企航顧問ISO/IEC 42001人工智能管理體系服務介紹

2025/01/31

該標準不僅關注技術層面，更深入到組織戰略、風險管理及倫理道德等多個維度，致力于全面提升組織在 AI 時代的競爭力與公信力。通過實施這一標準，組織能夠確保以負責任的方式開發和使用 AI 系統，同時滿足適用的法律法規、合同義務以及利益相關方的需求和期望。

  ISO/IEC 42001標準產生的背景

2016年，英國標準協會（BSI）首次發布了一份關于人工智能倫理管理的標準BS 8611:2016，這份標準在當時的業界似乎并沒有引起太多反響。自2022年11月30日OpenAI通過GPT-3.5系列大型語音模型微調而成的全新對話式AI模型ChatGPT正式發布以來，無論在人工智能專業領域還是在人工智能應用領域掀起了巨大波瀾，各國政府都在制定或發布針對人工智能監管的法案以確保人類更好地應用人工智能技術，比如：

• 2023年5月11日，歐盟《人工智能法案》談判授權草案通過

• 2023年4月13日，中國國家互聯網信息辦公室《生成式人工智能服務管理辦法（征求意見稿）》發布

• 2019年OECD（經濟合作與發展組織）提出了關于人工智能管理的原則和建議，這些原則在為各國政府制定人工智能政策提供指導和建議

• 聯合國教科文組織（UNESCO）在2019年通過了一份名為《人工智能：倫理與道德》的報告，呼吁各國政府和私營部門在人工智能的開發和使用過程中遵守一系列基本原則和規范

• 世界經濟論壇在2020年發布了《人工智能全球議程》報告，提出了人工智能治理的五項核心原則：人類為中心、信任、公平、透明和安全

  人工智能管理體系標準框架

• ISO/IEC 22989:2022信息技術——人工智能——人工智能概念和術語

• ISO/IEC 23894:2023信息技術——人工智能——風險管理指南

• ISO/IEC 5338:2023信息技術——人工智能——AI系統生命周期過程

  ISO/IEC 42001標準的結構

【上圖：ISO/IEC 42001:2023標準的結構】

一、標準正文部分

二、附錄A：控制目標和控制措施

附錄A提供了控制措施的描述，共9大控制域、38個控制項，為組織實現組織目標和解決與Al系統設計和運行相關的風險提供了參考。

1、A.2到A.4主要提供了組織管理的控制，包括：

• AI的方針和策略，AI的倫理規范，以指導促進合乎道德的AI開發和應用

• AI治理結構和職責劃分

• AI系統的資源識別和分配

2、A.5到A.9提供了AI系統管理的控制，包括：

• 對AI系統的影響進行評估，如對個人和群體帶來的影響包括數據隱私和安全、偏見和歧視、算法黑箱問題、就業危機等；以及對社會的影響包括社會不平等、經濟影響、倫理問題、環境和資源問題等

• 指導組織在AI系統生命周期中，針對AI系統的負責任地設計和開發，并對系統進行驗證和確認，對AI系統地部署進行管控，對運行進行監視，對日志進行記錄，并對AI系統技術文檔進行管理

• 管理AI系統生命周期中的用于訓練和生成的數據，包括數據的來源控制、數據的獲取控制、數據準備控制以及數據的質量控制等

• 為AI相關方提供信息，其目的是提高AI系統的透明度和可解釋性

• 確保組織根據組織的方針負責任地使用AI系統，制定相應地使用目標

3、A.10提供了外部第三方關系的控制，包括和第三方職責的界定、對供應商的管理及對客戶的期望和需求的管理。

四、附錄B：人工智能控制措施的實施指南

附錄B對附錄A中各項控制措施進行了詳細的解釋，以幫助組織更好地理解并應用附錄A中各項控制措施。

五、附錄C：潛在的人工智能組織目標和風險源

附錄C描述了與人工智能相關的組織目標及風險源，以幫助組織更好地管理與人工智能相關的風險。

六、附錄D：跨領域的人工智能管理體系使用

附錄D進一步解釋在不同行業如何更好地應用人工智能管理體系標準，并說明組織在應用人工智能管理體系時如何與其他管理體系標準進行整合。

  ISO/IEC 42001的核心要素

一、目標要素

在ISO/IEC 42001標準的附錄C中，列舉了潛在的AI相關的組織目標，目的是保證AI的開發、部署和使用是負責任的（Responsible），提供的AI系統是值得信任的（Trustworthy）。

1、從AI系統的生產者和提供者的角度，需要滿足AI系統是負責任的，包括：

• 問責制

• AI專業知識

• 訓練和測試數據的可用性和質量

• 算法的透明度和可解釋性

• 系統的可維護性

2、從AI系統的使用者的角度，AI系統是需要被信任的，比如：

• 公平

• 隱私保護

• 系統的魯棒性

• 功能（物理）安全

• 信息安全

• 對環境的影響

二、基于風險的方法

值得注意的是，和別的管理體系不同的是，基于AI風險特有的性質，在進行風險分析時，組織還需進行AI系統影響評估，包括在AI系統生命周期中評估對個人或群體或對社會的影響，以及對這些影響的后果進行考量，并集成在風險管理中。

三、控制要素

組織應考慮從以下幾方面來實施控制

• 組織的AI方針和和策略

• 組織內部治理結構與AI系統職責劃分

• 識別和分配AI系統資源

• AI系統影響評估以及對負面影響進行處置

• AI系統生命周期內，負責任設計、開發和部署AI系統

• AI系統的數據管理

• 確保AI系統相關方獲得必要的信息，使之能理解AI系統并能夠評估風險和影響

• 確保AI系統的負責任使用

• 第三方職責的界定、對供應商的管理及對客戶的期望和需求的管理

四、過程要素

AIMS中，結合前面的三個要素，構成了AIMS的建立、實施和改進的過程。如圖所示，組織首先需要理解內外部環境和相關方需求，確定組織邊界，基于業務過程對組織資產和資源進行識別，根據目標和風險來源，進行風險評估和影響評估，然后根據風險評估結果采取適合于自身情況的附錄A控制措施實施控制，通過風險迭代推動AIMS持續改進。

  ISO/IEC 42001標準的適用范圍

  ISO/IEC 42001人工智能管理體系建設方案

一、理解與解讀標準的挑戰及應對策略

• 組建專業學習小組：在企業或團隊內部，挑選具有不同專業背景的人員組成學習小組，包括技術專家、法律專家、倫理學者等。這樣可以從多維度對標準進行解讀，加深理解。例如，技術人員可以從技術實現的角度分析標準的要求，法律專家則可以從合規的角度提供專業意見，共同探討如何將標準更好地應用到實際項目中

• 參加企航顧問的培訓課程和研討會：積極參加由企航顧問舉辦的 ISO/IEC 42001 標準培訓課程和研討會。這些活動通常會邀請標準制定的專家或有豐富經驗的從業者進行講解和分享，能夠幫助我們快速掌握標準的核心內容和實施要點。同時，與其他從業者進行交流和互動，也可以學習到他們的實踐經驗和應對策略

• 與標準制定機構保持溝通：如果在標準的理解過程中遇到疑問或困惑，及時與標準制定機構取得聯系，尋求官方的解釋和指導。標準制定機構具有最權威的解讀權，與他們保持溝通可以確保我們對標準的理解準確無誤

二、實施成本方面的挑戰及應對策略實施

• 合理規劃實施步驟：根據企業或項目的實際情況，制定詳細的實施計劃，合理安排實施步驟。優先實施對業務影響較大、風險較高的部分，逐步推進標準的實施。這樣可以避免一次性投入過大，減輕企業的資金壓力

• 尋求企航顧問的合作與支持：與企航顧問開展合作，共同實施 ISO/IEC 42001 標準。通過資源共享、技術合作等方式，可以降低實施成本，提高實施效率。借助企航顧問的專業知識和經驗，幫助企業制定符合標準的管理體系和技術方案

• 利用現有資源進行優化：對企業現有的技術資源、管理體系進行評估和優化，充分利用現有資源滿足 ISO/IEC 42001 標準的要求。例如，對現有的數據管理系統進行升級和改造，加強數據的安全保護和隱私管理；優化現有的項目管理流程，提高項目的透明度和可追溯性

三、流程改造的挑戰及應對策略

• 加強溝通與培訓：在流程改造之前，與團隊成員進行充分的溝通，向他們解釋流程改造的必要性和重要性，讓他們了解ISO/IEC 42001標準對企業和個人的長遠利益。同時，組織相關的培訓活動，幫助團隊成員掌握新的流程和方法，提高他們的適應能力

• 引入試點項目：選擇一些小型的、低風險的項目作為試點，按照ISO/IEC 42001標準的要求進行流程改造和管理。通過試點項目的實踐，總結經驗教訓，不斷優化流程和管理體系。同時，也可以讓團隊成員在實踐中逐漸熟悉新的流程，減少對流程改造的抵觸情緒

• 建立激勵機制：為了鼓勵團隊成員積極參與流程改造，建立相應的激勵機制。對在流程改造過程中表現出色的團隊成員給予表彰和獎勵，激發他們的積極性和創造性。同時，將流程改造的實施情況納入績效考核體系，促使團隊成員認真對待流程改造工作

四、持續合規的挑戰及應對策略

• 建立監測與評估機制：建立專門的監測與評估機制，定期對企業的人工智能項目進行審查和評估，確保項目的管理體系和技術方案符合 ISO/IEC 42001 標準的要求。同時，關注行業的發展動態和標準的更新情況，及時調整企業的管理策略和技術方案

• 培養內部專業人才：培養企業內部的專業人才，使其具備對 ISO/IEC 42001 標準的深入理解和應用能力。這些專業人才可以負責企業的標準實施和合規管理工作，及時發現和解決問題，確保企業的人工智能項目始終處于合規狀態

• 參與行業交流與合作：積極參與行業組織的交流與合作活動，與其他企業和專家分享經驗和見解，共同探討標準的實施和發展趨勢。通過參與行業交流與合作，可以及時了解行業的最新動態和最佳實踐，為企業的標準實施和合規管理提供參考

ISO 42001 標準的實施對于人工智能行業的健康發展具有重要意義，但同時也給人工智能行業從業者帶來了一系列的挑戰。面對這些挑戰，我們需要積極應對，采取有效的策略和措施，不斷提升企業的管理水平和技術能力，確保人工智能的開發和應用符合標準的要求，為人工智能行業的可持續發展做出貢獻。

  關于企航顧問

企航顧問 是從事可持續發展、智能制造、精益六西格瑪、管理體系的咨詢和培訓的管理顧問機構，是面向廣大企事業單位傳遞無文化障礙的先進管理理念與技術、提供國際化與本土化完美結合的管理咨詢和培訓的專業服務機構。

企航顧問 從1999年3月23日成立至今，為6,000多家不同類型的企業提供過管理咨詢服務和為10,000多家企業的數百萬人次提供過管理培訓服務，這其中包括了50%以上的國內五百強企業、420家世界五百強在華企業和1,100多家國內上市企業。 

企航顧問 同時也是全國六西格瑪推進工作委員會（CCPSS）委員單位、國家認證認可監督管理委員會（CNCA）首批備案批準且批準范圍最寬的管理顧問公司（備案批準號：CNCA-Z-02Q-2002-045）、中國認證認可協會（CCAA）理事單位和上海市認證協會（SCA）理事單位。