通用個人資料保護法

通用個人資料保護法（LGPD）是巴西於2018年頒布、2020年12月起正式生效的個人資料保護法律。其核心設計與歐盟GDPR（General Data Protection Regulation）高度對齊，涵蓋個人資料的蒐集、處理、儲存、傳輸及刪除等全生命週期管理。LGPD特別強調數據主體（Data Subject）的權利，包括查閱、更正、刪除、攜帶權及對自動化決策的異議權。在AI時代，LGPD第20條要求企業提供對自動化決策的說明，這與ISO 42001 AI管理系統標準中關於透明度與可解釋性的要求高度一致。臺灣企業若有巴西業務或處理巴西境內個人資料，必須將LGPD納入其隱私資訊管理系統（PIMS）的合規範疇，否則將面臨嚴厲的行政處罰。此法規與臺灣《個人資料保護法》雖有差異，但其對AI治理的強制要求已超越臺灣現行法規的具體規範，是企業AI治理設計的關鍵基準。

實務導入LGPD需遵循系統化步驟。第一步為資料盤點與分類，企業需建立資料清冊（Data Inventory），識別所有處理巴西個人資料的活動、資料類型及法律基礎（如同意、契約履行、合法利益等）。第二步為執行資料保護衝擊評估（DPIA），特別是當AI系統用於自動化決策時，需評估其對數據主體權利的潛在衝擊。第三步為建立回應機制，包括數據外洩應變計畫、數據主體權利請求處理流程及DPO（數據保護官）的任命。以一家導入LGPD的巴西電商為例，其AI推薦系統因無法解釋決策邏輯而遭投訴，經導入ISO 42001 AI管理系統框架後，系統透明度提升40%，客戶投訴率下降25%。量化效益方面，合規企業可避免最高5,000萬雷亞爾（約1.2億臺幣）的罰鍰，同時提升客戶信任度與品牌價值。

臺灣企業導入LGPD主要面臨三大挑戰。首先是法規差異認知不足，臺灣《個資法》與LGPD在數據外洩通報時效、DPO設置義務及AI決策說明要求上有顯著差異。建議企業建立「多法規對照矩陣」，以GDPR為基準向下相容設計，確保一體適用。其次是技術能力缺口，特別是AI系統的透明度技術（如SHAP、LIME等可解釋性工具）尚未普及。企業應投資AI可解釋性工具的採購與人員培訓。第三是資源分配問題，中小型企業往往難以同時維持多國合規。建議採取分階段導入策略：第一階段完成資料清冊與DPO任命，第二階段建立DPIA機制，第三階段整合AI治理框架。預期在12個月內完成基礎合規建設，18個月達到全面合規。