多年來，取得 ISO/IEC 27001 認證一直是香港資訊安全承諾的黃金標準。貴機構很可能已投入大量資源建立並維護資訊安全管理系統 (ISMS)，以確保重要資料資產的安全，並贏得客戶的信任。然而，在這個 75% 的香港銀行已開始部署人工智能，以及單單一個深度偽造詐騙就能讓跨國公司損失 2 億港元的時代，每個企業領導者都面臨一個關鍵問題：您的 ISO 27001 架構是否仍足以管理人工智慧所帶來的新風險？
雖然您的 ISMS 能夠很好地保護您的資訊，但它並非為管理人工智慧系統本身所造成的獨特、複雜風險而設計，這些風險與決策偏差、缺乏透明度，以及無法預見的社會影響有關。這就是全球第一個人工智慧管理系統 (AIMS) 標準 ISO/IEC 42001 不僅是補充，更是重要策略升級的地方。
這篇文章並非技術性的深入探討。它是為那些已經瞭解 ISO 27001 的價值，並且需要瞭解為什麼 ISO 42001 是確保組織在 AI 時代能夠負責任、安全地創新的合乎邏輯且必要的下一步的企業領導者所提供的指南。
要瞭解 ISO 42001 的必要性，關鍵是要認清每項標準在設計上的基本差異。ISO 27001 和 ISO 42001 並非競爭對手；它們應對兩種不同但相關的治理挑戰。
下表說明此策略區別：
| 特點 | ISO/IEC 27001:2022 (ISMS) | ISO/IEC 42001:2023 (目的) |
|---|---|---|
| 主要目標 | 保護資訊資產的機密性、完整性和可用性。 | 確保 AI 系統的開發與使用符合道德、透明且負責任。 |
| 治理對象 | 資訊資產 (資料、記錄、檔案)。 | AI 系統 (模型、演算法、用於訓練的資料、系統輸出)。 |
| 核心風險焦點 | 資訊的風險 (例如：資料外洩、未授權存取、資料遺失)。 | 來自 AI 系統的風險 (例如：有偏見的決定、有害的輸出、缺乏可解釋性及社會影響)。 |
| 典型問題 | 「我們的客戶資料庫安全嗎？」 | 「我們的 AI 雇用工具是否能做出公平且無偏見的建議？」 |
可以這樣想：您的 ISO 27001 框架可確保輸入 AI 驅動的貸款核准系統中的敏感財務資料是安全的，並可防止資料外洩。然而，這並不提供評估 AI 模型本身是否基於訓練資料中的隱藏偏見而系統性歧視某些申請人的架構。這正是 ISO 42001 所要解決的新治理領域。
對於企業領導者而言，最重要的問題是 AIMS 提供了哪些實質的新功能。ISO 42001 引入了幾項 ISO 27001 完全沒有的關鍵治理流程。
這可以說是最重要的新要求。ISO 42001 規定在部署 AI 系統之前，必須採用正式的流程來評估其對個人、團體和社會的潛在影響。這迫使組織超越純粹的技術風險，並考慮到
這種主動評估是降低風險的強大工具，並正逐漸成為全球監管機構的主要期望，包括歐盟的人工智能法案（AI Act），該法案具有域外效力，可影響香港企業。
ISO 27001 主要關注生產環境中的資訊。ISO 42001 則將管治範圍擴大至整個人工智能生命週期，從概念到停用。它針對以下方面引入了特定的控制：
這種生命週期方法可確保治理並非事後才想到，而是從一開始就內建到 AI 開發流程中。
人工智能最大的挑戰之一就是「黑箱」問題。ISO 42001 針對此問題，要求組織建立明確的責任分工，並向相關利害關係人提供透明度。這包括以下方面的控制
此架構對於建立信任與展現盡職調查至關重要，尤其是在金融與醫療照護等受監管的產業。
採用 ISO 42001 並不意味著要從零開始。因為這兩項標準共用相同的高階架構 (HLS)，您現有的 ISMS 可為新的 AIMS 提供強大的基礎。有關背景、領導、規劃、支援、運作、績效評估和改善的核心管理系統條款 (4-10) 大致相同。
這種協同效應可創造顯著的效率：
具有前瞻性思維的領導者不會視 ISO 42001 為另一項負擔，而是將其視為現有治理架構的自然而有效的演進 - 將風險管理和持續改善的相同原則從資訊安全世界延伸至人工智慧的新領域。
香港政府正投資數十億元於人工智慧發展，而金管局和私隱專員公署等監管機構亦正加強審查，在此快速發展的環境下，單單擁有 ISO 27001 已不足以展示全面的數碼管治。將您的認證擴展至 ISO 42001，可向您的客戶、合作夥伴和監管機構傳達一個強而有力的訊息：您的機構不僅參與了人工智能革命，還致力於以負責任的態度引領這場革命。
在我們所做的每一項工作中，我們始終堅持最高的質量和專業標準。這不僅使我們的行動成為行業標杆，也成為我們不斷精進和堅守的使命。
