为治理机构监督 AI 使用提供指引，让决策权限、预期效益、风险报告及责任归属清晰可见。
适用范围与定位
ISO/IEC 38507:2022 说明组织使用 AI 时的治理意义，支持监督与决策；它不是技术测试规范，也不是可独立认证的管理体系标准。
管理重点
- 盘点 AI 使用情境，并明确核准、可接受使用、例外处理及持续运行的决策权。
- 核准前要求管理层考量预期成果、受影响相关方、数据、模型限制、法律义务及风险承受度。
实施步骤
- 盘点 AI 使用情境，并明确核准、可接受使用、例外处理及持续运行的决策权。
- 核准前要求管理层考量预期成果、受影响相关方、数据、模型限制、法律义务及风险承受度。
- 按风险配置绩效、事件、重大变更及未解决风险的监控与报告，并提交负责治理机构。
- 建立治理原则与责任角色；将 AI 使用连结策略和风险管理；检视报告与结果；情况变化时调整决策。
服务讨论
治理讨论应覆盖的事项
治理单位可先建立 AI 使用清册，记录系统负责人、业务目的、影响对象、资料来源、外部供应商、依赖程度及当前状态，再依风险决定核准层级和持续监督方式。清册应包含正式采购、试点、部门自行使用及嵌入现有软件的 AI 功能；无法确认的使用情况要安排调查责任人。
决策资料除预期效益外，也应交代限制条件，例如模型适用边界、资料品质、人工审核方式、第三方服务变化、输出错误可能造成的影响及发生事件后的处置。对高影响或不可逆的用途，可设定上线前验证、使用者培训、人工复核、记录保存、暂停权限和恢复条件。具体控制应与组织风险相称，不宜把所有工具套用同一层级。
责任与报告安排
董事会或其他治理机构负责监督方向、风险承受度和重大例外；高阶管理层负责落实资源、政策和跨部门责任；业务与技术团队负责具体应用、测试、监控和事件回报。角色可以依组织规模整合，但决策、执行和独立检视之间应有清楚分工。
定期报告可包括已核准及新增用途、效益指标、重大事件、未解决风险、供应商或模型变化、人工覆核发现和整改进度。报告需要让决策者判断原核准前提是否仍成立；若用途、对象、资料或能力边界发生重大变化，应重新评估并按规定升级核准、限制或停止使用。
导入时可依序完成现况盘点、治理原则、权责与核准流程、风险及绩效指标、报告和例外处理，再用实际案例检验流程是否可执行。ISO/IEC 38507 提供治理指引，不能代替适用法律、资安要求、AI 风险评估或特定行业监管义务。
从试点到日常监督
试点阶段可预先定义成功指标、限制条件、人工介入点和停止标准，并指定由谁检查模型表现、输出品质和使用者回报。试点结束后，应结合实际效益、事件、成本、偏差和受影响者意见，决定是否扩大、调整或结束用途。若供应商更新模型或改变数据处理方式，组织应要求通知并评估变更影响。
治理记录应让决策过程可追溯，包括提案、风险审查、核准条件、例外处理、培训、监测结果和管理层复核。这样可避免技术部门自行承担业务决策，也能让董事会或管理机构依据可靠信息监督 AI 应用是否持续符合组织目标与风险承受度。