多年來，獲得 ISO/IEC 27001 認證一直是香港企業展現資訊安全承諾的黃金標準。您的企業可能已投入大量資源來建立和維護其資訊安全管理系統 (ISMS)，以保護關鍵資料資產並贏得客戶信任。然而，在香港 75% 的銀行已部署人工智慧，且一次深度偽造詐騙就可能對跨國公司造成 2 億港元損失的時代，每個企業領導者都面臨著一個關鍵問題：您的 ISO 27001 框架是否仍然足以應對人工智慧帶來的新風險？
雖然您的資訊安全管理系統 (ISMS) 在保護資訊方面表現出色，但它並非旨在應對人工智慧系統本身產生的獨特而複雜的風險——例如決策偏差、缺乏透明度以及不可預見的社會影響。正因如此，ISO/IEC 42001（全球首個人工智慧管理系統 (AIMS) 標準）不僅成為現有系統的補充，更是一項至關重要的策略升級。
本文並非技術深度解析，而是為已經了解 ISO 27001 價值並需要了解為什麼 ISO 42001 是確保其組織在人工智慧時代能夠負責任且安全地進行創新的合乎邏輯且必要的下一步的商業領袖提供的指南。
要理解 ISO 42001 的必要性，至關重要的是要認識到每個標準旨在規範的內容存在根本差異。 ISO 27001 和 ISO 42001 並非競爭關係；它們分別處理兩個不同的、但又相互關聯的管理挑戰。
下表說明了這一戰略區別：
| 特徵 | ISO/IEC 27001:2022（資訊安全管理系統） | ISO/IEC 42001:2023（AIMS） |
|---|---|---|
| 主要目標 | 保護資訊資產的機密性、完整性和可用性。 | 確保人工智慧系統的開發和使用符合倫理、透明且負責任。 |
| 治理目標 | 資訊資產（資料、記錄、文件）。 | 人工智慧系統（模型、演算法、用於訓練的資料、系統輸出）。 |
| 核心風險關注 | 資訊面臨的風險（例如，資料外洩、未經授權的存取、資料遺失）。 | 人工智慧系統帶來的風險（例如，有偏見的決策、有害的輸出、缺乏可解釋性、社會影響）。 |
| 典型問題 | 我們的客戶資料庫安全嗎？ | “我們的人工智慧招募工具能否給出公平公正的建議？” |
不妨這樣理解：ISO 27001 框架確保輸入人工智慧貸款核准系統的敏感財務資料安全可靠，免於資料外洩。然而，它並未提供評估人工智慧模型本身是否會基於訓練資料中隱藏的偏見而係統性地歧視某些申請人的框架。這正是 ISO 42001 所要解決的全新治理難題。
對企業領導者而言，最重要的問題是AIMS能提供哪些實際的新能力。 ISO 42001引進了ISO 27001中完全沒有的幾個關鍵治理流程。
這可以說是最重要的新要求。 ISO 42001 強制要求在部署人工智慧系統之前，必須透過正式流程評估其對個人、群體和社會可能造成的影響。這迫使組織超越純粹的技術風險，並考慮以下幾個方面：
這種主動評估是風險緩解的有力工具，並且正在成為全球監管機構的關鍵期望，包括歐盟根據《人工智慧法》制定相關法規的監管機構，該法規具有域外效力，可能會影響香港企業。
ISO 27001 主要著重在生產環境中的資訊。而 ISO 42001 則將治理範圍擴展到整個人工智慧生命週期，從概念設計到最終退役。它針對以下方面引入了具體的控制措施：
這種生命週期方法確保治理不是事後考慮的，而是從一開始就融入人工智慧開發過程中。
人工智慧面臨的最大挑戰之一是「黑盒子」問題。 ISO 42001 透過要求組織建立清晰的問責機制並向相關利害關係人提供透明度來解決這個問題。這包括以下方面的控制：
該框架對於建立信任和展現盡職調查至關重要，尤其是在金融和醫療保健等受監管行業。
採用 ISO 42001 並不代表一切從零開始。由於這兩個標準共享相同的高層結構 (HLS)，您現有的資訊安全管理系統 (ISMS) 可以為您的新目標管理系統 (AIMS) 提供堅實的基礎。關於背景、領導、規劃、支援、運作、績效評估和改進的核心管理系統條款（第 4-10 條）基本上相同。
這種協同作用能顯著提高效率：
具有前瞻性的領導者並不將 ISO 42001 視為另一個負擔，而是將其視為現有治理框架的自然而有效的演進——它將資訊安全領域的風險管理和持續改進原則擴展到人工智慧的新領域。
在香港瞬息萬變的環境中，政府正投入數十億資金發展人工智慧，而香港金融管理局和個人電腦及產品開發署等監管機構也日益加強監管，僅僅擁有ISO 27001認證已不足以證明其具備全面的數位治理能力。將認證範圍擴展至ISO 42001，能夠向您的客戶、合作夥伴和監管機構傳遞一個強有力的信息：您的機構不僅參與了人工智慧革命，更致力於以負責任的方式引領這場革命。
