實施人工智慧治理：如何將 ISO 42001 付諸實踐

企業為什麼要實施人工智慧治理？

企業應實施負責任的人工智慧治理，以結構化的方式管理人工智慧的應用、降低風險、建立信任，並有效滿足監管與戰略合規的要求。

乍看之下頗具雄心的想法，很快就被證明是某個早已成為現實之趨勢的必然結果：人工智慧已經進入企業——其速度、廣度和深度往往超乎預期。與此同時，監管要求也不斷增加——例如透過歐盟人工智慧法案（EU AI Act）——且客戶越來越期望看到負責任使用人工智慧的實質證據。

因此，關於 ISO 42001 的實施與認證前景已發生了根本性的轉變。問題不再是企業是否應該實施人工智慧治理，而是它們以多麼系統化和可驗證的方式來執行——以及這能帶來什麼實質效益。

這正是作為人工智慧管理系統（AIMS）的 ISO 42001 發揮作用的地方。作為全球第一個針對人工智慧管理系統的標準，它定義了一個用於系統化管理人工智慧應用、控制風險並明確建立職責的框架。因此，它遠不止是又一個標準——它是將信任付諸營運的工具。

然而，在組織踏上這條道路之前，必須先釐清其核心目標。ISO 42001認證並非目的本身，也不應僅僅被視為一項合規專案。相反地，其目標是在客戶、合作夥伴和監管機構之間建立信任；具體應對偏見、歧視、資料濫用或模型做出錯誤決策等風險；並為人工智慧的使用建立強健的治理框架。

同時，這也帶來了戰略優勢：在一個仍然缺乏先行者的環境中，早期認證可以作為清晰的差異化優勢。

人工智慧管理系統所需的最初步驟是什麼？

實施人工智慧管理系統的第一步，是對實際的人工智慧使用情況進行全面評估，並在 ISO 42001 的範疇下明確定義什麼才構成人工智慧。

因此，通往人工智慧治理的真實道路並不是從制訂政策或文件開始，而是從對現狀的誠實評估開始。正是在這裡，許多企業遇到了第一個驚喜：他們對自身人工智慧使用的了解遠比自己意識到的要少。人工智慧不僅出現在聊天機器人或機器學習模型等明顯的應用中，還出現在日常營運所依賴的眾多工具、自動化程序、軟體應用程式和數位解決方案中。使這種「隱藏的人工智慧」顯現出來，是通往 ISO 42001 認證最重要、同時也最具挑戰性的步驟之一。ISO 42001認證

我們如何有效地評估人工智慧系統？

與此密切相關的問題是：在該標準下，什麼才真正符合人工智慧的定義。並非每個系統都會自動落入管理系統標準的管轄範圍內。關鍵考量因素包括：系統是獨立做出決策還是僅僅提供輔助、模型是經過訓練還是僅該應用被直接使用，以及該應用對人員、流程、資料或決策會產生什麼影響。這種區分至關重要，因為它直接界定了未來人工智慧管理系統的範圍。

人工智慧治理需要哪些角色與職責？

人工智慧治理需要在整個人工智慧生命週期中明確定義角色，因為不同的職責會帶來相應的義務、風險和控制要求。

在實施和認證 ISO 42001 的過程中，一個經常被低估但至關重要的面向，就是在處理人工智慧時明確定義相關角色。ISO 標準要求在人工智慧系統的整個生命週期中採取細緻的處理方式。通常可以區分出三個核心角色：人工智慧開發者、人工智慧生產者和人工智慧使用者。

開發者負責模型與系統的開發——也就是訓練、資料準備、模型架構和技術實現。另一方面，生產者則將人工智慧系統部署在生產環境中，將其整合至業務流程，並負責其日常營運及對所定義要求的合規性。最後，使用者則在日常營運中應用人工智慧，根據輸出結果做出負責任的決策，或交由系統自動執行流程。

這種區分不僅從組織角度來看至關重要，對風險評估、當責歸屬和控制機制也有直接影響。這是因為不同的角色會承擔不同的義務、風險，以及影響人工智慧行為的機會。

如何在企業內部建立人工智慧治理？

人工智慧治理的建構借鑑了熟悉的管理系統框架，但由於人工智慧本身的獨特要求，它所需要的遠遠不只是簡單的附加組件。

這個簡單的概覽可作為開發人工智慧管理系統的起點。形式上，它基於既有的 ISO 框架（例如 ISO 9001 或 ISO 27001 所採用的結構）：

• 組織環境
• 風險管理
• 明確的角色與職責
• 已記錄的資訊
• 內部審核
• 持續改進（CIP）

這種熟悉的結構讓企業在起步時相對容易上手。然而，就實際內容而言，ISO 42001 引入了一個遠超傳統管理系統的新維度。

關鍵差異在於人工智慧本身的本質。其他標準通常能明確定義「產品」或服務的範疇，但人工智慧卻迫使企業重新思考更為根本的問題。

其核心焦點在於：

• 應用的道德評估
• 演算法的公平性與透明度
• 訓練資料的來源與品質
• 決策的可追溯性

其中，責任歸屬的問題尤具挑戰性：誰該為人工智慧所做出或在人工智慧協助下做出的決策負最終責任？這些層面無法簡單地套用到現有的系統中——它們需要思維方式的深刻轉變。

因此，許多組織最初會假設 ISO 42001 可以作為現有管理系統的延伸來實施。然而在實務中，很快就會發現這種做法的效果相當有限。雖然現有的組織架構可以作為基礎，但人工智慧特定的要求需要更深入地檢視企業自身的流程、技術和決策機制。因此，ISO 42001 絕非單純的附加組件，而是一種視角與思維的根本轉變。

ISO 42001 與歐盟人工智慧法案有何關聯？

歐盟人工智慧法案為人工智慧設定了監管要求，而 ISO 42001 則展示了組織如何將這些要求系統化地整合到其治理與管理系統之中。

結合 ISO 42001 變得日益重要的關鍵面向，是根據法規規定的風險潛力對人工智慧系統進行分類。該法案基本上將系統區分為四個風險等級：

• 禁用的 AI 系統（違禁人工智慧系統）
• 高風險系統
• 具有有限風險的人工智慧系統
• 具有最小風險的系統

這種分類對系統的開發、部署和監控要求產生了直接的影響。

雖然具有最小風險的系統受到的監管要求較少，但高風險應用——例如涉及關鍵基礎設施、人事決策或醫療診斷的應用——則在文件化、透明度、人工監督、資訊安全和人工智慧風險管理方面，必須符合極為嚴格的要求。

對企業而言，這意味著 ISO 42001 和人工智慧法規是相互關聯的。雖然該法規明確規定…什麼如果法律要求，ISO 標準則提供了一個結構框架，將這些要求系統化地轉化為具體措施。尤其是在高風險系統中，一個運作良好的 AI 管理系統對於確保合規性至關重要，它不僅能確保臨時合規，還能確保永續合規。

如何在地實施 ISO 42001？

ISO 42001 的成功實施，有賴於組織以迭代、跨職能且透明的方式，妥善管理人工智慧的部署、風險與相關職責。

在前文所提及的視角轉變中，有一個不可或缺的環節，便是審慎探討人工智慧究竟在何處以及為了什麼目的而被使用。現今的企業在各個領域廣泛運用人工智慧——從內部流程的自動化、基於資料的決策支援，到客戶互動或大數據中的模式識別皆然。

然而，真正的挑戰不在於識別這些應用領域，而在於如何在效益與風險之間取得平衡。這正是 ISO 42001 發揮作用的地方：它強迫組織主動去權衡這項平衡，而非聽天由命。

認證之路很少是一帆風順的。相反地，它充滿了反覆修正、新的洞察，有時甚至伴隨著不確定性。典型的挑戰包括職責定義不清、對現有人工智慧系統缺乏透明度、風險評估的複雜性，以及組織內部必須經歷的文化轉變。

隨著進程的推進，有一件事變得格外清晰：人工智慧治理和負責任地使用人工智慧是無法被外包或隨意委託的。它同時牽涉到管理層、IT 部門以及各業務單位，需要各方建立共識並緊密協作。

實施人工智慧治理的原因有哪些？

實施人工智慧管理系統所伴隨的挑戰不容忽視——儘管如此，企業仍有許多充分的理由去落實人工智慧治理並積極推動 ISO 42001認證。採取這一步驟的企業不僅能將自己定位為產業先驅，更能為應對未來的監管要求和確保永續合規，奠定穩固的法規與管理基礎。

透過此舉，企業能夠與客戶及合作夥伴建立信任，同時對自身的人工智慧使用狀況獲得更深層次的理解。歸根結底，這也是一場關於信譽的考驗：任何向外界闡述如何負責任地使用人工智慧的企業，自身理應具備展示這種承諾的能力。

結論：人工智慧治理不只是取得一張證書？

說到底， ISO 42001認證遠不止是待辦事項清單上的又一個打勾項目。它是我們針對當代關鍵技術之一，推動管理方法走向成熟的有力工具。在一個仍然缺乏實證資料、最佳實務尚在摸索且指導方針有限的環境中，起步行動無可避免地會伴隨一定程度的風險。然而，機會往往就蘊藏於其中。因為今天跨出步伐的人，正是未來標準的積極形塑者。

因此，關鍵問題不在於這條路是否好走（事實上並不容易）。相反地，真正的核心問題在於：在數位化與技術治理的浪潮下，我們是否準備好迎接當前的挑戰，將我們對人工智慧的負責任應用提升至全新高度。

DQS – 因為並非所有審核都千篇一律

正如每家公司和組織運用人工智慧的方式各具特色，其背後的商業目標也千差萬別。為了確保人工智慧系統的安全運用，一項專門針對人工智慧的全新國際管理系統標準——ISO/IEC 42001——已自 2023 年底起正式生效。DQS 是全球首批提供認可 ISO 42001 認證的認證機構之一。

歡迎善用我們專家的專業知識，深入了解最重要的標準要求及其對您組織的深遠意義。40 年來，我們始終致力於提供公正、嚴謹的審核與認證服務。我們的承諾，往往從審核檢查清單結束的地方才真正開始。請相信我們的專業，我們期待您的垂詢。

信任與專業知識

我們所有的文件與手冊均由標準化專家或經驗豐富的審核員親自執筆。如果您對本文內容或我們的服務有任何疑問，歡迎隨時透過電子郵件與我們聯繫：[email protected]（或逕洽您的本地辦公室）。

註：為求行文流暢，內文偶爾採用通稱形式。然而，在適用範圍上，此原則涵蓋所有性別認同之人士。