從非紅軟體供應鏈看國際軟體管制趨勢

自2018年開啟美中貿易戰後，美中兩國的競爭與對抗，至今已進一步擴展至產品供應鏈。2019年美國白宮公布的「確保資訊與通訊技術及服務供應鏈安全行政命令」中（Executive Order 13873：Securing the Information and Communications Technology and Services Supply Chain），美國便將確保「ICT供應鏈的風險」與「國家安全」結合，形成一種新的國家上位政策論述，也延展出許多管制手段。

2019年至2021年間，美國主要關注的焦點擺放在半導體、資通訊設備以及關鍵原物料，2021年「百日供應鏈審查報告」便為代表性例證。2023年「安全、可靠、可信任的人工智慧開發與應用行政命令」則可以視為另一個重要的轉折，美國對於供應鏈安全的理解，進一步擴展到AI的安全性，甚至在2025年進一步擴展至AI模型權重（Model Weights）等「軟體」元素。

除了美國之外，歐盟在2024年公布的「人工智慧法案」（AI Act），在要求AI模型符合安全、可信任的同時，也納入埋藏了數位信任與軟體管制規範的要素，此一脈絡在「網路韌性法」（Cyber Resilience Act）之後更為清晰。該法要求所有具有數位元素的硬體與軟體，都必須符合該法所強調的安全設計、資安漏洞規範。

不過，歐盟所建構的上位敘述與美國略有差異，美國多以國家安全、穩固國家競爭力為主要論述支點，除了在某些特殊應用（如自駕車）限制來自中國、俄羅斯的軟體（如車聯網軟體）外，多以限制本國的高階軟體出口海外為主；歐盟則以「數位主權」與「主權AI」為名，建構新的「市場准入」（Market Access）機制。

韓國則在2026年6月所公布的「軟體供應鏈安全增強路徑圖」，韓國政府清晰指出：當前軟體已成為各產業與社會運作的核心，但是當代的軟體大量依賴開源軟體、第三方元件、AI生成程式碼及跨企業網絡的協作，使得軟體的供應鏈愈趨複雜，也提高了供應鏈受阻斷、攻擊的風險。值得留意的是，韓國的思考雖與歐盟相似，都有具有「產品安全性審查」與「市場准入」的機制，然而韓國政府反而更加關注本國軟體企業在相關軟體產品的開發初期階段，就能夠符合歐盟等國家之標準。換言之，韓國「軟體供應鏈安全」的思考不僅是國家內部安全環境的維持，也是一種本國軟體產品向海外擴展的手段之一。

回顧美國、歐盟、韓國軟體供應鏈管制規範，無論是所談為軟體的輸出或者輸入，皆與過去強調全球專業化分工、技術均質擴散的「科技全球主義」（Techno-globalism）存在相當明顯的差異，反而如今有非常顯著的「科技全球主義」（Techno-nationalism）的內涵，因此那些被各國進一步創造出來的管制標準、規範與門檻，便為例證。

（本文為洪春暉、施柏榮共同執筆，洪春暉為資策會MIC所長，施柏榮為資策會MIC產業顧問）