日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險
日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。
隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。
本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下：
1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。
2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。
日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
王柏元
副法律研究員 編譯整理
IPAテクニカルウォッチ「AI利用時のセキュリティ脅威・リスク調査報告書」，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/reports/technicalwatch/20240704.html，最後瀏覽日：2024年8月3日。
AI利用時のセキュリティ脅威・リスク調査調査報告書，独立行政法人情報処理推進機構セキュリティセンター企画部調査グループ，https://www.ipa.go.jp/security/reports/technicalwatch/eid2eo00000022sn-att/report.pdf，最後瀏覽日：2024年8月3日。
美國白宮管理與預算辦公室（Office of Management and Budget，以下簡稱OMB）在2025年12月11日發布M-26-04備忘錄（以下簡稱本指引），目標是落實第14319號行政命令「防止聯邦政府中的覺醒AI」（Preventing Woke AI in the Federal Government）。本指引闡述「追求真相」（Truth-seeking）、「意識型態中立」（Ideological Neutrality）兩大「無偏見AI原則」（Unbiased AI Principles），並強制要求聯邦機構在採購大型語言模型（LLM）時，必須將此二原則納入合約條款。 為確保符合規定，本指引要求聯邦機構在進行採購時，應避免強制供應商揭露過於敏感的技術資料（如模型權重），而是採取以下兩層級的資訊揭露架構： 1. 基本透明度要求（Minimum Threshold for LLM Transparency） 各機構於招標階段，應要求供應商提供以下資訊： (1) 可接受的使用政策：界定產品適當與不適當用途的文件。 (2) 模型、系統和/或資料的摘要卡（Model, System, and/or Data Cards）：包含訓練摘要、風險緩解措施及基準測試評分。 (3) 終端用戶資源與意見回饋機制：包含用戶教程及針對違反無偏見原則產出的回報管道。 2. 強化透明度門檻（Threshold for Enhanced LLM Transparency） 若機構擬將模型整合至其他軟體或服務中，則需獲取更深入的開發與運作資訊，例如： 1. 預訓練和後訓練（Pre-Training and Post-Training）：如影響產出事實性（factuality）的活動、系統提示詞（System Prompts）、以及內容審查過濾器的具體運作。 2. 模型評估：針對政治議題的偏見測試結果與方法論。 3. 模型中嵌入的企業控制（Enterprise-Level Controls）: 如可客製化的系統指令或來源引用功能。 4. 第三方對模型的修改：非原廠開發者所施加的額外控制層。 本指引對聯邦行政機構具有行政拘束力。機構必須於2026年3月11日前更新採購政策，並將上述要求納入新舊合約中。值得注意的是，本指引引入了「實質性要求」（Materiality Requirement），即若供應商拒絕針對違反無偏見原則的產出採取糾正措施，將構成合約違約之重要事由，機構得據此終止合約。 觀察美國OMB此次發布的內容，係透過將「意識形態中立」轉化為具體的採購合規要件，OMB利用聯邦政府龐大的購買力，在採購合約中確立供應商的「透明度義務」，OMB指引不僅建立了明確的法遵標竿，更可能發揮示範效應，將政府端的無偏見規範逐步推廣至私營部門，轉化為產業的最佳實踐標準。
綠色商標之挑戰—歐盟智慧財產權局發布綠色歐盟商標報告2023年7月歐洲創新理事會和中小企業執行機構（European Innovation Council and SMEs Executive Agency , EISMEA）撰文重申綠色商標的重要性與挑戰。隨著環境議題於國際上的重要性日益增加，綠色商標（Green trademarks）成為一個新興議題。許多敏銳的品牌於意識到多數消費者在消費選擇上更注重環保要素時，即開始開發環保相關商品或服務，並透過「綠色」相關之文字、圖像（Images）或標語（Slogans）等進行「綠色商標」布局，向消費者傳達品牌在環保、永續的投入，例如：商品為有機、對地球有益的，或可促進回收利用的等資訊。根據歐盟智慧財產權局（EUIPO）於2023年2月發布最新版之綠色歐盟商標報告（Green EU trade marks–2022 update）的統計資料顯示，綠色商標占總體商標申請的比例穩定上升中，從1996年的4%提升到2021年的12%，可以看出品牌對於綠色商標愈來愈重視。 該報告將綠色產品的商標分別九大類別。其中，能源生產和節能，合計占綠色商標申請的48%以上，污染控制占18%，交通占11%。品牌企業應確保於正確商品或服務類別進行綠色商標布局。除商品或服務註冊類別外，企業於商標註冊前之綠色品牌命名階段，應避免品牌名稱不具商標法要求的識別性，導致被智慧財產局駁回或撤銷商標註冊之風險，例如：以誤導性或純粹描述性（misleading or purely descriptive）的方式使用「生態（Eco）」或「綠色（Green）」等用語（terms）。建議綠色品牌命名應確保避免單純放入該些描述環保特性的用語，而必須考量商標法要求的識別性，能夠使相關消費者能識別綠色商品或服務來源，並得與他人的商品或服務相區別。 綜上所述，隨著近年企業推出綠色品牌、商品或服務，採用環保相關文字或標語作為綠色品牌名稱的情況逐漸增加，這也為商標申請人帶來挑戰。環保意識提升的消費者，對於這些環保相關用語的理解變得更加成熟，品牌商標更容易被認定為單純描述性的用詞（可能符合中華民國商標法第29條第一項不得註冊事由），商標申請人對於品牌商標獨特性的證明上將更加困難。因此，建議品牌擁有者應在商標註冊前之品牌命名階段，更發揮創意、注重商標法「具識別性」之註冊要件，避免品牌命名僅單純向消費者描述環保特色資訊，導致無法取得註冊商標，難以彰顯綠色品牌特色之後果。 本文同步刊登於TIPS網站（https://www.tips.org.tw）
CAFC判決未遵守自由授權條款構成著作權侵害美國聯邦巡迴上訴法院（CAFC）於2008年8月13日，在Jacobsen v. Katzer一案中，對於未遵守自由軟體授權條款而使用他人著作，作成構成著作權侵害之判決，扭轉地方法院之判決結果。由上訴人Jacobsen經營的JMRI（Java Model Railroad Interface），透過多數參與者集體協作的程式DecoderPro，為開放資源的自由軟體，採取Artistic License模式，供模型火車迷編輯解碼器晶片(decoder chip)的程式以操控模型火車；被告Katzer從 DecoderPro下載了數個定義檔來製作一套市售軟體稱Decoder Commander，卻未遵守該自由授權條款，包括未標示JMRI為原始版本之著作權人、可從何處取得標準版本、及修改後版本與原始版本差異部份之註記等。 Jacobsen認為Katzer的侵害著作行為已造成不可回復之損害，請求法院暫發禁止命令（preliminary injunction）以停止Katzer的違法行為，地方法院認為被告乃違反非專屬授權契約，應依違反契約責任負責，不另構成著作侵權行為，駁回暫發禁止命令的請求。 聯邦巡迴上訴法院認為本案爭點在於「自由軟體授權條款的性質究屬契約內容（covenant）或授權條件(conditions of the copyright license)？」，由於Artistic License之用語為「在符合下列條款之條件下」(provided that the conditions are met )方能重製、修改及散布，以遵守授權條款為取得授權之條件，本案中Katzer未能遵守條款，因而根本未取得授權，其行為屬無權使用而構成侵害著作權，是以命地方法院就暫發禁止命令一事重新審理。在善意換取善意（Creative Common，創用CC）及分享著作的潮流下，支持者譽此結果為自由軟體的一大勝仗。