制定具體的行業指引,並規範各領域實踐AI的原則與監管措施。 (五)、考量並參與AI標準化(Consider involvement in AI standardisation):私人企業或主管機關應一同參與AI標準化的制定與協議,尤其中小企業,可與國際標準機構合作,並參訪AI標準中心(AI Standards Hubs),以取得、實施AI標準化的相關資訊與支援。 參、事件評析 AI保證指引係基於英國於2023年發布AI政策白皮書的五項跨部會原則所制定,冀望於主管機關落實AI保證,以降低AI系統使用之風險。AI保證係透過蒐集AI系統運行的相關資料,並根據國際標準與監管指引所制定之標準,以評測AI系統的安全性與其使用之相關影響風險。 隨著AI的快速進步及應用範疇持續擴大,於各領域皆日益重要,未來各國的不同領域之主管機關亦會持續制定、推出負責領域之AI相關政策框架與指引,引導各領域AI的開發、使用與佈署者能安全的使用AI。此外,應持續關注國際間推出的政策、指引或指引等,研析國際組織與各國的標準規範,借鏡國際間之推動作法,逐步建立我國的AI相關制度與規範,帶動我國智慧科技產業的穩定發展外,同時孕育AI新興產應用的發展並打造可信賴、安全的AI使用環境。
日本經產省發布《促進資安攻擊受害資訊共享檢討會最終報告書》,以加速資安情資共享日本經濟產業省(下稱經產省)於2023年11月22日發布《促進資安攻擊受害資訊共享檢討會最終報告書》(サイバー攻撃による被害に関する情報共有の促進に向けた検討会の最終報告書),主張共享資安攻擊受害資訊,掌握資安攻擊全貌,防止損害範圍擴大。經產省提出具體建議如下: 1.促進各專門組織間之資訊共享:藉由專門組織間的資訊共享,及早採取適當因應措施,避免損害持續擴大,並降低受害成本。所謂專門組織包含資安廠商、資安監控中心(Security Operation Center, SOC)營運商、防毒廠商,與依法令成立從事資安事件諮詢與分析之非營利組織,例如:一般社團法人日本電腦網路危機處理暨協調中心(一般社団法人JPCERTコーディネーションセンター),以及一般財團法人日本網路犯罪對策中心(一般財団法人日本サイバー犯罪対策センター)等。 2.共享無從識別受害組織之資訊:為加快資訊共享,經產省建議將資料去識別化至無從識別受害組織之程度,即可不經受害組織同意而共享資訊。 3.提出《攻擊技術資訊處理與活用指引草案》(攻撃技術情報の取扱い・活用手引き(案)):為提升專門組織共享資訊成效,經產省於指引中彙整受害組織資料去識別化作法,以及各專門組織間共享攻擊技術資訊之具體策略。 4.於保密協議中加入免責條款:經產省建議於受害組織與專門組織簽訂之保密協議中,加入專門組織免責條款,使專門組織具有利用或揭露攻擊技術資訊裁量權,對於利用或揭露資訊,致生受害組織被識別等損害時,非因故意或重大過失不須負擔法律責任,以利推動資訊共享。
Google就隱私權議題與美國FTC達成初步和解,消費者團體呼籲FTC採取更嚴厲的手段今年三月底,Google與美國聯邦貿易委員會(Federal Trade Commission, FTC)就Buzz案達成和解。2010年時FTC控告Google Buzz未確實保護消費者的個人資料,侵犯了消費者的隱私權,違反「聯邦貿易委員會法」(FTC Act)以及美國與歐盟所訂定之「安全港架構協議」(U.S.-EU Safe Harbor Framework)。FTC表示,Google搭配在其Gmail中的網路社交服務Buzz,讓Gmail使用者誤以為其可以自主決定是否加入該社群,但事實上縱使Gmail使用者選擇不加入,也無法完全移除此項服務。甚者,選擇加入Buzz的消費者,亦無法找到明確的方式,控制其分享的個人資料。FTC控告Google未取得消費者的同意,將Gmail的資料(通訊錄名單)供社交網路使用,構成目的範圍外的使用。 依據Google與FTC和解內容,Google必須執行一套更為嚴謹的隱私權制度,不得再有誤導消費者其個人資料開放程度的行為,並且在爾後二十年都需接受獨立機構的隱私審查。初步和解內容開放30天(至2011年5月2日 )供社會大眾提供意見,之後FTC將提出最終和解內容。迄今為止,消費者團體提出的意見,包括要求FTC限制Google持有個人資料的時間,將隱私權保護制度適用到其所有的產品,對其儲存於雲端系統的個人資料進行加密動作,以及在進行個人資料蒐集前,應彈跳出視窗取得消費者同意等 值得注意的是,FTC在和解案中關於隱私權政策的客體所使用的語彙為「涵蓋資料」(covered information )而非「個人資料」(personal information),「涵蓋資料」所包含的範圍除了傳統的「個人資料」,尚包含IP位址、個人實體位址,以及通訊名單等等。 本案是FTC首度依職權要求業者採取更為嚴謹的隱私權保護制度以保障消費者權益,亦是FTC初次依「安全港架構協議」所採取的行動。本案對於線上服務的隱私權保護無疑是一大進展,但亦有論者擔心嚴苛的隱私權保護制度,反將造成小公司或新業者市場參進的障礙,愈發壯大Google的市場地位。 除此之外,Google的Buzz服務亦被消費者以集團訴訟提起告訴,最終和解金為850萬美元。 隨著Google成為搜尋引擎界的龍頭,其近年的一舉一動皆備受美國以及歐洲管理當局嚴密注意,今年二月份時,Google即時街景服務亦因不當蒐集個人資料而被法國裁罰14萬美元。