日本發布利用AI時的安全威脅、風險調查報告書，呼籲企業留意利用AI服務時可能造成資料外洩之風險
日本獨立行政法人情報處理推進機構於2024年7月4日發布利用AI時的安全威脅、風險調查報告書。
隨著生成式AI的登場，日常生活以及執行業務上，利用AI的機會逐漸增加。另一方面，濫用或誤用AI等行為，可能造成網路攻擊、意外事件與資料外洩事件的發生。然而，利用AI時可能的潛在威脅或風險，尚未有充分的對應與討論。
本調查將AI區分為分辨式AI與生成式AI兩種類型，並對任職於企業、組織中的職員實施問卷調查，以掌握企業、組織於利用兩種類型之AI時，對於資料外洩風險的實際考量，並彙整如下：
1、已導入AI服務或預計導入AI服務的受調查者中，有61%的受調查者認為利用分辨式AI時，可能會導致營業秘密等資料外洩。顯示企業、組織已意識到利用分辨式AI可能帶來的資料外洩風險。
2、已導入AI利用或預計導入AI利用的受調查者中，有57%的受調查者認為錯誤利用生成式AI，或誤將資料輸入生成式AI中，有導致資料外洩之可能性。顯示企業、組織已意識到利用生成式AI可能造成之資料外洩風險。
日本調查報告顯示，在已導入AI利用或預計導入AI利用的受調查者中，過半數的受調查者已意識到兩種類型的AI可能造成的資料外洩風險。已導入AI服務，或未來預計導入AI服務之我國企業，如欲強化AI資料的可追溯性、透明性及可驗證性，可參考資策會科法所創意智財中心所發布之重要數位資料治理暨管理制度規範；如欲避免使用AI時導致營業秘密資料外洩，則可參考資策會科法所創意智財中心所發布之營業秘密保護管理規範，以降低AI利用可能導致之營業秘密資料外洩風險。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
王柏元
副法律研究員 編譯整理
IPAテクニカルウォッチ「AI利用時のセキュリティ脅威・リスク調査報告書」，独立行政法人情報処理推進機構，https://www.ipa.go.jp/security/reports/technicalwatch/20240704.html，最後瀏覽日：2024年8月3日。
AI利用時のセキュリティ脅威・リスク調査調査報告書，独立行政法人情報処理推進機構セキュリティセンター企画部調査グループ，https://www.ipa.go.jp/security/reports/technicalwatch/eid2eo00000022sn-att/report.pdf，最後瀏覽日：2024年8月3日。
2024年2月，日本專利廳根據公開招募結果，公布將由一般社團法人發明推進協會執行令和6年度的「產業財產權人才培養協力事業」。 日本自2021年起開始推動「產業財產權人才培養協力事業」，至今年已邁入第4年，且自2024年起預計於南非共和國開設新的專利審查實務課程，以提升南非共和國專利審查官的必要能力。 「產業財產權人才培養協力事業」主要針對日本企業進行海外經濟投資及活動熱門的發展中國家（包含新興國家以及最低度開發國家LDC），提供積極性的人才培養支援，並以強化該國家能安定培養智慧財產相關權利取得與執行的實施人才為目的。在法制整備較為落後的最低度開發國家如柬埔寨，人才培養強化支援的範圍亦包含產業財產權制度的整備。人才培養的對象以智慧財產廳的職員、取締機關的職員以及民間的智慧財產關係業者為重點，透過提升其對於智慧財產權的能力，解決日本企業為在外國取得產業財產權的權利保護需要花費大量時間、日本企業的產業財產權在外國受到侵害的案件逐年增加等問題，以消除日本企業在外國進行經濟投資及活動時的巨大妨礙。 日本專利廳亦針對研修方針下列事項提出建議： 1、消除發展中國家審查延遲的對應方針 於研修中透過增加案例閱讀、資料尋找演習等的講義時間，提升尋找能力及判斷能力；並透過學習日本的IT系統、業務處理過程，提升系統面的支援能力。 2、提升發展中國家審查品質的方針 透過學習日本的基準、判斷手法提升審查、審判的品質；並透過學習日本的管理手法，提升審查品質管理能力。 3、仿冒品對策的對應方針 透過介紹以日本及各國事例為基礎的支援，加深對於仿冒品對策的理解；並透過增加與實施健全執法相關聯的講義時間，加深對於仿冒品對策的一般理解。 4、建構更有效果的研修方法的對應方針 透過設置課程全體的導師制度（mentor），提升研修效果的同時，有效活用「線上」及「實體」連續性的混合研修方法，並透過於實體研修中實施團體討論、在職訓練（OJT）、案件閱讀、模擬裁判（Mock Trial）等，提升實踐能力。 本文後續會持續留意日本「產業財產權人才培養協力事業」的發展，以掌握日本對於發展中國家支援的最新資訊。我國企業如未來預計於發展中國家進行經濟投資或活動時，亦應注意該國智慧財產權之程度，以評估相關風險。 本文同步刊登於TIPS網（https://www.tips.org.tw）
法國CNIL認Google於Gmail中投放之偽裝廣告及個人化廣告因欠缺當事人有效同意而違法，開罰3.25億歐元法國國家資訊與自由委員會（Commission Nationale de l’Informatique et des Libertés, CNIL）於2025年9月1日針對一起由歐洲數位權利中心（noyb - The European Center for Digital Rights）提出的申訴做成決議，指Google未經Gmail使用者同意，將廣告偽裝為電子郵件進行「偽裝廣告」（Disguised Ads）投放，以及在對Gmail使用者投放個人化廣告前，未能於Gmail帳號申請流程中提供當事人提供較少cookies、選擇非個人化之通用廣告（generic ads）的選項，違反了《電子通訊法》（code des postes et des communications électroniques）與《資訊與自由法》（loi Informatique et Libertés）中關於歐盟《電子隱私指令》（ePrivacy Directive）之施行規定，對Google裁處了3.25億歐元的罰鍰，並要求改善。以下節錄摘要該裁決之重點： 一、 偽裝成電子郵件的偽裝廣告與電子郵件廣告均須獲當事人同意始得投放 歐盟《電子隱私指令》第13條1項及法國《電子通訊法》規定，電子郵件直接推銷（direct marketing）僅在其目標是已事先給予同意的使用者時被允許。CNIL，依循歐盟法院（CJEU）判例法（C-102/20）見解，認為若廣告訊息被展示在收件匣中，且形式類似真實電子郵件，與真實電子郵件相同位置，則應被認為是電子郵件直接推銷，須得到當事人之事前同意。因此，CNIL認定偽裝廣告即便技術上不是狹義的電子郵件，僅僅因其在通常專門用於私人電子郵件的空間中展示，就足以認為這些廣告是透過使用者電子郵件收件匣傳遞的廣告，屬於電子郵件廣告，而與出現在郵件列表旁邊且獨立分開的廣告横幅不同，後者非屬電子郵件廣告。 二、 Cookie Wall下當事人的有效同意：「廣告類型」的選擇、服務申請流程的隱私設計與資訊透明 CNIL參酌歐盟個人資料保護委員會（European Data Protection Board, EDPB）第2024/08號關於「同意與付費模式」意見，認為同意接受廣告在特定條件下得作為使用Gmail服務的條件。換言之，以「cookie wall」（註：拒絕cookie的蒐集即無法獲得服務之網站設計）取得之當事人「同意」，非當然不自由或無效。CNIL認為，在免費服務的框架下，cookie wall在維持提供服務與服務成本之間的經濟平衡上，要求服務申請者須接受投放廣告的cookie是合法的。惟CNIL認為，這不代表Google可以任意決定所蒐集的cookies和相應廣告模式的類型。 CNIL要求，當事人在cookie wall的框架內仍應享有選擇自由，才能取得蒐集為投放個人化廣告之cookies的當事人有效同意，亦即：在個人化廣告處理更多個資和對當事人造成更多風險的情況下，當事人應被給予機會選擇「等值的替代選項」，亦即通用廣告，並完全且清晰地了解其選擇的價值、範圍及後果。 然而，CNIL發現，Google將與廣告個性化相關的cookies拒絕機制設計得比接受機制更複雜，實際上阻礙了使用者拒絕隱私干預程度更高的cookies。這種拒絕途徑偏袒了允許個人化廣告的cookies的同意，從而影響了當事人的選擇自由。CNIL也發現，Google從未以明確方式告知使用者建立Gmail帳戶時面臨cookie wall，以及對此使用者享有甚麼選擇，而其提供的資訊更引導使用者選擇個人化廣告，導致選擇一般廣告的機會遭到犧牲。 三、 為何不是愛爾蘭資料保護委員會（Data Protection Commission, DPC）管轄？ GDPR設有「單一窗口機制」，依據該合作機制，對Google進行的GDPR調查，應由作為主任監管機關（Lead Supervisory Authority）的愛爾蘭DPC管轄。惟在本案，CNIL認為並不適用於單一窗口機制。因為與cookies使用及電子推銷相關的處理並非屬於GDPR範疇，而是適用電子隱私指令，CNIL對法國境內的cookies使用及電子推銷處理享有管轄權。此爭議反映出即便GDPR旨在確保標準化單一市場內的數位管制，但尚不足以弭平成員國間監管強度之差異。
全美各州醫療委員會聯合會發布人工智慧（AI）治理指引，並要求醫師為AI之利用結果負最終責任全美各州醫療委員會聯合會（The Federation of State Medical Boards, FSMB）於2024年4月發布「引導人工智慧以負責任與符合倫理方式融入臨床實務」（Navigating the Responsible and Ethical Incorporation of Artificial Intelligence into Clinical Practice）指引，明確概述醫師於利用AI協助提供照護時可採取之步驟，以履行其倫理與專業職責，期能藉此降低對患者造成傷害之風險；本指引之特色在於，其要求醫師為AI之利用結果負最終之責任。 FSMB 向各州醫療委員會與其他利害關係人所提供之原則與建議如下，以支持對包含AI之臨床照護進行負責任與符合倫理之監管： （1）透明度與揭露（Transparency and Disclosure）： 應要求維持於醫療照護領域使用AI之透明度；各州醫療委員會應制定明確之指導方針，向患者揭露AI之使用情況，其有助於患者與醫師之理解，但不會造成不必要之行政負擔；FSMB 應制定文件，詳細說明最常用之AI工具之功能與局限性，以協助醫療委員會發揮監管者之角色，並應制定常見問題與最佳實務文件，作為提供照護時利用AI方面關於透明度之資源。 （2）教育與理解（Education and Understanding）： FSMB及其於醫學教育界之合作夥伴，應為醫師、醫療委員會與患者，確認有關醫療照護中AI之結構化教育資源，該等資源應包括協助瞭解AI如何運作、其優點、潛在風險以及對患者照護之影響。 （3）負責任之使用與問責（Responsible Use and Accountability）： 開發人員應協助醫師瞭解何時、以及如何於患者之照護中利用AI工具；選擇AI工具支援臨床決策之醫院系統、保險公司或其他機構應向醫師提供有關AI工具之教育、存取各工具之性能報告，並應設計一個定期檢視工具功效的流程；AI工具應以得使各州醫療委員會能稽核與理解之方式設計，以便適當評估依賴工具輸出結果之醫師是否偏離照護標準（standard of care）；FSMB 應支持各州醫療委員會針對臨床醫師如何負責任、可問責地使用AI之解釋。 （4）公平性與近用（Equity and Access）： 應努力確保所有患者皆能公平地近用AI帶來之好處；FSMB與各州醫療委員會致力於以下原則：醫療人員所提供之照護是公平的、且不受基於種族、民族或其他形式歧視之偏見影響；FSMB應與其他利害關係人一起理解並解決演算法偏差問題。 （5）隱私與資料安全（Privacy and Data Security）： AI工具之開發者必須實施嚴格之保護措施，以保護AI開發與評估時所利用之患者資料，通常情況下應告知患者資料如何被利用，且FSMB應與行業利害相關人一起制定AI系統使用與散布患者資料之政策，包括針對AI開發或評估中使用之患者資料之最低資料保護措施。 （6）監督與監管（Oversight and Regulation）： 各州醫療委員會必須保留對於提供醫療服務時，不當應用AI工具之醫生進行紀律處分之權力，其包括問責議題之考慮，特別是當AI系統變得更加自主時；各州醫療委員會應審查其管轄範圍內如何對「醫療行為」（practice of medicine）進行法律定義，以確保對提供醫療照護、人力或其他方面進行持續之監管監督。 （7）法律法規之持續審查與調整（Continual Review and Adaptation of Law and Regulations）： 各州醫療委員會應在FSMB之支持下，隨著AI之不斷發展，持續檢視與更新與AI相關之指引與法規；政策制定者應考慮AI對基本法律原則的影響，例如醫療行為之定義以及AI對企業醫學實務之影響；FSMB 應建立一個專門團隊，持續檢視與調整AI指引與法規。 本指引指出，AI工具通常無能力取代醫師之專業判斷、道德責任或對州醫療委員會之責任，醫療行為中之關鍵職業責任始終為確保診斷、臨床決策與建議不存在偏差。與用於診斷或治療疾病之任何其他工具或鑑別方法相同，醫療專業人員有責任確保基於證據結論之準確性與真實性，因此於將AI系統用於患者照護前，醫師應以合理努力識別與解決偏差（如虛假或不準確之資訊等）。