💡一句話定義：三部法各管什麼
🧭為什麼要分三部法？一張圖看分工
很多人以為台灣有一部「AI 法」管所有事。其實沒有——AI 基本法是上位原則，真正會開罰單的是各領域既有的法律（個資、著作權、金融、醫療……）。下圖是三部法在一個 AI 專案裡各自出現的位置：
| 面向 | 人工智慧基本法 | 個人資料保護法 | 著作權法（AI 生成） |
|---|---|---|---|
| 管什麼 | 政府推動與治理 AI 的原則與職責 | 能識別特定個人的資料 | 人類的創作表達 |
| 對象 | 主要是政府、各目的事業主管機關 | 公務機關＋非公務機關（公司、個人都算） | 創作者、利用者、AI 服務商 |
| 有沒有罰則 | 沒有（基本法性質） | 有：行政罰鍰＋刑責 | 有：民事賠償＋刑責 |
| AI 專案常見踩點 | 導入高風險應用卻沒做風險評估、沒標示 | 目的外利用、沒告知、去識別化不足 | 拿別人作品訓練、把純 AI 產出當自己的著作 |
🏛️《人工智慧基本法》：它是「基本法」，不是「管制法」
先講最重要的觀念：基本法（Basic Act）是一種「宣示原則、交辦任務」的法律——它告訴政府「推動 AI 時要守哪些原則、該做哪些事」，但不直接規定企業做了什麼會被罰多少錢。真正的管制與罰則，由各領域的主管機關依既有法律（個資法、金融法規、醫療法規……）或日後的專法處理。
七大核心原則（第 4 條）
考試最愛考的就是這七個——題目會給你一個情境，問「違反了哪一項原則」。
AI 要增進人類整體福祉、兼顧環境與社會永續。
人保有最終決定權，AI 不能操弄、取代人的自主判斷。
蒐集與使用資料要合法、必要、可問責（接個資法）。
系統要能抵抗攻擊、避免造成人身或財產危害。
讓人知道「這是 AI」、知道它為什麼這樣判斷。
不因性別、種族、年齡等產生差別待遇或偏誤。
出事要找得到誰負責、有救濟管道。
風險分級與主管機關分工的「精神」
- 風險分類框架：第 16 條要求數位發展部推動「與國際介接」的 AI 風險分類框架，各目的事業主管機關再依自己領域訂「以風險為基礎」的管理規範。意思是：風險愈高、管得愈嚴，但實際規範分散在各部會，而不是一部法管到底。
- 高風險應用要標示：第 5 條規定，經認定為高風險的 AI 產品或系統，應明確標示注意事項或警語；第 17 條要求政府就高風險應用明確責任歸屬，並建立救濟、補償或保險機制。
- 接個資與智財：第 14 條要求避免不必要的個資蒐集、處理、利用，並推動「隱私保護納入預設及設計（Privacy by Design）」；第 13 條要求訓練與產出結果要維護智慧財產權、展現多元文化價值。
- 勞動權益：第 15 條要求政府弭平技能落差、輔導因 AI 失業者就業。
查證來源：總統府公報第 7837 號（2026-01-14 公布）、維基百科：人工智慧基本法、台灣人工智慧學校：法規全文解讀
🇪🇺跟歐盟 AI Act 差在哪？
兩邊都講「風險分級」，但做法天差地遠。歐盟 AI Act 是直接管制法：把 AI 應用分成「不可接受／高／有限／最小」四級，禁止的就禁止、高風險的要符合一長串義務，違規最高可罰全球年營業額的 7% 或 3,500 萬歐元（取高者）。台灣的基本法則是原則與促進，把管制交給各部會。
| 面向 | 歐盟 AI Act | 台灣 AI 基本法 |
|---|---|---|
| 法律性質 | 直接管制法（Regulation，會員國直接適用） | 基本法（原則、政策方向、政府任務） |
| 風險分級 | 法條內明文四級，各級義務寫死 | 要求主管機關「推動與國際介接的分類框架」，細節在子法／各部會規範 |
| 禁止條款 | 有：社會評分、特定即時生物辨識等直接禁止 | 無直接禁止清單；由各法令依風險限制或禁止 |
| 罰則 | 有，且極重（最高 7% 全球營收） | 無；罰則回歸個資法、消保法、各業法 |
| 重點取向 | 防止危害、保障基本權 | 促進研發與產業發展＋治理原則並重 |
| 適合比喻 | 交通法規：闖紅燈直接開單 | 交通政策白皮書：宣示「安全第一」，細則交各單位 |
🔐《個人資料保護法》：資料能認出「人」，就歸它管
什麼是個人資料？
特種個資（第 6 條）：原則禁止蒐集
特種個資（Sensitive Personal Data）共六類：病歷、醫療、基因、性生活、健康檢查、犯罪前科。原則上不得蒐集、處理、利用，只有法律明文、當事人書面同意、學術研究且去識別化等例外才行。注意：台灣的特種個資清單不包含臉部影像、宗教、政治立場（歐盟 GDPR 有），但臉部影像仍是一般個資，照樣受保護。
三階段 + 告知義務
當事人權利（第 3 條，不得預先拋棄或以特約限制）
- 查詢或請求閱覽；請求製給複製本
- 請求補充或更正
- 請求停止蒐集、處理或利用
- 請求刪除
違規會怎樣？
- 行政罰鍰（第 48 條）：違反安全維護義務處新臺幣 2 萬元以上 200 萬元以下；情節重大者 15 萬元以上 1,500 萬元以下，並得按次處罰。
- 刑責（第 41 條）：意圖營利或損害他人而違法蒐集、處理、利用，足生損害者，處 5 年以下有期徒刑，得併科 100 萬元以下罰金。
- 民事賠償（第 28、29 條）：受害者可求償；不易證明損害時，每人每一事件 500 元以上 2 萬元以下。
個人資料保護委員會（個資會）
過去個資法由各目的事業主管機關各管各的，沒有一個統一的獨立監管機關。憲法法庭判決後，行政院於 2023 年底成立「個人資料保護委員會籌備處」；2025 年 10 月 17 日立法院三讀通過個資法部分條文修正，2025 年 11 月 11 日總統公布，確立個人資料保護委員會（PDPC）為獨立的個資主管機關，統一監理與裁罰（施行日期由行政院另定）。對 AI 專案的意義：以後個資合規會有單一窗口＋更有系統的裁罰，不再是各部會鬆緊不一。
查證來源：全國法規資料庫：個人資料保護法、個人資料保護委員會籌備處：修正條文 2025-11-11 公布、2025 年個資法修法重點（律師事務所整理）
🤖AI 訓練資料的三大個資地雷
「公開」不等於「可以隨便用」。第 19 條只允許在「與蒐集目的具有正當合理關聯」下利用已公開資料；把社群貼文含帳號、經歷整批抓去訓練，很可能超出當事人公開時的合理預期。
拿掉姓名，但留下郵遞區號＋生日＋性別，拼起來就能認出人。研究顯示這三項組合可識別大多數美國人口。模型也可能「背下」訓練資料再吐出來。
去識別化（De-identification）只是遮掉直接識別項，仍有再識別風險，仍是個資；匿名化（Anonymization）要做到不可逆、無法以任何合理方式還原，才脫離個資法。很多公司把前者當後者，這是最常見的誤解。
🎨AI 生成內容的著作權：只保護「人類的創作表達」
智慧財產局（TIPO）的函釋立場
- 2025 年 4 月 1 日 智著字第 11460005900 號函：把 AI 當輔助工具、有自然人實際創意投入 → 可受保護，著作權歸投入創意的人；完全由 AI 演算獨立完成 → AI 非自然人，原則上無著作權。
- 2025 年 5 月 22 日 電子郵件 1140522c：重申上述判準，並指出若 AI 生成圖與訓練資料中的原著作構成實質近似，拿去商用可能侵權；建議先向 AI 服務商確認授權狀況並遵守其使用條款。
- 2023 年 6 月 經授智字第 11252800520 號函：把受保護的著作輸入 AI 模型訓練，涉及「重製」，除合理使用外原則上需取得授權。
「人類實質參與」到底要多少？
函釋沒有給數字，實務上看創意投入的程度：只打一句提示詞（prompt）、按下生成，通常被認為不夠；用 AI 出草稿後，自己決定構圖、大幅修改、重繪細節、編排組合，人類貢獻的部分才可能成立著作。美國著作權局的做法也類似：只保護人類創作的部分，AI 生成部分要排除。
訓練資料的「合理使用」爭議
用別人的作品訓練模型，到底算不算合理使用（Fair Use）？目前全球都在打官司（紐約時報告 OpenAI、藝術家告 Stability AI、作家告 Anthropic 等），台灣智財局的立場是「原則上要授權，除非符合合理使用」。判斷會看：利用目的（商業／研究）、著作性質、利用比例、對市場的影響——尤其產出是否取代原作市場。
商用前的風險清單
| 風險 | 為什麼 | 怎麼降低 |
|---|---|---|
| 無法主張權利 | 純 AI 產出沒著作權，別人抄了你也告不了 | 加入人類實質創作，保留創作過程紀錄 |
| 侵權 | 產出與訓練資料中的作品實質近似 | 避免指名模仿特定作者風格／作品，商用前做相似度查核 |
| 違反平台條款 | 各 AI 服務的商用授權不同（免費方案常不給商用） | 讀使用條款，用有商用授權與賠償條款的方案 |
| 商標／肖像／人格權 | 生成含真人臉孔、品牌 logo 的內容 | 避免生成真實人物與註冊商標，必要時取得同意 |
| 標示義務 | AI 基本法透明原則、平台與廣告法規趨勢要求標示 AI 生成 | 在產出上誠實標示「AI 生成／AI 輔助」 |
查證來源：智慧財產局：電子郵件 1140522c 函釋、法源法律網：以 AI 為工具投入創意完成著作可受保護（2025-05-20）、Lexology：智財局 AI 著作權函釋整理
🎮互動：情境判斷器——這件事踩到哪一部法？
讀完三部法，來練判斷。每張卡描述一個真實會發生的情境，請選最主要踩到的法（或「沒問題」）。點選後立刻給解析，解析也會提到次要相關的法。
⚠️常見誤區（考題最愛出的陷阱）
| 誤區 | 正確觀念 |
|---|---|
| 「AI 基本法會罰違規企業」 | 基本法沒有罰則；它宣示原則、交辦主管機關，罰則回歸各業法與個資法。 |
| 「資料是公開的，所以可以拿去訓練」 | 公開資料仍是個資；利用必須與公開目的有正當合理關聯（第 19 條）。 |
| 「去掉姓名就不是個資了」 | 去識別化 ≠ 匿名化；只要仍可能間接識別，就還是個資，仍受個資法規範。 |
| 「我下的提示詞，所以 AI 生成的圖是我的著作」 | 只下指令通常不構成「創作表達」；沒有人類實質創意投入的純 AI 產出，原則上無著作權。 |
| 「AI 生成的東西沒著作權，所以怎麼用都不會侵權」 | 「自己沒權利」和「侵犯別人權利」是兩件事；產出若與既有作品實質近似，照樣侵權。 |
| 「臉部影像是特種個資」 | 台灣特種個資只有六類（病歷、醫療、基因、性生活、健康檢查、犯罪前科）；臉部影像是一般個資，仍受保護。 |
| 「當事人簽了同意書就可以永久任意使用」 | 同意有特定目的範圍；當事人隨時可請求停止利用或刪除，此權利不得預先拋棄。 |
✅自我檢測
5 題單選，點選後立刻顯示對錯與解釋。
🎯重點整理
- 分工：基本法講原則、個資法管資料、著作權管作品——沒有一部「AI 法」管到底。
- AI 基本法：2025-12-23 三讀、2026-01-14 公布，全文 20 條；七大原則（永續福祉、人類自主、隱私與資料治理、資安與安全、透明可解釋、公平不歧視、問責）；主管機關國科會；風險分級交各部會依國際框架訂定；沒有罰則。
- vs 歐盟 AI Act：歐盟是直接管制＋分級義務＋重罰（最高 7% 全球營收）；台灣是原則與促進。
- 個資法：能直接或間接識別個人就是個資；六類特種個資原則禁止；蒐集→處理→利用三階段都要有目的與法定事由、蒐集時要告知；當事人有查閱、更正、停止、刪除權；2025-11-11 公布修法確立個資保護委員會為獨立主管機關。
- 訓練資料地雷：公開≠可隨便用；再識別化風險；去識別化≠匿名化。
- 著作權：只保護人類創作表達；純 AI 生成原則上無著作權；人類實質參與的部分才可能有；拿他人作品訓練涉及重製；商用前查實質近似、平台條款、肖像與商標。