英國司法管轄權工作小組發布「關於人工智慧損害責任之法律聲明」，旨在闡明英國法律將如何對利用人工智慧造成之損害追究責任
英國司法管轄權工作小組（The UK Jurisdiction Taskforce, UKJT）於2026年7月發布「關於人工智慧損害責任之法律聲明」（Legal Statement on Liability for AI Harms）（以下簡稱本聲明），旨在闡明於何種情況下，以及基於何種法律依據，英國法律將對利用AI造成之損害追究責任。
本聲明指出，因利用AI而非故意造成之損害，其責任來源大致可分為契約責任與侵權責任。就契約而言，通常為AI供應鏈中各方分配損害責任之主要依據，AI本身之存在並不會對契約法構成特殊困難之判斷，各方當事人可自由分配風險、定義績效標準並根據自身判斷限制責任。
就侵權責任而言，本聲明認為過失法則（law of negligence）完全可應用於AI造成之損害。粗心之AI使用者很可能因可預見之損害而被追究責任，開發針對特定目標應用程式之開發者亦可能承擔責任，惟基礎模型開發者（Foundation Model Developer）於大多數情況下，皆不太可能因其通用模型之不可預見、或未經充分測試之用途而被追究責任。
除一般侵權責任之外，本聲明並另探討其他特殊侵權行為責任類型如下：
（1）代位責任（vicarious liability）：由於AI並未具備人格，因此任何人均無需為AI系統本身之行為或故障承擔代位責任；惟若損害係由人類員工於使用AI時不當行為所造成，則雇主可能需要承擔代位責任，此與一般之雇主代位責任並無二致。
（2）不可轉嫁之義務（non-delegable duties）：若某人負有不可轉嫁之義務，即保護他人免受傷害，則此人可能即需對他人因自身過錯造成之AI損害承擔責任。例如英國國家醫療服務體系（NHS）信託機構對其患者負有不可轉嫁之義務，假設一家NHS信託機構從第三方開發人員購買一款AI診斷工具，並將其應用於病患照護，若該AI工具有缺陷，而責任在於應用程式開發商，該NHS信託機構不能以此為由逃避對患者造成之傷害責任，因提供合格之診斷服務與工具為信託機構承擔之醫療照護責任重要組成部分，此項責任不可轉嫁。
（3）專業人士責任：專業人士具有「合理技能與注意」（reasonable skill and care）義務，取決於該行業合格成員通常遵循之標準，並參考專業機構之指引。依此，若專業人士不當使用AI、使用不合適之模型、未能進行適當之盡職調查，或未能有效測試、或驗證AI輸出結果，則可能被認定為有過失。此外，若專業人士於應使用AI之情況下卻未使用，亦可能承擔法律責任，因隨AI工具功能日益強大且應用日益廣泛，專業標準也將隨之演變，而未能使用現有技術本身亦可能構成違約。
（4）產品責任（Product liability）：依英國《1987年消費者保護法》（Consumer Protection Act 1987）規定，對於瑕疵產品，企業需負嚴格責任，惟目前該規定僅適用於將AI整合到機器人或自動化機器等有形產品中之情況，純軟體形式之AI系統不太可能被現行法律認定為「產品」。
須注意者為，對於開發者而言，本聲明做出重要之區分，即建立針對特定目標應用之開發者，相較提供通用基礎模型之開發者面臨更大的風險，惟AI供應鏈中之所有參與者皆須意識到自身之責任。
本文為「經濟部產業技術司科技專案成果」
施雅薰
法律研究員 編譯整理
Legal Statement on Liability for AI Harms, The UK Jurisdiction Taskforce, July 2026, https://27221500.fs1.hubspotusercontent-eu1.net/hubfs/27221500/UKJT%20work/UK%20Jurisdiction%20Taskforce_Legal%20Statement_FINAL.pdf (last visited Oct. 1, 2026).
賴威豪，〈德國慕尼黑第一地方法院判決Google應為Google搜尋AI摘要功能之不實訊息負責〉，資訊工業策進會科技法律研究所，2026/7，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9512&no=64（最後瀏覽日：2026/10/1）。
鄭岱宜，〈日本經濟產業省發布《運用AI民事責任之解釋適用指引》，促進AI普及運用〉，資訊工業策進會科技法律研究所，2026/5，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9478&no=64（最後瀏覽日：2026/10/1）。
施雅薰，〈世界衛生組織發布歐洲區域人工智慧於醫療系統準備情況報告，責任規則為最重要之關鍵政策因素〉，資訊工業策進會科技法律研究所，2026/1，https://stli.iii.org.tw/article-detail.aspx?tp=1&d=9442&no=64（最後瀏覽日：2026/10/1）。
科法觀點
美國於2015年2月5日公布修訂之行動醫療應用程式指導原則(Mobile Medical Applications, Guidance for Industry and Food and Drug Administration Staff)，取代原先在2013年9月公布之版本。本次的修訂主要是將美國2015年2月9日公布之醫療設備資訊系統、醫療影像儲存設備、及醫療影像傳輸設備指導原則(Medical Device Data Systems, Medical Image Storage Devices, and Medical Image Communications Devices, Guidance for Industry and Food and Drug Administration Staff)規範納入其中。 2015年2月9日公布之醫療設備資訊系統、醫療影像儲存設備及醫療影像傳輸設備指導原則，擬降低FDA的管理程度，採用風險性評估方式，針對部分醫療設備資訊系統、醫療影像儲存設備及醫療影像傳輸設備等三種屬於第一級低風險之醫療器材，得不受ㄧ般管制，例如不需要登記、上市後報告及品質系統法規遵守等。原先，美國於2011年先將醫療設備資訊系統從第三級之高風險醫療器材，降低為第一級低風險之醫療器材，但經過長期間的使用經驗後，FDA認為，此等醫療器材設備在健康照護中十分重要，但相對於其他醫療器材，風險則較低，因此，將放寬程序。 行動健康應用程式亦可能歸類為上述之醫療器材，因此，為與上述的指導原則相符合，對於行動健康應用程式的審查亦作部分放寬。例如，當應用程式與資療資訊系統結合，而成為應受規範之醫療器材時，原先之規定為應進入醫療器材之規範程序，但新修訂之指導原則，則再放寬。僅將涉及積極的病人監測或醫療器材數據分析時，才需要回歸醫療器材之審查方式，其他醫療資訊系統若僅為儲存、傳輸等功能，而非主要提供診斷、治療等功能時，則可以不受醫療器材之規範限制，因風險程度較低，因此改由FDA視個案審查即可。為鼓勵相關產業的發展，FDA將風險性低之醫裁降低管理程度，其後續發展值得觀察。
日本公布資料管理框架，促進資料加值應用日本經濟產業省2022年4月8日公布「協調性資料加值運用之資料管理框架-透過確保資料可信度創造資料價值之新路徑」（協調的なデータ利活用に向けたデータマネジメント・フレームワーク～データによる価値創造の信頼性確保に向けた新たなアプローチ），提示確保資料可信度之方法。經濟產業省於2019年7月31日設立「第3層︰網路空間信賴性確保之安全對策檢討工作小組」（『第3層：サイバー空間におけるつながり』の信頼性確保に向けたセキュリティ対策検討タスクフォース」，以下簡稱工作小組），討論確保資料可信度之要件，以利資料在網路空間內自由流通，並藉由資料創造出新的附加價值。 工作小組為確保資料可信度，首先定義資料管理為「將資料屬性依據其所涉之法令或組織規章，以及因蒐集、處理、利用、移轉等活動而改變之過程，視為一個生命週期加以管理」，並認為資料管理會受到屬性（資料性質，如內容、揭露範圍、利用目的、資料管理主體、資料權利者等）、場域（針對資料之特定規範，如各國、地區法令、組織內部規定、組織間契約等）及事件（產生、改變及維持資料屬性之事件，如生產、蒐集、處理、移轉、提供、儲存、刪除）等三大要素影響，並據此建立資料管理模型。 工作小組期待藉由上述三大要素，依序透過讓資料處理流程（事件）處於容易被觀察的狀態、整理所涉及之相關規範（場域），以及判斷資料屬性等步驟，讓利害關係人之間可更容易進行資料共享及資料治理。
歐盟發布《個資侵害通知範例指引》說明個資侵害案例解析以利個資事故因應歐洲資料保護委員會（European Data Protection Board, EDPB）於2021年1月18日發布《個資侵害通知範例指引》（Guidelines 01/2021 on Examples regarding Data Breach Notification）草案，並進行為期六週之公眾諮詢。該指引針對2017年10月所發布之《個資侵害通知指引》（Guidelines on Personal data breach notification under Regulation 2016/679）透過案例分析進行補充說明，對於資料控制者如何識別侵害類別以及評估風險提出更詳細的實務建議，協助資料控制者處理資料外洩及風險評估考量因素之認定。 個資侵害係指違反安全性規定而導致傳輸、儲存或以其他方式處理之個資，遭意外或非法破壞、遺失、變更、未獲授權之揭露或近用之情形，由於個資事故將對資料主體可能造成重大不利影響，該指引首先要求資料控制者進行侵害類別之辨識，依據2017年指引將個資侵害分為機密性侵害（confidentiality breach）、完整性侵害（integrity breach）以及可用性侵害（availability breach）。而資料控制者最重要的義務在於主動識別系統漏洞，評估侵害對資料主體權利所產生之風險，制定適當計畫及程序採取適當因應措施，確定侵害事件之問題根因及安全漏洞，加強員工認知培訓及制定操作手冊，並確實記錄各項侵害行為，以提升個資事故因應效率及降低時間延誤。 此外，該指引彙整自GDPR實施以來個資侵害通知具體案例，分為勒索軟體攻擊、資料外洩攻擊、內部人為風險、硬體設備或紙本檔案失竊、誤發郵件以及電子郵件內容外洩，共六大主題十八件案例，針對不同程度風險提供最典型的正確及錯誤作法，並提出資料控制者有關預防潛在攻擊及減輕影響之措施建議。
英國隱私團體主張eBay違反資料保護法英國隱私團體「隱私國際」（ Privacy International ，以下簡稱： PI ），於日前向英國「資訊官長辦公室」提出控告（ Information Commissioner's Office ，以下簡稱： ICO ），主張英國 eBay 提供的網路拍賣服務，阻撓使用者刪除註冊之個人資料，構成不公平之個人資料處理，違反英國資料保護法 (Data Protection Act) 。 由於 eBay 針對使用者資料之利用除一般註冊資料維護外，還有一個 VeRO 方案，參與此方案的使用者，其使用者 ID 、姓名、地址、電話號碼、電子郵件信箱以及公司名稱等基本資料將會在 eBay 自行判斷有必要用於調查詐欺、智慧財產權侵害或是其他非法活動時被公開，因此， PI 於聲明中主張，「刪除個人資料」功能與該網站之使用者之利益關聯甚鉅。 而「刪除帳號」項目已為多數網際網路服務所預設的帳號管理功能之一，經由 PI 人員實際使用 eBay 網站，窮盡各種搜尋方法，方於「帳戶資訊與付款」 (account information & billing) 項目找到關閉帳戶的選項， PI 指出，一般合理的使用者無法花費大量時間與方法搜尋網站各項功能， eBay 此一行為明顯是為了該公司之利益特意將該功能加以隱藏，以杜絕多數使用者對該項功能的利用，故向 ICO 提出控告。 PI 並指出，未來將對歐洲、美洲及亞洲各主要網站進行類似的調查。