實施有效 AI 治理：如何將 ISO 42001 付諸實踐

企業為何需要實施 AI 治理？

企業應負責任的落實人工智慧 AI 治理，以結構化的方式去管理人工智慧的使用，降低風險，建立信任，並有效滿足監管和策略合規的需求。

起初，這看起來似乎是一個野心勃勃的構想，但以現今的趨勢來說，這早已成為現實的必然結果：人工智慧如今已經滲透到各行各業—而且往往比預期更快、更廣泛、更深入。同時，監管要求也不斷提高——例如歐盟的 EU AI Act《AI 人工智慧法案》—— 客戶也越來越希望看到企業能展示負責任地使用人工智慧的那一面的可靠證明。

因此，針對 ISO 42001 實施和獲取驗證的看法發生了根本性轉變。問題不再是企業是否應該實施 AI 治理，而是企業如何能有系統且可驗證地實施 AI 治理，以及這樣做能帶來哪些好處。

這正是 ISO 42001 作為 AI 管理系統（AIMS）發揮作用的地方。作為全球首個人工智慧 AI 管理系統標準，它定義了一個框架，用於系統性地 AI 的使用、控制風險並明確定義責任。因此，它遠不止是另一個標準，它更是將信任付諸實踐的工具。

然而，在正式踏上這條道路之前，組織需要先明確定義自己的目標。 ISO 42001 驗證本身並非最終目的，也不應僅僅被視為一項合規項目。其目標在於建立與從客戶、合作夥伴乃至監管機構之間的信任；專門解決諸如偏見、歧視、數據濫用或模型錯誤決策等風險；並為人工智慧的使用建立一套健全的治理框架。

同時，這也將帶來一個策略上的附加價值：在藍海時期，在初期獲取證書可以為企業帶來明顯的差異化優勢。 
 

AI 管理系統需要採取哪些初步步驟？

實施 AI 人工智慧管理系統的第一步是對 AI 的實際使用情況進行全面評估，並明確定義在 ISO 42001 的背景下什麼是 AI。

因此，實現人工智慧 AI 治理的真正路徑並非始於政策或文件，而是始於對現狀的誠實評估。而這正是許多公司遇到的第一個難題：他們對自身人工智慧應用的了解遠比他們意識到的要少。人工智慧不僅存在於聊天機器人或機器學習模型等顯而易見的應用中，還存在於日常營運中使用的眾多工具、自動化流程、軟體應用和數位化解決方案中。讓這些「隱藏的 AI」顯現出來，是通往 AI 治理道路上最重要，同時也是最具挑戰性的步驟之一。
 

我們如何有效評估人工智慧系統？

與此密切相關的問題是，根據該標準，究竟什麼才算是 AI。並非所有系統都會自動符合管理系統標準的要求。關鍵因素包括：系統是獨立決策還是僅僅輔助決策；模型是經過訓練還是僅僅直接套用未訓練的外部應用；以及針對人員、流程、資料或決策所造成的影響。這種區分至關重要，因為它界定了未來 AI 管理系統的範圍。

AI 治理需要哪些角色和職責？

在 AI 治理中，最重要的基礎之一，就是在 AI 系統的整個生命週期中，明確界定各角色的責任與職務範圍。因為不同角色所承擔的義務、風險以及所需控制措施皆不盡相同。

在導入與取得 ISO 42001 驗證的過程中，這往往是一項容易被低估，卻極為關鍵的核心工作。此過程中強調，組織必須針對人工智慧 AI 從設計、部署到實際使用的各階段，建立清晰且可追溯的治理架構。通常，可區分三種角色：AI 開發者、AI 生產者和 AI 使用者。

AI 開發者負責開發模型和系統，包括訓練、資料準備、模型架構和技術實作。而 AI 生產者則負責將AI 系統部署到生產環境中，將其整合到業務流程中，並負責其運作和確保符合既定要求。最終，AI 使用者將人工智慧應用於日常運營，根據結果做出合理的決策，或實現流程的自動執行。

這樣的角色劃分不只是組織架構上的分類，更直接影響風險評估、權責歸屬與控制措施的設計。因為不同角色對 AI 的影響程度不同，其所需承擔的責任與治理要求自然也不同。

公司內部如何建立 AI 治理系統？

AI 治理的發展借鑒了熟悉的管理系統框架，但由於 AI 的特殊要求，它需要的不僅僅是一個簡單的外掛程式。

這份簡要概述是開發 AI 管理系統的起點。從形式上看，它是基於已知的 ISO 框架如 ISO 9001 或者 ISO 27001 建立，內容如下：

• 組織環境
• 風險管理
• 明確的角色和職責
• 已記錄的資訊
• 內部稽核
• 持續改進（CIP）

這種熟悉的結構使得入門更加容易，至少乍看之下是這樣。然而，就內容而言，ISO 42001 引進了一個全新的維度，遠遠超越了傳統的管理系統。

關鍵區別在於人工智慧本身的本質。其他標準通常會明確定義「產品或服務」是什麼，而人工智慧則迫使企業重新思考一些根本性問題。

重點在於：

• 應用程式的倫理評估
• 演算法公平性和透明度
• 訓練資料的來源和品質
• 決策的可追溯性

責任問題尤其棘手：究竟誰該為 AI 做出的決策或借助 AI 做出的決策負責？這些問題無法簡單地整合到現有系統中──它們需要思維方式的轉變。

因此，許多組織一開始就假設 ISO 42001 可以作為現有管理系統的延伸來實施。然而，在實務中，很快就會發現這種方法的適用範圍非常有限。雖然現有架構可以作為基礎，但人工智慧特有的要求要求對組織自身的流程、技術和決策機制進行更深入的檢視。因此，ISO 42001 並非簡單的附加組件，而是一種視角轉變。

ISO 42001 與歐盟 AI 人工智慧法案有何關聯？

歐盟 AI 法案規定了 AI 的監管要求，而 ISO 42001 則展示了企業組織如何有系統地將這些要求整合到其治理和管理系統中。

與 ISO 42001 相關的一個日益重要的方面是根據法規規定對 AI 系統進行風險分類。它主要區分四種風險等級：

• 被禁用的 AI 系統
• 高風險系統
• 風險有限的 AI 系統
• 風險最小的系統

這種分類對開發、部署和監控的要求有直接影響。

風險極低的系統受到的監管要求很少，而高風險應用（例如涉及關鍵基礎設施、人事決策或醫療應用的應用）則受到關於文件、透明度、人工監督、安全性和 AI 風險管理的嚴格要求。

對企業而言，這意味著 ISO 42001 和人工智慧法規是相互關聯的。當法規明確規範應該怎麼作才能法律要求，同時，ISO 標準則提供了一個結構框架，將這些要求系統化地轉化為具體措施。尤其是在高風險系統中，一個良好的 AI 管理系統對於確保企業合規性至關重要，它不僅能確保各種情況的合規，還能確保永續合規。

ISO 42001 如何在現實場景中運用？

ISO 42001 的應用成功與否取決於：組織如何以迭代、跨職能和透明的方式去管理以及部署人工智慧，去實現人工智慧風險管理以及落實管理責任。

作為前述思維轉變中不可或缺的一環，企業必須有意識地重新檢視「人工智慧究竟被應用在哪裡，以及為何使用人工智慧」。如今，企業已在各種不同場景中導入 AI，從內部流程自動化、數據驅動的決策支援，到客戶互動管理，以及大量資料中的模式識別與分析等，都已能看見人工智慧的應用身影。

然而，真正的挑戰不在於辨識這些應用領域，而在於權衡其效益與風險。這正是ISO 42001的功能所在：它促使組織主動尋求這種平衡，而不是聽天由命。

驗證之路 (AI 的開發) 大多不會是一帆風順的。除了充滿了迭代、新的洞見，與之伴隨的還有不確定性。典型的挑戰包含：

• 職責不明確性
• 現有人工智慧系統缺乏透明度
• 風險評估的複雜性
• 組織內部必要面對的文化轉變

隨著流程的推進，有一點變得特別清晰透明：AI 治理和負責任地使用 AI 是每個企業必然要去面對的。因為不僅是管理階層、IT 部門，甚至是業務部門，它需要從上到下，從左到右，企業中的各方部門都達成共識並密切合作。

實施 AI 治理的理由是什麼？

縱使實施 AI 管理系統將面臨極大的挑戰，然而，採用 AI 並追求 AI 治理在現今的時代絕對是不可避免的結果。 ISO 42001 驗證以結構化的方式進行。採取這一步驟的公司不僅能將自己定位為行業先驅，還能為應對未來的監管機構的要求和確保企業的合規、合法，為企業的長久經營奠定堅實的基礎。

這關乎到一個企業、一間公司、一個品牌的信譽問題：他們如何透過負責任地使用 AI 與客戶以及合作夥伴建立信任，同時展現對自身如何運用 AI 有了更深入的了解，透過以身作則的行為，實現對客戶以及合作夥伴的承諾。

結論：AI 管理系統治理真的只是取得一張證書嗎？

ISO 42001 驗證它遠遠不止是你待辦事項清單上的另一項合規要求。它真正的價值，在於協助組織建立一套能夠有效管理 AI 風險、責任與信任的治理架構，進一步提升企業對 AI 這項關鍵技術的掌握能力。在 AI 仍快速發展的今天，市場上仍缺乏足夠的經驗數據、成熟的最佳實務以及統一的管理方法。因此，率先投入 AI 治理，勢必伴隨一定程度的不確定性與挑戰。然而，也正因如此，現在願意主動行動的企業，將有機會成為未來產業標準與治理模式的重要制定者。

因此，關鍵問題不在於這條路是否容易。事實上，它並不容易。關鍵問題在於，在數位化和技術治理的背景下，我們是否準備好應對當前的挑戰，並將 AI 的負責任使用提升到一個新的水準：以更負責任、更透明且更可信的方式運用 AI。

DQS －Leveraging Quality, Driving Success.

正如每家公司和組織使用 AI 的方式各不相同，它們追求的目標也天差地遠。為了確保 AI 系統的安全使用，專門針對 AI 所設計的全新國際管理系統標準 —— ISO/IEC 42001 —— 已於 2023 年底生效。 而 DQS 是全球首批提供 ISO 42001 驗證的供應商之一。

憑藉 40 年來的國際稽核與驗證經驗，我們始終致力於以公正的稽核和驗證協助企業建立值得信賴的管理系統。透過深厚的專業知識與產業經驗，我們不僅協助組織掌握最新標準要求，更致力於協助企業理解其背後所代表的管理意義與未來趨勢。

我們重視每一位客戶的需求，並相信真正有價值的驗證，不只是符合要求，更是協助組織持續成長與提升競爭力的重要過程。期待有機會為您提供專業服務。

信任與專業

我們的文本和內容均由我們的標準專家或經驗豐富的稽核元撰寫。如果您對文本內容或我們的服務有任何疑問，請隨時給我們建議，電子郵件如下：[email protected]

註：為提升閱讀流暢性，本文使用通用的男性詞彙表述；然而，相關內容與規範同樣適用於所有性別身分人士。