澳洲數位轉型局12月發布《政府負責任使用人工智慧政策2.0》，以強化公部門之AI風險管理
2025年12月初，澳洲數位轉型局（Digital Transformation Agency，下稱DTA）發布《政府負責任使用AI政策2.0》（Policy for the responsible use of AI in Government 2.0），旨在進一步強化公部門在AI的透明度、問責性與風險管理能力，於2025年12月15日生效，取代 2024年9月實施的過渡版本。
一、適用範圍
政策適用於所有非企業型聯邦實體（Non-corporate Commonwealth entities），即不具獨立法人地位、直接隸屬於政府的機關或單位。企業型聯邦實體則被鼓勵自願遵循。政策定位為「補充與強化既有法制」，非另訂獨立規範，因此在實務中須與公務員行為準則、資安規範及資料治理制度併行適用。
二、政策重點
在政策施行的12個月內，適用機關須完成以下要求，以確保落實AI治理架構：
（一）制度建置
1. AI 透明度聲明：機關須在政策生效後 6 個月內發布「AI 透明度聲明」，公開 AI 使用方法與現況。聲明中須說明機關風險管理流程、AI 事件通報機制及內外部申訴管道，確保使用過程透明、可追蹤。
2. 人員指定與培訓：
機關須指定制度問責人員（Accountable officials）以及AI使用案例承辦人（Accountable use case owners）。
所有員工皆須進行關於負責任使用AI的培訓，機關並依員工職務權責提供個別員工進階訓練。
3. 建立內部AI使用案例註冊清單（Internal AI use case register），以供後續追蹤
該清單至少包含：
（1）使用案例負責人（Accountable use case owners）：記錄並持續更新範疇內 AI 使用案例的指定負責人。
（2）風險等級（Risk rating）：AI使用案例的風險等級資訊。
（3）異動紀錄：當使用案例的風險評級或負責人變更時，須即時更新清單。
（4）自定義欄位：各機關可根據其需求，自行增加欄位。
（二）AI 使用案例範疇判斷
機關須在評估所有新案例，依以下特徵判斷AI應用是否屬於「範疇內（In-scope）」的應用：
1.對個人、社群、組織或環境造成重大損害。
2.實質影響行政處分或行政決策。
3.在無人工審查的情況下，大眾將直接與AI互動或受其影響。
4.涉及個人、敏感資料等資訊。
（三）進階風險評估
依AI影響評估工具（Impact Assessment Tool）針對公眾近用權；不公平歧視；加重刻板印象；損害人、組織或環境；隱私顧慮；資料敏感之安全顧慮；系統建置之安全顧慮；公眾信任等8類別，加以判斷範疇內AI應用，若有任一類別被評為「高風險」，即判定為「高風險」；若所有類別中最高的分數為「中風險」，則整體判定為中風險。
判定為中、高風險之AI應用，均需進行全面審核。中風險須列出所有中風險項目及其控管措施，主要為內部控管；而高風險則要求向DTA報告，且每年至少進行一次全面審核與風險再評估。
澳洲欲透過發布AI透明度聲明、更新AI使用案例註冊清單、強制執行AI應用之風險評估及人員培訓，確保公部門對AI的負責任使用與問責。而我國企業可參考資策會科法所創意智財中心發布之《重要數位資料治理暨管理制度規範（EDGS）》，落實AI資料管理與追蹤。
本文為資策會科法所創智中心完成之著作，非經同意或授權，不得為轉載、公開播送、公開傳輸、改作或重製等利用行為。
本文同步刊登於TIPS網站（https://www.tips.org.tw）
洪亮瑄
副法律研究員 編譯整理
Digital Transformation Agency (2025), AI Policy overhauled with new Impact assessment tool and Procurement guidance, https://www.dta.gov.au/media-releases/ai-policy-overhauled-new-impact-assessment-tool-and-procurement-guidance (last visited Dec. 21, 2025).
digital.gov.au (2025), Policy for the responsible use of AI in government Version 2.0, https://www.digital.gov.au/ai/ai-in-government-policy (last visited Dec. 21, 2025).
澳洲於9月初生效《政府負責任地使用人工智慧的政策》（Policy for the responsible use of AI in government）， 資訊工業策進會科技法律研究所， https://stli.iii.org.tw/article-detail.aspx?no=66&tp=1&d=9240 （最後瀏覽日：2025/12/21）
美國FCC於二月份表示其將檢視採取額外的安全措施，是否能夠有效防止電信公司所持有之個人敏感性資訊外洩之問題，並就與此所涉之問題與建議採取之法律措施諮詢公眾之意見。此次諮詢的議題包括目前電信公司所採取的安全措施為何、此等措施存有何種缺失、以及採取何種措施將能夠更有效地保護消費者的隱私，並就以下五種特定的安全措施，諮詢公眾之意見，包括： (1) 由消費者設定密碼。 (2) 建立一套查驗機制，此一機制必須能夠記錄消費者個人資料之接近使用情況，包括時間、接近使用的資料內容、接近使用人…等之資訊。 (3) 電信公司必須就客戶專有之網路資訊 (customer proprietary network information，CPNI)進行加密。 (4) 限制資料之保存，要求電信公司必須刪除所有不必要的資料。 (5) 當個人資料遭他非法接近使用時，電信公司應通知消費者。 除此之外，FCC亦就其是否應修改現行法規，要求電信公司應就其實施消費者保護措施之狀況，提交年度稽核報告以及全年之客訴資料進行公眾意見諮詢，並且就電信公司是否應於提供CPNI前，致電予消費者，以確保CPNI資料之索取係由消費者本人親為一事諮詢公眾之意見。
美國專利多方複審程序與領證後複審程序之概述 英國能源安全暨淨零排放部發布「先進核能框架」政策文件，旨在促進該國民用先進核能技術之發展英國能源安全暨淨零排放部（Department for Energy Security and Net Zero, DESNZ）於2026年2月4日發布「先進核能框架」（Advanced Nuclear Framework）政策文件，說明政府如何營造有利投資之政策環境，以支持民用先進核能技術之專案開發與商業化布建。 英國政府認為先進核能技術，包含「小型模組化反應爐」（Small Modular Reactors, SMRs）、「先進模組化反應爐」（Advanced Modular Reactors, AMRs）及「微型模組化反應爐」（Micro Modular Reactors, MMRs），不僅可持續供應低碳電力，且有助於維護電網穩定。 英國政府與產業利害關係人溝通而鑑別出推動民間專案所需解決之融資障礙，並提出相關因應方案，重點說明如下： （1）本框架導入「先進核能發展進程清單」（Advanced Nuclear Pipeline）及「專案就緒度評估程序」（Project Readiness Assessment），由政府協助鑑別於技術、供應鏈、資金、選址與營運方面具相當成熟度之專案，以增強投資人對專案長期前景之信心。 （2）於具成本效益之前提下，政府得考慮為民營專案提供保險、收益支持，同時「國家財富基金」（National Wealth Fund, NWF）亦將於專案開發與建設階段進行投資，而可化解投資人對於高昂開發成本、難以承保風險與缺乏明確回報之疑慮。 （3）能源安全與淨零排放部將成立「先進核能商業參與單位」（Advanced Nuclear Business Engagement Unit）以提供專門服務，負責專案推進與克服市場障礙，並協助企業與政府機構及地方政府溝通。
英國資訊委員辦公室（ICO）發布企業自行檢視是否符合歐盟一般資料保護規則之12步驟英國作為歐洲金融重鎮，不論各行業均有蒐集、處理、利用歐盟會員國公民個人資料之可能，歐盟一般資料保護規則（General Data Protection Regulation，簡稱GDPR）作為歐盟資料保護之重要規則，英國企業初步應如何自我檢視組織內是否符合歐盟資料保護標準，英國資訊委員辦公室（Information Commissioner's Office, ICO）即扮演重要推手與協助角色。 英國ICO於2017年4月發布企業自行檢視是否符合GDPR之12步驟（Preparing for the General Data Protection Regulation（GDPR）-12 steps to take now），可供了解GDPR的輪廓與思考未來應如何因應： 認知（Awareness）：認知GDPR帶來的改變，與未來將發生的問題與風險。 盤點資料種類（Information you hold）：盤點目前持有個人資料，了解資料來源與傳輸流向，保留處理資料的紀錄。 檢視外部隱私政策（Communicating privacy information）：重新檢視當前公告外部隱私政策，並及時對GDPR的施行擬定因應計畫。 當事人權利（Individuals'rights）：檢視資料處理流程，確保已涵蓋GDPR賦予當事人如：告知權、接近權、更正權、刪除權、製給複本權、停止處理權、不受自動決策影響等相關權利。 處理客戶取得資料請求（Subject access requests）：GDPR規定不能因為客戶提出取得資料請求而向其收費；限期於1個月內回覆客戶的請求；可對明顯無理或過度的請求加以拒絕或收費；如拒絕客戶請求則限期於1個月內須向其說明理由與救濟途徑等。 處理個人資料須立於合法理由（Lawful basis for processing personal data）：可利用文書記錄與更新隱私聲明說明處理個人資料之合法理由。 當事人同意（Consent）：重新檢視初時如何查找、紀錄與管理取得個人資料的同意，思考流程是否需要做出任何改變，如無法符合GDPR規定之標準，則須重新取得當事人同意。 未成年人（Children）保護：思考是否需要制定年齡驗證措施；對於未成年人保護，考慮資料處理活動是否需取得其父母或監護人的同意。 資料外洩（Data breaches）：有關資料外洩的偵測、報告與調查，確保已制定適當處理流程。 資料保護設計與影響評估（Data Protection by Design and Data Protection Impact Assessments）：GDPR使資料保護設計與影響評估明文化。 資料保護專責人員（Data Protection Officers）：須指定資料保護專責人員，並思考該專責人員於組織中的角色與定位。 跨境傳輸（International）：如執行業務需跨越數個歐盟會員國境域，企業則須衡量資料監管機關為何。