1. 緒論：研究背景與動機
近年來，精準醫療與生物大數據的發展突飛猛進，尤其「人體基因資料庫」成為醫療研究、疾病預測與新藥開發的重要基礎資源。在這一波科技浪潮中，台灣自2019年啟動了台灣精準醫療計畫（Taiwan Precision Medicine Initiative，簡稱TPMI）。TPMI是由中央研究院聯合全國16家大型醫療體系，共達33家醫院進行合作，目標是為台灣建立具種族特異性的整合型基因與電子病歷資料，進而成為亞洲最具代表性的漢人生醫大數據資源。依據TPMI官方網站說明，相較於歐美以白人為主的資料來源，TPMI將可補足全球20%人口所屬的漢人族群在精準醫療領域的關鍵資料缺口，具備高度科學價值與國際合作潛力[1]。
然而，TPMI在2022年宣告達到收案50萬人後，卻陸續爆發多項法律爭議。根據網路媒體《報導者》2024年1月間的報導指出，TPMI至少發生了「一個計畫生出上千個協同主持人，大到中研院也無法掌握」、「計畫總主持人外籍身分惹議，國際傳輸未明確規範」、「一手收授權費、一手開放學術與業界使用」、「踩在研究與醫療灰色地帶，偷吃步的受試同意書與基因諮詢」等四大弊端[2]。TPMI自2022年12月起雖已停止收案，但總數超過50萬筆的人體基因資料何去何從，猶待主管機關衛生福利部、TPMI團隊審慎處理。
時序進入2025年，人工智慧（Artificial Intelligence，AI）的快速發展加速了資料分析、模型建置與疾病風險推論，對於人體基因資料庫的應用勢將再度升級。但在此同時，人體基因資料庫所面臨的法律挑戰也將進入嶄新階段。當基因資料送入AI模型進行訓練，無論是在個資保護、同意制度、資料治理、跨境傳輸等各方面，均可能產生新的風險，相關法律的解釋、適用與迭代也必須有所回應。尤其立法院刻於2025年12月23日三讀通過「人工智慧基本法」，在我國人工智慧法制邁入新時代的當下，人工智慧應用於人體基因資料庫的場域將面對更多法律面的挑戰。
本文擬重新檢視人體基因資料庫的法律議題，梳理AI技術應用於人體基因資料庫後衍生的法律挑戰，進而以TPMI個案為例，分析討論人體基因資料庫在我國人工智慧基本法立法後面臨的挑戰。
2. 人體基因資料庫之法規遵循與AI帶來的衝擊
2.1 人體基因資料具高度敏感性
人體基因資訊不僅揭示所屬個體的遺傳特徵與疾病風險，還可以透過標記揭示血緣、地緣與族群特性。這種從個體到群體的延伸性，意味著人體基因資訊不但是敏感性個人資料[3]，更足以使得具有相同基因標記的群體被類型化、標籤化，管理與運用不當可能造成歧視性結果，因而其敏感性甚且高於病歷、醫療與健康檢查之個人資料。
人體基因資料庫大量蒐集個體的基因資訊後，固然可依循傳統邏輯透過去識別化方式，避免個體的基因資訊遭到識別與濫用，然而基因資訊的高度複雜性使其具有無與倫比的獨特性，隨著人工智慧技術的發展，藉由AI與大數據比對仍可能重新識別出基因資訊所屬個體。此將挑戰現行匿名化保護制度的效力。
2.2 個人資料保護法之解釋與適用
依據個人資料保護法（簡稱個資法）第6條第1項第4款規定：「有關病歷、醫療、基因、性生活、健康檢查及犯罪前科之個人資料，不得蒐集、處理或利用。但有下列情形之一者，不在此限：四、公務機關或學術研究機構基於醫療、衛生或犯罪預防之目的，為統計或學術研究而有必要，且資料經過提供者處理後或經蒐集者依其揭露方式無從識別特定之當事人。」所稱「無從識別特定之當事人」，依據個資法施行細則第17條規定，「指個人資料以代碼、匿名、隱藏部分資料或其他方式，無從辨識該特定個人者。」就此最高行政法院判決曾指出，「去識別化」之檢驗標準，係「完全切斷資料內容與特定主體間之連結線索」[4]。
依據個資法上述規定，人體基因資料庫固然可能透過去識別化之方式基於法定目的得以蒐集、處理或利用基因資訊，然而當AI導入人體基因資料庫之運用時，資料庫對於基因資料之去識別化措施是否足以確保達成「完全切斷資料內容與特定主體間之連結線索」之要求，即不無疑義。若參考歐盟GDPR第29條個資保護工作小組之意見，資料之匿名化必須重視情境要素（contextual elements），考慮控管者和任何第三方「可能合理」（likely reasonably）用以識別個資當事人的「一切」方法，尤應考慮前沿技術對「可能合理」識別方法之影響。資料匿名化處理存在固有風險，因此在評估匿名化技術之有效性、以及資料經由該技術處理後的利用時，必須評估該風險的嚴重性與發生機率，因此不得採取「釋出後就遺忘」（release and forget）模式，而應定期檢視是否存在新風險並重新評估殘餘風險，評估和調整已採取的措施，並監控風險[5]。如此一來，人體基因資料庫對於去識別化之利用將不得不採取密度更高標準，且對於已經去識別化的資訊仍然必須持續性、常態性的追蹤管考。
2.3 人體生物資料庫管理條例之解釋與適用
依據人體生物資料庫管理條例第3條第4款規定，人體資料庫「指為生物醫學研究之目的，以人口群或特定群體為基礎，內容包括參與者之生物檢體、自然人資料及其他有關之資料、資訊；且其生物檢體、衍生物或相關資料、資訊為後續運用之需要，以非去連結方式保存之資料庫。」準此以言，人體基因資料庫屬於生物資料庫條例所規範之「人體資料庫」，應屬無疑。
又依據人體生物資料庫條例第18條第1項規定：「設置者就其所有之生物檢體及相關資料、資訊為儲存、運用、揭露時，應以編碼、加密、去連結或其他無法辨識參與者身分之方式為之。」本條與第3條第4款所稱之「去連結」，依據同法第3條第7款規定，「指於生物檢體、資料、資訊編碼後，使其與可供辨識參與者之個人資料、資訊，永久無法以任何方式連結、比對之作業。」因此，人體生物資料庫乃是以「非去連結」方式保存人體生物資料，並以「去連結」方式儲存、運用、揭露人體生物資料的資料庫。此種在應用端「去連結」之要求，與個資法對於特種個人資料「去識別化」之要求若合符節。面對AI時代來臨，亦將遭到重大衝擊。
為保障生物資料庫參與者之權益，人體生物資料庫條例尚有多項保護參與者權利之規定。所謂「參與者」，依據人體生物資料庫條例第3條第2項規定，「指提供生物檢體與個人資料及其他有關資料、資訊予生物資料庫之自然人。」相關條文包括告知後同意及告知事項（第6至7條）、退出權（第8條）、個資請求權（第10條）等。本法不但將「預期衍生之商業運用」明列於告知範圍（第7條第15款），第21條第1項並明定「設置者及生物資料庫之商業運用產生之利益，應回饋參與者所屬之人口群或特定群體。」然而當AI技術廣泛運用於人體生物資料庫並大幅擴展其應用範圍後，不但告知事項將出現更高的不確定性，預期衍生之商業利益亦將更加難以「預期」。因而一次性的「告知」是否足以建立告知後同意的正當性即成疑問。
需補充說明者，TPMI在成立之初雖然是以「人體研究法」而非「人體生物資料庫條例」作為其法律規範基礎，但TPMI未來若擬持續運作並擴大其應用範圍，勢必須要轉型為人體生物資料庫，並轉為以生物資料庫條例作為其法律規範基礎[6]。因而本文以下對TPMI之定性與探討，均對焦生物資料庫條例進行討論。
3. 人工智慧基本法對人體基因資料庫帶來的法律挑戰
3.1 同意制度與人類自主性
人工智慧基本法[7]第3條第2款規定：「人工智慧之研發與應用，應在兼顧社會公益與數位平權之前提下，發展良善治理，並遵循下列原則：二、人類自主性：應以支持人類自主權、尊重人格權等人類基本權利與文化價值，並允許人類監督，落實以人為本並尊重法治、人權及民主價值觀。」
為落實上述人類自主性基本原則，同意制度是關鍵機制。傳統同意制度基於「目的限定原則」，TPMI的參與者在提供資料時需了解並同意特定用途。然而，AI模式下資料可能跨研究領域再利用（如從癌症風險研究擴展到心理疾病預測），超出原始同意範圍，容易失效。若未來的研究方向與模型應用不再符合參與者最初的同意基礎，其合法性與倫理性皆存疑問。
為解決此一問題，未來對於TPMI之參與者可能必須建立動態更新同意機制，亦即當AI應用不斷擴張資料用途範圍，超越原先同意基礎時，須即時重新向參與者提供必要資訊並更新同意範圍，以確保所有資料用途均能被參與者的同意所涵蓋，充分保障人類自主權。
3.2 隱私保護與資料治理
人工智慧基本法第3條第3款規定：「隱私保護及資料治理：應尊重個人資料之隱私與自主，採用資料最小化原則，並避免資料外洩風險。」人體基因資料庫在基因資料流經採樣單位、醫療中心、研發機構、雲端平台與AI模型商業開發者之間，資料治理責任分配複雜。例如：資料洩漏責任歸屬、AI錯誤推論造成損害的責任判定，以及跨單位合作時的權利義務如何界定，均有待相關法規進一步闡明。
尤其依TPMI之現況，其運作機制涉及多機構合作，治理結構多依契約與倫理審查制度運作，而非統一法律或監管機制。此種分散治理有利於靈活性，卻也可能弱化對資料主體權利的保障。AI的導入使得問責基礎模糊化，將更難以釐清責任界線。因此未來恐必須評估引入資料信託架構，由中立機構管理資料權限與使用審查，以提升透明度與問責性，平衡科研與隱私保護需求。
3.3 再識別風險與個資保護
人工智慧基本法第13條規定：「個人資料保護主管機關應協助各目的事業主管機關，於人工智慧研發及應用過程，避免不必要之個人資料蒐集、處理或利用，並應促進個人資料保護納入預設及設計之相關措施或機制，以維護當事人權益。」儘管TPMI亦強調其注重個資保護與去識別化/去連結處理，但AI強大的分析能力使傳統的匿名性保障效力降低，使再識別風險的提升在人體基因資料庫之實務上不容忽視。尤其若要貫徹「完全切斷資料內容與特定主體間之連結線索」之要求，僅僅是一次性的去識別化處理將無法確保個資持續保持上述要求。
參考歐盟之意見，未來當揚棄「釋出後就遺忘」（release and forget）模式，而應定期檢視已經去識別化的個資是否存在新風險，並反覆評估殘餘風險，調整已採取的措施，進行持續性、常態性的追蹤管考。相關法令亦可要求TPMI定期進行AI模型之風險評估與再識別測試，並動態更新先進匿名化/加密技術，以保障個人資料安全。
3.4 偏差與歧視風險
人工智慧基本法第3條第6款規定：「公平性：人工智慧研發與應用過程中，應盡可能避免系統產生偏差及歧視等風險，不應對特定群體造成歧視之結果。」若人體基因資料庫中的樣本分布不均衡，經AI模型運算後，可能進一步放大族群差異，不但對少數族群的臨床預測不準確，更可能導致歧視性結果或醫療資源分配不均等社會正義問題。就法律面向而言，也可能觸及反歧視法規。
為有效控制此類風險，相關法規未來對於人體基因資料庫中高度敏感的變因（例如罕見基因變異、家族史）或可採更嚴格權限與研究目的審查，並要求應用端的持續監測，以及接受不良事件回報，即時修正偏誤。就個案也應提供申訴與更正機制，參與者可要求說明、修正資料，甚至撤回或限制相關後續使用。
3.5 商業化與利益共享問題
人工智慧基本法第14條第1項規定：「政府應建立資料開放、共享與再利用機制，提升人工智慧使用資料之可利用性，並定期檢視與調整相關法令及規範。」人體基因資料具有商業價值，尤其在AI模型開發、精準用藥與個人化醫療服務領域，都已展現強大潛力。然而目前多數人體基因資料庫的參與者未必能分享商業化成果或相關利益回饋，這涉及TPMI參與者的分潤權、數據財產權及公共利益保障等法律議題。
TPMI與企業部分合作可能涉及技術轉移、AI服務開發或產業應用。然而參與者是否能共享商業化利益、是否有透明的利益分配制度等，仍有待明確法規架構。未來如何建立公正的利益共享制度，保障參與者分享基因資料商業價值之權利，都將是人工智慧基本法施行後，TPMI不得不處理的議題。
4. 結語
AI時代下的人體基因資料庫既提供醫療創新與健康管理的機會，也帶來前所未有的法律挑戰。從TPMI的個案顯示，現行法制在同意制度、個資保護、資料治理、商業利益分享等方面仍有不足。本文僅能先行整理分析各項問題意識，未來仍有待各界先進共同努力，以平衡科技進步與個人、社會的權益保障。唯有在法律框架下建立信任度與透明度，人體基因資料庫與AI技術的結合才能長期並持續地發展，終能造福人類健康。
[1] TPMI官方網站，https://tpmi.ibms.sinica.edu.tw/www/home.html。
[2] 黃浩珉、陳潔，2024年1月30日，50萬筆華人最大基因資料庫TPMI，如何成為國安危機火藥庫？，報導者，https://www.twreporter.org/a/taiwan-precision-medicine-initiative-controversy。
[3] 我國個人資料保護法第6條將基因與病歷、醫療、性生活、健康檢查及犯罪前科之個人資料並列為「特種個人資料」，就此等個人資料之蒐集、處理或利用採取原則禁止之方式加以保護，僅在法定的有限情境下方得例外進行蒐集、處理或利用。
[4] 最高行政法院106年1月25日106年度判字第54號行政判決參照。
[5] 達文西個資暨高科技法律事務所，110年3月，公務機關建立特種個人資料庫所涉及個人資料保護法之適用議題」委託研究計畫結案報告，頁27。
[6] 黃浩珉、陳潔，2024年1月30日，【專訪中研院團隊】暫停收案後，TPMI下一步怎麼做？四大爭議回應，專家怎麼看？，報導者，https://www.twreporter.org/a/taiwan-precision-medicine-initiative-academia-sinica-interview。
[7] 本文截稿時人工智慧基本法甫於立法院三讀通過，故本文中引用之法條仍以草案內容為準。
