郭彦含 律师、郑伊芳 资深顾问[1]
欧盟执委会（European Commission）于2021年4月21日提出「人工智能规则(AI Act)草案[2]」(以下简称AIA草案)，延续欧盟2020年2月发布之「人工智能白皮书」所提出之策略架构，建议欧盟建立一套以人为中心(human-centric)的AI法规，鼓励对于安全、值得信赖且道德的AI进行研发与应用，透过AI法规监管体系的建立，发展AI信任生态圈（ecosystem of trust），以促进AI的发展。以下兹就欧盟执委会提出之AIA草案内容进行说明:
一、AI系统的定义:
AIA草案中所指的「人工智能系统（AI system）」，定义相当宽广，凡使用一种或多种附件I所列之机器学习、逻辑与知识方法或统计学方法[3]，并可以对一组人为给定的目标，产出结果(如:内容、预测、建议或会影响与系统连动环境的决定)的软件，皆属于AIA草案中所称之人工智能系统。
二、AIA草案规范对象与域外效力:
AIA草案的规范对象涵盖整个AI系统价值链上的参与者，包含供货商、制造商、进口商、经销商、使用者等，但主要以AI系统的「供货商」与「使用者」为课予义务的对象。「供货商」指的是为了在欧盟市场中以自己的品牌将AI系统投放或投入服务(不论有偿或无偿)，而开发AI系统的法人或自然人(包含公部门)。而「使用者」则是指，在自己权限范围内使用AI系统的自然人、法人、机构或其他单位，但私人非专业活动之使用并不包含在内。
依草案规画，未来AIA草案将适用于:(1)将AI系统投放到欧盟市场或将AI系统投入欧盟提供服务的供货商，无论该供货商设立于欧盟境内或第三国。(2)欧盟境内的AI系统用户。(3)第三国AI系统的供货商或用户，其系统产出的结果在欧盟境内使用。因此，AIA草案的域外效力不仅及于境外的系统供货商，亦包括AI系统本身在欧盟境内不可取得，且使用者非在欧盟境内使用，仅产出之结果在欧盟境内使用的情形。
三、对于AI系统的管制:
欧盟依循以风险为基础的方法(risk–based approach)，将AI系统分为四个风险层级:(1)不可接受的风险(Unacceptable risk )(即禁止使用的AI)(2)高风险(High-risk) (3)有限风险(Limited risk)，及(4)最低风险(Minimal risk)，不同风险层级的AI系统需遵循不同的规范，而AIA草案主要针对「不可接受的风险」及「高风险」AI进行规范。
(一) 禁止使用的AI:
AIA草案列出四种禁止使用的AI用途，这些用途因具有不可接受之风险，违反欧盟价值观及基本权利，应予以完全禁止:
(1) 潜意识技术:
在个人未意识到的情况下，以潜意识技术严重扭曲个人的行为，导致(或可能导致)个人或他人身体或心理伤害；
(2) 利用弱势:
利用特定群体年龄、身体或精神障碍的弱势，严重扭曲弱势群体中个人的行为，导致(或可能导致)个人或他人身体或心理伤害，例如:以语音鼓励未成年人进行危险行为的玩具。
(3) 社会评分:
政府根据自然人的社会行为、特征或个性，对自然人的信用进行评分或分类，对特定人或整个群体产生有害或不利的待遇；
(4) 公共场所生物辨识执法:
在公共场所出于执法目的而使用远距生物辨识系统，但为寻找特定犯罪被害人(包括失踪儿童)、防止人身威胁或恐怖主义，或追诉重大犯罪，经司法机关或其他独立机关事前授权，并在时间、地理范围和人员受到适当的限制下，得在最小必要范围内使用远距生物辨识。
(二) 高风险AI系统:
除了禁止使用的AI外，以下AI技术的使用可能造成人身安全或基本权的负面影响，因此将被认定为「高风险」AI系统，而须遵循严格的法定义务：
(1) 产品或产品安全组件:
AI系统作为产品安全组件或本身即为产品，而受AIA附件II之欧盟既有产品相关法规规范(如医疗器材、机械、航空器、车辆、船舶、铁路、儿童玩具等)，且该等产品在市场销售或投入使用前须经第三方进行符合性评估(conformity assessment)者；
(2) 特定领域的AI系统:
● 远距生物辨识系统；
● 关键基础设施（如运输、水、电、瓦斯）安全组件；
● 教育与职业训练之评分与录取（如考试成绩）；
● 就业、劳动管理和自营资格（如用于招聘流程的履历分类软件）；
● 公部门及私部门重要服务之取得（如信用评分、社会救助）；
● 执法活动（如测谎、证据可信度的评估、再犯率评估）；
● 移民、庇护和边境管制（如旅行证件真实性的查核）；
● 司法行政和民主程序（如依据具体事实适用法律）。
高风险AI系统应遵守的法定强制要求包括:
● 建立风险管理系统(Risk management system):
高风险AI必须建立并维持贯穿整个系统生命周期的风险管理系统，以识别和分析风险，并采取适当的风险管理措施；
● 资料治理(Data governance):
高风险AI用于训练模型的数据应符合一定的质量，践行适当的管理程序，且应具有相关性、代表性、正确且完整；
● 制作技术文件(Technical documentation):
高风险AI在投放市场或投入使用前，应制作详细的技术文件，说明系统相关信息及设置目的，供主管机关评估其合法性；
● 纪录系统活动(Record-keeping):
高风险AI应具备自动记录事件(Log)的功能，该功能应符合公认的标准或是通用的规格，以确保结果的可追溯性；
● 向用户提供清楚充分的信息(Transparency and provision of information to users):
高风险AI应确保用户能够解释系统产出的结果且正确地使用系统产出的结果，系统并应配有使用说明，向使用者提供简明、完整、正确、清晰的信息；
● 适当的人为监督(Human oversight):
高风险AI应配有适当的人机接口工具，可由自然人监督系统运作，将风险降到最低；
● 准确性、稳健性和网络安全(Accuracy, robustness and cybersecurity):
高风险AI应有适当的准确性，面对系统内外发生错误、故障或不一致时候，仍具有稳健性，且应确保系统网络安全，预防对于系统的攻击。
检验AI系统是否符合以上要求，系透过进入市场前的「符合性评估(conformity assessment)」来判断，符合性评估的执行一部份将由欧盟既有产品相关法规之检验单位负责，另一部分则透过供货商内部控制程序自行评估，而生物辨识AI将由新成立之指定机构负责符合性评估程序。通过符合性评估后系统须印上CE标章以表彰其符合AIA草案规定而得以自由在欧盟市场流通。此外，高风险AI系统非属欧盟既有产品法规下之产品者，在进入市场前必须在新设立的欧盟AI数据库进行注册。
AI系统进入市场后，供货商应进行上市后监控(post-market monitoring)，确保AI系统持续符合前述之要求，且在发生重大事件时，通报各国监管机构。
(三) 有限风险AI系统:
有限风险AI系统即负有特定揭露义务之AI系统，AIA草案规定AI系统用于与自然人互动(例如:聊天机器人)、情绪辨别、生物分类、深度伪造者，应揭露予使用者知悉，让使用者决定是否继续使用该软件。
(四) 最低风险AI系统:
最低风险AI系统即其他依循既有法规而无额外义务的AI系统。多数的AI系统皆属于此风险层级，像是AI电玩或垃圾邮件分类器，AIA并不管制这类型的应用，但供货商得自愿性遵守AI行为守则(codes of conduct)。
四、AI系统的监理:
在监理方面，欧盟将组成欧洲人工智能委员会（European Artificial Intelligence Board）发布相关意见、指引，促进AIA的实施，以及推动人工智能标准的发展。而由于AIA对于AI系统业者的遵循成本相当可观，AIA草案中也鼓励各国设立AI监理沙盒(即在给定的一段时间内，开放在可控制的环境中测试创新技术)，并针对中小企业和新创企业提供协助。
五、违反AI规则的罚则:
目前AIA草案内，违反AIA之罚款金额相当高，使用禁止之AI系统或不遵守数据治理要求者，最高得处3000万欧元，或上一会计年度全球年营业额的6％（以较高者为准）；不遵守其他要求者，最高得处2000万欧元或上一会计年度全球年营业额的4％；向指定机构或主管机关提供不正确、不完整或误导性的信息，最高得处1000万欧元或上一会计年度全球年营业额的2％。
六、结论：AIA对于我国业者的影响
欧盟人工智能规则(AIA)目前尚在草案阶段，预计需要1至2年才能完成立法，且草案暂订有24个月的宽限期，最终条文预计在3至5年后才会正式实施。自从草案提出后，各界对于草案内容仍有相当多意见，一部分人认为由于AIA对于AI的定义过于宽泛、高风险AI的领域过多且不明确、注册所需揭露的项目内容过多等，可能造成AI研发与应用上的压力；而另一方面，许多民间团体对于生物辨识技术的使用仍有顾虑，AIA草案对于生物辨识虽然有较严格的监管，但也开放许多例外，对于生物辨识监管的力道可能不如预期。从目前的讨论来看，未来欧盟AIA的立法过程势必仍将经历各方的游说与论辩，才能决定法案的最终版本。
然而，类似于欧盟一般数据保护规则(GDPR)，欧盟人工智能规则(AIA)亦将以欧盟规则(regulation)的形式发布，届时将直接适用于欧盟各会员国，而其域外法效力扩及欧盟境外的AI系统产品或服务供货商，甚至是AI系统供货商及用户皆位于欧盟境外，仅系统产出之结果于欧盟境内使用的情形。且AIA草案整合了欧盟既有的产品相关法规，除对开发AI系统的供货商课予相关责任外，特定产品的制造商亦与供货商负相同责任。因此，我国业者不论是有意在欧盟会员国以自己之品牌销售AI系统，或其AI系统产生之结果可能在欧盟会员国使用，或是生产具有AI的医疗器材、机械、儿童玩具等特殊产品，皆须密切关注欧盟AIA草案的立法动态，在AIA正式实施前预作准备，以降低法令遵循风险。
[1] 本文僅代表作者個人意見，不代表事務所立場。
[2] Proposal for a Regulation laying down harmonised rules on artificial intelligence
[3] AI規則附件I所列AI開發技術和方法包括:(1)機器學習，包括監督式(supervised)、非監督式(unsupervised)、強化式 (reinforcement learning)及深度學習(deep learning)等各式方法； (2)邏輯和知識方法，包括知識表示法(knowledge representation)、歸納邏輯程式設計(inductive logic programming)、知識庫(knowledge base)、推理機(inference and deductive engine)、符號推理（symbolic reasoning）和專家系統(expert system)；(3)統計方法、貝氏估計法(Bayesian estimation)、搜尋和優化方法。AI規則並授權未來將成立之歐洲人工智慧委員會(European Artificial Intelligence Board)，得就附件I所列的AI開發技術與方法進行更新。