日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險
日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。
隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。
本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下：
1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。
2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。
日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
王柏元
副法律研究員 編譯整理
IPAテクニカルウォッチ「AI利用時のセキュリティ脅威・リスク調査報告書」，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/reports/technicalwatch/20240704.html，最後瀏覽日：2024年8月3日。
AI利用時のセキュリティ脅威・リスク調査調査報告書，独立行政法人情報処理推進機構セキュリティセンター企画部調査グループ，https://www.ipa.go.jp/security/reports/technicalwatch/eid2eo00000022sn-att/report.pdf，最後瀏覽日：2024年8月3日。
為鼓勵綠色科技產業發展，美國商業部專利商標局（The U.S. Commerce Department's Patent and Trademark Office , 簡稱USPTO）宣布綠色科技與溫室氣體減量領航方案，USPTO表示，對於綠色科技與溫室氣體減量的專利申請案件，將給予加速審查（accelerate the examination）的優惠。美國商業部長Gary Locke表示，美國的競爭力繫於研發創新能力，協助綠色產業儘速得到專利保護將可以刺激是項產業發展。 除了經濟的誘因，行政上的便利也經常是政府用以推動政策的輔助工具，USPTO希望透過這項新措施，幫助相關產業的研發創新。而在研發創新上，廠商的生產方式或是產品如能更快速取得專利的保護，對於該產業的發展應有正面的效益。USPTO在2009年12月提出這項方案後，在2010年5月21日再次宣布將原方案所正面表列的專利類別（U.S. patent classifications, USPCs）刪除，亦即進一步擴大可申請案件的範圍。 美國在發展綠色科技的腳步上一直未曾停歇，除原有透過綠色公共採購（Green Public Procurement, GPP）來擴大此項產業市場，歐巴馬政府上台後更在2009年10月發布的13514號行政命令（Executive Order）要求聯邦機關訂定2020年以前溫室氣體排放減量的目標，實施策略上，政府機關採購目標以95%符合ENERGY STAR® 、FEMP、EPEAT等規格或認證產品優先。綠色公共採購提供的是市場面的誘因，此番USPTO提供的專利審查過程的加速，無異是給予綠色產業再一劑強心針。USPTO該方案執行期間以1年內3千件申請案為上限，此項措施如能有效刺激產業發展，值得加以觀察。
虛擬人生，真實訴訟! 美商藝電EA控告社交遊戲公司Zynga侵犯著作權；Zynga控告EA不正競爭。美商藝電EA(Electronic Arts)於今年八月初在舊金山地方法院控告以社群遊戲著稱的Zynga於六月在Facebook所推出的遊戲《The Ville》抄襲EA於2011年八月推出的「模擬市民(The Sims Social)」，侵犯EA的著作權。EA表示，The Ville中的設計選項、動畫、畫面處理、角色的活動及動作都原封不動地抄襲自EA的「模擬市民(The Sims Social)」。EA聲稱，Zynga抄襲了「模擬市民(The Sims Social)」原始並特殊的表達要素(original and distinctive expressive elements)，明顯違反美國的著作權法。EA並表示，Zynga任用了三位自EA離職的員工而獲取了「模擬市民(The Sims Social)」的商業機密。Zynga則反譏EA欠缺對於著作權原則的了解，並表示《The Ville》是Zynga小鎮遊戲(Ville-game)系列的延續，過去曾推出的系列遊戲包含《YoVille》、《CityVille》以及《Castile Ville》，EA的指控毫無根據。 雖然《The Ville》與「模擬市民(The Sims Social)」兩者在遊戲的角色設定以及角色圖樣跟背景有諸多相似，但是Zynga在細節上做了許多與EA不同的設定。本案如果有效成立，將對於遊戲產業造成顯著影響。 美國法下，遊戲產業的智慧財產權議題中，一個重要的法律關鍵在於「思想/表達二分法(idea/expression dichotomy) ，「思想(idea)」並非著作權的保護客體，僅想法的表達方式(expression)是著作權的保護客體。舉例而言，你可以再寫一本有關於魔法學校的書，但是你不可以把書中的主要角色命名為哈利波特。 1994年時，快打旋風二(Street Fighter II)的發行商嘉富康(Capcom)控告DECO(Data East Corporation)的格鬥列傳(Fighter’s History)抄襲，但是法院認為嘉富康遊戲的角色是植基於既存典型角色以及武術原則，DECO的相似性並不侵犯快打旋風的著作權。 九月中，Zynga對EA提出反訴，控訴EA採取不正競爭(anticompetitive)以及不法(unlawfully)商業行為，違反反托拉斯法(anti-trust law)。Zynga指出，EA試圖以法律訴訟以及恐嚇離職員工的方式，非法阻止Zynga雇用EA的離職員工。Zynga指稱EA威脅Zynga將提出訴訟，要求Zynga與之簽訂「不任用協議(no-hire agreement)」，依照該協議EA將不對Zynga提出關於雇用員工的告訴以做為簽約對價。但是EA在今年八月對Zynga的著作權告訴已經打破該協議。事實上依照加州法，禁止離職員工去競爭公司任職是違法的。矽谷這類因為員工到競爭對手任職而引發的法律案件還有蘋果(Apple)以及谷歌(Google)一案，這兩家公司過去曾因為簽訂不挖角協議而遭美國司法部起訴，後來與美國司法部達成和解。EA則表示離職員工抄襲其它EA設計師，Zynga此舉意圖轉移社會及法庭注意力。除了否認EA抄襲的指控，Zynga更表示，沒有任何根據可以說明EA是虛擬人生遊戲的創始者，Zynga的《YoVille》推出時間甚至早於EA的「模擬市民(The Sims Social)」三年。 本案因為矽谷遊戲產業人才的流動性而增加了案件的複雜性，跳脫一般的著作權侵權訴訟，既然離職後到競爭對手任職是可被允許的，那麼產出類似的遊戲產品就更加難以避免，不論是基於自身的創意或者模仿過去共事同仁的創意，「學習」以及「抄襲」之間的界線總是難以劃分，如果本案成立著作權侵權，矽谷遊戲人才在開發設計遊戲時必然需要更加小心謹慎。 圖片來源: Tech Crunch
從歐洲對於侵害第二醫療用途專利之見解評析相關產業之潛在風險從歐洲對於侵害第二醫療用途專利之見解評析相關產業之潛在風險 資訊工業策進會科技法律研究所 法律研究員 方玟蓁 2018年6月19日 壹、背景介紹 新藥開發雖具龐大商機，惟需負擔高成本及高失敗風險，因此出現了「老藥新用」策略，產生出第二醫藥用途藥物。知名個案如威爾剛從治療心血管疾病轉而被廣泛用於治療男性性功能障礙；阿斯匹靈從原本的消炎止痛藥至目前被作為預防冠狀動脈硬化之預防藥。由於許多第二醫藥用途藥物在市場上獲得顯著的成功效益，驅使了許多藥廠投入第二醫藥用途藥物之研發。 然而，我國與多數國家皆有明訂不予專利事由包含人類或動物之治療方法，因此有關醫藥用途之發明專利大多採取瑞士型請求項撰寫型式。瑞士型請求項係於1984年由瑞士聯邦智慧財產局(Swiss Federal Intellectual Property Office)在Bayer案[1]中所提出相對於德國型請求項之見解；瑞士型請求項係指一種「物質或組成物X於製備治療疾病Y之藥物的用途」，德國型請求項則為一種「物質或組成物X於治療Y之用途」；惟因德國型請求項在多數歐洲國家仍被認為屬於治療方法，職是，在2007年以前，瑞士型請求項之撰寫型式廣泛地被歐洲專利審查實務上所採用。我國亦參照歐洲專利審查實務，於2013年版的專利審查基準中認定瑞士型請求項之申請標的係指一種製備藥物方法，非屬人類或動物之治療方法。例如為避免請求項「一種治療疾病Y的方法，其係使用化合物A」或「化合物A用於治療疾病Y的用途」落入法定不予專利範疇，得以瑞士型請求項改寫成「化合物A用於製備治療疾病Y之藥物的用途」，則非屬於法定不予專利之標的；簡言之，為符合專利適格性，我國規範醫療用途發明需使用瑞士型請求項撰寫型式。 2007年12月13日，歐洲專利局施行新制歐洲專利公約(EPC 2000)[2]，明訂第二或後續（second or further）醫藥用途發明可用已知物質或組合物作為專利申請標的；換言之，第二醫藥用途發明之物質或組合物，得以「限定用途之藥物」來申請專利；同前例則可改寫為「用於治療疾病Y的化合物A」。爾後於2010年2月19日，歐洲專利局（EPO）擴大上訴委員會（Enlarged Board of Appeal，簡稱EBA）就涉及老藥新用途的專利案件-G2/08案[3]，提出有關歐洲專利公約(European Patent. Convention，簡稱EPC)第54條第（5）項保護範圍之解釋；G2/08案件的審理受到各國專利局與醫藥界的密切關注，EBA就G2/08案提出：未來藥物用途的瑞士型請求項將不再適用。職此，歐洲專利組織會員國對於第二或後續醫藥用途申請專利範圍之撰寫方式，始從「用途」為標的之瑞士型請求項或德國型請求項，演變至以「物」為標的之用途限定請求項。 過去使用瑞士型請求項主張直接侵害第二醫藥用途專利時，前提須有製造藥物行為；改為用途限定藥物請求項後，是否影響歐洲各國法院有關直接侵害第二醫藥用途專利之判定，成為歐洲各國持續關注議題。雖然目前歐洲各國見解尚未統一，惟近期德國、荷蘭之實務見解，已有加重學名藥廠侵權風險之趨勢，恐將影響未來我國專利審查實務之標的認定，倘若我國學名藥廠欲拓展歐洲市場，亦須留意歐洲各國之實務見解風向。 貳、德國實務見解 德國針對直接侵害第二醫療用途專利之認定已有確立之判例法，德國杜塞爾多夫高級地方法院在最近的判決[4]中更明確定義了直接侵害第二醫療用途專利之要件。 德國過去判例法針對是否侵害第二醫療用途專利係採「清單準備」概念，專利權人須證明疑似侵權人有明確安排或準備行為，且該準備行為之目的係為實現應用藥物於專利保護用途。「清單準備」行為除常見於藥物仿單指示說明內容，其他較顯著情形包括疑似侵權人已提供符合專利治療目的之藥物配製、劑量、或供使用者之即用製劑；惟若僅僅是在廣告傳單中出現一般性描述，或於銷售人員解說時提及可用於專利治療目的，則因無法確定使用者將據此應用在專利保護用途，因此過去德國實務認為營銷傳單及人員宣講不構成明確準備行為[5]。 然而，實際上藥物仿單指示說明書常常未載明有關第二或後續醫藥用途，通稱分割(crave-out)或縮減(skinny)仿單；甚至還能透過營銷傳單、廣告宣講、產品特性概述(Summary of Product Characteristics，簡稱SmPC)[6]、或產品包裝…等外部補充資訊，進而提高藥物被應用於專利治療目的之可能性。鑑此，即使專利治療目的已從藥物仿單指示說明中抽離，惟因外部資訊補充，衍生出交叉(cross)仿單現象，使得疑似侵權人得輕易繞過專利治療目的，增加專利權人舉證之難度。 2017年5月德國杜塞爾多夫高級地方法院(Düsseldorf higher regional court)已特別針對交叉仿單情形，提出可認定直接侵權的要件[7]： (1)藥物在客觀上適用於專利治療用途； (2)供應商利用外部環境之客觀優勢，係以某種「其他方式」，且該「其他方式」與「清單準備」有近似效果，得確保所提供藥物將被用於專利治療目的。 德國杜塞爾多夫高級地方法院之見解似乎擴大了德國先前判例法之「清單準備」認定範圍，連同供應商利用外部環境之客觀優勢行為也一併納入考量。假若外部環境之客觀優勢包含選定保險給付藥物、藥師以低成本藥物進行替代配藥…等情形，未來恐將提高學名藥廠侵害第二醫療用途專利之風險。 參、荷蘭實務見解 荷蘭法院同樣面臨交叉仿單之侵權認定問題。2017年4月，荷蘭最高法院於Sun/Novartis案[8]中確立了直接侵害第二醫療用途專利之評估要件： (1)不論係瑞士型請求項或限定用途藥物請求項之第二醫療用途專利，客觀上可預期或者應該可預見學名藥將有被使用在專利治療目的之意圖； (2)相關領域技術者得根據外部環境資訊，因而相信該學名藥可用於或適合用於專利治療目的； (3)若符合以上情形，那麼學名藥廠須採取合理預防措施，防止學名藥被用於專利治療目的。若僅在SmPC或產品訊息手冊(Product Information Leaflet，簡稱PIL)中抽離專利治療目的資訊，則該預防措施仍有不足。 對照德國法院的見解，荷蘭最高法院認為只要專利權人證明在客觀上可預見學名藥被用於專利治療目的，且相關領域技術人員得經由外部補充資訊取得學名藥可用於專利治療目的之認知，則學名藥廠應採取合理預防措施。荷蘭最高法院也特別強調，若只對醫藥相關法規所列表單作有關專利治療目的之資訊排除，仍然不足以達到合理預防措施之要求。言下之意，未來學名藥廠對於營銷傳單、媒體廣告、人員宣講…等內容亦應避免揭露有關專利治療目的資訊，或可增加警語標示，聲明藥物僅作為不侵害他人專利權使用。 肆、法國實務見解 法國有關直接侵害第二醫療用途專利之認定，除須證明疑似侵權之學名藥物是在法國製造、進口、或出售，尚須證明相關製造商或供應商有提供使用者將藥物用於專利治療目的之意圖[9]，近似於原先德國判例法之「清單準備」概念。因此，關於交叉仿單侵權情形，專利權人在舉證上仍有困難。 伍、總結 歐洲發明專利雖在申請及審查程序上已有歐洲專利局作為統一窗口，惟當專利權發生侵害時，專利權人仍須向歐盟各國法院尋求救濟。為提升訴訟便利性及避免裁判分歧，歐盟規劃整合專利訴訟制度，設立歐洲統合專利法院（The Unified Patent Court，簡稱UPC）。目前已簽屬之歐盟統合專利法院協定(Agreement on a Unified Patent Court)第25條[10]係定義直接侵權行為： (1)製造、提供、於市場販售或使用受專利保護之產品；或為前些目的而進口或儲存受專利保護之產品； (2)使用受專利保護之製程或方法；或者第三方知悉或應該知悉該製程或方法若未經專利權人同意時應被禁止使用，卻提供該製程或方法於該專利權有效締約成員國領土內； (3)作為提供、市場販售、使用、進口或儲存的產品，係直接使用受專利保護之製程或方法所製造。 雖UPC協定目前尚未對於直接侵害第二醫療用途專利態樣作統一規範，惟承本文前述，近年德國法院判決中有關直接侵害第二醫療用途之認定包含供應商利用外部環境之客觀優勢；荷蘭最高法院則認為學名藥廠須採取合理的預防措施，作法不限於將專利治療目的資訊自SmPC或PIL中排除；法國法院目前作法雖仍類似於原先德國判例法之「清單準備」概念，然而依照歐盟簽署UPC協定之意旨，未來恐導向增加相關學名藥之責任風險。有鑑於此，對於有意前往歐洲市場發展之我國學名藥廠需特別留意，避免於公開醫藥資訊或廣宣媒體中提到非屬專利權人授權之第二醫療用途專利訊息。 我國目前仍視瑞士型請求項型式為一種製備藥物方法，唯有當製造商製造藥物且該藥物仿單指示說明書中提及可用於專利治療目的，才有可能構成直接侵害第二醫藥用途專利。惟因我國於2018年1月31日發佈藥事法修正條文，導入專利連結制度，未來新藥藥品許可證所有人若向中央衛生主管機關提報醫藥用途專利，則學名藥藥品許可證申請人，應於申請藥品許可證時，就新藥藥品許可證所有人已核准新藥所登載之醫藥用途專利權，向中央衛生主管機關提出未侵害專利權、專利應撤銷、或專利已消滅之聲明。因此，我國學名藥廠在實際進入我國市場前，尚需留意提出申請查驗之學名藥是否涉及第二醫療用途專利，或可利用分割或縮減仿單方式以降低對第二醫療用途專利之侵權風險。 [1] Hydropyridine X ZB 4/83(BGH)(1984) 2 IIC 215. [2] EPC 2000 article 54(5) Paragraphs 2 and 3 shall also not exclude the patentability of any substance or composition referred to in paragraph 4 for any specific use in a method referred to in Article 53(c), provided that such use is not comprised in the state of the art. [3] G0002/08 (Dosage regime/ABBOTT RESPIRATORY) of 19.2.2010, https://www.epo.org/law-practice/case-law-appeals/recent/g080002ex1.html (last visited June 19, 2018). [4] Oberlandesgericht Düsseldorf, I-2 W 6/17. https://www.justiz.nrw.de/nrwe/olgs/duesseldorf/j2017/I_2_W_6_17_Beschluss_20170505.html(last visited June 19, 2018). [5] Paul England, Infringement of second medical use patents in Europe and the Unified Patent Court Paul England **Email: p.england@taylorwessing.com . Search for other works by this author on: Oxford Academic Google Scholar Journal of Intellectual Property Law & Practice, Volume 11, Issue 6, 426-434, June 1 2016. https://academic.oup.com/jiplp/article-abstract/11/6/426/2378971?redirectedFrom=fulltext (last visited June 19, 2018). [6] 「產品特性摘要文件，主要係依據歐盟2001/83/EC號指令第8(3)(j)條與歐盟第726/2004號法規第6(1)條之要求而提供。前述法規要求醫藥公司在提出藥物上市許可之申請時，必須遵循歐盟2001/83/EC號指令第11條之規定，附加產品特性摘要於申請文件，以供主管機關作為申請核駁之依據」。摘自葉于豪，<歐洲藥物管理局（European Medicines Agency，簡稱EMA）發佈針對準備與審查產品特性摘要（summaries of product characteristics，簡稱SmPCs的指導方針>，2013年3月4日，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=40&d=6012(最後瀏覽日：2018年6月19日) [7] 同註解4。 [8]ECLI:NL:RBDHA:2017:3430.https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBDHA:2017:3430(last visited June 19, 2018). [9]同註解4。 [10] Agreement on a Unified Patent Court, Article 25. https://www.unified-patent-court.org/sites/default/files/upc-agreement.pdf(last visited June 19, 2018).
美國健康保險制度下的個人資料安全保護隱憂為降低美國人民在醫療保險費用的支出，同時加強管理現有的保險產業，同時提供美國人民一更易負擔的醫療保險制度，美國總統歐巴馬自上任以來遂特別加強推動美國健康保險制度，與相關現有醫療保險制度的建置與改革，並於2010年3月23日通過「病患保護與平價醫療法案」（The Patient Protection and Affordable Care Act，本法暱稱Obamacare），並計劃於今（2013）年10月正式啟動上路。 為集中且便利相關機構快速讀取單一個人之相關資訊，Obamacare計畫透過聯邦數據服務樞紐（The Federal Data Services Hub）的建置，彙整目前美國各單一政府單位所保有之全民個人資料，該類資料涵蓋個人醫療、教育、和財務等相關資訊，提供各州政府單位機關有需求時得以讀取。然而，儘管該服務樞紐的用意係為提供更完整的個人資料，然而其卻也因其本身具集中單一個人資料於一身的特性而受到各界的質疑。反對人士認為，由於該服務樞紐彙整龐大單一個人資料，因此若其未建立完善資訊安全機制，而遭受到不肖駭客入侵竊取個人資料的話，所造成的後果將影響甚遠，再加上未來將管理服務樞紐的美國衛生及公共服務部（The Department of Health and Human Services, HHS），遲遲未能讓外界信服其已建立充分的資訊安全保全系統來保障全美國人民的個人資料，因此反對人士對於該服務樞紐對於個人資料安全與隱私的保全能力感到堪慮。 根據美國隱私法（Privacy Act of 1974），美國政府需提供適當的隱私保全機制來保障美國人民的個人資料，同時，美國聯邦資訊安全管理法（Federal Information Security Management Act of 2002）亦要求美國政府需確保美國人民的個人資料不被濫用，故在該二法案的明文要求下，歐巴馬政府於推行Obamacare之際，相關資訊安全保全系統機制仍須符合標準始得合法運作。Obamacare上路在即，歐巴馬政府與相關部會該如何解決個人資料保護問題，其後續發展實值得觀察。