德拉瓦州收緊 AI 與個資使用規範 企業人資管理面臨新挑戰

美國德拉瓦州長馬特·邁耶（Matt Meyer）已於今年 9 月 2 日簽署《德拉瓦州個人資料隱私法案》（Delaware Personal Data Privacy Act, DPDPA）修正案，這些修正案將自 2027 年 1 月 1 日起生效，針對企業使用人工智慧（AI）與個人資料進行側寫（profiling）的行為設下更嚴格的限制。此舉將對該州企業的人資管理與數據應用方式帶來顯著影響，並可能成為台灣未來制定相關法規的重要參考。

現行的 DPDPA 自 2025 年 1 月 1 日生效，目前規範處理至少 35,000 名德拉瓦州消費者個人資料，或從銷售個人資料中獲取至少兩成年度營收且處理至少 10,000 名消費者的企業。修正案生效後，上述數據處理門檻將大幅下調至 10,000 名及 5,000 名消費者。此外，修正案擴大了「敏感資料」的定義，新增了精神或身體健康治療與診斷、神經資料，以及某些可讓他人存取消費者金融帳戶的財務資料，同時也將從這些資料中推斷出的資訊納入範疇。

修正案特別限縮了企業對求職者、員工及獨立承包商個人資料進行側寫和自動化決策的應用。側寫（profiling，指任何形式的自動化處理，用於評估、分析或預測個人在人口統計、偏好、興趣、可靠性、行為、位置或動向等方面的因素）此法旨在解決雇主利用第三方供應商及自動化決策工具，在正式背景調查前，基於外部數據篩選、評級或排名候選人的行為。從 2027 年起，DPDPA 也將適用於與這些側寫和自動化決策相關的個人資料處理。

根據 Ogletree Deakins 的分析，修正案要求企業在處理可能對消費者造成「較高損害風險」的個人資料（達 50,000 名以上消費者）時，必須進行影響評估（impact assessments）。這包括了鎖定式廣告、銷售個人資料、可能導致非法歧視或經濟損害的側寫，以及處理敏感資料。雇主還需確保第三方供應商在取得報告時履行合約義務，例如通知當事人任何不利決策，並說明所依據的數據，同時告知其取得資訊和要求人工審查的權利。若違反相關規定，每次違規行為可能面臨最高 1 萬美元的民事罰款。

這項法規變化凸顯美國德拉瓦州在加強 AI 應用與個人資料保護方面的趨勢。對於台灣企業而言，若業務涉及德拉瓦州市場或與當地客戶、員工互動，應密切關注並檢視其招募、僱用、績效評估及解僱決策中 AI 工具的使用情況。此法規發展也為台灣未來在 AI 治理與數據隱私保護法規的制定上，提供了值得借鑒的參考框架。