日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險
日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。
隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。
本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下：
1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。
2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。
日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
王柏元
副法律研究員 編譯整理
IPAテクニカルウォッチ「AI利用時のセキュリティ脅威・リスク調査報告書」，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/reports/technicalwatch/20240704.html，最後瀏覽日：2024年8月3日。
AI利用時のセキュリティ脅威・リスク調査調査報告書，独立行政法人情報処理推進機構セキュリティセンター企画部調査グループ，https://www.ipa.go.jp/security/reports/technicalwatch/eid2eo00000022sn-att/report.pdf，最後瀏覽日：2024年8月3日。
因預期超高速網路在英國將被廣泛佈建，Ofcom於2011年6月啟動諮詢程序，徵詢各界光纖網路備援電池的管制指引，以確保消費者的緊急電話服務；並於同年12月公佈諮詢結果與更新管制指引。 英國境內光纖到終端（FTTP）服務的覆蓋率已達到58％，雖得以提供消費者更高速的上網與影音內容，但卻有停電時無法運作的先天缺陷。由於傳統電話運作所需的電力係經由業者機房透過銅絞線供應，故即便消費者終端停電，仍能緊急電話。因此Ofcom曾於2009年要求公眾電話業者（PATS）確保消費者終端有維持供電4小時以上的備援電池，以保障民眾的身家安全。而此項管制則是納入ECN/ECS業者之第3項一般條件的管制中，業者有因而有遵守的義務。 此次徵詢結果，Ofcom確立了以下兩點管制指引： 1. PATS必須確保提供備援電池：PATS若由消費者選擇是否安裝備援電池，將被認為不符義務。若PATS選擇由消費者負擔更換電池之責任，應提供適切指引並確保易於取得電池；若責任由PATS承擔，則應建立適切處理程序。 2. 備援電池最低供電時數降為1小時：主要理由為英國大部分的斷電事件都不超過1小時；且行動電話相當普及，增加了安全保障。而備援電力降為1小時後，將使其電池更輕便和更易分離，因而更易於產製購買、取得與安裝。不過對於歷史上曾發生斷電超過1小時的家戶，PATS仍有義務確保較長時間的備援電力。
中國發布《個人信息保護合規審計辦法》，明確企業個資審計責任中國國家互聯網信息辦公室於2025年2月12日公布《個人信息保護合規審計管理辦法》（下稱《辦法》）及其配套指引，自2025年5月1日正式實施。《辦法》及指引的發布，旨在落實《個人信息保護法》中的稽核規定，完善個資合規監督架構，為企業提供執行審計的制度依據。 《辦法》區分合規審計為兩大形式：企業可自行或委託專業機構定期進行審計；另當主管機關發現高風險處理活動或發生重大資料外洩事件時，有權要求企業限期完成外部審計，並提交報告。針對處理規模較大的企業，《辦法》特別規定，凡處理超過1,000萬人個資的業者，須至少每兩年完成一次審計。 針對大規模蒐用個資企業，《辦法》亦強化其配合責任，對於處理超過100萬人資料的企業，須設置個資保護負責人；對大型平台服務業者，則須成立主要由外部人員主導的獨立監督機構，以確保審計客觀性。 在審計執行層面，《辦法》對第三方審計機構的條件、獨立性與保密義務提出具體要求，並禁止將合規審計轉委託，防堵審計品質不一，或個資分享過程增加外洩風險。同時，也規範同一機構或審計負責人不得連續三次審計同一對象，以強化審計公正性。 《合規審計指引》進一步列出具體審查項目，包括處理合法性、告知義務、資料共享、敏感及未成年個資保護、境外傳輸、自動化決策與安全措施等，協助企業全面落實個資合規審查。
OECD發布「促進人工智慧風險管理互通性的通用指引」研究報告經濟合作發展組織（Organisation for Economic Co-operation and Development，下稱OECD）於2023年11月公布「促進AI風險管理互通性的通用指引」（Common Guideposts To Promote Interoperability In AI Risk Management）研究報告（下稱「報告」），為2023年2月「高階AI風險管理互通框架」（High-Level AI Risk Management Interoperability Framework，下稱「互通框架」）之延伸研究。 報告中主要說明「互通框架」的四個主要步驟，並與國際主要AI風險管理框架和標準的風險管理流程進行比較分析。首先，「互通框架」的四個步驟分別為： 1. 「定義」AI風險管理範圍、環境脈絡與標準； 2. 「評估」風險的可能性與危害程度； 3. 「處理」風險，以停止、減輕或預防傷害； 4.「治理」風險管理流程，包括透過持續的監督、審查、記錄、溝通與諮詢、各參與者的角色和責任分配、建立問責制等作法，打造組織內部的風險管理文化。 其次，本報告指出，目前國際主要AI風險管理框架大致上與OECD「互通框架」的四個主要步驟一致，然因涵蓋範圍有別，框架間難免存在差異，最大差異在於「治理」功能融入框架結構的設計、其細項功能、以及術語等方面，惟此些差異並不影響各框架與OECD「互通框架」的一致性。 未來OECD也將基於上述研究，建立AI風險管理的線上互動工具，用以協助各界比較各種AI風險管理框架，並瀏覽多種風險管理的落實方法、工具和實踐方式。OECD的努力或許能促進全球AI治理的一致性，進而減輕企業的合規負擔，其後續發展值得持續追蹤觀察。
智慧財產局修法賦予動植物專利權，但將不及繁殖物我國專利法修法後，將全面開放動植物專利，其中，最引起各界關注的問題是動植物專利權的效力。動植物專利的保護，有助於發展國內生技產業，但保護過度，又會影響農漁民生計，故智慧局在五月初發布之專利法部分條文修正草案中，增訂動、植物專利權利耗盡之範圍包括必然導致繁殖之專利生物材料本身及其所繁殖之生物材料，但不包括為繁殖之目的而使用該繁殖之生物材料之行為。 根據現行專利法第５６條第１項規定，獲得動植物相關發明的物品專利權人，專有排除他人未經其同意而製造、為販賣的要約、販賣、使用或為上述目的而進口該物品之權。惟專利法第５條規定，專利物品本身經第一次販賣後，專利權效力及不於後續的實施行為。動植物的繁殖特性，如果一經販賣後，專利權效力即不及，則勢必影響動、植物發明人的權益。 基於上述理由，智慧局經參考歐盟生物技術發明指令第八條，於專利法部分條文修正草案中明訂動植物等生物材料之專利權耗盡範圍，另為了保護農民權益，此次專利法修正草案中亦特別明訂農民免責，使農民自專利權人或其授權人處取得受專利保護之植物繁殖材料，可將收穫後之種子在其農地上進行繁殖使用，而為專利權效力所不及。