當員工將個資輸入AI工具：Community Bank事件帶來的法遵警訊
2026年5月5日，美國賓州地區銀行 Community Bank 發現一名員工於未獲授權之情形下，將客戶非公開個人資料利用於外部人工智慧應用程式。遭不當利用之資料涵蓋客戶姓名、社會安全號碼及出生日期等高度敏感個人資料。事件發現後，Community Bank 隨即採取資料安全控管措施，並委託外部專家展開調查。
同年5月7日，Community Bank 之母公司 CB Financial Services, Inc. 判定本事件具有重大性，並於同月11日依《1934年證券交易法》（Securities Exchange Act of 1934）向美國證券交易委員會（U.S. Securities and Exchange Commission, SEC）申報 Form 8-K（第1.05條）。值得注意者，CB Financial Services, Inc. 同時聲明本事件預計不致對其財務狀況或日常營運造成重大影響，申報之理由係單純基於所涉非公開資訊之數量與敏感程度。
蓋依 SEC 於2023年發布之《網路安全風險管理、策略、治理及事件揭露規則》，網路安全事件之重大性應依美國證券法下之一般標準判斷，即資訊是否具有「理性投資人在作成投資決策時認為重要之實質可能性」；該規則進一步指出，重大性之判斷不以財務損失為必要條件，應綜合考量量化與質化因素，包括事件對客戶或其他相關人士所造成損害之範圍與性質。
本案引發金融業及上市公司廣泛關注。過去依第1.05條申報之案例幾乎均涉及外部駭客入侵或惡意攻擊，而本案係因內部人員之行為所引發，成為美國史上首件因員工未經授權使用人工智慧工具（即「Shadow AI」，又稱「影子AI」）而觸發第1.05條揭露義務之案例。因此，企業於積極導入人工智慧工具提升營運效率之際，亦應建立明確之人工智慧工具使用政策與內部控管機制，將Shadow AI之風險納入整體資料安全與法遵管理架構，以符合相關法遵義務之要求。
- 114年「企業營業秘密保護實務座談會」（中部場）
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
- 【上午場】探索科技法律最前線：資策會科法所「114年成果」分享會暨簡報票選
- 商業服務業個資管理與資訊安全實務宣導說明會（高雄場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台南場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台中場）
- 商業服務業個資管理與資訊安全實務宣導說明會（台北場）※如遇颱風假延期至7/16
- 【北部場1】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場2】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場3】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【北部場4】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【南部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 【中部場】國家通訊傳播委員會與通訊傳播產業個人資料保護與管理制度實務工作坊
- 製程工業AI應用與規範研討會
- 美國聯網車監管制度與合規實務說明會
龔柏龍
副法律研究員 編譯整理
CB Financial Services, Inc., Current Report (Form 8-K), No. 0001605301-26-000021 (May 11, 2026), available at https://www.sec.gov/Archives/edgar/data/1605301/000160530126000021/cbfv-20260507.htm.
Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure, 88 Fed. Reg. 51,896, 51,916-17 (Aug. 4, 2023) (codified at 17 C.F.R. §§ 240.13a-11, 240.15d-11, 249.308).
英國資訊委員辦公室(Information Commissioner's Office, ICO)於今（2021）年2月17日推出資料分析工具箱（data analytics toolkit）供所有考慮對個人資料進行資料分析的組織使用，旨在幫助組織駕馭人工智慧（Artificial Intelligence, AI）系統對個人權利所可能帶來的挑戰。 ICO表示，越來越多的組織使用AI來完成特定任務，例如使用軟體自動發現資料集（data sets）的模式，並藉此進行預測（predictions）、分類（classifications）或風險評分（risk scores），組織在使用個人資料進行資料分析時，納入資料保護的概念是至關重要的，除符合法律要求外，也能增強民眾對技術的信任與信心。 使用ICO的資料分析工具箱時，首先會詢問組織所適用的法律，並引導至相對應的頁面，並透過合法性（lawfulness）、問責與治理（accountability and governance）、資料保護原則（data protection principles）以及資料主體權利（data subject rights）等一系列的問題瞭解組織的資料保護情形，在回答所有問題之後，工具箱將產生一份報告，提供組織關於資料保護的建議，提高組織資料保護的法令遵循程度。 ICO強調，組織應該要在個人資料處理的過程中考量報告中所提及的建議，並向組織的資料保護長（Data Protection Officer, DPO）徵詢其意見，在組織委託、設計與實施資料分析時落實個人權利與自由的保障。
Google新版桌面搜尋工具引發隱私權顧慮Google在2006年2月11日推出最新版的桌面搜尋工具Google Desktop 3，它的最新功能可以讓用戶同時搜尋多台電腦的資料。當啟用這項功能後，它會將電腦裡的文件和文字檔案（如Word、Excel）內容予以複製上傳到Google的伺服器上。當用戶在一台電腦搜尋資料時，也會在其他台安裝此工具的電腦自動開始搜尋。Google 表示，目前已經有很多人同時使用數台電腦，這個新功能可以讓使用者的生活更為便利。 但是倡導網路隱私權的團體Electronic Frontier基金會卻表示憂慮。由於新功能可能會讓駭客更容易盜取用戶個人資料，用戶的個人隱私將面臨更大的威脅。該基金會律師Fred von Lohmann認為，使用者應重視個人資料被放在Google伺服器上可能產生的問題，這比便利性更為重要。因為使用時若未花時間處理功能選項和設定問題，它將可能導致個人資料諸如納稅、醫藥和財物紀錄，以及其他文字檔案等資料外洩。
英國推動寬頻速度業務法則以提升寬頻速率服務英國通訊管理局Ofcom在2008年12月公布寬頻速度業務法則(Broadband speeds code)，用以確保消費者在寬頻速度的選購上可獲得更正確的資訊。這個業務法則係在要求ISP業者必須在銷售點提供明確的寬頻速度說明，於消費者購買時清楚解釋廣告上「保證頻寬」的意義；業者亦需解釋何種技術因素可能會降低速度(例如距離機房多遠影響速率傳輸、高峰流量時導致速率傳輸變慢等等)，並提供客戶得以在家中改善情況的方案；若實際速度遠低於原來的說明或保證，則消費者得以選擇替代服務而無須負擔多餘的費用。雖然僅係自願性的業務法則，卻已經有超過全國95%的寬頻用戶所屬的ISP業者進行簽署。 此外，Ofcom同時公布寬頻服務消費者指南(Advice for consumers: Broadband speeds)，協助消費者瞭解自己的寬頻服務權利，以及ISP是否遵行寬頻速度業務法則。 在2009年01月08日所公布的2008年英國寬頻速度報告(UK Broadband speeds 2008)指出消費者寬頻上網的平均速率為 3.6 Mbit/s(下行)，低於業者在推銷廣告上的4.3Mbit/s。雖然3.6 Mbit/s就足以滿足大多數的網路應用，例如語音以及標準畫質的影音，但是有超過60%的英國消費者所購買的服務卻是「保證」8 M的頻寬；但有1/5 的用戶甚至實際得到的速率不到2 Mbit/s，是廣告上速率的45％。此外，研究顯示有9％的消費者不滿意寬頻服務，其中速度是最常被抱怨的項目；且因為距離的關係，城市居民的速率高於農村地區的15％。速率最高在倫敦，最低在英格蘭東北部、威爾斯以及蘇格蘭，使得農村用戶(14%)不滿意寬頻服務的比率高於城市用戶(8%)。 Ofcom在接下來的六個月內將持續監測這些已經簽署業務法則的ISP業者，以期督促業者能提供更符合消費者需求的服務，並預計納入2009年的政策規劃中。 (2008年英國寬頻速度報告為實地調查，於1500個家庭用戶安裝相關網路設備進行監測網路品質，透過調查期間為2008年10月23日至2008年11月22日止。)
創投業景氣欠佳，政府扮演助力角色在網路泡沫化之後，曾經在九○年代紅極一時的資金投資機構 -- 創業投資 (Venture Capital) 也歷經了前所未有的低潮。創業意願的低落、股市的低迷，使得創投在投資目標的選擇與投資的回收上，都面臨很大的瓶頸。 然而近期以來，在美國，一股對創投支撐的力道，正逐漸成形。這股力量正是來自於各州的政府。目前在美國，除了六個州之外，各州的政府均積極投入創投產業，希望透過創投的中介功能，發展產業。各州政府經由創投發展的產業，主要有生技、醫療設備、軟體、電信、能源、半導體與網路等。 各州政府希望透過創投，發展當地的產業，並提供就業機會。在這波的潮流之下，四十四個州所支持的 151 支創投基金，已為創投業者帶來一股新的希望。