部门开始使用人工智能后，企业需要知道它用于何处、接触哪些数据，以及谁对采用结果负责。可先建立AI用途清单和决策职责，再按影响规划测试、监督和变更管理。
适用对象与启动时机
开发、提供或使用AI产品与服务的组织，在应用增加、客户要求治理证据或准备将AI接入重要流程时，可评估体系范围。即使只使用外部模型，也需确认自身用途与责任。
常见挑战
同一工具被不同部门用于不同决策，却共用一份简单测试结果；模型更新后，输出和数据处理条件发生变化，却未回到原审批流程。只看上线前准确率，无法回答持续影响和人工介入问题。
方法与适用要求
ISO/IEC 42001:2023 是首版AI管理体系要求标准，适用于提供或使用AI产品服务的组织，关注风险、机会及持续改进。管理体系评估并不保证单一模型或每次输出都正确。详见 ISO 官方说明。
项目范围以双方约定为准，可包括：
- **用途、角色与政策：**建立应用清单，记录预期用途、使用部门、数据、供应商和授权职责。
- **风险与影响评估：**区分组织需要处理的风险，以及相关人员可能受到的影响，记录限制、责任人和待补资料。
- **生命周期与人工监督：**检查数据来源、测试、部署、监测、停用和退役，整理控制与人工介入条件，并在模型或用途变化后重新评估。
服务步骤
- 盘点正式导入和部门日常使用的AI应用，确认组织角色及预定管理边界。
- 按用途与影响选择评估及控制方法，分配给业务、信息技术或外部合作窗口。
- 以一项实际应用验证监督与变更流程，检查测试、审批、人工复核和异常处理证据。
- 汇总监测、事件与审核发现，供管理层决定资源、限制与改善事项。
可约定AI清单、角色与范围说明、风险及影响评估、控制与监督安排，以及变更改善记录。评审应能说明某项用途的结果由谁判读，以及何时需要停用或重新批准。
建议准备资料
- AI用途、部门、模型或服务供应商及组织角色。
- 数据来源、使用权限与相关流程摘要。
- 风险、影响、控制与人工监督资料。
- 测试、版本、监测、事件与变更记录。
初步沟通先使用资料目录和去识别化样本；确认用途、访问人员与保存方式后，再提供项目所需资料。
时程与费用
应用数量、组织角色、影响程度及现有资料决定工作深度。模型开发、技术评估、系统修改和法律意见需另行约定；第三方认证也须单独确认方案。
常见问题
只使用外部AI工具也适用吗？
组织仍须管理自身用途、数据及采用结果的责任，是否开发模型不是唯一判断依据。
一般AI使用规范就等于完整管理体系吗？
使用规范可作为起点，完整体系还须核对范围内要求、执行、内部检查和改善。
证书能证明AI回答都正确吗？
不能。体系评估不保证每次输出，实际使用仍需适当测试与人工判断。
风险与影响评估可以用同一名称处理吗？
可以衔接资料，但应区分组织风险与受影响者的后果；只更换表单名称并不足够。
更换模型需要重新确认吗？
应评估用途、数据、行为或控制是否受影响，并安排必要测试和审批。
完成规划就能取得证书吗？
第三方按其方案评估实际运行证据。服务承接、认证范围与客户接受度都需另行确认。
相关服务
请先列出一项重要AI用途，说明输入数据、输出由谁采用及目前如何复核。联系凱騰