新加坡網路安全局發布人工智慧系統安全指南，以降低AI系統潛在風險
新加坡網路安全局（Cyber Security Agency of Singapore, CSA）於2024年10月15日發布人工智慧系統安全指南（Guidelines on Securing AI Systems），旨在強化AI系統安全，協助組織以安全之方式運用AI，降低潛在風險。 該指南將AI系統生命週期分成五個關鍵階段，分別針對各階段的安全風險，提出相關防範措施：
（1）規劃與設計：提高AI安全風險認知能力，進行安全風險評估。
（2）開發：提升訓練資料、模型、應用程式介面與軟體庫之供應安全，確保供應商遵守安全政策與國際標準或進行風險管理；並辨識、追蹤及保護AI相關資產（例如模型、資料、輸入指令），以確保AI開發環境安全。
（3）部署：適用標準安全措施（例如存取控制、日誌記錄），並建立事件管理程序。
（4）運作與維護：持續監控AI系統的輸入和輸出，偵測異常與潛在攻擊，並建立漏洞揭露流程。
（5）壽命終期：應根據相關行業標準或法規，對資料與模型進行適當之處理、銷毀，防止未經授權之存取。
CSA期待該指南發布後，將有助於預防供應鏈攻擊（supply chain attacks）、對抗式機器學習攻擊（Adversarial Machine Learning attacks）等安全風險，確保AI系統的整體安全與穩定運行。
翁嘉璟
副法律研究員 編譯整理
Guidelines and Companion Guide on Securing AI Systems, Cyber Security Agency of Singapore, https://www.csa.gov.sg/Tips-Resource/publications/2024/guidelines-on-securing-ai (last visited Oct. 27, 2024).
Singapore’s Cyber Security Agency issues security guidelines for AI systems, CMS Law-Now, https://cms-lawnow.com/en/ealerts/2024/10/singapore-s-cyber-security-agency-issues-security-guidelines-for-ai-systems?utm_source=lawnow-realtime&utm_medium=email&utm_campaign=Singapore%e2%80%99s%20Cyber%20Security%20Agency%20issues%20security%20guidelines%20for%20AI%20systems&utm_id=4097&utm_term=read_more&utm_content=697002 (last visited Oct. 27, 2024).
許嘉芳，〈美國國家標準暨技術研究院發布「人工智慧風險管理框架：生成式AI概況」〉，資策會科技法律研究所，2024年10月，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9263&no=64（最後瀏覽日：2024/10/28）。
歐盟法院（Court of Justice of the EU ,CJEU） 於2018年1月23日就Hoffman-La Roche and Others v Autorità Garante della Concorrenzae del Mercato案（Case C-179/16）作出先訴裁定（preliminary ruling）。本案涉及歐盟競爭法和藥品監管體系之間的相互影響。 案例事實為：羅氏藥廠的Avastin，原先為抗癌許可藥物，被臨床發現可用作治療老年性黃斑部病變（AMD），但並未經正式核准用於治療AMD，屬於仿單標示外藥物（off-label drugs）。而Lucentis係諾華藥廠一款獲得正式授權核准，作為治療 AMD的眼內注射藥物。 其中，諾華持有羅氏超過33%的股份，Avastin雖與Lucentis作用機理相似，但Lucentis價格卻相對昂貴，銷售方式由羅氏與諾華合作，諾華可從持股中間接獲得利潤。 兩家藥廠為了影響、降低Avastin的需求量及阻礙其分銷，雙方協議，對外聲稱兩種藥物含有不同活性成分，散布Avastin仿單標示外使用之安全性和有效性存在疑義的不實資訊。 2014年時，義大利競爭法主管機關（Autori tà Garante della Concorrenza e del Mercato, AGCM）認為羅氏和諾華兩大藥廠涉嫌藥品市場壟斷，違反歐盟運作條約（Treaty on the Functioning of the European Union, TFEU）第101（1）條，因而裁罰兩家藥廠。 羅氏和諾華不服裁罰，向義大利Lazio地方行政法院（Regional Administrative Court, Lazio）提起訴訟尋求救濟，遭到駁回；羅氏和諾華繼而向義大利國務委員會（Council of State）提出上訴，義大利國務委員會將此案提交歐盟法院，針對歐盟競爭法的解釋進行先訴裁定。 最後，歐盟法院認為兩藥廠之行為構成藥品市場的限制競爭，違反歐盟運作條約第101條之規定。 法院判決結果認為： 當上市許可藥物（marketing authorization, MA）和仿單標示外藥物皆適用治療同一疾病，只要它們具可替代性和兼容性，並且符合製造和銷售的規定，原則上屬於同一個相關市場。只要滿足其他要件，上市許可藥物並不當然決定相關產品市場的範圍。 非競爭者之間的許可協議可能符合歐盟競爭規則：歐盟法院闡述，這種傳播誤導性資訊的「安排」，目的並非限制任何一方對許可協議的商業自主權，而是為了影響監管機構和醫生等第三方選擇使用Avastin的行為。因此，散播不利於Avastin仿單標示外使用的資訊，此一共同協議，不能被認為是許可協議的附屬部分，係實施協議所必需的。其符合歐盟競爭規則的範圍，作為許可協議中的單獨協議。 雙方協議散布安全誤導性的不實資訊，針對此兩種相互競爭的醫藥產品，可能構成對競爭規則的嚴重違反：諾華與羅氏公司，在科學證據不確定的情形下，聯合對外向歐洲藥品管理局（European Medicines Agency, EMA）、醫療專業人員和公眾宣稱有關使用該仿單標示外藥物將造成不良副作用的誤導性資訊，以減少其對其他產品施加的競爭壓力，構成對「競爭對手」（by object）的限制。尤其令人憂慮的是，企業可能會透過散播資訊來減少藥品本身的競爭壓力，從而誇大使用其他產品將導致不良反應的可能性。
歐盟有條件批准Meta對Kustomer的併購案歐盟執委會於2022年1月27日宣布批准Meta（原Facebook）對Kustomer的併購案。Kustomer公司本身為向企業銷售客戶關係管理（customer relation management, CRM）整合軟體之公司，故本項併購可能影響Meta對消費者資訊的掌握能力，進而提升廣告市場影響力。因之，歐盟執委會基於自去（2021）年8月起深入調查本併購案有無影響公平競爭的結果，作成批准本併購案之決定，但要求Meta應遵守其提出的條件。 依據歐盟執委會的調查結果，主要擔憂本併購案可能阻礙CRM整合軟體之供給市場、以及CRM整合軟體售後客戶服務之供給市場的公平競爭。同時，調查中亦確認到Meta限制Kustomer公司的潛在競爭對手、以及新參與上述市場的業者近用Meta的訊息傳遞路徑應用程式介面（message channel API）。上述潛在競爭對手與業者和Kustomer公司相同，以中小企業為其主要銷售客群。而Meta採取此種經營方式，則可能會劇烈減少CRM整合軟體供給市場、以及CRM整合軟體售後客戶服務供給市場的競爭，導致相關軟體產品或服務的價格上揚，並伴隨品質與創新能量的下降，更可能將之轉嫁予消費者。 對上述調查結果所提出違反公平競爭秩序的疑慮，Meta則提案追加以下約款，作為條件以圖本併購案能夠獲准：（1）Meta保證於10年內，將其訊息傳遞路徑應用程式介面以無償、非歧視的方式，公開予存在競爭關係之客戶服務CRM整合軟體供應商、與新參與市場的業者取用；（2）Kustomer公司之客戶所使用Messenger、Instagram之私人通訊服務，以及WhatsApp之功能未來有進行改良或更新時，Kustomer公司之競爭對手與新進業者同樣得使用該些更新的功能。歐盟執委會最終認為Meta若踐行上述約款，將能消除其違反公平競爭秩序的疑慮，而以Meta履行該些約款為條件批准本併購案。
日本《科學技術指標》日本《科學技術指標》為文部科學省直接管轄之國立實驗研究機關「科學技術與學術政策研究所（NISTEP）」於每年度發布，主要為讓閱讀者基於客觀而定量的數據，體系性地掌握日本國內科學技術活動的基礎資料，將科學技術活動區分為「研究開發費」、「研究開發人才」、「高等教育與科技人才」、「研究開發產出」、以及「科技與創新」等5個類別，同時制定約180個指標以表達日本國內狀況。本年度公布的《科學技術指標2019》，則新增了「日本與美國各部門擁有博士學位者」、「各產業研究人才集中度與高端研究人才活用程度間之關係」、「主要國家取得博士學位之人數的變動狀況」、「運動科學研究類論文動向」、「主要國家貿易額度的變動狀況」、「各國與各類型獨角獸企業數」等20個指標。 依《科學技術指標2019》分析，日本的研究開發費與研究者人數於日、美、俄、法、英、中、韓等七個國家中皆位居第三，論文數則為世界排名第四，受高度矚目的論文數世界排名第九，專利家族（Patent Family）數世界排名第一而與去年相同。就產業的部份，研究者中擁有博士學位者之比例依據產業類型的不同而有所差異，與美國相較，高階人才之實際就業情況未能充分發揮其所學。另一方面，就每一百萬人中有取得博士學位的人數，在各主要國家當中，僅有日本呈現減少的趨勢。
為促進單一數位市場之發展，歐盟展開個人資料保護法規之改革網路和數位科技正急速翻轉我們的世界，建立「歐盟單一數位市場」(EU Digital Single Market)為歐盟執委會的首要優先政策項目之一，發展健全的單一數位市場可為歐盟增加4,150億之經濟成長，創造數以萬計的新工作機會，實現一個充滿活力的知識型社會。然服務的「上網」仍存在一定程度尚未跨越之障礙；根據調查，超過90%的歐洲人擔憂他們所使用的行動應用程式(apps)沒有經過他們的同意即蒐集其個人資料。使用者對網路服務欠缺信任，產業以及政府亦無法充分透過數位科技工具獲益，因此如何提升人民對於網路服務的信任成為歐盟官方當前重要議題。 為解決此問題，歐盟執委會已著手進行個人資料保護法規的改革，針對現行的資料保護法規提出新修法案，主要目標在加強人民於個人資料保護之相關權益，以降低使用者個人隱私遭洩漏的疑慮，此外也將對企業帶來諸多利多。新修法案針對人民權益保障的加強，包括： 1.被遺忘權(A right to be forgotten)：已明文規定於現行歐盟資料保護法規，新修法案將更進一步強化個人被遺忘權的行使－尤其是青少年。對此歐盟理事會表示贊同，但亦強調被遺忘權並非絕對之權利，不應凌駕於言論自由以及新聞自由之上。 2.資料可攜帶權(A right to data portability)：使用者可更輕易的移轉其個人資料於不同的網路服務提供者之間。 3.個資被駭之被告知權：若網路服務提供者發生嚴重個資洩漏事件必須盡快告知主管機關，讓使用者得採取適當措施。 4.個資保護措施優先：強調在服務或產品早期開發階段就應該優先考量個人資料保護措施的設計，取代事後補救的觀念；尤其社交網路服務或行動apps相關服務的開發，隱私默認的設定應為預設之常態。 新修法案也包含多項對相關企業有利之措施，例如： 1.一歐陸一法律：企業在歐盟經濟區域遵行單一之歐盟資料保護法規，而非28國不同法規，預估每年可節省23億歐元之遵法成本。 2.單一監管窗口：整合28國主管機關以建立單一對外監管窗口，讓欲經營歐盟市場的企業與主管機關的交涉能更簡單、有效率。 3.參與歐盟市場之企業皆遵守相同標準法規(European rules on European soil)：依現行歐盟法規，設籍於歐盟境內之企業必須遵守比境外企業更嚴格的法規標準，故新修法案極力建立公平競爭環境，經營歐盟市場之企業不論是否設籍於歐盟皆等同對待。 4.簡化繁文縟節之行政規定：新修法案刪除了企業通知主管機關等不必要之繁文縟節要求，此尤其利於中小企業節省行政成本。 5.免除中小企業進行個資影響評估之責任：除非有明確顯見之風險，始課予中小企業個資影響評估之責任。 歐盟執委會、理事會與議會於2015年6月開始針對資料保護法規新修法案進行三邊協商，預計於2015年底完成最終之協議。