人工智慧（AI）近年來蓬勃發展，已成為繼區塊鏈之後最受關注的產業。AI的發展，目前已經進入具有理解力的「深度學習」（Deep Learning）階段。具備學習以及自主能力的AI，正如電影「機械公敵」所展現的，如何使其不成為脫韁野馬、反噬人類為一大課題。為了爭取新創企業青睞，各國莫不積極建構友善AI的產業環境。然目前各國仍在摸索AI產業管制法規發展，待解的主要議題包含智慧財產權、隱私保護以及人工智慧侵權責任歸屬等等。

以隱私保護而言，隨著深度學習的演進，AI資料處理範圍很可能會逾越最初經使用者同意的處理目的，此時企業應更新過去的通知與同意。另外，新型裝置透過物聯網偵測個人的日常習慣、行為，一般使用者往往對於此類裝置蒐集、分析的功能缺乏認知，而無法於資料蒐集、利用、傳輸前查知。為符合隱私法規範，企業應確保使用者可以得知資訊的流向，使其具備足夠的資訊控制權。

此外，依世界上大多數的侵權行為法，責任負擔的前提必須要具備預見可能性（reasonable foreseeability），然而深度學習的發展，AI決策的結果有時是無法預料的。當AI可學習並改變自己的「思維過程」時，是否已經改變程式創作者所創作的程式，而產生重大變化？這將是究責的重要判斷因素之一。被認定為「產品」的AI出事時，尚需進一步判斷這究竟是設計瑕疵？製造瑕疵？還是銷售瑕疵（操作說明不明確或未能正確警告）？因此除了瑕疵的證明，企業為事先控制產品風險，應在銷售文件上充分表達演算法的邏輯、假設與可能的結果。

最後，透過AI蒐集個人資料，進行分析與利用，其決策結果與其演算邏輯的設定密切相關，如果演算邏輯有偏頗或者是訓練AI的資料不夠全面，AI決策結果未必符合社會正義。歐盟「一般資料保護規範」（GDPR）規定，企業必須要向個資當事人告知關於AI處理背後的重要邏輯資訊，包含處理之預設結果，並有義務提供個別演算法決策的解釋或演算法如何擬定決策的通則，包括演算法如何做成個案決定之解釋。個資當事人亦有權不受僅基於自動化處理所做成而對其產生法律效果或類似之重大影響之決策所拘束。換言之，個資當事人有權拒絕企業以AI進行資料分析做成的決策，而要求人為介入。因此企業應預先提供個資當事人拒絕或撤回同意的機制，以及個案以人為介入操作的機會。

KPMG建議，企業發展AI，在隱私權保護上應及早將DPbD&D （Data Privacy by Design and by Default）的精神納入產品規劃流程，訂定資料保護政策，並執行個資保護影響評估（DPIA），審慎規劃個資告知事項以及當事人行使相關個資權利的流程，並確保使用者可以得知資訊的流向，使其具備足夠的資訊控制權。產品責任方面，當決定使用AI深度學習的技術時，企業應儘可能在產品說明上列出可能的風險，並記錄不使用替代方案的原因，紀錄應充足顯示演算法的測試歷史，證明盡職調查的過程，以控制侵權責任風險。另外，為符合GDPR之要求，企業應在與當事人建立關係之初，即闡明涉入自動化決策的流程，並事先釐清當事人的意願以即早進行流程的分化。

（本文轉載自工商時報2019/12/27）