介绍如何识别 AI 系统对个人、群体和社会的可预见影响，并记录证据、应对措施及重新评估安排。
适用范围与定位
ISO/IEC 42005:2025 提供 AI 系统影响评估指引，不会自动取代法律要求的评估，也不取代适用时应进行的隐私影响评估。
管理重点
- 说明系统、预期及可预见用途、受影响人群、使用情境和评估边界。
- 评估潜在效益与负面影响，包括歧视、隐私、安全、服务可及性及对不同群体的影响。
实施步骤
- 说明系统、预期及可预见用途、受影响人群、使用情境和评估边界。
- 评估潜在效益与负面影响，包括歧视、隐私、安全、服务可及性及对不同群体的影响。
- 记录证据、不确定性、减缓措施、责任人、剩余影响及触发重新评估的条件。
- 筛选使用情境；识别受影响群体；按生命周期评估影响；适当征询意见；决定措施；监测结果并更新评估。
服务讨论
影响评估的记录结构
一份可复核的评估可从系统描述开始，记录预期用途、可预见的误用、部署环境、生命周期阶段、受影响群体和决策责任人。随后说明使用何种资料和方法识别影响，列出正面效益、潜在伤害、影响发生的条件、可能性与严重程度，并注明证据来源及资料缺口。无法量化的影响也应保留判断依据，不应因为缺少数字而略过。
影响对象可能包括直接使用者、未直接使用系统的人、特定群体、员工、供应商或更广泛的社会。依用途不同，评估可关注公平与歧视、隐私、健康安全、资讯可近用、工作条件、环境影响或其他相关议题。征询受影响者或领域专家时，应说明参与范围和意见如何处理，并保护参与者资料。
从评估结论连接到管理措施
每项重要影响都应连结措施、责任人和完成时点。措施可包括改变设计或使用情境、提供人工复核、限制数据或权限、补充告知与申诉方式、强化测试和监控，或在剩余影响无法接受时停止使用。完成措施后，仍应检视是否有效以及是否带来新的影响。
重新评估的触发条件可包括系统目的或模型重大改变、资料来源变化、部署对象扩大、出现事件或申诉、法规更新，以及监控结果偏离预期。组织应保留版本、核准、评估结果和措施追踪记录，使决定能够被解释并在情况改变时更新。ISO/IEC 42005 是影响评估指引；具体法律义务、隐私评估和行业监管要求仍需另行确认。
生命周期与审查治理
影响评估不只适用于首次采购或上线。概念设计、数据准备、开发或选型、测试、部署、营运、重大更新及退场，都可能出现不同影响和责任人。组织可依风险决定审查深度，并记录哪些阶段已评估、哪些依赖外部资料、哪些事项仍有不确定性。高风险用途应清楚规定由谁批准剩余风险，且保留限制、暂停或退出的权力。
评估文件应能支持实际决策，而非只存档。可将结论连结到采购条件、产品设计、使用说明、培训、监控指标、申诉管道及事件应变。若系统影响弱势或特定群体，宜检查资料是否充分代表这些群体，并以合适方式取得意见。公开说明时，应避免披露个人或商业机密，同时交代方法、范围和限制。