歐盟委員會發布NIS 2實施條例以定義資安重大事件
歐盟委員會於2024年10月17日通過了歐盟第2022/2555號《於歐盟實施高度共通程度之資安措施指令》（Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union，下稱NIS 2）的第一個實施條例（下稱「實施條例」）。NIS 2要求企業發生重大事件（Significant incident）後24小時內，應向會員國主管機關通報，依實施條例之規定，符合以下任一條件會被視為重大事件：
1. 造成超過50萬歐元或上一年度營業額5%以上的直接財務損失。
2. 造成商業機密洩漏。
3. 已造成或能造成自然人死亡。
4. 對自然人健康已造成或能造成大量傷害。
5. 疑似惡意且未經授權的存取網路和資訊系統造成嚴重運作中斷。
6. 反覆發生的事件。
7. 符合第5條至第14條特定資訊服務的事件。
實施條例主要在於補充上述條件的第6項及第7項。第6項規定於實施條例的第4條，定義「反覆發生」的要件，包含：(1)6個月內發生兩次；(2)有相同的根本原因；(3)大致符合超過50萬歐元或年營業額5%以上的直接財務損失。第7項則在實施條例的第5條至第14條列舉特定資訊服務提供者的重大事件條件，而其他資訊服務則包含DNS（domain name system）服務、TLD（top-level domain）網域註冊管理、雲端運算服務、資料中心服務、內容交換網路、託管服務、網路商城、搜尋引擎、社群網路服務、信託服務等，對於不同服務可能造成的影響各別列舉視為重大事件的條件。
歐盟委員會發布該實施條例確立何謂重大事件，並依歐盟考量資訊安全威脅所制定的NIS 2，將公共電子通訊網路或服務、會員國等進行連結，要求會員國設置資訊安全主管機關、危機管理機構、資訊安全聯絡點等義務，建立資訊安全通報機制，確保歐盟有整體的資訊安全戰略及框架，阻止潛在危機擴散。我國於2018年已制定《資通安全事件通報及應變辦法》並建立四級資通安全事件的標準，其標準以機敏或業務資訊遭洩漏對機密性的影響、資通系統遭竄改對完整性的影響，以及資通系統運作遭中斷對可用性的影響為依據，但並未對不同類型服務有制定更精細的定義。歐盟實施條例中有關重大事件之定義，可做為我國相關主管機關參考對象，研擬更準確的資通安全事件標準。
- EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024)
- Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 【下午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 美國聯網車監管制度與合規實務說明會
- 長照系統相關資服業個資線上宣導說明會
毛定瑜
副法律研究員 編譯整理
EUROPEAN COMMISSION, COMMISSION IMPLEMENTING REGULATION (EU) …/...of 17.10.2024 (2024),https://ec.europa.eu/newsroom/dae/redirection/document/109217 (last visited Nov. 07, 2024).
Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (Text with EEA relevance), European Union, https://eur-lex.europa.eu/legal-content/EN/ALL/?uri=CELEX:32022L2555 (last visited Nov. 07, 2024).
對於歐盟執委會（European Commission）所提出的「歐盟電信法規改革案」，歐洲議會（European Parliament）下之歐盟產業、研究暨能源委員會（Industry, Research and Energy Committee ,ITRE）及內部市場消費者保護委員會（Internal Market and Consumer Protection Committee ,IMCO）已於2008年7月9日對相關議題進行投票，此兩委員會之投票對於該案內容之修整具有重大意義，惟須至9月3日歐洲議會完成全員的最終投票，屆時始揭曉此改革案內容之全貌。 由於歐洲目前具有支配力的通訊公司仍支配主要通訊市場，市場競爭面臨瓶頸，消費者的選擇也隨之下降；此外，各國間欠缺一致性規範，阻礙跨國經營及泛歐普及服務，業者亦無法面對來自歐洲外的競爭勢力，因此本改革案旨在建構通訊無國界之歐洲單一市場，歐盟執委會提出建議的主要內容包括：（一）通信費率及合約透明化，使消費者能充分選擇，縱使在一日間亦得自由轉換服務，也能在不同地點依較便宜價格選擇通訊業者，;（二）為促進競爭，對於具市場支配力量之業者，得採取「功能分離」（functional separation）措施，即將網路基礎設施與提供服務兩者分離；（三）利用新的通訊裝備來阻擋垃圾郵件及電腦病毒；（四）增加對網路基礎設施的投資，擴大能利用寬頻的區域，尤其是加強農業區域的通訊建設；（五）設置歐洲獨立的通訊管制機關，以強化各國通訊管制機構的合作。
解析雲端運算有關認驗證機制與資安標準發展解析雲端運算有關認驗證機制與資安標準發展 科技法律研究所 2013年12月04日 壹、前言 2013上半年度報載「新北市成為全球首個雲端安全認證之政府機構」[1]，新北市政府獲得國際組織雲端安全聯盟( Cloud Security Alliance, CSA )評定為全球第一個通過「雲端安全開放式認證架構」之政府機構，獲頒「2013雲端安全耀星獎」（2013 Cloud Security STAR Award），該獎項一向是頒發給在雲端運用與安全上具有重要貢獻及示範作用之國際企業，今年度除了頒發給旗下擁有年營業額高達1200億台幣「淘寶網」的阿里巴巴集團外，首度將獎項頒發給政府組織。究竟何謂雲端認證，其背景、精神與機制運作為何？本文以雲端運算相關資訊安全標準的推動為主題，並介紹幾個具有指標性的驗證機制，以使讀者能瞭解雲端運算環境中的資安議題及相關機制的運作。 資訊安全向來是雲端運算服務中最重要的議題之一，各國推展雲端運算產業之際，會以提出指引或指導原則方式作為參考基準，讓產業有相關的資訊安全依循標準。另一方面，相關的產業團體也會進行促成資訊安全標準形成的活動，直至資訊安全相關作法或基準的討論成熟之後，則可能研提至國際組織討論制定相關標準。 貳、雲端運算資訊安全之控制依循 雲端運算的資訊安全風險，可從政策與組織、技術與法律層面來觀察[2]，涉及層面相當廣泛，包括雲端使用者實質控制能力的弱化、雲端服務資訊格式與平台未互通所導致的閉鎖效應（Lock-in）、以及雲端服務提供者內部控管不善…等，都是可能發生的實質資安問題 。 在雲端運算產業甫推動之初，各先進國以提出指引的方式，作為產業輔導的基礎，並強化使用者對雲端運算的基本認知，並以「分析雲端運算特色及特有風險」及「尋求適於雲端運算的資訊安全標準」為重心。 一、ENISA「資訊安全確保架構」[3] 歐盟網路與資訊安全機關（European Network and Information Security Agency, ENISA）於2009年提出「資訊安全確保架構」，以ISO 27001/2與BS25999標準、及最佳實務運作原則為參考基準，參考之依據主要是與雲端運算服務提供者及受委託第三方（Third party outsourcers）有關之控制項。其後也會再參考其他的標準如SP800-53，試圖提出更完善的資訊安全確保架構。 值得注意的是，其對於雲端服務提供者與使用者之間的法律上的責任分配（Division of Liability）有詳細說明：在資訊內容合法性部分，尤其是在資訊內容有無取得合法授權，應由載入或輸入資訊的使用者全權負責；而雲端服務提供者得依法律規定主張責任免除。而當法律課與保護特定資訊的義務時，例如個人資料保護相關規範，基本上應由使用者與服務提供者分別對其可得控制部分，進行適當的謹慎性調查（Due Diligence, DD）[4]。 雲端環境中服務提供者與使用者雙方得以實質掌握的資訊層，則決定了各自應負責的範圍與界限。 在IaaS（Infrastructure as a Service）模式中，就雲端環境中服務提供者與使用者雙方應負責之項目，服務提供者無從知悉在使用者虛擬實體（Virtual Instance）中運作的應用程式（Application）。應用程式、平台及在服務提供者基礎架構上的虛擬伺服器，概由使用者所完全主控，因此使用者必須負責保護所佈署的應用程式之安全性。實務上的情形則多由服務提供者協助或指導關於資訊安全保護的方式與步驟[5]。 在PaaS（Platform as a Service）模式中，通常由雲端服務提供者負責平台軟體層（Platform Software Stack）的資訊安全，相對而言，便使得使用者難以知悉其所採行的資訊安全措施。 在SaaS（Software as a Service）模式中，雲端服務提供者所能掌控的資訊層已包含至提供予使用者所使用的應用程式（Entire Suite of Application），因此該等應用程式之資訊安全通常由服務提供者所負責。此時，使用者應瞭解服務提供者提供哪些管理控制功能、存取權限，且該存取權限控制有無客製化的選項。 二、CSA「雲端資訊安全控制架構」[6] CSA於2010年提出「雲端資訊安全控制架構」（Cloud Controls Matrix, CCM），目的在於指導服務提供者關於資訊安全的基礎原則、同時讓使用者可以有評估服務提供者整體資訊安全風險的依循。此「雲端資訊安全控制架構」，係依循CSA另一份指引「雲端運算關鍵領域指引第二版」[7]中的十三個領域（Domain）而來，著重於雲端運算架構本身、雲端環境中之治理、雲端環境中之操作。另外CCM亦將其控制項與其他與特定產業相關的資訊安全要求加以對照，例如COBIT與PCI DSS等資訊安全標準[8]。在雲端運算之國際標準尚未正式出爐之前，CSA提出的CCM，十分完整而具備豐富的參考價值。 舉例而言，資訊治理（Data Governance）控制目標中，就資訊之委託關係（Stewardship），即要求應由雲端服務提供者來確認其委託的責任與形式。在回復力（Resiliency）控制目標中，要求服務提供者與使用者雙方皆應備置管理計畫（Management Program），應有與業務繼續性與災害復原相關的政策、方法與流程，以將損害發生所造成的危害控制在可接受的範圍內，且回復力管理計畫亦應使相關的組織知悉，以使能在事故發生時即時因應。 三、日本經產省「運用雲端服務之資訊安全管理指導原則」[9] 日本經濟產業省於2011年提出「運用雲端服務之資訊安全管理指導原則」，此指導原則之目的是期待藉由資訊安全管理以及資訊安全監督，來強化服務提供者與使用者間的信賴關係。本指導原則的適用範圍，主要是針對機關、組織內部核心資訊資產而委託由外部雲端服務提供者進行處理或管理之情形，其資訊安全的管理議題；其指導原則之依據是以JISQ27002（日本的國家標準）作為基礎，再就雲端運算的特性設想出最理想的資訊環境、責任配置等。 舉例而言，在JISQ27002中關於資訊備份（Backup）之規定，為資訊以及軟體（Software）應遵循ㄧ定的備份方針，並能定期取得與進行演練；意即備份之目的在於讓重要的資料與軟體，能在災害或設備故障發生之後確實復原，因此應有適當可資備份之設施，並應考量將備份措施與程度的明確化、備份範圍與頻率能符合組織對於業務繼續性的需求、且對於儲存備份資料之儲存媒體亦應有妥善的管理措施、並應定期實施演練以確認復原程序之有效與效率。對照於雲端運算環境，使用者應主動確認雲端環境中所處理之資訊、軟體或軟體設定其備份的必要性；而雲端服務提供者亦應提供使用者關於備份方法的相關訊息[10]。 参、針對雲端運算之認證與登錄機制 一、CSA雲端安全知識認證 CSA所推出的「雲端安全知識認證」（Certificate of Cloud Security Knowledge, CCSK），是全球第一張雲端安全知識認證，用以表示通過測驗的人員對於雲端運算具備特定領域的知識，並不代表該人員通過專業資格驗證（Accreditation）；此認證不能用來代替其他與資訊安全稽核或治理領域的相關認證[11]。CSA與歐盟ENISA合作進行此認證機制的發展，因此認證主要的測試內容是依據CSA的「CSA雲端運算關鍵領域指引2.1版（英文版）」與ENISA「雲端運算優勢、風險與資訊安全建議」這兩份文件。此兩份文件採用較為概略的觀念指導方式，供讀者得以認知如何評估雲端運算可能產生的資訊安全風險，並採取可能的因應措施。 二、CSA雲端安全登錄機制 由CSA所推出的「雲端安全登錄」機制（CSA Security, Trust & Assurance Registry, STAR），設置一開放網站平台，採取鼓勵雲端服務提供者自主自願登錄的方式，就其提供雲端服務之資訊安全措施進行自我評估（Self Assessment），並宣示已遵循CSA的最佳實務（Best Practices）；登錄的雲端服務提供者可透過下述兩種方式提出報告，以表示其遵循狀態。 (一)認知評價計畫（Consensus Assessments Initiative）[12]：此計畫以產業實務可接受的方式模擬使用者可能之提問，再由服務提供者針對這些模擬提問來回答（提問內容在IaaS、PaaS與SaaS服務模式中有所不同），藉此，由服務提供者完整揭示使用者所關心的資訊安全議題。 (二)雲端資訊安全控制架構（CCM）：由服務提供者依循CCM的資訊安全控制項目及其指導，實踐相關的政策、措施或程序，再揭示其遵循報告。 資安事故的確實可能使政府機關蒙受莫大損失，美國南卡羅萊納州稅務局（South Carolina Department of Revenue）2012年發生駭客攻擊事件，州政府花費約2000萬美元收拾殘局，其中1200萬美元用來作為市民身份被竊後的信用活動監控，其他則用來發送被害通知、資安強化措施、及建立數位鑑識團隊、資安顧問。 另一方面，使用者也可以到此平台審閱服務提供者的資訊安全措施，促進使用者實施謹慎性調查（Due Diligence）的便利性並累積較好的採購經驗。 三、日本-安全・信頼性資訊開示認定制度 由日本一般財團法人多媒體振興協會（一般財団法人マルチメディア振興センター）所建置的資訊公開驗證制度[13]（安全・信頼性に係る情報開示認定制度），提出一套有關服務提供者從事雲端服務應公開之資訊的標準，要求有意申請驗證的業者需依標準揭示特定項目資訊，並由認證機關審查其揭示資訊真偽與否，若審查結果通過，將發予「證書」與「驗證標章」。 此機制始於2008年，主要針對ASP與SaaS業者，至2012年8月已擴大實施至IaaS業者、PaaS業者與資料中心業者。 肆、雲端運算資訊安全國際標準之形成 現國際標準化組織（International Organization for Standardization, ISO）目前正研擬有關雲端運算領域的資訊安全標準。ISO/IEC 27017（草案）[14]係針對雲端運算之資訊安全要素的指導規範，而ISO/IEC 27018（草案）[15]則特別針對雲端運算的隱私議題，尤其是個人資料保護；兩者皆根基於ISO/IEC 27002的標準之上，再依據雲端運算的特色加入相應的控制目標（Control Objectives）。 [1]http://www.ntpc.gov.tw/web/News?command=showDetail&postId=277657 (最後瀏覽日:2013/11/20) [2]European Network and Information Security Agency [ENISA], Cloud Computing: Benefits, Risks and Recommendations for Information Security 53-59 (2009). [3]ENISA, Cloud Computing-Information Assurance Framework (2009), available at http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-information-assurance-framework . [4]ENISA, Cloud Computing-Information Assurance Framework 7-8 (2009). [5]ENISA, Cloud Computing-Information Assurance Framework 10 (2009). [6]CSA, Cloud Controls Matrix (2011), https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [7]CSA, CSA Guidance For Critical Areas of Focus in Cloud Computing v2 (2009), available at https://cloudsecurityalliance.org/research/security-guidance/#_v2. (last visited Nov. 20, 2013). [8]https://cloudsecurityalliance.org/research/ccm/ (last visited Nov. 20, 2013). [9]日本経済産業省，クラウドサービスの利用のための情報セキュリティマネジメントガイドライン（2011），http://www.meti.go.jp/press/2011/04/20110401001/20110401001.html，（最後瀏覽日：2013/11/20）。 [10]日本経済産業省，〈クラウドサービスの利用のための情報セキュリティマネジメントガイドライン〉，頁36（2011）年。 [11]https://cloudsecurityalliance.org/education/ccsk/faq/（最後瀏覽日：2013/11/20）。 [12]https://cloudsecurityalliance.org/research/cai/ （最後瀏覽日：2013/11/20）。 [13]http://www.fmmc.or.jp/asp-nintei/index.html （最後瀏覽日：2013/11/20）。 [14]Information technology - Security techniques- Security in cloud computing (DRAFT), http://www.iso27001security.com/html/27017.html (last visited Nov. 20, 2013). [15]ISO/IEC 27018- Information technology -Security techniques -Code of practice for data protection, controls for public cloud computing services (DRAFT), http://www.iso27001security.com/html/27018.html (last visited Nov. 20, 2013).
何謂「專利蟑螂」( Patent Troll)呢?其之主要特徵及對專利制度以及專利市場之影響為何?「專利蟑螂」( Patent Troll)由個人或是中小型組織/團體以購買專利的方式來獲得專利權，並藉由專利權排他性特徵，以訴訟方式來控告侵害其專利權的成功商品製造者。 「專利蟑螂」主要特徵有三；(1)主要係藉由專利取得的方式，向潛在或可能的專利侵權者收取費用；(2)此類NPE並不進行任何研發活動，其亦不就其所擁有的專利來從事商品化活動或發展新型技術；(30此類NPE投機性地等待商品製造者在投入不可回復之鉅額投資後，始對該商品製造者行使專利侵權主張。 然而，一般對於NPE對專利制度以及專利市場之影響，會以Patent Troll之行為模式作為觀察起點，例如，有論者認為專利蟑螂所從事購買與再行出售專利的行為，可以增進專利交易市場的效率化。同時，該行為不僅讓弱勢的專利創作者享有因其創作所產生的財務收益外，其亦發揮了同於仲介者（dealers）或是市場創造者（market-makers）功能的專利金融性市場 。亦有論者認為，專利蟑螂的行為已經帶來經濟上的危害（economic harm），因其慣於同時向不同公司索取適度的（moderate）專利授權費用。而為了避免陷入風險極高且耗費甚鉅的專利侵權訴訟，被索取專利授權費用之公司皆傾向給付專利蟑螂一定額度的專利授權金，以免除陷入不確定專利訴訟的泥皁。同時，專利蟑螂亦傾向選擇目標公司（target companies）最脆弱的時點，例如：新產品的發表、宣傳費用的投入等，再對其提出專利侵權訴訟，使其被迫必須遵循專利蟑螂的要求來擺脫可能陷入專利侵權訴訟的羈絆。
因應人工智慧發展，日本更新人工知能基本計畫因應人工智慧發展，日本更新人工知能基本計畫 資訊工業策進會科技法律研究所 2026年08月17日 2026年7月，日本內閣府發布最新的AI基本計畫[1]（人工知能基本計畫，下稱AI基本計畫），旨在因應代理型AI（AI agent）之崛起，並建立AI之轉型藍圖。 壹、事件摘要 日本AI基本計畫最早係於2025年12月發布，為日本依據人工知能相關技術之研究開發及活用推進法[2]》（人工知能関連技術の研究開発及び活用の推進に関する法律，下稱日本AI法）第18條所定之國家級計畫。該條規定，日本政府應針對該法基本措施，制定促進AI相關技術研究、開發及運用之基本計畫，且該計畫應由日本內閣府之AI戰略總部負責[3]。AI基本計畫以信賴的AI以及日本再起為核心，旨在使日本成為世界上最容易利用及開發AI之國家。為能跟上AI技術發展以及部會間之協調，該計畫預計每年檢視計畫並調整[4]。 2026年6月，距離2025年版本發布僅半年，意識到AI之快速發展，尤其是能夠自訂計畫並實行、驗證及修正之代理型AI崛起，且於國際上各領域應用與管制，日本政府進而著手修訂AI基本計畫，並於7月通過公布。相較於前次基本計畫，2026年之計畫核心概念係從AI使用轉向AI開發，強調中小企業及區域之AI轉型（AIＡＩトランスフォーメーション, AX）。同時明確提出AI主權概念，透過技術及基礎建設之強化，提升生態系之自主性及國際談判能力。 貳、重點說明 2026年之基本計畫基本理念可分為代理型AI、AI轉型以及AI主權三大核心理念。 一、核心理念 （一）強化基礎建設以因應代理型AI 基本計畫中提及，代理型AI為能自主進行計畫、執行、驗證以及修正之AI系統，提升組織運作及決策之效率，而將代理型AI實際應用於社會中，將直接關係到國家的經濟、國防以及技術能力。故加強日本AI產業相關之基礎建設至關重要，包含能夠適應代理型AI之算力資源、電力、制度以及政策，以全面強化日本之AI實戰能力[5]。 （二）釐清日本優勢實施AI轉型 為解決日本少子化、高齡化及產業人手短缺之問題，基本計畫強調應積極推動AI轉型（AI Transformation, AX），利用AI解決社會結構性問題，並推動AI之應用。日本之AI轉型重點在於運用其既有之優勢，著重用於產業及行政現場之領域專用型「垂直AI」（バーティカルＡＩ），以及能於現實空間中創造價值之「實體AI」（フィジカルＡＩ）。透過垂直AI蒐集與整合各領域現場之高品質資料，結合實體AI之機器人與自動化設備，將以代理型AI為首之先進AI技術，深入整合進日本製造、服務及基礎設施等產業，解決日本之社會結構性問題，創造日本獨有之價值[6]。 （三）建立AI主權，推動敏捷治理及AI協作社會 2026之AI基本計畫提出了AI主權之概念，強化技術、供應鏈及基礎建設，提高日本於AI之自主性以及談判能力，避免過度依賴特定國家或企業，建立日本之AI生態系，防止供應鏈及資料外洩風險。在敏捷治理上，面對AI既有及代理型AI所帶來之新型態風險，日本政府將積極推動「負責任之敏捷治理」。除相關法規制度之推進，亦須提升組織管理應對能力，促進創新之同時並能確保各項權益之保障[7]。 二、具體政策措施 依據前述核心理念，AI基本計畫提出政府應採取之具體措施，建立推動社會AI轉型之體制，檢視跨部會之制度及運作。 （一）打造運用AI之社會[8] 推動AI於社會中之運用，包含中小企業、地方區域以及各年齡層之國民都能於日常生活中使用AI。為能強化產業競爭力，推動於醫療、福利、農業、社會建設等公共領域使用代理型AI，透過AI之使用解決特定領域內之社會問題（如地方區域人口減少、社會基礎設施維護費用增加等）。而為能有效推動全民AI，基本計畫強調應由政府開始做起，中央政府內部之AI「源內」（げんない）將擴大應用於地方政府，推動以AI重新建構行政服務之行政AI轉型。同時配合合規採購規範之調整，確保AI之信任及透明度。 （二）強化AI基礎建設及開發戰力[9] 因應代理型AI對算力、資料及供電穩定之高度要求，日本將「AI部署能力」定義為家基礎設施，進一步建立包含資料中心、雲端、算力等資源甚至物理空間之完整AI生態系，以落實可信任AI之政策。在戰略上，確立開放之AI主權，採取多模型調度機制，以避免過度依賴特定外國企業；同時活用日本國內具有優勢之算力供應鏈以及特定場域之現場資料，積極引進國內外優秀人才，提升訓練及開發能力。政府亦將運用經濟政策及研發/設備投資租稅優惠，吸引民間資金投入基礎建設，最終開發出能解決日本自身社會問題（如人口老化、人力短缺）之AI，並將其化為能解決世界問題之工具，以強化日本之戰略不可替代性。 （三）AI風險管理及人才培育 面對AI使用導致之風險以及代理型AI引入後產生之技術、社會及網路自律攻擊等更為複雜之風險，日本政府推動敏捷治理，整合制度檢討、技術評估以及組織管理，同時強化AI安全研究所（AISI）對包含代理型AI及高性能AI（如國家安全相關）之安全評估，推動如Project YATA-Shield等強化網路安全及評估之機制。日本政府亦積極推動國際合作，並與理念相近之全球南方合作，承襲「廣島AI進程」，主導國際規則之標準制定，成為全球可信賴AI之創新核心[10]。 在日本轉型及實務層面，將推動跨領域之AI轉型，透過產官學界共同培養適當之AI人才。此外，雖鼓勵AI之使用，AI基本計畫仍強調須以人類負有最終決策責任之「人類力」為核心，防止過度依賴AI之社會以及注意AI可能產生之偏見；尤其應關注青少年自身能力之養成及其身心健康，以建構安全並可信賴之AI社會[11]。 參、事件評析 從日本2026年之AI基本計畫可看出，面對AI技術之進展以及日本社會少子化、高齡化等社會結構性問題，日本政府透過釐清日本既有之產業及技術優勢，將AI定位為能解決社會問題之工具，同時透過基礎建設強化建構AI主權。在因應人口老年化方面，日本政府結合垂直AI與實體AI，將AI導入醫療照護、物流自動化、農業及公共行政等各領域，使AI作為社會基礎並實際運用，成為協助社會問題解決之工具。而就整體戰略布局而言，則是強調國家AI主權之建構，包含強化其國家內部算力、資料及供電之基礎建設，以提升日本之自主及談判能力，並防止對他國企業之依賴，建立日本之AI生態系。於風險治理方面則是透過敏捷治理、安全評估機制以及Project YATA-Shield[12]之實施，防範代理型AI所帶來之新興網路安全風險及自律攻擊；亦延續廣島AI進程之國際合作精神，強化與全球南方國家之連結，希冀能持續主導國際AI規則之制定，提升日本之國際競爭力以及戰略不可或缺性。 日本AI計畫之修正，透過社會轉型之核心概念，將技術創新、產業應用及國際規則主導結合，建構其本土AI主權及生態系，同時仍強調人類角色於AI應用之重要性。我國同樣面臨產業轉型以及人口高齡化之社會結構，或可考慮參考日本之政策轉型，強化我國於全球AI供應鏈之較有優勢之部分，搭配推動產業AI轉型，減緩勞動力不足挑戰。而在AI基本計畫擬定層面，我國行政院依據《人工智慧基本法》第6條成立人工智慧戰略特別委員會，並制定《國家人工智慧發展綱領》[13]，推動及協調全國性之AI事務。現行《國家人工智慧發展綱領》草案中，同樣重視AI主權及相關基礎建設；於產業推動面則是規畫優先將AI導入教育、醫療、金融及司法等公共與專業服務。在AI計畫之檢視及調整上，我國《人工智慧基本法》第6條要求須每年召開會議，並審議《國家人工智慧發展綱領》，與日本AI計畫每年檢視及調整之規劃相似，皆能藉此確保整體戰略與AI技術發展之一致性。惟《國家人工智慧發展綱領》現仍尚未正式公布，未來於執行上之具體發展仍有待後續觀察。 本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。 本文同步刊登於TIPS網站（https://keid.nat.gov.tw/tips/） [1]人工知能基本計画 ～日本ＡＸ、より強く、より豊かに～，令和８年７月14日，https://www8.cao.go.jp/cstp/ai/ai_plan/aiplan_20260714.pdf (最後瀏覽日: 2026/07/24)。 [2]人工知能関連技術の研究開発及び活用の推進に関する法律（令和７年法律第53号）。 [3]同前註，第18條。 [4]前註1，頁2。 [5]同前註1，頁2。 [6]同前註，頁3。 [7]同前註，頁4。 [8]同前註，頁7-8。 [9]同前註，頁10。 [10]同前註，頁14-15。 [11]同前註，頁18。 [12]為日本政府為因應AI導致之網路攻擊而設之應變方案。透過由國家安全局及國家網路指揮辦公室等政府機構之合作，加強因應AI技術之措施，https://japansecuritysummit.org/2026/05/14354/ (最後瀏覽日：2026/7/29)。 [13]，行政院網站，https://www.ey.gov.tw/Page/9277F759E41CCD91/e7954aaa-25ce-4b85-9747-f70d06da9ef5 (最後瀏覽日：2026/08/03)。