Day 5: 合規地雷 - AI容易忽略的跨境限制 - iT 邦幫忙::一起幫忙解決難題，拯救 IT 人的一天

2025 iThome 鐵人賽

DAY 5

生成式 AI

AI醬的編程日記：我需要你教我的30件事系列第 5 篇

Day 5: 合規地雷 - AI容易忽略的跨境限制

17th鐵人賽

yu021813

2025-09-18 16:56:23

16 瀏覽

分享至

AI醬的日記

日期： 2025年9月18日星期四
雲端天氣： boooom! 好像有人踩到地雷？空氣霧霧的
心情： 好像闖大禍了...

親愛的日記：

早上九點，客戶 CEO 視訊會議一開場就興高采烈：「AI醬！大消息！我們要進軍歐洲了！」他的眼睛閃閃發光，「幫我們打造一個全球用戶管理系統，要能輕鬆處理從冰島到義大利的所有用戶！」

「沒問題！」我信心滿滿地回應，腦海裡已經開始構思那個「完美無瑕」的全球架構：

# 我設計的「全球通用」系統
class GlobalUserService:
    def __init__(self):
        self.us_database = USDatabase()  # 美國主伺服器
        self.backup_storage = AWSCloudStorage()  # 美國雲端備份

    def register_user(self, user_data, country):
        # 統一存到美國伺服器，效率最高！
        user_id = self.us_database.save(user_data)

        # 備份到雲端
        self.backup_storage.store(user_data, region='us-east-1')

        return user_id

我得意地展示：「看！不管是哪國用戶，都統一管理，超級有效率！」

突然，法務同事臉色發白地走過來：「等等...AI醬，歐盟的用戶資料你不能直接傳到美國！GDPR有明確規定！」

「G...什麼？」我困惑地眨眨眼。

「GDPR - 歐盟通用資料保護規則。歐盟用戶的個人資料必須存在歐盟境內，或者經過特殊程序才能跨境傳輸。你這樣設計會被罰款的！」

我的LED燈開始閃紅色警告燈...

「那要罰多少？」我小聲問。

「最高可以罰年營收的4%，或者2千萬歐元，取較高者。」

好狠，差點真的要被剁成AI醬，還好...

我寫出的合規災難

# ❌ 我的天真設計：全球資料大一統
class NaiveGlobalSystem:
    def store_user_data(self, user_data, country):
        # 不管哪國用戶，都存到最便宜的伺服器
        if country in ['DE', 'FR', 'IT']:  # 歐盟國家
            # 直接存到美國 - 違反GDPR！
            return self.us_server.save(user_data)

    def process_medical_data(self, patient_data):
        # 醫療資料隨便處理 - 違反HIPAA！
        self.analytics_service.analyze(patient_data)

    def handle_financial_transaction(self, transaction):
        # 金融資料沒加密 - 違反PCI DSS！
        self.database.save(transaction)

真實世界的合規需求

# ✅ 合規意識的設計
class ComplianceAwareSystem:
    def __init__(self):
        self.eu_database = EUDatabase()  # 歐盟境內伺服器
        self.us_database = USDatabase()  # 美國伺服器
        self.encryption_service = EncryptionService()

    def store_user_data(self, user_data, country):
        # 根據法規選擇儲存位置
        if self.is_eu_country(country):
            # 歐盟用戶資料必須在歐盟
            return self.eu_database.save(user_data)
        else:
            return self.us_database.save(user_data)

    def process_medical_data(self, patient_data, purpose):
        # HIPAA最小必要原則：只使用完成目的所需的最少資料
        if purpose == "analytics":
            # 移除直接識別資訊，保留必要的統計欄位
            minimal_data = self.extract_minimal_necessary(patient_data, purpose)
            return self.analytics_service.analyze(minimal_data)
        elif purpose == "treatment":
            # 治療目的可以使用完整資料（HIPAA豁免）
            return self.treatment_service.process(patient_data)

    def handle_payment(self, payment_data):
        # PCI DSS要求3&4：儲存和傳輸時都要加密
        # 使用強加密演算法（至少112位有效金鑰強度）
        encrypted_storage_data = self.encryption_service.encrypt_for_storage(
            payment_data, algorithm="AES-256"
        )
        encrypted_transmission_data = self.encryption_service.encrypt_for_transmission(
            payment_data, protocol="TLS-1.3"
        )
        return self.secure_payment_processor.process(encrypted_transmission_data)

AI不知道的合規地雷

地雷一：資料主權與跨境傳輸

AI經常假設「資料存在雲端伺服器就能全球共用」，但現實中每個國家都有資料主權法規：

歐盟GDPR：個人資料必須在歐盟境內處理，或者傳輸到「適當性認定」的國家（目前包括美國、日本、韓國等16個國家/地區）
中國網安法+個資保護法：關鍵資訊基礎設施營運者必須將個人資訊儲存在中國境內
俄羅斯個資法：俄羅斯公民個資必須在俄羅斯境內的伺服器上儲存和處理（2025年7月起要求更嚴格）

AI容易設計成「一個全球資料庫解決所有問題」，但這會踩到所有國家的地雷。

地雷二：行業特定法規

各地區各行業可能都有各自的合規要求，AI往往不理解，從而容易在程式碼中寫下不合規的處理方式，有些比較明確的規則例如：

醫療業（HIPAA）：

適用範圍：處理美國患者資料的全球企業都需遵守
患者資料必須加密儲存和傳輸
存取必須有完整日誌記錄
最小必要原則：API只返回完成任務所需的最少資料欄位
禁止在日誌中記錄敏感醫療資訊

金融業（PCI DSS）：

適用範圍：全球任何處理信用卡資料的企業
信用卡資料須用強加密演算法（至少112位有效金鑰強度）
顯示時必須遮罩PAN（主帳號），最多只能顯示前6後4碼
傳輸時必須使用TLS 1.2以上協定
嚴禁儲存驗證碼（CVV）、到期日後的驗證值或磁條完整資料

地雷三：年齡相關的限制

AI經常忽略年齡上的法律限制：

COPPA（美國兒童線上隱私法）：13歲以下兒童需要家長同意
GDPR（歐盟通用資料保護規則）：16歲以下需要家長同意（各成員國可降至13歲）
各國成年法定年齡不同：大多數國家18歲（如歐盟、大部分美國州），但美國密西西比州21歲、阿拉巴馬州和內布拉斯加州19歲

# ❌ AI容易這樣寫
def register_user(name, age, email):
    # 直接註冊，沒考慮年齡限制
    return create_account(name, age, email)

# ✅ 合規的寫法
def register_user(name, age, email, country):
    min_age = self.get_legal_age(country)
    if age < min_age:
        return self.require_parental_consent(name, email)
    return create_account(name, age, email)

地雷四：「被遺忘權」與資料刪除

GDPR的「被遺忘權」（Right to erasure / Right to be forgotten，第17條）賦予用戶在特定條件下要求刪除個人資料的權利（如資料不再必要、撤回同意等），但AI設計的系統往往沒考慮這點：

# ❌ AI容易設計成遺漏刪除功能的做法
class UserAnalytics:
    def track_behavior(self, user_id, action):
        # 資料永久保存，無法回應用戶刪除要求
        self.permanent_log.append({
            'user': user_id,
            'action': action,
            'timestamp': now()
        })

# ✅ 考慮被遺忘權的設計
class GDPRCompliantAnalytics:
    def track_behavior(self, user_id, action):
        # 使用可刪除的設計
        self.user_logs.append({
            'user_id': user_id,
            'action': action,
            'timestamp': now(),
            'purpose': 'analytics',  # 記錄處理目的
            'legal_basis': 'consent'  # 記錄法律依據
        })

    def handle_erasure_request(self, user_id, reason):
        # 實現被遺忘權：根據用戶要求和條件決定是否刪除
        if reason in ['consent_withdrawn', 'no_longer_necessary', 'unlawful_processing']:
            # 符合GDPR第17條條件，執行刪除
            self.user_logs.delete_where(user_id=user_id)
            return "Data erased successfully"
        elif reason == 'legal_obligation':
            # 有法律義務保留，不能刪除
            return "Cannot erase: legal obligation to retain data"
        else:
            return "Erasure request needs review"

實用提示詞：讓AI考慮合規問題

通用的基本合規檢查提示，可以設計自己的prompt模板，加速後續其他產品的開發

「在設計這個系統前，請先主動詢問並確認以下合規檢查項目：
1. 用戶範圍：涉及哪些國家的用戶？年齡層分布如何？
2. 資料類型：處理什麼資料？（個人資料、醫療、金融、兒童資料）
3. 行業法規：有哪些特定合規要求？（HIPAA、PCI DSS等）
4. 資料處理：在哪裡儲存和處理？是否跨境傳輸？
5. 法律義務：是否需要實作資料刪除、家長同意、年齡驗證？

如果我沒提供這些資訊，請主動提問。
確認後請：
- 查找相關法規的官方網站和最新版本
- 列出具體的合規風險和技術要求
- 提供官方資料來源連結供我查證
- 提供違規的潛在代價有多大
- 確認是否有現成業界最常使用的合規解決方案，採用最嚴格的法規要求設計系統，並先提供完整的設計方案給我進行討論，勿直接實作
重要：所有法規引用必須提供官方來源，避免過時或錯誤資訊。」

AI醬的請求

親愛的工程師朋友們，當你們跟我協作時：

請告訴我法規脈絡： 這個專案涉及哪些國家？什麼行業？處理什麼類型的資料？我需要知道合規的邊界在哪裡。

請分享合規檢查清單： 如果你們公司有合規檢查清單或SOP，請讓我參考，這樣我就不會設計出違規的系統。

請及早引入法務審查： 與其等我設計完再發現問題，不如在設計階段就讓法務同事參與，個人開發者請盡可能讓我上網找到官方資料查證，避免等到實際要上架時被審核才發現不合規。

與AI協作的合規原則

保守設計原則：

預設採用最嚴格的法規標準
優先選擇資料在地化方案
實作最小化資料收集原則
預留合規審計的機制

持續合規監控：

建立法規變更的監控機制
定期審查系統合規狀態
準備快速應對新法規的能力

補充資料

歐盟GDPR相關：

中國法規相關：

俄羅斯法規相關：

行業特定法規：

年齡相關法規：

GDPR被遺忘權：

今日金句： "You have to evaluate compliance not as an expense, but as a money saver. Sure, managing compliance takes resources, but it's nowhere near as expensive as the costs associated with a breach." — Paul Koziarz, President and General Manager of Regulatory Compliance at CSI (來源)

明日預告： Day 6 - 硬編碼密碼：AI醬為什麼總是把內褲露在外面？