「什麼？」

「我們以前一直在爭論，資料到底能不能賣；其實問題根本不是資料能不能賣──」

逸晨坐直。

「而是誰有權決定。」

「對。」

趙育誠說。

「真正不能被商品化的，不是所有東西，是使用者的選擇權。」

兩個人同時沉默。

十幾年前一起在研究室討論論文，後來一起創業、一起熬夜、一起去韓國，一起把一個沒人相信的基因遊戲做成全球產品，最後卻在公司最成功的時候走向不同方向；而現在，他們又站在同一條路上，不是因為重新成為夥伴，而是因為終於找到一個可以共同相信的邏輯。

逸晨問：「那基金會下一步？」

趙育誠回答：「先建立認證制度。」

「認證什麼？」

「不是認證公司有沒有資料，而是認證一家公司，有沒有真的遵守使用者的選擇？」

逸晨慢慢點頭。

「Data Sovereignty Certified。」

「對，不是資料乾不乾淨，不是模型多厲害，而是你有沒有把選擇權還給使用者。」

電話掛斷後，逸晨走到白板前，他拿起筆，在「第三條路」下面，寫下：Trust is Infrastructure.信任，本身就是基礎設施。

他看了很久，然後又在下面寫了一句中文：「我們不需要擁有使用者的資料，才能成為世界上最有價值的基因科技公司。」

窗外，城市燈火通明，而在世界的另一端，另一場會議也正在召開。

有人正在研究Biogene的新模式，有人正在研究GeneX，有人正在研究基金會，更有人已經開始計算：如果「資料主權」真的成為全球標準，那麼未來十年，究竟會有多少家公司因此重新洗牌？而這一次，戰場已經不再只是Biogene與GeneX，真正的競爭，才剛剛開始。

信任的價格

第一張認證申請書

K-DNA資料主權基金會成立後的第三週，秘書處收到第一份正式認證申請，申請者不是Biogene，也不是GeneX Global，而是一家來自新加坡的健康科技公司——VitaBridge。這家公司規模不大，卻在東南亞經營超過兩百家醫療合作據點，旗下有健康管理平台、企業員工照護系統，以及一套整合基因檢測與生活習慣的個人化服務。他們希望取得基金會的第一批認證資格。

消息傳到Biogene時，陳榆寧正在主持產品會議。她看完申請摘要，抬起頭。

「這比我們預期的快。」

張逸晨坐在她對面。

「快是好事，還是壞事？」

「要看他們為什麼來。」

榆寧把平板轉向他，申請書裡，VitaBridge提出三項合作要求：第一，接受基金會制定的資料主權標準；第二，開放第三方稽核部分資料授權與使用紀錄；第三，希望Biogene提供K-DNA Engine的商業技術整合服務。前兩項，符合基金會成立的初衷；第三項，卻讓事情變得微妙。

榆寧說：「他們想拿認證，也想買我們的技術。」

「這本來就不衝突。」

「但如果他們認證失敗呢？」

逸晨沒有立刻回答，榆寧接著說：「假設他們花了三百萬美元導入K-DNA Engine，結果基金會發現他們沒有真正落實使用者撤回授權的機制。到時候，我們要不要照樣讓他們拿不到認證？」

「當然。」

「即使這會影響我們的合約？」

「即使這會影響我們的合約。」

榆寧盯著他看了兩秒。

「那這件事就必須寫進制度。」

逸晨點頭。他知道榆寧真正擔心的不是這一家客戶，而是未來。

如果Biogene一方面販售技術，一方面又是基金會的核心技術貢獻者，那麼每一筆商業合作，都可能成為外界質疑基金會公正性的理由。

即使他們沒有干預，只要存在利益關係，就足以讓人懷疑。

逸晨說：「我們不能只要求別人透明，我們自己也必須接受檢驗。」

他在會議紀錄上寫下：技術供應商，不得決定客戶的認證結果。

然後，又補上一行：認證機構，不得因商業利益改變稽核標準。

這是基金會成立後，第一個真正需要面對的考驗，不是有沒有人願意加入，而是當商業利益出現時，他們能不能守住自己制定的規則。

認證不是一張貼紙

一週後，基金會召開第一次技術與治理聯席會議，與會者來自不同領域；有基因檢測公司，有醫療資訊平台，有資安顧問，也有大學研究團隊。趙育誠代表GeneX Global出席，張逸晨則代表Biogene。兩人坐在長桌兩端，桌上放著一份新文件：《K-DNA Data Sovereignty Certification Standard 1.0》。這是基金會準備推出的第一版認證標準。

負責技術規範的召集人先做簡報。

「我們目前規劃五個認證面向。」

投影幕上依序出現：

一、授權是否明確。

二、資料用途是否受到限制。

三、使用期限是否可被追蹤。

四、撤回授權後，系統是否確實停止後續使用。

五、稽核紀錄是否可供獨立查驗。

一名企業代表問：「通過這五項，就能取得認證嗎？」

召集人搖頭。

「這五項只是最低要求。」

「那還需要什麼？」

「證據。」

他切換到下一頁。

「我們不接受企業只在網站上寫一句『尊重使用者隱私』，就宣稱自己符合標準。」

會議室裡響起幾聲低笑。

「我們需要測試實際流程。使用者選擇不同授權層級時，系統是否真的採取不同處理？使用者撤回授權後，資料是否仍被用於新的分析？如果模型已經完成訓練，企業能不能清楚說明哪些影響可以停止、哪些既有結果無法立即消除？」

這一次，沒有人笑了，因為每個人都知道，這些問題沒有想像中簡單，一名來自歐洲的資安顧問舉手。

「我有一個更根本的問題──」

他看向召集人。

「基金會憑什麼判定一家公司的系統真的遵守規則？如果企業只提供經過整理的稽核資料，我們怎麼知道自己看到的不是一場精心安排的表演？」

趙育誠接過話題。

「所以，認證不能只靠企業自行申報。」

他打開自己的簡報。

「我們需要三層驗證──第一層，企業自我揭露；第二層，獨立第三方技術稽核；第三層，使用者端的實際流程測試。例如：稽核人員可以建立測試帳號，分別選擇不同的資料授權層級，再撤回授權，觀察系統是否遵守規則。企業不能只展示它準備好的畫面。」

VitaBridge的代表點頭，但另一家大型平台的代表卻皺起眉頭。

「這會大幅提高認證成本。」

趙育誠看著他。

「是。」

「那麼小公司怎麼辦？」

「我們可以設計分級認證、標準化測試工具與合理的費用結構。」

趙育誠停了一下。

「但不能因為一家企業規模小，就降低使用者應該擁有的選擇權。」

這句話讓會議室安靜下來，逸晨看著坐在另一端的趙育誠，他忽然發現，這個曾經與自己共同創業的人，已經不再只是當年那個堅持技術理想的研究者，他正在學著把理想變成制度，而制度，比口號更難，因為口號只需要有人相信，制度卻必須在有人不願意遵守時，仍然有效。