（續前篇）
副標題：以 AI Act、GDPR 與 DSM 著作權指令為主軸，兼論平台、資安、產品安全及美中法規比較
此文以 2026 年 8 月 19 日可取得的法規、官方指引及權威資料為研究時點，讀者設定為居住於歐盟以外、但其內容可能被歐盟境內人士閱覽，或其使用的模型、平台、資料主體與服務和歐盟存在連結的個人/自然人。此文屬一般性資訊與風險管理考量面，不構成歐盟、美國、中國或任何國家的個案法律意見。
CC BY-NC-ND。非供AI模型訓練。
一、概述：真正的問題不是「能不能用 AI」，而是「能不能負責任地發布」
開源的大型語言模型（Open-Weight LLM）日漸普及，生成式人工智慧（Generative AI）係以大型語言模型（LLM）或擴散模型（Diffusion Model）為基礎，透過在龐大語言材料上進行自我監督式訓練，學習語言、影像或音訊之統計結構，進而依提示詞（Prompt）產出新內容。此類開源但有限授權型模型（如Llama系列、Mistral、DeepSeek等）之特點，在於權重公開下載、可於個人電腦部署，從少數研究機構的實驗工具，迅速轉變為未擁有企業資源之個人（自然人），可以自行下載、微調、離線執行或透過網路服務使用的日常工具，使用者因此同時扮演「使用該模型之終端使用者」（即網路影音文檔和數位內容之生成者）與「決定輸出內容是否公開發布之發布者」雙重角色。對一名有兩年使用經驗、熟悉開源型大型語言模型（Large Language Model, LLM）但法律能力有限的個人而言，最容易出現的誤解是：模型是開源的，自己只是給出提示詞，文字和圖片都不是由個人逐字寫出來的，大部分內容依靠LLM的輸出，因此風險應由LLM的模型開發者或平台承擔。
歐盟自2016年《一般資料保護規則》起，歷經2019年頒布《著作權指令》（確立文字暨資料探勘之保留權利機制）與《資安法》（建立ICT產品認證架構），為日後AI訓練資料與供應鏈安全埋下伏筆；2022年NIS2指令與CER指令進一步強化關鍵基礎設施之韌性要求。2024年的《人工智慧法》，2025年2月，原擬與《產品責任指令》配套之《人工智慧責任指令》草案因會員國無法達成共識而正式撤回，改為修正《產品責任指令》之嚴格責任原則填補部分缺口。乃至2026年陸續生效之（AI法第50條）透明義務及實務準則、暨歐盟執委會之實施指引，已編織出一張細密的規範網。創作者標示 AI 內容不再只是道德倡議，而是直接帶有法律約束力的具體義務。。
開篇所述情況僅以個人推論尚非可靠定論。法律通常不只追問「由哪個LLM模型生成?」或「誰按下生成按鈕?」，還會追問：內容是否夾帶他人的個人資料、侵害著作權、商標、肖像權、聲音或名譽；發布者是否把未經查證的敘述（AI界稱之為《幻覺》）當成客觀事實；是否以商業或專業身分對外宣稱；是否利用深偽冒用他人；是否隱瞞AI生成的事實，使讀者誤以為內容完全由人類製作；以及收到權利人通知後是否迅速更正或移除。收到權利人異議或下架通知時，發布者是否具備即時更正與撤回的能力？純文字或圖像生成之通用型模型，多數情形下屬於「有限風險」，其管制重心並非事前審查內容本身，而是「事後可追溯性」與「事前告知」，亦即標示與揭露義務。
因此，本文提出一個較穩健的總原則：適法性不是由「AI 生成」或「開源模型」二選一所決定，而是由發布者角色、內容性質、資料與權利來源、公開對象、透明度、人工查核及事後補救能力共同決定。
這個判斷框架比背誦法規名稱更有用，也更接近實際爭議發生時的處理方式。為便於說明，本文以身分3（個人自然人使用者）之實際處境為出發點，由人工智慧技術專業（身分1）與歐盟法律法規專業（身分2）之雙重視角，逐一檢視其在公開發布生成式AI產出物時，真正須留意之法律風險與實務作法。
註：即使號稱開源模型，在法律與開源社群嚴格定義下仍然區分為真正的 OSI 開源授權（如 Apache 2.0, MIT）與商用受限的權重開放授權（Open-Weight with Restrictions），如Meta 的 Llama 授權條款包含使用者人數上限限制（例如 MAU > 7 億需額外授權）與特定商業用途限制，並不符合 OSI 認可的 Open Source 定義，後者應稱為 Open-Weight / Open-Source-Available的模型。
二、個人發布者應掌握的八項核心結論
第一，EU AI Act（人工智慧法）主要採風險分級與角色分工，不是凡使用 AI 即一律成為高風險系統的提供者。個人創作者通常首先面對的是【透明度】、【內容合法性】、平台規則及一般民事責任，而不是模型供應商的全套 GPAI 合規義務。1 2
第二，2026 年 8 月 2 日起，AI Act 第50條 的【透明度義務】進入重要適用階段，機器可讀標記之寬限期則延至2026年12月2日。法規及歐盟委員會指引涉及直接互動告知、AI 生成或操縱內容的可偵測標記、深偽揭露，以及在沒有人工審查或編輯控制的情況下發布涉及公共利益事項的 AI 文字。3 個人不應以「只加一行說明」取代必要的人工作業；標示是透明度的一部分，不是著作權或誹謗風險的豁免。違反該等義務最高可處1,500萬歐元或全球營業額3%之罰鍰（後者原則上適用於企業，個人裁罰依會員國轉換法而定，但揭露義務本身仍及於個人部署者）。
第三，GDPR 的風險從輸入提示詞（prompt）開始。公開網頁上的資料不當然可以無限制地抓取、輸入、再利用或公開。EDPB 已指出，AI 模型是否匿名須逐案判斷，且即使資料可在網路上取得，也要考量資料來源、蒐集脈絡、資料主體合理期待、後續用途及對權利的影響。4 5
第四，著作權指令DSM Directive (EU) 2019/790（DSM Copyright Directive）的訓練與輸出分離原則，不能一廂情願地簡化成「AI 訓練合法，所以輸出一定合法」，也不能簡化成「AI 產出一定沒有著作權」。訓練資料的文字與資料探勘例外、權利人保留權利，和使用者發布輸出時的重製、改作、公開傳輸，是不同層次的問題。6
第五，開源權重、開放原始碼、免費、可商用授權及訓練資料合法性是五個不同概念。模型授權文件只解決其中一部分；開源權重絕非「免責授權」；輸出是否侵害第三人權利，仍須依具體內容判斷。
第六，平台不是法律真空地帶。Digital Services Act（數位服務法，DSA）主要規範數位服務提供者與平台，但個人發布者仍須善於運用DSA第17與20條賦予創作者的救濟權利，須遵守平台內容政策、版權通知程序、廣告揭露、下架及申訴規則。7
第七，生成內容若涉及高風險領域（如：商品安全、醫療、法律、投資、教育、求職、公共事件或新聞性資訊），應顯著提高創作者人工參與作業的查核強度。美國 FTC 的執法已清楚表明，利用 AI 進行欺騙、假評論、冒稱專業能力或作出沒有證據的收益承諾，不會因為「是 AI 生成」而取得免責。8
第八，最有效的做法不是為每一篇文章找出一條「可以發布」的法規，而是保留可追溯【數位足跡】（Provenance）的證據：使用哪個模型與版本、依據何種授權、提示詞歷史、使用了哪些素材、人工修改了什麼內容、何時完成事實查核、如何揭露 AI 參與，以及收到異議後如何更正、撤下或回應。
三、專業辭彙術語
|
英文/中文術語 |
德文常用對應 |
中文解釋及本文用法 |
|
生成式人工智慧Generative Artificial Intelligence, GenAI |
generative Künstliche
Intelligenz |
依資料模式產生文字、圖片、音訊、影片或其他內容的人工智慧技術。 |
|
Large Language Model,
LLM |
großes Sprachmodell |
以大量文字資料訓練、可處理及產生自然語言的大型模型。 |
|
通用型人工智慧模型General-Purpose AI, GPAI |
KI-Modell
mit allgemeinem Verwendungszweck |
可執行多種任務、可作為不同 AI 系統基礎的通用型模型。AI Act 對 GPAI 模型供應商設有特別規範。 |
|
提供者Provider |
Anbieter |
在 AI Act 脈絡中，開發 AI 系統或 GPAI 模型並以自己名義投放市場或投入服務者。 |
|
使用者/部署者 Deployer |
Anwender |
使用 AI 系統、通常在其權限或控制下將其投入使用的自然人、法人或公共機構；非專業私人活動可能有例外。 |
|
生成式內容 Synthetic
content |
synthetische Inhalte |
由 AI 生成或操縱的合成文字、圖片、音訊或影片內容。 |
|
深偽Deepfake |
Deepfake / synthetische
Fälschung |
AI 生成或操縱、足以讓人誤認為真實人物、事件或言論的內容。 |
|
機器可讀標記Machine-readable mark |
maschinenlesbare
Kennzeichnung |
可由軟體或系統讀取、偵測 AI 生成或操縱性質的標記。 |
|
個人資料Personal data |
personenbezogene Daten |
與已識別或可識別自然人有關的任何資訊。 |
|
處理Processing |
Verarbeitung |
收集、儲存、組織、分析、使用、公開、刪除等個人資料處理行為。 |
|
文字與資料挖掘Text and data mining, TDM |
Text- und Data-Mining |
以自動化方式分析數位文字與資料，以發掘模式或資訊；DSM 指令對特定情況設有規範。 |
|
選擇不參與/保留權利 Opt-out
/ reservation of rights |
Vorbehalt der Rechte |
權利人以適當方式保留不允許特定文字與資料探勘使用的意思表示。 |
|
人類監督 Human
oversight |
menschliche Aufsicht |
由人類理解、監督、介入或停止 AI 系統及其結果的能力。 |
|
來源 Provenance |
Herkunftsnachweis |
內容來源、生成歷程、編輯歷程及發布紀錄的可追溯性。 |
這些術語不能混用。例如，「開源模型」不是「開源輸出」；「公開資料」不是「沒有個資」；「透明度」不是「取得著作權」；「人類按下按鈕」也不當然等於「人類完成具有法律意義的創作」。
四、AI Act：先分辨發布者是誰，再判斷透明度義務
4.1 AI Act及適用法規
依關聯程度排序如下表，供身分3快速掌握資源投入之優先順序：
|
法規 |
全稱／編號 |
情境關聯度 (身分3) |
核心重點 |
|
歐盟人工智慧法 |
AI Regulation (EU) 2024/1689 |
高 |
第50條透明義務、個人非專業活動例外之限縮、GPAI著作權政策 |
|
著作權指令（DSM） |
DSM Directive (EU) 2019/790 |
高 |
第3、4條文字暨資料探勘例外與保留權利機制 |
|
一般資料保護規則 |
GDPR Regulation (EU) 2016/679 |
中高 |
公開發布内容涉及他人個資時，家庭活動例外不適用 |
（見續篇）
沒有留言:
張貼留言