# ISO/IEC 42001 AI 管理体系建设与 AI 治理合规

> 企业客户采购 AI 服务时，开始问模型风险、数据来源、人工监督和合规计划。我们帮你把这些答案做成一套可审核的体系，并在需要时取得 ISO/IEC 42001 认证。

来源页面: https://assurelane.ai/services/iso-42001/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 交付物

- AI 系统清单与角色认定（开发者 / 提供者 / 部署者）
- 欧盟《人工智能法》风险分类与义务差距评估
- AI 方针、目标与职责分工
- AI 风险评估方法、风险登记册与处置计划
- AI 系统影响评估模板与首批评估记录
- 附录 A 控制适用性声明
- 数据治理、模型变更、评估监控与人工监督流程
- 内审、管理评审与认证审核准备

典型周期: 已有 ISO 27001 时常见 3–6 个月；从零开始约 6–9 个月

## 需要你提供

- 产品中使用 AI 的功能清单、模型来源与数据来源
- 算法、产品、数据与法务负责人
- 已有的模型评估、测试和上线记录

## 不包含

- 认证机构审核费（单列）
- 欧盟高风险系统的公告机构合格评定（如适用，单独安排）
- 对具体法律适用的正式法律意见（可协调律师）

## 适合哪些情况

- 向海外企业客户销售 AI 产品，被问到“你们有 AI 治理框架吗”“模型如何评估和监控”
- 产品可能落入欧盟《人工智能法》高风险用途，例如招聘、信贷、教育评估
- 需要在投标或合作中展示负责任 AI 的第三方证明
- 已有 ISO/IEC 27001，希望把 AI 风险纳入同一体系

## 项目如何推进

| 阶段 | 主要工作 | 常见时长 |
| --- | --- | --- |
| 1. AI 盘点与分类 | 建立 AI 系统清单；确定角色；按《人工智能法》做风险分类 | 2–3 周 |
| 2. 差距评估 | 对照 ISO/IEC 42001 条款与附录 A，以及已生效的法律义务 | 2–3 周 |
| 3. 体系建设 | AI 方针、风险与影响评估、数据治理、生命周期与供应商管理 | 1–3 个月 |
| 4. 运行与内审 | 完成首批影响评估、内部审核与管理评审 | 1–2 个月 |
| 5. 认证审核 | 由经认可的认证机构执行第一、二阶段审核 | 视排期 |

## 我们特别关注的几个点

- **第三方模型**：调用外部大模型时，你能从模型提供者处获得哪些文档，以及自己应承担哪些评估责任
- **数据来源**：训练与微调数据的合法来源、授权和个人信息处理
- **评估与监控**：上线前评估指标、上线后漂移监控和问题处置
- **人工监督**：在哪些决策点保留人工复核，如何记录
- **对外告知**：用户告知、AI 生成内容标注与客户合同中的 AI 条款

## 交付分工

认证由经认可的认证机构独立审核和决定。体系建设与合规评估由交付合作方承担；涉及具体法律适用结论时，协调具备资格的律师出具意见。

## 常见问题

### 我们只做应用层，用的是第三方大模型，也能做 42001 吗？

可以。42001 覆盖 AI 的开发、提供和使用。应用层企业的重点通常在供应商管理、使用场景风险、输出监控和用户告知。

### 先做 42001 还是先做欧盟《人工智能法》合规？

已生效的法律义务（禁止性实践排查、AI 素养、透明度、通用目的 AI 模型义务）应优先处理；42001 适合作为承接后续高风险义务和客户尽调的管理框架，两者可以并行推进。

## 参考来源

- [ISO — ISO/IEC 42001:2023](https://www.iso.org/standard/42001)
- [European Commission — AI Act](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。