美國勞工部發布「人工智慧及勞工福祉：開發人員與雇主的原則暨最佳實務」文件，要為雇主和員工創造雙贏
美國勞工部（Department of Labor）於2024年10月發布「人工智慧及勞工福祉：開發人員與雇主的原則暨最佳實務」（Artificial Intelligence and Worker Well-Being: Principles and Best Practices for Developers and Employers）參考文件（下稱本文件）。本文件係勞工部回應拜登總統2023年在其《AI安全行政命令》（Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence）中對勞工的承諾，作為行政命令中承諾的一部分，本文件為開發人員和雇主制定如何利用人工智慧技術開展業務的路線圖，同時確保勞工可從人工智慧創造的新機會中受益，並免受其潛在危害。
本文件以八項AI原則為基礎，提出最佳實踐作法，其重點如下。
1. 賦予勞工參與權（empowering workers）：開發人員和雇主履行各項原則時，應該秉持「賦予勞工參與權」的精神，並且將勞工的經驗與意見納入AI系統整個生命週期各環節的活動中。
2. 以合乎倫理的方式開發AI系統：開發人員應為AI系統建立標準，以利進行AI系統影響評估與稽核，保護勞工安全及權益，確保AI系統性能符合預期。
3. 建立AI治理和人類監督：組織應有明確的治理計畫，包括對AI系統的人類監督機制與定期評估流程。
4. 確保AI使用透明：雇主應事先告知員工或求職者關於AI系統之使用、使用目的及可能影響。雇主及開發人員應共同確保以清晰易懂的方式公開說明AI系統將如何蒐集、儲存及使用勞工的個資。
5. 保護勞工和就業權利：雇主使用AI系統時，除應保障其健康與安全外，不得侵犯或損害勞工的組織權、法定工資和工時等權利。
6. 使用AI以提升勞工技能（Enable Workers）：雇主應先了解AI系統如何協助勞工提高工作品質、所需技能、工作機會和風險，再決定採用AI系統。
7. 支援受AI影響的勞工：雇主應為受AI影響的勞工提供AI技能和其他職能培訓，必要時應提供組織內的其它工作機會。
8. 負責任使用勞工個資：開發人員和雇主應盡責保護和處理AI系統所蒐集、使用的勞工個資。
沈娟娟
法律研究員 編譯整理
U.S. DEPARTMENT OF LABORARTIFICIAL, Intelligence And Worker Well-being: Principles And Best Practices For Developers And Employers,
https://www.dol.gov/general/AI-Principles (last visited Oct. 24, 2024).
White House, Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (Oct. 30, 2023),https://www.whitehouse.gov/briefing-room/presidential-actions/2023/10/30/executive-order-on-the-safe-secure-and-trustworthy-development-and-use-of-artificial-intelligence/ (last visited Oct. 24, 2024).
據猶他州政府檔案存取及管理法（the Government Records Access and Management Act，簡稱GRAMA），該州選民註冊資料及投票歷史紀錄檔案屬於得公開資訊，據此，猶他州民得給付1,050元美金並填寫申請表，向政府申請取得全州選民數據庫之資料。 上開法令作為申請之依據，UTvoters.com創辦人Tom Alciere透過向該州政府申請並取得該州選民資訊後，建置該網站。透過該網站系統，任何人可查詢該州選民選舉資料。Tom Alciere指出，倘選民認為他們資訊被公布網站上並不合理，他們可以要求移除網站上的資訊，但這些資訊仍被記錄在該州數據庫中，且仍可被公開取得。 該州負責選舉主任委員Mark Thomas指出，倘能證明自身安全因資料遭公開而陷入危險，或具有某些情況如屬政府官員（例如州市長或參議員）等資料，基於安全考量，得移除數據庫之資料。 該州選民認為他們資料如同信用卡被竊一般的遭到洩漏，且不應被公開於網路；該州參議員Karen Mayne亦認為該不合理制度須做改變，政府一方面應鼓勵民眾參與投票，但非在過程中犧牲與公開選民的個人資料。 相關修正案之建議，限制該類資料僅能作為「政治」上的使用，且應排除與網路連結。若違反，則將面臨6個月以上有期徒刑及1,000美元以上之罰金。
文創法定義文創產業的目的或許因為一般人對於文創就是有品味不俗的印象，因此許多東西都掛上「文創」，像是文創的蛋糕、肥皂、餐廳，甚至是文創夜市。以致於從文創法立法施行以來，什麼是文創、文創事業、文創產業的爭議從無間斷。每一陣子就有中央與地方、立委與主管機關為文化創意產業園區是不是過度向營利與娛樂傾斜、誰可以進駐文創園區的問題爭執不下。根據我國文化創意產業發展法的定義，文化創意產業指源自創意或文化積累，透過智慧財產之形成及運用，具有創造財富與就業機會之潛力，並促進全民美學素養，使國民生活環境提升產業。該法除了例示視覺藝術、音樂及表演藝術產業、文化資產應用及展演設施等十五項產業別外，同時加上可由中央主管機關指定納入特定產業。既然文創法已經定義並列出文創產業，為何需要再賦予中央主管機關可指定的彈性？ 其實我國目前與文化相關的法規主要有「文化資產保存法」、「文化藝術獎助條例」及「文化創意產業發展法」，前二者的重點在於文化藝術的保存和發展，至於文創法則很明顯的不同於前二者，其主要區別在於發展「產業」。文化當然是它必要元素，但文化的保存與發展應由前二者來承擔，文創法並非不必考量文化發展，因為文化是它的基石，但它的立法初衷並非發揚、促進文化，而是透過文化的創意運用產生獲利，透過營收挹注提供再次文化創造的正向循環。觀諸我國於108年6月5日公布、揭示文化政策最高指導原則的文化基本法，該法第15條明定──「國家應促進文化經濟之振興，致力「以文化厚實經濟發展」之基礎…」，其實已忠實反映政府的文化經濟推動理念，映證文化創意產業發展法目的是運用文化創造經濟效益。不論是產業的文化化與文化的產業化，所有產業只要能運用文化創意創造或提升價值，就是它的標的。因此，文化創意產業在既有文化、又是產業，廣泛跨界且有無限可能的情況下，必須在適用對象上保有政策扶植的彈性。 既然文創法的立法目的在於透過文化的創意運用產生獲利，則文創法所要扶植的對象、標的，就是有以文創產品或服務獲利潛力的相關事業，它的宗旨「錦上添花」而非「雪中送炭」，標的是有獲利潛力的文創產品或服務，對象是相關生產提供的事業。那什麼是生產提供文創產品或服務的文創產業？從文創產業的字面意義，可知道它必須有文化、創意、產業三個元素，但它是文化產業、創意產業、文化與創意產業，亦或是文化創意產業？這三個元素是交集、還是聯集？這個問題，有人從本質或其他國家的定義來討論，但文創產業的定義，涉及的並非只是是否符合社會認知、邏輯性、合理性，而是政府的產業扶助資源的分配對象，它決定了誰「有機會」獲得政府的獎補助、甚至租稅優惠（當然資源有限，即使已認定是文創事業，也不是不一定就會有，申請資格要件本即可再做限制）。 那麼什麼是文化創意產業，答案就呼之欲出了。不管是產業文化化或文化產業化，不論是蛋糕、肥皂、餐廳，甚至是夜市，只要其產品或服務係能運用文化元素來創造或提昇附加價值，它就是屬於文化創意產業。或者我們應該更精確的說，並沒有所謂的文化創意產業，政府要推動、發展的是文創經濟而非特定產業。所以對文創產業的定義與範圍界定應該是原則性、建立認定要件、盡可能開放彈性的，而非採取逐一條列的形式且可配合政策需求涵括其支援或相關連的產業。所以，是否不應什麼東西都可以掛上「文創」、文化創意產業園區不應向營利與娛樂傾斜、不應有「其他」經指定文創產業、創意生活不應是文創產業？在下定論之前，我們應該要思考的並非是否符合文創產業定義這種形式上的爭論，而是我們為什麼要發展文創產業？發展什麼文創產業？
我國去識別化實務發展－「個人資料去識別化過程驗證要求及控制措施」我國關於個人資料去識別化實務發展 財團法人資訊工業策進會科技法律研究所 2019年6月4日 壹、我國關於個人資料去識別化實務發展歷程 我國關於個資去識別化實務發展，依據我國個資法第1條立法目的在個資之隱私保護與加值利用之間尋求平衡，實務上爭議在於達到合理利用目的之個資處理，參酌法務部103年11月17日法律字第10303513040號函說明「個人資料，運用各種技術予以去識別化，而依其呈現方式已無從直接或間接識別該特定個人者，即非屬個人資料，自非個資法之適用範圍」，在保護個人隱私之前提下，資料於必要時應進行去識別化操作，確保特定個人無論直接或間接皆無從被識別；還得參酌關於衛生福利部健保署資料庫案，健保署將其所保有之個人就醫健保資料，加密後提供予國衛院建立健保研究資料庫，引發當事人重大利益爭議，終審判決（最高行政法院106年判字第54號判決）被告（即今衛福部）勝訴，法院認為去識別化係以「完全切斷資料內容與特定主體間之連結線索」程度為判準，該案之資料收受者（本案中即為衛福部）掌握還原資料與主體間連結之能力，與健保署去識別化標準不符。但法院同時強調去識別化之功能與作用，在於確保社會大眾無法從資料內容輕易推知該資料所屬主體，並有提到關於再識別之風險評估，然而應採行何種標準，並未於法院判決明確說明。 我國政府為因應巨量資料應用潮流，推動個資合理利用，行政院以推動開放資料為目標，104年7月重大政策推動會議決議，請經濟部標檢局研析相關規範（如CNS 29191），邀請相關政府機關及驗證機構開會討論，確定「個人資料去識別化」驗證標準規範，並由財政部財政資訊中心率先進行去識別化驗證；並以我國與國際標準(ISO)調和之國家標準CNS 29100及CNS 29191，同時採用作為個資去識別化驗證標準。財政部財政資訊中心於104年11月完成導航案例，第二波示範案例則由內政部及衛生福利部（105年12月通過）接續辦理。 經濟部標準檢驗局目前不僅將ISO/IEC 29100:2011「資訊技術－安全技術－隱私權框架」(Information technology – Security techniques – Privacy framework)、ISO/IEC 29191:2012「資訊技術－安全技術－部分匿名及部分去連結鑑別之要求事項」(Information technology – Security techniques – Requirements for partially anonymous, partially unlinkable authentication)，轉換為國家標準CNS 29100及CNS 29191，並據此制訂「個人資料去識別化過程驗證要求及控制措施」，提供個資去識別化之隱私框架，使組織、技術及程序等各層面得整體應用隱私權保護，並於標準公報(107年第24期)徵求新標準之意見至今年2月，草案編號為1071013「資訊技術－安全技術－個人可識別資訊去識別化過程管理系統－要求事項」(Management systems of personal identifiable information deidentification processes – Requirements)，主要規定個資去識別化過程管理系統(personal information deidentification process management system, PIDIPMS)之要求事項，提供維護並改進個人資訊去識別化過程及良好實務作法之框架，並適用於所有擬管理其所建立之個資去識別化過程的組織。 貳、個人資料去識別化過程驗證要求及控制措施重點說明 由於前述說明之草案編號1071013去識別化國家標準仍在審議階段，因此以下以現行「個人資料去識別化過程驗證要求及控制措施」（以下簡稱控制措施）[1]說明。 去識別化係以個資整體生命週期為保護基礎，評估資料利用之風險，包括隱私權政策、隱私風險管理、隱私保護原則、去識別化過程、重新識別評鑑等程序，分別對應控制措施之五個章節[2]。控制措施旨在使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊(personal identifiable information, PII)進行去識別化之過程。再就控制措施對應個人資料保護法（下稱個資法）說明如下：首先，組織應先確定去識別化需求為何，究係對「個資之蒐集或處理」或「為特定目的外之利用」（對應個資法第19條第1項第4、5款）接著，對應重點在於「適當安全維護措施」，依據個資法施行細則第12條第1項規定，公務機關或非公務機關為防止個資被竊取、竄改、毀損、滅失或洩漏，採取技術上及組織上之措施；而依據個資法施行細則第12條第2項規定，適當安全維護措施得包括11款事項，並以與所欲達成之個資保護目的間，具有適當比例為原則。以下簡要說明控制措施五大章節對應個資法： 一、隱私權政策 涉及PII處理之組織的高階管理階層，應依營運要求及相關法律與法規，建立隱私權政策，提供隱私權保護之管理指導方針及支持。對應個資法施行細則第12條第2項第5款適當安全維護措施事項「個人資料蒐集、處理及利用之內部管理程序」，即為涉及個資生命週期為保護基礎之管理程序，從蒐集、處理到利用為原則性規範，以建構個資去識別化過程管理系統。 二、PII隱私風險管理過程 組織應定期執行廣泛之PII風險管理活動並發展與其隱私保護有關的風險剖繪。直接對應規範即為個資法施行細則第12條第2項第3款「個人資料之風險評估及管理機制」。 三、PII之隱私權原則 組織蒐集、處理、利用PII應符合之11項原則，包含「同意及選擇原則」、「目的適法性及規定原則」、「蒐集限制原則」、「資料極小化原則」、「利用、保留及揭露限制」、「準確性及品質原則」、「公開、透通性及告知原則」、「個人參與及存取原則」、「可歸責性原則」、「資訊安全原則」，以及「隱私遵循原則」。以上原則涵蓋個資法施行細則第12條第2項之11款事項。 四、PII去識別化過程 組織應建立有效且周延之PII去識別化過程的治理結構、標準作業程序、非預期揭露備妥災難復原計畫，且組織之高階管理階層應監督及審查PII去識別化過程之治理的安排。個資法施行細則第17條所謂「無從識別特定當事人」定義，係指個資以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者，組織於進行去識別化處理時，應依需求、風險評估等確認注意去識別化程度。 五、重新識別PII之要求 此章節為選驗項目，需具體依據組織去識別化需求，是否需要重新識別而決定是否適用；若選擇適用，則保留重新識別可能性，應回歸個資法規定保護個資。 參、小結 國際上目前無個資去識別化驗證標準及驗證作法可資遵循，因此現階段控制措施，係以個資整體生命週期為保護基礎，評估資料利用之風險，使組織能建立個資去識別化過程管理系統，以管理對其所控制之個人可識別資訊進行去識別化之過程，透過與個資法對照個資法施行細則第12條規定之安全維護措施之11款事項，內化為我國業者因應資料保護與資料去識別化管理制度。 控制措施預計於今年下半年發展為國家標準，遵循個資法與施行細則，以及CNS 29100、CNS 29191之國家標準，參照國際上相關指引與實務作法，於技術上建立驗證標準規範供產業遵循。由於國家標準無強制性，業者視需要評估導入，仍建議進行巨量資料應用等資料經濟創新業務，應重視處理個資之適法性，建立當事人得以信賴機制，將有助於產業資料應用之創新，並透過檢視資料利用目的之合理性與必要性，作為資料合理利用之判斷，是為去識別化治理之關鍵環節。 [1] 參酌財團法人電子檢驗中心，個人資料去識別化過程驗證，https://www.etc.org.tw/%E9%A9%97%E8%AD%89%E6%9C%8D%E5%8B%99/%E5%80%8B%E4%BA%BA%E8%B3%87%E6%96%99%E5%8E%BB%E8%AD%98%E5%88%A5%E5%8C%96%E9%81%8E%E7%A8%8B%E9%A9%97%E8%AD%89.aspx（最後瀏覽日：2019/6/4） 財團法人電子檢驗中心網站所公告之「個人資料去識別化過程自評表_v1」包含控制措施原則、要求事項與控制措施具體內容，該網站並未公告「個人資料去識別化過程驗證要求及控制措施」，故以下整理係以自評表為準。 [2] 分別為「隱私權政策」、「PII隱私風險管理過程」、「PII之隱私權原則」、「PII去識別化過程」、「重新識別PII之要求」。
簡介美國FTC垃圾電郵法制施行成效報告