歐盟發布人工智慧法、醫療器材法與體外診斷醫療器材法協同適用問答集
歐盟《人工智慧法》（Artificial Intelligence Act, AIA）自2024年8月1日正式生效，與現行的《醫療器材法》（Medical Devices Regulation, MDR）及《體外診斷醫療器材法》（In Vitro Diagnostic Medical Devices Regulation, IVDR）高度重疊，特別是針對用於醫療目的之人工智慧系統（Medical Device AI, MDAI）。為釐清三法協同適用原則，歐盟人工智慧委員會（Artificial Intelligence Board, AIB）與醫療器材協調小組（Medical Device Coordination Group, MDCG）於2025年6月19日聯合發布常見問答集（Frequently Asked Question, FAQ），系統性說明合規原則與實務操作方式，涵蓋MDAI分類、管理系統、資料治理、技術文件、透明度與人為監督、臨床與性能驗證、合規評鑑、變更管理、上市後監測、資安與人員訓練等面向。
過去，MDR、IVDR與AIA雖各自對MDAI有所規範，但始終缺乏明確的協同適用指引，導致製造商、監管機關與醫療機構在實務操作上常面臨混淆與困難。本次發布的指引透過36題問答，系統性釐清三法在高風險MDAI適用上的關聯，重點涵蓋產品分類原則、合規評鑑流程以及技術文件準備要點，具高度實務參考價值。此外，傳統醫療器材的上市後監測，難以有效因應AI系統持續學習所帶來的風險。AIA因此要求高風險MDAI建立強化的上市後監控系統，並評估AI系統與其他系統交互作用可能產生的影響。
整體而言，該指引的發布不再僅限於MDAI技術層面的合規審查，而是進一步擴展至資料正當性、系統可控性、使用者能力與整體風險治理等層面，體現歐盟對AI倫理、透明與責任的制度化落實。此文件亦為歐盟首次系統性整合AI與醫療器材監管原則，預期將成為MDAI產品研發與上市的重要參考依據。
本文同步刊載於stli生醫未來式網站（https://www.biotechlaw.org.tw）
呂政諺
法律研究員 編譯整理
ARTIFICIAL INTELLIGENCE BOARD [AIB] & MEDICAL DEVICE COORDINATION GROUP [MDCG], FAQ on Interplay between the Medical Devices Regulation (MDR) & In vitro Diagnostic Medical Devices Regulation (IVDR) and the Artificial Intelligence Act (AIA) (2025), https://health.ec.europa.eu/latest-updates/mdcg-2025-6-faq-interplay-between-medical-devices-regulation-vitro-diagnostic-medical-devices-2025-06-19_en (last visited June 27, 2025).
美國在2019年12月20日建立一支新的軍種—太空軍(Space Force)。這代表以往存在於科幻的宇宙部隊將躍然於現實，但美國太空軍可能會在商標戰爭中，輸給Netflix的喜劇影集「Space Force」。Netflix早於美國政府在歐洲、澳洲、墨西哥等地取得「Space Force」商標，但其並非為搶先美國政府進行註冊，而係為能銷售相關商品。 美國商標法採取先使用主義，即使後使用者先進行註冊，先使用者還是可以取得商標。Netflix自2019年初即開始即在全球廣泛採用「Space Force」做為商標，基本上「Space Force」之商標權應歸屬於Netflix。美國空軍則是在同年3月以「Space Force」申請商標做為一般的使用。然而，美國政府長期以來也有諸多關於軍事資產涉及商標保護之案例，例如派拉蒙影業（Paramount Pictures）在1995年至2005年間六次申請註冊「JAG」（Judge Advocate General）商標，但政府立場並未特別反對。 美國國防部(簡稱：DOD)針對商標授權使用，於商標許可指南（DOD Trademark Licensing Guide）中，說明對於美國軍隊徽章及標緻之使用方式，並於2007年推出了國防部品牌和商標許可計畫（DoD Branding and Trademark Licensing Program）。在此之後，美國海軍陸戰隊開始向大部分銷售標示有「USMC」T恤之電商，請求不得再銷售標示有相關文字之T恤。回到本事件，美國太空軍發言人表示，對於與Netflix可能存有商標爭議並不知悉，但希望Netflix能延續該節目，以做為良好的宣傳。
歐盟監察官日前指出，ISP業者的流量管理可能違反資料保護及隱私法歐盟資料隱私保護監督官（European Data Protection Supervisor, EDPS）Peter Hustinx呼籲歐盟，儘速建立專家小組，制定指導原則，將資料保護以及隱私原則納入網路中立原則中（Network Neutrality）。 網路中立原則原係要求對於網路服務提供者之間不應有所歧視，應平等對待所有資料。但是，在符合歐盟法規下，ISP業者亦得針對網路內容提供者或終端使用者，以不同收費方式管制網路流量。判斷的準據，則以使用者在網路上傳遞的個人訊息為主。調查官Hustinx在其意見書中指出，調查使用者傳遞的訊息可能會背離歐盟資料與隱私保護相關法律。 根據歐盟的隱私及電子通訊指令（Privacy and Electronic Communication Directive），ISP業者在某些條件下，得以促進通訊傳輸為目的，處理個人資料，但是必須取得使用人同意。這項指令亦要求ISP業者必須採取適當的技術、組織措施以確保資料的安全。承此，Hustinx就網路中立性所提出的意見，即為前述指令之例外，亦即ISP業者在確保網路順暢及監督是否有干擾時，其監控行為無須使用者同意。但若為限制某些服務，例如檔案交換，而進行的監控行為，則不在此限。再者，該同意必須免費的、明確的並且使用者得了解的。Hustinx提出的指導原則強調確保網路使用者被適當的告知，進而了解該項個人資料監控的意義而做出同意與否的決定。同時，ISP業者在進行調查時，亦應謹慎為之，不違反比例性原則。
資通安全法律案例宣導彙編 第5輯 歐盟法院做成先決裁判，臉書粉絲專頁管理員也有責任保護用戶資料隱私歐盟法院於2018年6月5日對德國行政法院依歐盟運作條約第267條（267 AEUV），就歐盟個人資料保護指令（95/46/EC）第2、4條之解釋適用，提起的先訴裁判申請做出先訴判決。判決提及利用臉書（Face Book）平台經營粉絲專頁，並獲取臉書相關服務的管理者，同樣負有保護用戶資料隱私的責任。此將影響眾多的粉絲專頁，判決指出不僅臉書，連粉絲專頁的管理員都有保護訪客資料安全的責任。 由於臉書粉絲專業的經營者，並未保存其粉絲的相關資料，既不經手資料處理，更無力影響資料如何呈現，因此主張資料處理的責任應該在於臉書身上，處罰對象也應該是臉書。判決理由指出，臉書作為粉絲專頁相關個人資料的控制者（data controller）應負相關責任並無疑問，但歐盟地區粉絲專業的管理者，應該和臉書一樣，作為資料處理的共同責任者。蓋管理者係運用臉書提供的設定參數，將粉絲專頁的近用者資料蒐集處理，應該負共同責任。因此歐盟法院判決，利用臉書平台經營粉絲專頁，並獲取臉書相關服務的管理者（administrator），並不能免於個資保護法律的法遵義務。 另外依據德國聯邦資料保護與資訊安全委員會（BFDI）意見，認為雖然判決是基於一般資料保護規則（GDPR）生效之前就已經存在的法律，但法院所確定的共同責任原則也適用於新的法律。BFDI特別建議公共機構以歐盟判決為契機，審查公共機構粉絲頁面的合法性與是否遵守法律規定，並在必要時說服Facebook調整資料保護。