日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險
日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。
隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。
本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下：
1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。
2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。
日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
王柏元
副法律研究員 編譯整理
IPAテクニカルウォッチ「AI利用時のセキュリティ脅威・リスク調査報告書」，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/reports/technicalwatch/20240704.html，最後瀏覽日：2024年8月3日。
AI利用時のセキュリティ脅威・リスク調査調査報告書，独立行政法人情報処理推進機構セキュリティセンター企画部調査グループ，https://www.ipa.go.jp/security/reports/technicalwatch/eid2eo00000022sn-att/report.pdf，最後瀏覽日：2024年8月3日。
近來無人機使用越來越普遍，歐洲各國無人機管理制度不同，例如在德國，無人機不得超過25公斤，英國則規定重量超過20公斤以上的無人機視同一般民航機管理。法國雖禁止飛行器未經核准不得在巴黎上空飛行，但日前頻傳有無人機圍繞著艾菲爾鐵塔、美國大使館、羅浮宮和巴士底獄紀念碑，一度造成恐慌。至於美國，聯邦航空總署（Federal Aviation Administration，FAA）原則上禁止大部份商用無人機飛行，但業者可以申請豁免。 因此，為了統一無人機相關管理辦法，歐洲航空安全局（European Aviation Safety Agency, 以下簡稱EASA）目前已擬管理草案，並將無人機分為三種等級，最低風險無人機是指低耗能飛行器（aircraft），包括模型飛機，該類飛機無須任何形式的證照，只能在操作者視線內且不得在機場與自然保護區使用，其最高飛行高度為150公尺，並禁止在人群上空使用。然而，最高風險無人機管理範圍則將與現行飛行器相關管理規則一樣，必須取得多種飛行證明。此外，無人機帶來的隱私與安全憂慮，EASA表示，這是國家層面議題，例如各國政府可要求無人機上加裝SIM卡的方式解決。 歐盟委員會（European Commission）希望無人機基本規範架構能於今年年底前到位。有關最低風險無人機相關管理草案預計於12月提出，以便業者經營無人機明年可以上路。EASA局長Patrick Ky在一份聲明中表示：「這些規定將確保無人機產業可在安全與可成長的環境下發展。」
從知名髮油商標侵權案看企業商標管理從知名髮油商標侵權案看企業商標管理 科技法律研究所 2014年07月24日 隨著同性質的消費性產品選擇越來越多元，品牌對於消費者而言無疑愈加重要，尤其在未使用過產品、不確定產品品質時，品牌已成為消費者選購產品的重要指標。正因如此，企業無不爭相投入資源經營品牌，提升品牌能見度。然而品牌一旦知名後，仿冒亦如雨後春筍般接連發生，正如最近許多明星加持的護髮產品-摩洛哥優油，疑似於知名連鎖通路出現分身，在現行商標法體制下，商標權人如何主張保護、利用人(產製商、通路商)行為是否構成侵權及應負哪些責任，成為關注焦點，國內許多新聞亦特別報導此判決結果[1]，以下就今年(2014)5月的摩洛哥優油商標仿冒侵權案(智慧財產法院102年度民商訴字第19號民事判決)，進行評析並提供我國企業商標管理作法建議。 壹、事件摘要(編碼請使用手動，以防上傳後格式會跑掉) 原告為產製摩洛哥優油護髮產品的公司，並以「moroccanoil」文字及「特殊藍綠底色配上橘色M字母」包裝積極行銷推廣產品，並於2008年在台灣註冊有「moroccanoil」文字商標[2]及「特殊藍綠底色配上橘色M字母，以及白色moroccanoil文字」平面圖形商標[3]。被告共有三者，產製商、行銷代理商及銷售通路商，被告所產製及銷售的產品包裝是由被告產製商委託他人設計，該包裝主要色調同樣以藍綠色底色搭配橘色M字母，惟於包裝上另有花朵圖案、橘色M字母另有一片綠葉。又被告產品上印有白色字體為「morocco hairoil」，惟另有白色字體「magic」商標及「頂級摩洛哥黃金優油」文字。原告認為被告行為構成商標侵權及不公平競爭，遂提出民事訴訟，請求被告停止侵害並負擔損害賠償。智慧財產法院認為被告行為構成商標侵權，判決被告應即停止侵害商標權行為，並給付原告新臺幣貳佰肆拾貳萬柒仟玖佰壹拾伍元損害賠償。 貳、重點說明 從此判決中主要爭議可分成兩部分。第一，在於被告使用行為是否構成商標使用，並產生混淆誤認的可能，進而構成侵權。第二，原告對於被告侵權請求損害賠償之認定及計算方法。 一、商標使用之定義 行為人於自身產品上標示自有品牌商標外，若於產品上想同時使用他人商標來描述產品成分或性質等，須特別注意使用方式，避免將他人商標作為商標使用。亦即，若整體觀察產品包裝設計、排版位置，他人商標為產品包裝整體之主要顯著部分，則該行為尚難被認定僅係將他人商標作為產品產地、成分等描述性說明，而可能被認定為商標使用行為。故應盡量避免使用他人商標，若有使用他人商標需求時，即便同時有使用自身商標，仍應注意使用他人商標的方式，避免將他人商標作為產品來源之主要識別。 二、商標侵權之認定 是否構成商標侵權，主要判斷相關消費者是否產生混淆誤認之可能。而認定是否產生商標混淆誤認之虞，其中判斷因素之一「商標近似程度」，係以通常消費者施以普通注意、異時異地整體觀察。亦即，將行為人使用的標識和他人商標於不同時間、不同地點分別觀察，且是以消費者一般消費時所施的普通注意力就標識及商標的整體來觀察。故若以前述原則觀察認為兩者近似程度高，縱然將兩者同時同地、相互比對時可發現許多細節差異，仍不影響此商標近似程度之判斷。 三、侵權之故意或過失要件 委託他人設計商標者，擁有實際指示和最終確認他人設計之權限，不得以他人設計為由，認為自身無侵害商標權之故意或過失。此外，銷售通路商雖非自行製造產品者，惟上架銷售前，仍有義務注意其營業是否侵害他人權利，無法完全推諉責任。然而值得注意者，從本案中可發現判斷銷售通路商是否有故意或過失，尚有其他相關事實須綜合考量，例如銷售通路商的企業型態、規模、他人商標於該類產品的識別度或知名度等。 四、損害賠償之計算 本案損害賠償主要牽涉商標法第71條第1項第3款規定[4]。「產品零售價格」應考量現今企業行銷手法，主要仍須觀察「常態」的售價為何。若給予產品較高之定價，再慣常的以折扣後價格實際販售予消費者，則應認折扣後的價格為產品在一般情況零售時之常態價格，而原本定價僅有影響消費心理之作用，不得認定為產品之零售單價。又「查獲數量」應注意數量計算標準，以實際查獲為主，行為人產製的數量、進出口銷售量等皆不得作為數量之計算。 參、事件評析 雖全案仍可上訴，惟對於商標權人、利用人(產製商、銷售通路商)而言，此案就利用人的商標使用行為、商標侵權的認定分析及損害賠償的計算，仍值得我國企業留意。以下就產製商、銷售通路商及商標權人分別提供企業建議： 一、從產製商觀點 委託他人設計商標或產品包裝時，應盡監督之責，並於合約中明定設計成果侵權時之責任負擔。例如於合約中要求設計單位產出的設計成果不得侵害他人權利，若有侵權情事，由設計單位全權負責。此外，產製商若有必要使用他人商標以描述自身產品時，應注意使用方式，避免突顯他人商標，以降低侵權風險。例如於產品型錄正中央放置他人商標且超過2/3版面，僅將自身品牌logo放置於型錄封底的角落處。 二、從銷售通路商觀點 應確認產品來源及產品相關權利狀態，例如產品由誰產製、由何處進口；該產品是否有相關技術受專利權保護：該產品包裝是否侵害他人著作權及商標權等。此外，進貨時應與供應商簽約，明確約定產品侵權之風險分擔。例如產品對外販售時發生商標權人主張侵權、請求損害賠償時，由供應商負擔全額損害賠償，亦或由銷售通路商及供應商按特定比例分擔損害賠償。 三、從商標權人觀點 現今多數國家採商標註冊主義，原則上商標取得註冊後方享有商標權保護。商標權人應於各行銷國家妥善註冊商標並建立仿冒因應機制，定期由專人追蹤商標侵權仿冒情事，並完整蒐集相關證據資料，例如侵權仿冒品及發票或相關購買證明，俾利後續權利的主張，包含商標權侵害的排除、損害賠償的請求。 隨著品牌對市場行銷日益重要，商標侵權仿冒愈趨嚴重，在現行商標法下商標權人、利用人(產製商、通路商)皆應注意法規及實務判決動向，以反映在自身企業管理上，達到有效維權，降低侵權風險的目標。 [1]孫友廉，〈賣山寨髮油，屈臣氏判賠〉，蘋果日報，2014/05/11，http://www.appledaily.com.tw/appledaily/article/headline/20140511/35824255/ (最後瀏覽日：2014/06/15)；〈賣山寨摩洛哥優油，屈臣氏判賠242萬〉，PChome新聞，2014/05/11，http://mypaper.pchome.com.tw/smallfower140508/post/1327780287 (最後瀏覽日：2014/06/15) [2]註冊號01336555。 [3]註冊號01336554。 [4] 「商標權人請求損害賠償時，得就下列各款擇一計算其損害：…三、就查獲侵害商標權產品之零售單價一千五百倍以下之金額。但所查獲產品超過一千五百件時，以其總價定賠償金額。」
印度宣布將推出數位印度法案取代過時的資訊科技法印度電子及資訊科技部（Ministry of Electronics and Information Technology, MeitY）於2023年3月展開了一次公開諮詢和協商，介紹了印度政府以創建印度數位技術生態系統為目的而建構的法律新框架，該框架以《數位印度法案》（Digital India Act）為核心，用來取代已有22年歷史的《資訊科技法》（Information Technology Act）。MeitY強調，現行資訊科技法的創立時代背景中不僅缺乏電子商務、社交媒體平台等現代網路服務，甚至印度還未進入數位化時代，因此有必要進行通盤的法規調整，以符合當代和未來的社會變遷和對法規範的需求。 目前《數位印度法案》的草案細節尚未公布，但是MeitY的介紹揭露印度在未來政策中所重視的幾個方向： 1.新的中介類別：重新定義數位經濟產業中的中介機構類別（如數位媒體、搜尋引擎、遊戲、人工智慧、OTT平台、電信服務業者……等），並依據未來的技術發展及產業轉型，適時的調整新的分類。 2.網路犯罪刑事化：將網路犯罪（如網路色情、詐騙、霸凌、身分冒用或未經授權散播個人資料）歸類為刑事犯罪；過去的資訊科技法僅對此類行為予以罰款。 3.問責機制：建立一個線上的民刑事檢舉、審判機構，並且提供方便使用者採取權利救濟措施的線上管道；另外印度政府也將涉及演算法透明度（algorithmic transparency）、人工智慧的定期風險評估（periodic risk assessments）等評估機制納入監管項目的考量中。以建立網路用戶的權利救濟措施及數位服務者提供服務過程中的責任釐清。 4.防壟斷機制：提出開放網路（Open Internet）的概念，認為網路服務應該是具有選擇性的、容許競爭的、多樣性的，在確保網路服務的多樣性和非歧視性及非壟斷性的前提下運作；印度政府希望能夠監理佔有主導地位的廣告平台和應用程式平台，防止市場力量過度集中造成壟斷。 5.年齡門檻：對於未成年人在社交平台、遊戲和賭博程式中的資訊蒐集、資訊安全和隱私保護加以規範，並且避免以鎖定未成年人為對象的資料蒐集機制。 除了以上五點外，MeitY在介紹《數位印度法案》時也表示為了應對現今數位化時代的發展，並且確保公民的權利保障延伸到數位世界中，將承認被遺忘權（right to be forgotten）、不受歧視權（right against discrimination）和數位繼承權（right to digital inheritance）等數位時代中發展出來的權利。另外，將「推動公私部門及個人於使用數位資訊時的相關規範」以及「保護個人資料的資料保護法案」等議題做為評量指標，以做為規劃印度國家數位治理時的重要考量。這些方針都揭示了印度正在試圖踏上更有規模、更安全且可信賴的數位生態系統建置之路，《數位印度法案》的相關發展細節值得再持續關注。
JD SUPRA研析發布企業員工營業秘密管理戰略根據JD SUPRA於2022年4月29日研析美國Bay Fasteners & Components, Inc. v. Factory Direct Logistics, Ltd.案例，並刊出「制定全面性的營業秘密戰略」一文指出，員工的入職和離職是企業營業秘密糾紛產生的主要風險之一。企業在僱用員工時須避免營業秘密的污染和竊取。員工離職時，企業應採取離職面談與提醒，以防止離職員工洩露營業機密。以下針對員工入職、員工離職兩個情形，整理建議企業應採取之對策。 員工入職時，為避免新員工帶來任何營業秘密的污染，企業應教育新進員工保護前雇主營業秘密的重要性、如何將營業秘密從know-how區分出來，或是要求員工證明他們不會透露與持有前雇主的機密資訊或任何非公開資訊。然而，為保護企業的營業秘密不被員工竊取，最直接的方法是使用契約中的保密協議、競業禁止條款進行約束，作為保護企業的證據。 離職面談是防止離職員工向未來雇主揭露企業營業秘密的有效方法。在離職面談時，企業應提供員工入職時所簽訂的保密協議條款與相關任職期間的協議約定，並要求離職員工簽屬確認書證明已被告知應遵守的營業秘密內容範圍及其所負義務，同時企業應記錄離職面談過程的內容。若知悉離職員工未來任職公司，建議以信件通知該公司提醒應尊重彼此的營業秘密。此外，企業在得知員工要離職時，應指示IT部門確認員工電腦登錄及下載歷史紀錄是否有洩漏營業秘密之可疑活動，例如大量讀取文件、使用非公司的IP登入。員工離職後，IT部門應盡快停用該離職員工相關帳號權限，同時考慮資料備份，即使沒有檢測到可疑的活動，也建議備份員工的設備使用狀況和帳號log紀錄，以作為日後面臨爭訟時之證據。 本文同步刊登於TIPS網站（https://www.tips.org.tw）