ISO/IEC 42001 是什么？
ISO/IEC 42001:2023 是国际标准化组织与国际电工委员会于 2023 年 12 月发布的人工智能管理体系（AIMS）标准。它沿用了 ISO/IEC 27001 等管理体系标准的结构：组织环境、领导作用、策划、支持、运行、绩效评价和改进，并针对 AI 增加了专门要求。
和 ISO/IEC 27001 一样，它可以由经认可的认证机构审核并颁发证书。
ISO/IEC 42001 的核心要求是什么？
- AI 方针与角色：明确组织在 AI 生命周期中的角色（开发者、提供者、使用者），以及管理层对 AI 风险的责任
- AI 风险评估与处置：识别 AI 系统可能带来的风险，例如偏见、可解释性不足、数据质量、滥用、安全和隐私风险
- AI 系统影响评估：评估系统对个人、群体和社会的潜在影响
- 附录 A 控制：涵盖 AI 政策、内部组织、资源、影响评估、AI 系统生命周期、数据、相关方信息、AI 系统使用以及第三方关系等控制目标
- 数据治理：训练、验证和运行数据的来源、质量、标注与溯源
- 生命周期管理：需求、设计、验证、部署、监控与退役的记录
- 供应商与第三方：使用第三方模型、数据或工具时的责任划分
谁需要关注 ISO/IEC 42001？
- 向海外企业客户提供 AI 能力的 SaaS 和模型服务商，尤其是客户来自金融、医疗、人力资源、教育等敏感行业
- 产品可能被认定为欧盟《人工智能法》高风险系统的企业，需要提前建立风险管理与文档体系
- 已有 ISO/IEC 27001，希望把 AI 风险纳入同一套管理机制的团队
出海企业的常见路径
- 盘点 AI 系统：列出产品中所有使用 AI 的功能、使用的模型（自研或第三方）、数据来源和用户场景。
- 确定角色与范围：在每个系统中你是开发者、提供者还是使用者；认证范围覆盖哪些产品和团队。
- 风险与影响评估：建立评估方法，形成风险登记册和影响评估记录。
- 控制落地：模型变更管理、数据治理、评估与监控、人工干预机制、用户告知和事件处理。
- 内审与管理评审，然后进入认证审核。
ISO/IEC 42001 与其他框架是什么关系？
| 框架 | 关系 |
|---|---|
| ISO/IEC 27001 | 结构相同，可一体化建设与审核；27001 管信息安全，42001 管 AI 特有风险 |
| 欧盟《人工智能法》 | 42001 的机制可支撑法规合规，但不能替代法律义务 |
| SOC 2 | SOC 2 目前没有专门的 AI 类别，AICPA 正在修订准则；客户如关心 AI 风险，42001 更直接 |
| ISO/IEC 27701 | AI 训练和推理涉及个人数据时，隐私管理要求互为补充 |