歐盟發布人工智慧法、醫療器材法與體外診斷醫療器材法協同適用問答集
歐盟《人工智慧法》（Artificial Intelligence Act, AIA）自2024年8月1日正式生效，與現行的《醫療器材法》（Medical Devices Regulation, MDR）及《體外診斷醫療器材法》（In Vitro Diagnostic Medical Devices Regulation, IVDR）高度重疊，特別是針對用於醫療目的之人工智慧系統（Medical Device AI, MDAI）。為釐清三法協同適用原則，歐盟人工智慧委員會（Artificial Intelligence Board, AIB）與醫療器材協調小組（Medical Device Coordination Group, MDCG）於2025年6月19日聯合發布常見問答集（Frequently Asked Question, FAQ），系統性說明合規原則與實務操作方式，涵蓋MDAI分類、管理系統、資料治理、技術文件、透明度與人為監督、臨床與性能驗證、合規評鑑、變更管理、上市後監測、資安與人員訓練等面向。
過去，MDR、IVDR與AIA雖各自對MDAI有所規範，但始終缺乏明確的協同適用指引，導致製造商、監管機關與醫療機構在實務操作上常面臨混淆與困難。本次發布的指引透過36題問答，系統性釐清三法在高風險MDAI適用上的關聯，重點涵蓋產品分類原則、合規評鑑流程以及技術文件準備要點，具高度實務參考價值。此外，傳統醫療器材的上市後監測，難以有效因應AI系統持續學習所帶來的風險。AIA因此要求高風險MDAI建立強化的上市後監控系統，並評估AI系統與其他系統交互作用可能產生的影響。
整體而言，該指引的發布不再僅限於MDAI技術層面的合規審查，而是進一步擴展至資料正當性、系統可控性、使用者能力與整體風險治理等層面，體現歐盟對AI倫理、透明與責任的制度化落實。此文件亦為歐盟首次系統性整合AI與醫療器材監管原則，預期將成為MDAI產品研發與上市的重要參考依據。
本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
呂政諺
法律研究員 編譯整理
ARTIFICIAL INTELLIGENCE BOARD [AIB] & MEDICAL DEVICE COORDINATION GROUP [MDCG], FAQ on Interplay between the Medical Devices Regulation (MDR) & In vitro Diagnostic Medical Devices Regulation (IVDR) and the Artificial Intelligence Act (AIA) (2025), https://health.ec.europa.eu/latest-updates/mdcg-2025-6-faq-interplay-between-medical-devices-regulation-vitro-diagnostic-medical-devices-2025-06-19_en (last visited June 27, 2025).
歐盟執委會於2023年2月1日公布「綠色政綱產業計畫(Green Deal Industrial Plan)」，該計畫主要包含淨零產品產業建立、國家補助、強化供應鏈、資金等綠色轉型重要政策。「綠色政綱產業計畫」將透過以下四大支柱協助歐盟進行綠色轉型。 （1）建立可預測、簡化且一致的管制環境 歐盟將提出《淨零產業法(Net-Zero Industry Act)》草案簡化管制框架來支持電池、風車、熱汞、太陽能板、電解、碳捕捉等技術；本法案將分析各產業部門後，建立各部門2030年能力目標，確保產業供應鏈不會遭遇瓶頸，並縮短淨零產品工廠選址和中小企業補助核准流程時間，以及增強核准流程的可預測性。另外歐盟並將提出《關鍵原物料法(Critical Raw Material Act)》草案，以管制生產淨零產品的關鍵物資，並透過回收、來源多樣化等方式來降低歐盟對第三方國家的依賴。 （2）更快的提供充足資金 歐盟將放寬各會員國的補助程序，並提高補助金額上限。另外因應中國和美國對淨零產業的補助，本計畫將提高歐盟與歐盟會員國的淨零產業補助額度，讓補助效果能和其他非會員國的補助達同樣程度。 （3）人才訓練與技術強化 歐盟將透過人才訓練、認證和補助來增加綠色及數位轉型技術之勞動力。 （4）為建立韌性供應鏈開放貿易 歐盟將加強與非會員國的自由貿易協定，增加關鍵原物料來源。歐盟也將透過《外國補助規則(Regulation on Foreign Subsidies)》保護歐盟市場的公平性、調查非會員國的傾銷行為、扭曲市場的補助。
英國同意BT「下世代文字中際服務申請」為了讓聽力或語言障礙之民眾，取得更為便利的電信服務，英國Ofcom在2012年10月透過「回顧中繼服務-決策下世代文字中繼服務」(Review of relay services: Decision on the introduction of Next Generation Text Relay)陳述書(Statement)之發佈，提高通訊服務業者 (communications providers)對身障者的義務。根據陳述書內容，英國市話、行動通信業者必須在2014年4月18日，達成「下世代文字中繼服務」(Next Generation Text Relay，NGTR)之要求。因此，英國電信BT於去(2013)年11月提出審查申請，並在今年3月獲得Ofcom許可。 Ofcom要求下世代中繼服務最主要重點，主要可分為(1)透過網際網路的連接，提供雙向語音服務，讓雙方談話更為流暢；(2)促使更多載具皆可使用文字中繼服務。BT為了落實上述核心要求，除了透過提升服務性能、技術應變能力、員工培訓與申訴機制，增加中繼服務的品質，以通過Ofcom核可外，BT亦允諾2014年4月18日後，該公司文字中繼服務將可進一步延伸至： 1.既有文字電話(textphones)與視障閱讀器(Braille readers)。 2.支援Windows XP系統以上個人、筆記型電腦。 3.適用Linux的Intel個人、筆記型電腦。 4.Intel型Mac OS X版本。 5.行動電話具有Android 4的作業系統。 6.2014年6月30日將可提供服務至蘋果公司相關產品，包括iPhone與iPad。 BT不僅提供文字中繼服務於自身客戶，亦提供批發接取(Wholesale access)於其他通訊服務業者，使其具備文字中繼服務，讓非BT的消費者亦可獲得無障礙服務。相信隨著更多通訊服務業者提升文字中繼服務功能後，將可讓聽障、語言障礙民眾使用電信服務更加便利，使英國充分落實聯合國「身心障礙者權利公約」之精神。
歐盟網路與資訊安全局發布「行動支付與電子錢包安全防護」報告為因應探討並強化網路安全環境，歐盟網路與資訊安全局（European Union Agency for Network and Information Security , ENISA）2016年12月發布「行動支付與電子錢包安全防護」研究報告（Security of Mobile Payments and Digital Wallets）。歐盟網路與資訊安全局ENISA主要係因，近來行動支付興起，利用行動支付方式買賣貨品，係象徵著朝向數位化轉換趨勢，消費者希望透過更便捷的方式購物避免帶著實體錢包和一堆卡片，增加購物的不便。但是使用電子錢包和行動支付並非全然沒有安全疑慮，根據2015年的一項調查，有百分之20的美國消費者對於行動支付的過程中可能遭到有心人士擷取個人資料，這就表示此乃使用行動支付的主要擔心重點，有13%使用者擔心自己的電話遭到駭客入侵。此外根據另一項調查，針對九百名資安專家所做的調查顯示，僅有23%的的人員認為目前現有的安全機制足以防範個資外洩，但有47%的人員認為現有的機制缺乏安全性，但當中也有百分之30的回覆認為現在的安全機制是否安全不能確定。因此，目前而言，安全防護可謂是消費者最關心的重點，且對於安全的疑慮亦使得行動支付沒有辦法大量推行採用。 因此歐盟網路與資訊安全局ENISA於此報告提出了目前經確認的主要威脅有： 行動用戶的安全威脅：任意裝設惡意軟體、釣魚軟體、社交工程軟體。 行動設備威脅：行動設備遭竊或遺失與不當近用。 行動支付與電子錢包威脅：逆向工程、竄改支付軟體、使用在滲透到系統之後，會隱藏登錄項目、檔案或處理序等資源的一種軟體。 消費者威脅：POS惡意軟體、MiTM、重放攻擊。 付款服務提供者威脅：付款系統與資料連結崩潰的疑慮。 支付網路提供者威脅：代碼服務崩潰、拒絕服務。 發行商威脅：付款授權流程崩潰與代碼資料崩潰。 行動支付軟體提供者威脅：機敏個資外洩、雲端客戶資訊管理遭到入侵、代碼服務拒絕。 因此有鑑於行動支付產業目前仍在新興階段，欠缺明確標準，業者間的自主管理顯得相當重要，所以網路與資訊安全局ENISA提出了一些得以遵循的建議與標準： 消費者在使用行動支付的服務軟體時，必須採取多項最低安全防護措施。 行動主機提供業者應該確保軟體定時更新，並且修補安全上的漏洞，針對安全性與近用用戶資料的可能性部分加強。 行動支付的應用程式提供者，應該再提供服務給消費者時，同時提供消費者資訊，本應用軟體做了何種安全防護，供消費者知悉。 行動支付業者應當建立詐騙監控機制。 網路與資訊安全局ENISA提出上述建議與標準，主要係希望業者採用這樣的標準或好習慣的建議後，可以對於消費者、零售商、銀行等業者產生益處。
歐盟網路暨資訊安全局發布「重要基礎設施資訊安全培訓需求盤點報告」加強重要部門資訊安全作業歐盟網路暨資訊安全局於2017年12月7日發布「重要基礎設施資訊安全培訓需求盤點報告」(Stocktaking of information security training needs in critical sectors)之文件，點出各重要基礎設施之「電腦安全事件反應小組」(Computer Security Incident Response Teams, CISRT)所必須接受之資安訓練種類。 歐盟之網路與資訊系統安全指令(The Directive on security of network and information systems, NIS Directive)規範各成員國之重要服務營運者(operator of essential service)必須確認出哪些服務於維繫社會與經濟活動上具備重要性。被認定具備重要性之部門如下:能源、運輸、銀行業、金融市場基礎設施、健康照護部門、飲用水供應與分配、數位基礎設施。 此份報告指出，該重要性部門之資安等級需求並不盡相同，因此導致各部門面對資安事件之準備無法相提並論。例如，能源產業會用到SCADA系統，而金融市場基礎設施則普遍沒有相關需求。而由於NIS指令將上述七種部門列為資訊安全維護最高層級，故此份報告目的係確認該部門當前的處境，並與現階段可取得之網路安全訓練對照，進一步具體檢視各重要部門是否有其他額外的網路安全訓練需求。 我國行政院於民國106年4月公布之資通安全管理法草案要求關鍵基礎設施提供者應訂定、修正、實施資通安全維護計畫，並向中央目的事業主管機關或直轄市、縣（市）政府提出該計畫之實施情形，在未來實際落實各重要性設施之資安維護以及資安小組訓練時，須意識到各重要性設施之資訊安全需求差異性，及相關人員必須針對不同單位而受不同之訓練。