日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險
日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。
隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。
本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下：
1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。
2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。
日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
王柏元
副法律研究員 編譯整理
IPAテクニカルウォッチ「AI利用時のセキュリティ脅威・リスク調査報告書」，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/reports/technicalwatch/20240704.html，最後瀏覽日：2024年8月3日。
AI利用時のセキュリティ脅威・リスク調査調査報告書，独立行政法人情報処理推進機構セキュリティセンター企画部調査グループ，https://www.ipa.go.jp/security/reports/technicalwatch/eid2eo00000022sn-att/report.pdf，最後瀏覽日：2024年8月3日。
所謂「阿西洛馬人工智慧原則」(Asilomar AI Principles)，是指在2017年1月5日至8日，於美國加州阿西洛馬（Asilomar）市所舉行的「Beneficial AI」會議中，由與會的2000餘位業界人士，包括844名學者專家所共同簽署的人工智慧發展原則，以幫助人類運用人工智慧為人類服務時，能確保人類的利益。 該原則之內容共分為「研究議題」( Research Issues)、「倫理與價值觀」( Ethics and Values)，及「更長期問題」( Longer-term Issues)等三大類。 其條文共有23條，內容包括人工智慧的研究目標是創造有益的智慧、保證研究經費有益地用於研究人工智慧、在人工智慧研究者和政策制定者間應有具建設性並健康的交流、人工智慧系統在其整個運轉周期內應為安全可靠、進階人工智慧系統的設計者及建造者在道德層面上是其使用、誤用以及動作的利害關係人，並應有責任及機會去影響其結果、人工智慧系統應被設計和操作為和人類尊嚴、權利、自由和文化多樣性的理想具一致性、由控制高度進階人工智慧系統所取得的權力應尊重及增進健康社會所需有的社會及公民秩序，而非顛覆之，以及超級智慧應僅能被發展於服務廣泛認同的倫理理想，以及全人類，而非單一國家或組織的利益等等。
德國提出反競爭-數位化法草案（GWB-Digitalisierungsgesetz）擬進一步擴大競爭監管機關之職權德國聯邦經濟事務暨能源部（Federal Ministry for Economic Affairs and Energy）於2020年1月24日提出反競爭-數位化法草案（GWB-Digitalisierungsgesetz），主要係針對競爭法相關規範進行修正、調適，意在解決數位經濟中濫用市場地位、權力不平衡之問題。因大型數位公司和營運平台往往擁有大量的用戶資料而居於市場優勢支配地位，將阻礙、影響到其他新進公司的整體競爭和創新發展。 從而，數位經濟時代的競爭政策需要有適當的競爭規則和監管手段，以便強化有效的市場競爭，本草案進一步擴大德國競爭監管機關（Bundeskartellamt）的職權，目的在嚴格監管濫用市場力量之大型數位公司和平台營運商（如FACEBOOK、GOOGLE等），同時增加競爭對手的市場創新和共享資料存取的機會，確保相關規定與執法達到適當平衡。 茲將該草案擬修正之主要內容，重點整理如下： 禁止大型數位公司刻意阻礙用戶將其個人資料移轉至其他數位服務提供者的限制競爭行為－促使用戶更易選擇轉換到其他平台，使德國競爭監管機關在判斷數位公司是否涉及限制競爭行為時，有更明確的介入依據。 提出有關濫用（abuse）的新概念，係針對「在跨市場競爭上具顯著影響」之公司（paramount significance for competition across markets），並賦予德國競爭監管機關新的干預權限－在評估時，德國競爭監管機關不僅會考慮單一市場，也會透過規定的要件檢視整體市場（例如：該公司在一個或數個市場上的主導地位、財力、對資料或其他資源的存取、垂直整合）。若競爭監管機關發現該公司雖尚未在市場上取得主導地位，但依其判斷已經對於跨市場競爭具顯著影響性，除有正當理由外，原則上可以提出命令，並禁止該公司繼續進行特定行為。 提出「中介力量（Intermediation power）」的概念—對於依賴中介者（Intermediaries）（例如多樣化數位平台）提供產品或服務的企業而言，中介者對於控制市場的進入具有一定程度之影響力。由於這種影響力可能遭濫用，因此草案中引入「中介力量」的概念，擴大數位服務提供者市場力量的評估標準，需考量中介者對於市場進入的影響性。 重新定義和擴大關鍵設施原則（Essential Facility Doctrine）之規定—關於是否應強制公司授予對資料的同意存取權及如何規範這種存取權限，存在爭議，為了強化競爭法的存取權，草案擬重新定義和擴大關鍵設施原則的規定，使其他公司可向居於市場優勢地位的企業要求開放資料、網路或其他基礎設施的存取權限以開展業務，否則將阻礙競爭。 濫用相對市場力量（relative market power）原則之擴大適用—現行法雖規範具有相對市場力量之公司不得濫用此地位，但此原則僅適用於對中小型企業的保護。因此，草案希望擴大保護大型公司，避免其受到傳統或數位平台的濫用行為所影響。因為資料的使用對於在數位經濟中提供相關服務、創新和競爭而言相當重要。 賦予競爭監管機關充份權限以避免市場獨占（monopoly）發生—現行法下若已經有一定規模但尚未具主導地位的公司試圖以反競爭行為（anti-competitive manner）引發市場傾銷（tipping of the markets）時，競爭監管機關並無權干預。草案則擬賦予競爭監管機關在公司居於主導優勢地位前介入的權利。又，為因應數位市場變化，並使競爭監管機關可即時介入，草案在程序上擬放寬競爭監管機關為暫時性措施（Interim measures）的要件。 針對企業併購之新規範—擬規範小型公司之連續併購（Successive acquisition）以及「殺手併購」（killer acquisitions）行為，係因現行法對於前者之交易情形並未規範需要通知主管機關，而有致市場壟斷之虞，因此於草案中擬為規範；後者則是考量此惡意的手段係透過阻礙新創公司對其創新產品的研發，以達到避免與收購方自身產品競爭之目的，因此草案擬增訂規範予以限制。 該草案目前預計將於2020年下半年通過，使德國競爭監管機關在數位經濟領域針對數位公司和平台營運商的執法上有所變化，後續值得留意。
澳洲通過新修正之隱私法，大幅提高罰責以期遏止個資事故澳洲司法部長Mark Dreyfus於2022年10月26日提出聯邦《2022年隱私法修正案（執法及其他措施）》（Privacy Legislation Amendment (Enforcement and Other Measures) Bill 2022 (Cth) ），並於11月28日正式通過，顯示澳洲政府對於近期多起大型個資事故的重視，以及民眾對於個資保護之公民意識逐漸成熟。 近期澳洲發生之兩起大規模個資事故，其一為9月底澳洲第二大電信業者Optus表示受到網路攻擊，約有1,000萬人（約占澳洲人口40%）的個資遭到外洩，除了姓名、性別、生日等資料之外也包括用戶的住址、駕照和護照號碼等；無獨有偶，於十月底澳洲最大的私人健康保險公司Medibank亦公開聲明發生200GB的資料遭到竊取的個資事故，被竊資料中有大約970萬名現在或過去客戶的姓名、出生日期、地址、電話號碼和電子郵件地址等資料，因為此兩起大型個資事故的發生，促使澳洲政府不得不予以重視，在極短時間內通過新法修正。 此次修正案修改1988年《隱私法》（Privacy Act）、2010年《澳洲資訊委員法》（Australian Information Commissioner Act）和2005年《澳洲通訊及媒體管理局法》（Australian Communications and Media Authority Act 2005），修正重點包含加重裁罰、加強資訊委員執法權限及域外管轄權。 一、加重裁罰之部分，依修正《隱私法》第13G條，當嚴重或反覆侵犯他人隱私事件發生時，若行為人為「非法人」（a person other than a body corporate，即我國法之自然人）時，其由行政機關課予當事人之罰金（civil penalty）上限提高到250萬澳幣（約新台幣5,200萬）；若行為人為「法人」（body corporate）時，罰金上限增加到5,000萬澳幣（約新台幣10億）或其所得利益價值的三倍（兩者取其高）。如果法院無法確定利益的數額，則取法人違規期間或事故發生後12個月內（擇其時間較長者）調整型營收（adjusted turnover*）的30%。 二、關於資訊委員執法權限強化部分，其擴大資訊委員與他公私部門間交換及查閱資訊之權限，資訊委員得向嫌疑人進行調查或要求交付相關證據，且賦予資訊委員得不待法院裁判，逕對妨害查辦者課以民事制裁，甚至得將屢次妨害查辦之法人團體之行為定為刑事犯罪。 三、有關域外管轄權部分，原先僅適用於「未在澳洲設立登記，但有在澳洲境內蒐集個資且經營業務」之公司；現刪除「有在澳洲境內蒐集個資」之規定，故未在澳洲登記之公司往後即使未在澳洲境內蒐集個資，若有在澳洲境內經營業務即受有域外效力之管轄，其範圍甚至將比歐盟GDPR之域外管轄權更為寬廣。 至於提高裁罰金額能否提升資安及個資保護之效益仍有待商榷，惟提高罰鍰額度應能使持有個資業者採行較高之資料保護安全措施等級。我國近期亦發生2,300萬筆民眾戶政資料外洩事件，依我國《個人資料保護法》規定，個資事故發生時，若被害人不易或不能證明其實際損害額時，法院依侵害情節，以每人每一事件500以上至2萬元以下計算財產損害。且同一原因事實造成的事件，原則上其賠償最高總額以2億元為限。若我國將來修法適當調整金額，相信有望遏止類似事故不斷發生。 *調整型營收（adjusted turnover）：指公司（及相關企業）在違規期間內營業額扣除應調整之稅額例外項目後，所有商品及服務價值的總和。
日本內閣府發布「綜合創新戰略2024」為應對日益嚴峻的國際情勢，並避免研究能力下降、生態系進展緩慢對經濟、社會發展造成衝擊，日本內閣府於2024年6月4日發布「綜合創新戰略2024」（統合イノベーション戦略2024），提出三大強化措施與三大發展主軸，綜整未來科技與創新的重要發展方向。具體內容整理如下： 1.強化措施 (1)關鍵技術綜合戰略 開發核心技術，在各戰略領域如人工智慧、機器人、物聯網等，透過產官學界合作推進技術融合與研究開發、推動人才培育，並促進新創發展。 (2)加強國際合作 從全球視角積極運用資源進行策略性協作，並以促進開發利用、確保安全性為主要目標，主導、參與重要技術相關之國際規則制定。 (3)強化人工智慧領域競爭力並確保安全性 包含創新研發人工智慧之應用，及利用人工智慧加速創新速度等。 2.發展主軸 (1)推進先進科技戰略 針對各重要領域如人工智慧、核融合能源、量子科技、生物科學、材料科學、半導體與通訊技術（6G）推展研究；確保大學與研究機構之研究安全性與倫理，並為設立智庫強化研究機能預做準備；同時綜合運用各領域的知識創造價值，為整體社會提供自動化、省力化、防災減災之科學技術。 (2)研究能力與人才培育 透過補助優秀大學與研究費用、扶植區域核心及具有特色的研究型大學、強化國家研究設施並促進設施間之合作性發展研究基礎；以及推動開放政府資助研究之資料與學術論文。 (3)營造創新生態系 透過SBIR計畫（Small Business Innovation Research，小型企業創新研發計畫）補助，並促進新創企業之政府採購；藉由產官學合作推展創新；以及擴大政府與民間研發投資規模，促進人才、技術、資金在大企業與新創公司間流動等。 日本政府認為，核融合能源與量子科技等關鍵技術將為新產業發展的開端，本戰略亦將成為未來日本新一期科學技術與創新基本計畫（科学技術・イノベーション基本計画）開展之基礎。我國於半導體、量子科技等關鍵科技發展皆緊跟國際腳步，因此相關戰略措施後續之推動與落實，亦值得我國持續關注、參考。