壹、什麼是ISO/IEC 42001?
一、源起
ISO/IEC 42001 是由國際標準化組織(ISO)和國際電工委員會 (IEC) 聯合技術委員會第一附屬委員會第42小組 (ISO/IEC JTC 1/SC 42 – Artificial intelligence) 負責制定的國際標準。隨著人工智慧 (AI) 技術的飛速發展和廣泛應用，全球對於AI治理、風險管理以及負責任AI實踐的需求日益迫切。社會各界對於AI系統可能帶來的倫理問題、偏見、透明度不足、安全性及潛在的社會衝擊表達了高度關切。
為此，SC 42 致力於開發一套能夠指導組織如何負責任地開發、提供或使用AI系統的框架。ISO/IEC 42001:2023 於 2023年12月 正式發布，旨在成為全球公認的人工智慧管理系統 (AIMS) 標準，協助組織在推動AI創新的同時，有效管理相關風險並建立信任。
二、一分鐘認識ISO/IEC 42001：
ISO/IEC 42001「人工智慧－管理系統」(Artificial intelligence – Management system) 是一項國際標準，它規定了在組織內建立、實施、維護和持續改進人工智慧管理系統 (AIMS) 的要求。其核心目標是使組織能夠以負責任和有效的方式，管理AI系統在其整個生命週期中所帶來的獨特挑戰與機會，從而增強對AI技術的信任，並促進其健康發展。
與ISO 9001 (品質管理) 或 ISO/IEC 27001 (資訊安全管理) 等管理系統標準類似，ISO/IEC 42001 是一個可驗證 (certifiable) 的標準，組織可以透過獨立第三方驗證來證明其符合性。
三、ISO/IEC 42001的核心要素為何?
| 核心要素 | 核心原則與概念 | |
|---|---|---|
| 風險基礎方法 (Risk-based approach) | 以風險管理為核心，系統性地辨識、評估、處理及監控與AI系統相關的特定風險，例如數據偏見、演算法不透明、模型缺乏穩健性、非預期結果、安全性漏洞、隱私侵犯及對公平性的影響等。 | |
| AI生命週期管理 (AI lifecycle focus) | 強調在AI系統的整個生命週期（從概念發想、設計、開發、驗證、部署、運行、監控到汰除）中整合管理要求。 | |
| 負責任AI與倫理考量 (Responsible AI and | ethical considerations) 將倫理原則（如公平性、問責性、透明度、人類福祉、社會影響等）融入AIMS的各個方面，並強調人類的監督與介入。 | |
| 數據治理與品質 (Data governance and quality) | 關注用於訓練、測試和運行AI系統的數據品質、完整性、來源、隱私保護及治理。 | |
| 利害關係人參與 (Stakeholder engagement) | 考量AI系統對內部及外部利害關係人（如使用者、客戶、員工、監管機構、社會大眾）的影響及其期望。 | |
| 持續改進 (Continual improvement) | 遵循管理系統標準常見的「規劃－執行－檢查－行動」(Plan-Do-Check-Act, PDCA) 循環，持續優化AIMS的有效性。 | |
| 問責性與透明度 (Accountability and transparency) | 建立AI系統及其決策過程的問責機制，並提高其運作的透明度。 | |
| AI系統的特定目標 (AI system objectives) | 組織應為其AI系統設定明確的目標，並考量其預期用途和潛在影響。 |
四、標準架構：
ISO/IEC 42001 採用了ISO管理系統標準的通用高階結構 (High-Level Structure, HLS)，使其易於與其他管理系統標準（如ISO 9001、ISO/IEC 27001）整合。其主要條款包括：
- 第1章：適用範圍 (Scope)
- 第2章：規範性參考文件 (Normative references)
- 第3章：術語和定義 (Terms and definitions)
- 第4章：組織背景 (Context of the organization) – 了解與AI相關的內外部議題、利害關係人的需求與期望、界定AIMS的範圍。
- 第5章：領導力 (Leadership) – 高階管理階層的承諾、制定AI政策、確立角色、職責與權限。
- 第6章：規劃 (Planning) – 規劃應對AIMS的風險與機會、AI系統影響評估、設定AIMS目標。
- 第7章：支援 (Support) – 資源提供、人員能力、認知、溝通、文件化資訊。
- 第8章：運作 (Operation) – AI系統的運作規劃與控制、AI風險評鑑與處理、AI系統生命週期管理。
- 第9章：績效評估 (Performance evaluation) – 監督、量測、分析與評估、內部稽核、管理階層審查。
- 第10章：改進 (Improvement) – 不符合事項與矯正措施、持續改進。
- 附錄A (Annex A – 規範性)：參考控制目標與控制措施 (Reference control objectives and controls)。 提供了組織可選擇用於處理已識別AI風險的控制措施清單。
- 附錄B (Annex B – 參考性)：AI控制措施實施指引 (Implementation guidance for AI controls)。
- 附錄C (Annex C – 參考性)：AIMS實施組織指引 (Guidance for organizations implementing an AIMS)。
- 附錄D (Annex D – 參考性)：AI系統潛在的社會影響與倫理考量 (Potential societal implications and ethical considerations of AI systems)。
貳、為何企業要導入ISO/IEC 42001？
企業導入並可能尋求ISO/IEC 42001驗證的原因包括：
一、建立信任與信心：
向客戶、合作夥伴、監管機構及社會大眾展現其負責任地管理AI系統的承諾與能力。二、有效管理AI特定風險：
系統性地應對AI帶來的獨特風險，如演算法偏見、缺乏透明度、安全漏洞、侵犯隱私及非預期後果。三、符合或預應法規要求：
隨著全球各國（如歐盟的AI法案、各國的AI國家戰略）陸續推出AI相關法規與指引，此標準有助於企業滿足合規要求。四、提升品牌聲譽與形象：
將組織定位為負責任AI的領導者，提升品牌價值。五、改善AI系統的品質與可靠性：
結構化的管理有助於開發出更穩健、更可信賴的AI系統。六、負責任地推動創新：
在擁抱AI技術帶來創新的同時，提供一個管理潛在負面影響的框架。七、吸引與留住人才：
對於重視倫理與科技責任的專業人才而言，具有吸引力。八、改善利害關係人關係：
有效回應各方利害關係人對AI應用的關切。九、獲得市場競爭優勢：
通過驗證可作為市場區隔的有利條件。參、ISO/IEC 42001對企業的重要性？
ISO/IEC 42001對企業的重要性及提供的幫助包括：
| 益處 | 說明 |
|---|---|
| 提供AI治理的結構化框架 | 為管理AI系統的開發、部署和使用提供清晰、系統性的方法。 |
| 降低AI相關風險 | 透過系統性的風險辨識、評估和處理，減少潛在的負面影響和損失。 |
| 強化倫理AI實踐 | 將倫理原則和負責任的考量嵌入AI系統的整個生命週期。 |
| 提高AI系統的透明度與問責性 | 使其決策過程更易於理解，並明確相關責任。 |
| 支持法規遵循 | 協助企業滿足與AI相關的法律、法規和合約要求。 |
| 驅動持續改進文化 | 促進在AI管理方面不斷學習和優化的組織文化。 |
| 提升營運效率 | 標準化的流程有助於提高AI相關操作的效率。 |
| 增強利害關係人信心 | 尤其若取得第三方驗證，能為負責任的AI管理提供可信的保證。 |
| 促進國際合作與貿易 | 共同的國際標準有助於簡化跨境AI部署和合作。 |
肆、什麼產業需要ISO/IEC 42001？
ISO/IEC 42001適用於所有在其業務活動中開發、提供或使用AI系統的組織，不論其規模、類型或所屬行業。特別是：
一、AI系統開發商：
包括AI軟體公司、科技新創企業、企業內部研發部門等。二、AI產品或服務提供商：
如SaaS服務商、AI顧問公司、系統整合商等。三、在其營運中廣泛使用AI系統的組織：
- 金融業： 用於風險評估、詐欺偵測、信用評分、演算法交易等。
- 醫療保健業： 用於輔助診斷、藥物研發、個人化醫療、影像辨識等。
- 製造業： 用於預測性維護、品質控制、智慧機器人、供應鏈優化等。
- 零售業： 用於個人化推薦、客戶服務聊天機器人、庫存管理等。
- 交通運輸業： 用於自動駕駛、交通流量管理、物流優化等。
- 公共部門： 用於公共服務遞送、政策分析、城市管理等。
四、任何希望展現其AI治理能力與負責任實踐的組織。
五、面臨或預期將面臨AI特定法規監管的組織。
伍、ISO/IEC 42001輔導流程
企業導入ISO/IEC 42001並尋求驗證的流程通常如下，可尋求外部顧問協助：
一、認知建立與高階承諾 (Awareness & Commitment)：
- 了解ISO/IEC 42001標準的要求、原則及其對組織的益處。
- 獲得最高管理階層對導入AIMS的明確承諾，並分配必要資源。
- 成立AIMS導入專案小組，納入跨部門代表。
二、範疇界定與情境分析 (Scope Definition & Context Analysis – 依標準第4章)：
- 明確界定AIMS的適用範圍（例如，組織的哪些部門、哪些AI系統將納入管理）。
- 分析與AI相關的內部和外部議題，以及利害關係人的需求與期望。
三、制定AI政策與目標 (AI Policy & Objectives – 依標準第5、6章)：
- 制定符合組織目標和倫理原則的AI政策。
- 設定可量測的AIMS目標。
四、AI風險評鑑與影響分析 (AI Risk & Impact Assessment – 依標準第6、8章)：
- 辨識與AI系統相關的特定風險（如偏見、透明度、安全性、隱私、公平性、穩健性等）及機會。
- 執行AI系統影響評估（考量倫理、社會、法律、人權等層面）。
- 選擇並規劃實施適當的控制措施（可參考附錄A）來處理已識別的風險。
五、資源配置與能力建構 (Resource Allocation & Competence Building – 依標準第章)：
- 配置必要的人力、技術、財務等資源。
- 透過培訓和宣導，確保參與AIMS的人員具備所需的能力和認知。
- 建立有效的溝通機制，並管理好文件化資訊。
六、AIMS建置與運作 (AIMS Implementation & Operation – 依標準第8章)：
- 在AI系統的整個生命週期中，實施運作規劃與控制流程。
- 落實已選定的AI風險處理措施/控制措施。
七、績效評估與內部稽核 (Performance Evaluation & Internal Audit – 依標準第9章)：
- 監督、量測、分析和評估AIMS的績效及控制措施的有效性。
- 定期執行AIMS內部稽核。
- 由管理階層對AIMS進行審查。
八、持續改進 (Continual Improvement – 依標準第10章)：
- 處理不符合事項並實施矯正措施。
- 持續改進AIMS的適用性、充分性和有效性。
九、(選擇性) 外部驗證稽核 (Optional: External Certification Audit)：
- 接洽經認可的驗證機構，安排ISO/IEC 42001的驗證稽核。
- 通常分為第一階段稽核（文件審查及準備度評估）和第二階段稽核（實施有效性評估）。
- 成功完成稽核後，即可獲得ISO/IEC 42001驗證證書。
鑒於ISO/IEC 42001是一項較新的標準（2023年12月發布），華宇企管專業顧問團隊已經準備了一整套的輔導模組，可以協助企業達到上述的目標，建議企業及早關注並規劃。