歲月的容顏 YingChu Chen

之前分享利用 Claude Code 做 飲食營養分析 Bot 的經驗 。我自己有個習慣，就是在做新的專案時，會先評估法遵風險。當我在做飲食營養分析 Bot 時，我才知道原來台灣除《醫師法》外還有《 營養師法 》，而《營養師法》第 12 條列舉營養師的法定業務，包含營養評估、飲食設計、個案諮詢、膳食管理等。 這部《營養師法》在幫大家的健康把關，因為不能隨便一支影片、一段報導，就能提供營養建議。在法規中，需要接受完整的專業教育，並持續進修，每 6 年就要提出繼續教育的證明文件，才能更新執業證照；沒有「營養師」的證照不能自稱「營養師」，法規中列舉了營養師的業務範圍，並規定須親自執行業務，不能由他人代理，如果藉由通訊方式執行業務，還要經過執業登記的主管機關核准；執行業務時還要做紀錄，這些紀錄可能還會成為法律或醫療紀錄文件。 成為「營養師」需要符合嚴格的要求與限制，並不是隨便用AI分析、讓AI提供建議就能取代的。台灣每年會舉辦 2 次營養師的考試，參考自中華民國營養師公會在 2025年的統計資料 ，台灣每年營養科系的畢業生約 1500 人，到 2025年，累計已有 11,860 人通過考試取得執照，及格率約 25%，看起來是一個具有挑戰性的考試。 Bot 的個人化建議，算不算「執行業務」？ 在我設計的 Bot 裡，不是只有拍照上傳讓 AI 去分析、評估，事實上還有其他情境的飲食需求，再提供使用者建議，例如由 Bot 提醒當天攝取的蛋白質不足，或我在前篇文章中提到的鈉的攝取量過高，Bot可能提醒要減少鈉的攝取或是多補充哪些蛋白質來源，這些分析與建議是否算「執行業務」？在該法第 29 條中也寫明，如果沒有取得營養師的資格而執行相關業務，本人及其雇主各處新臺幣 5 萬元以上，25 萬元以下罰鍰。 法律規範的對象是「人」，目前法律還沒有明確定義 AI 工具的法律地位，也不知道該找誰負責，是開發的工程師？大語言模型的公司？還是開發的公司？一般開發者通常會在提供的資訊裡加上「僅供參考、非醫療建議」的免責聲明來規避，但無從得知這樣的聲明在法律是否具有效力。另外，由於在 Bot 中可以設定慢性病的個別飲食計算，還可能同時踩到《醫師法》（涉及診療）與《營養師法》（涉及個案管理）。同時，即使開發者已在服務中加入「僅供參考、非醫療建議」的免責聲明，主管機關或法院在判斷是否構成營養師業務的執行時，...

昨晚看新聞，現任台北市長拋出一個政策宣示：未來公務員將配給自動化的AI工具，讓台北市政更「前進」。台北市資訊局也已快速推出 CiviClaw，目標是 2027 年讓每位公務員都能無門檻使用 AI。 這樣的政策方向讓我感到憂心。長期觀測各國個資保護規範的我清楚知道：台灣的個人資料保護主管機關至今仍是「籌備處」，尚未正式運作；《個人資料保護法》的修法呼聲雖久，AI相關條款卻付之闕如；《人工智慧基本法》已於今年1月施行，但高風險AI認定標準的子法至今仍是空白。 有網路、有 IoT 不等於智慧城市，有 AI 當然也不等於智慧城市，應該重視制度能否承接工具帶來的責任。 歐盟已明確禁止業者使用 AI 推測員工或學生的心理狀態；美國聯邦政府要求採購 LLM 時廠商必須提交模型卡與資料卡；韓國 AI 基本法的子法早已配套生效。這些都是台灣政府在推動配給公務員 AI 之前，必須正視的制度差距。 以下我與大家分享長期觀測的內容，由AI協助整理資料： 歐盟：從禁令到揭露義務的多層規制體系 歐盟的AI治理框架是由多部法律疊加起來的立體架構，最底層是2018年施行的 GDPR，處理的是個人資料如何被蒐集、儲存、使用的基礎規則，再來疊是2024年生效的《人工智慧法》（EU AI Act，下稱 AI 法），建立不同風險等級分類管理AI系統，從禁止使用到高強度監管、再到一般透明度義務，形成不同層次。最新的一層則是仍在立法程序中、但主要架構已確立的 Digital Omnibus ，試圖修補 AI 法與 GDPR 之間的規範衝突。 AI 法第50條是最直接影響生成式AI服務的條款，自2026年8月2日起全面適用。根據這條規定，凡是讓使用者與AI系統互動的業者，必須主動告知對方「正在與 AI 互動」，而不能讓人誤以為面對的是真人。AI生成的文字、影像、音訊等內容，還必須以機器可讀的格式加上標記，使平台與監管機關得以溯源辨識。與此同時，AI法第14條要求高風險AI系統必須設計成「可由自然人有效監控」的形式，確保機器的決策不會在缺乏人工審核的情況下直接作用於當事人。 AI法所稱的「高風險 AI 」，涵蓋的場景比一般想像的廣。依該法附件三列舉，生物辨識系統、關鍵基礎設施管理、教育與職業篩選、就業與人員管理、信貸與社會福利申請審核、執法、移民邊境管制，以及司法審判輔助，都在高風險範疇之內。這些場景的業者必須進...

台灣有不少企業直接在歐盟市場做生意，或是與歐盟企業有供應鏈往來。只要產品或服務觸及歐盟，AI Act 的規範就可能適用，這件事與台灣企業的距離很近，而今年5月是AI Act進度發展密集的一個月，值得整理一下發生什麼事。 AI Omnibus 修正案：從提案到5月協議 AI Omnibus 修正案 (一攬子修正案，以下簡稱Omnibus )是指把多項修正打包成一個法案同步處理的立法方式。這次的 AI Omnibus，是《AI Act》2024年正式生效以來的首次實質修正。 它的起點在2025年11月。當時歐盟執委會(European Commission)提出修正提案，認為《AI Act》中的高風險 AI 的法遵負擔過重，有必要調整期限並減輕中小企業壓力。歐盟理事會(Council of the European Union)與歐洲議會在2026年3月分別通過各自的談判立場，三方協商正式展開。歐盟理事會與歐洲議會在5月7日凌晨達成暫定協議，打包以下2項修正： 時程延後： 就業審查、執法、信用評分等領域的AI系統( Annex III )，遵法的截止日從2026年8月延到2027年12月；嵌入醫療器材、機械等產品的AI( Annex I )，則延到2028年8 月。 新增禁令： AI生成非自願性親密影像(俗稱AI裸化應用)，以及生成兒童性剝削內容的AI系統，2項均在2026年12月生效。 這份協議目前仍是暫定協議，需要歐洲議會全體投票與理事會正式採納，預計2026年6至7月完成。 行程緊湊的歐盟AI Office Omnibus 協議簽完，歐盟AI Office在5月做2件事： 透明度義務指引草案(5月8日)： 歐盟執委會就《AI Act》第 50 條的 透明度義務公開徵求意見 至6月3日。這份指引將規範「互動式 AI 系統必須主動告知使用者正在與 AI 互動，生成式 AI 的內容也必須植入機器可讀的浮水印」，這項義務沒有延後，依然在2026年8月2日生效，距現在只剩10週。 高風險AI分類指引草案(5月19日）： 148 頁的草案出爐，涵括生物辨識、教育、就業、基本服務、執法、移民、司法等7大領域，逐一說明什麼樣的AI系統會被認定為高風險。「 高風險AI分類指引草案 」公開徵詢意見至6月23日。這份指引原定2月發布，實際延遲整整3個月才出來。但歐盟 AI Of...

這陣子試著把重心挪到其他非網路世界，讓工作是工作，生活是生活，維護自己的健康，且在聯合國網路治理論壇舉辦期間，也只參與自己有興趣的線上會議。然而在整個上半年，我在工作中所觀察到全球AI治理政策及法規發展，都顯示台灣相關立法進度延宕。 台灣政府的立法習慣是先觀察其他國家怎麼做、已經實行相關政策的後續發展成果優劣，再從這些經驗中快速學習。 我看到幾個國家都在往前一直跑，台灣內部的政治因素影響，台灣國發會終於推出「AI新十大建設推動方案」（草案，不是關係人所以看不到內容），新聞稿中也放很多的關鍵字，如量子電腦、資料治理、智慧XX等談了很多年的東西，再放到一個新瓶子裡，同事形容的很好：「目前因為不知道詳細內容，希望不會是新瓶裝舊酒」。 我讀了行政院在7月3日的新聞稿，腦袋裡浮出的是幾年前智慧國家簡報中的那幾個從平面上長出來的汽球。 快速掃瞄歐盟、英國、美國及日本的相關法案，及民間合作 我在這兩個月觀察到英國、日本、韓國、歐盟、美國，不論是在資料治理或是AI治理上的進度非常快。由於不是每個人都喜歡讀法規內容，所以我簡列事件如下，有興趣者可以再去找相關資料，已通過的法案都已經公告在網站上，可以自己再去看： 歐盟在 7 月 10 日通過「人工智慧行為守則」（Code of Practice），將於 8 月 2 日實施，內容包括透明度、著作權及安全/保障（Safe and Security）的規範，以補足 《人工智慧法》，之後也會有相關的指南，形成完整的治理配套措施。自願簽署的企業就表示也自主遵守歐盟《人工智慧法》（ AI Act ），也會有遵法上的確定性，降低不確定性的成本。不願簽署的企業也有其他遵法的方式，只是不確定性的風險比較高。 英國通過資料法案，這就不再多贅述。 日本在今年3月更新《企業人工智慧指南》，增加新風險和問責需求，在 6月時通過《促進人工智慧相關技術研究、開發與利用的法案》，目的是打造AI友善的國家。 美國目前仍缺乏聯邦等級的資料保護法案，但各州都有非常嚴格的資料保護法案。除了資料治理法案外，各州也有提出管制人工智慧的法案，而德州州長在6月就簽署該州的《德州負責任的人工智慧治理法案》（Texas Responsible AI Governance Act，TRIGA)，管制對象包括人工智慧系統的開發者與部署者及政府實體。 當台灣民間開始覺察《數位中介服務法》的重...