ISO/IEC 42001
ISO/IEC 42001 AI 管理：把用途、風險與人工監督說清楚
部門開始使用 AI 後，企業需要知道它被用在哪裡、接觸哪些資料，以及誰對採用結果負責。管理制度可以先從用途清冊和決策責任開始，再依影響規劃測試、監督及變更安排。
適用對象與啟動時機
開發、提供或使用 AI 產品與服務的組織，當應用增加、客戶要求治理證據或準備把 AI 接入重要流程時，可評估制度範圍。只使用外部模型，也需要確認自身用途及責任。
企業常見挑戰
同一工具被不同部門用於不同決策，卻共用一份簡單測試結果；模型更新後，輸出與資料處理條件改變，也未回到原批准流程。只看上線前準確率，無法回答後續的影響與人工介入問題。
方法與適用要求
ISO/IEC 42001:2023 為首版 AI 管理系統要求，適用提供或使用 AI 產品服務的組織，關注風險、機會及持續改善。管理系統評估並非單一模型或每次輸出的正確性保證。 ISO 官方說明
以下為可供討論的專案範圍。各項安排屬工作方法建議，實際承接內容需在需求確認後約定。
用途、角色與政策
建立應用清冊，記錄預期用途、使用部門、資料、供應商及授權責任，讓政策能對應具體活動。
風險及影響的判斷
分別辨識組織需要處理的風險及相關人可能受到的影響，將限制、責任與需補資料留下來。
生命週期與人工監督
討論資料來源、測試、部署、使用監測、停用及退役，整理適用控制與人工介入條件，模型或用途變更後重新檢視。
Service Process
輔導內容與流程
先盤點實際 AI 應用
將正式導入與部門日常用途納入討論，確認組織角色及預定管理邊界。
選擇風險與控制方法
按用途及影響訂定評估方式，將控制安排給業務、資訊或外部合作窗口。
驗證監督與變更流程
以一項實際應用檢查測試、批准、人工複核及異常處理的證據。
回顧治理是否持續運作
彙整監測、事件與稽核發現，提出資源、限制及改善事項供管理審查。
建議交付與確認方式
可討論 AI 清冊、角色與範圍說明、風險及影響評估、控制與監督安排，以及變更改善紀錄。確認時應能說明一項用途的結果由誰判讀、何時需要停用或重新批准。
企業需準備哪些資料
- AI 用途、部門、模型或服務供應商及組織角色。
- 資料來源、使用權限與相關流程摘要。
- 風險、影響、控制與人工監督資料。
- 測試、版本、監測、事件與變更紀錄。
初談先使用資料目錄與去識別化樣本，確認用途、存取人員及保存方式後，再提供專案所需資料。
時程與費用如何評估
應用數、組織角色、影響及現有資料決定工作深度。模型開發、技術評測、系統修改與法律意見需另定；第三方驗證也須獨立確認方案。
FAQ
常見問題
只有使用外部工具也適用嗎？
組織仍需管理自身用途、資料及採用結果的責任，不以是否開發模型為唯一界線。
一般 AI 使用規範等於完整管理系統嗎？
使用規範可以是起點，完整制度還須核對範圍內要求、執行、內部檢視與改善。
證書能證明 AI 回答都正確嗎？
不能將系統評估延伸為逐次輸出保證，實際使用仍需適當測試及人工判斷。
風險與影響評估可用同一名稱處理嗎？
兩者可銜接資料，但需分清管理風險與受影響者的後果，不能只換表單名稱。
換模型需要再確認嗎？
應看用途、資料、行為及控制是否受影響，再安排必要測試和批准。
完成規劃就能拿到證書嗎？
第三方依其方案評估實際制度，承接、驗證範圍及客戶接受性均需先確認。
相關服務與需求諮詢
請先列出一項重要 AI 用途，說明輸入資料、輸出由誰採用，以及目前如何複核。 聯絡凱騰
Let’s Talk
