DQS x 台達電子: AI 時代的雙軸合規，從 ISO 27001 到 ISO 42001 線上研討會

DQS 第三方驗證 X 台達電子今年首場聯合線上 AI 風險治理資安研討會，現正開放報名！來自台達電產品資安合規部門的 Jenny Tsen 以及 DQS 資訊安全開發處長 Vincent Wu 將帶領您深入探討在 AI 發展下如何建立資安的防護以及有效在組織內管控風險的，並進行企業資安驗證標準的導入講解，並在線上為您解答實務上導入 AI 管理系統標準會面臨的問題及挑戰。

◆ 企業在 AI 導入與部署上正在全面加速發展，潛在的資安風險有什麼？

• 資料外洩與隱私風險
  • 把個人資料、客戶機密、營運敏感資訊丟入外部 LLM／雲端 AI 服務進行訓練或推論，可能導致資料被模型「記住」、在未來回應中洩漏，或被第三方服務方取得。
  • 模型反推（model inversion）、推論攻擊（inference attacks），可以藉由大量 query 反推出訓練資料中的敏感資訊與企業 know-how。
     
• 弱化的存取控制與 API 暴露
  • AI 模型通常透過 API 對內或對外提供服務，若缺乏強認證、權限分級、rate limiting 與日誌監控，就會成為攻擊者的入口。
  • 使用第三方模型（如雲端 LLM）時，若沒有清楚界定「誰可以用」「可以用什麼資料」「用來做什麼」，就會出現超出原先風險評估範圍的使用情境。
     
• 供應鏈與第三方風險
  • 大部分 AI 能力（模型、雲端、工具）來自第三方，若沒有對供應商進行風險評估（資料處理、模型安全、合規性），就會被供應鏈拖累。
  • ISO 42001 特別強調對第三方 AI 供應商、外包開發以及外部資料來源的治理與監督。
     
• 組織面：缺乏角色責任與 AI 治理架構
  • 沒有明確的 AI 負責單位（如 AIGO、AI 委員會）、風險主責人員、技術主責人員與業務主責人員分工，出事時很難追責。
  • ISO 42001 要求建立 AI 管理系統（AIMS），包括政策、目標、角色職責與持續改進機制，避免 AI 落地只是一個「IT 專案」，而不是組織治理的一部分。