附錄 A 是 ISO/IEC 42001 標準的規範性核心，它提供了組織為建立合規且有效的人工智慧管理系統（AIMS）所必須實施的特定控制目標與控制措施。它不僅僅是一個檢查清單，更是一個在整個組織和人工智慧生命週期中建立負責任人工智慧治理的框架。
以下部分將分解九個關鍵領域（A.2 至 A.10），解釋其目的、構成控制項，並提供具體實用的示例。
目標： 根據業務需求，為人工智慧系統提供管理指導與支持。
內容： 此條款關乎設定「高層基調」。它要求組織在正式的政策文件中，定義其對負責任人工智慧的基本原則與承諾。此政策是所有其他人人工智慧活動的基石，確保與業務目標及其他組織政策（如道德、安全與品質）保持一致。
關鍵控制項：
A.2.2 人工智慧政策：記錄正式的人工智慧政策。
A.2.3 與其他政策的協調：確保人工智慧政策與現有政策（如隱私、安全、人力資源）整合。
A.2.4 人工智慧政策的審查：定期審查與更新政策。
實例：
一家跨國零售銀行發布其「負責任人工智慧憲章」。該政策規定，所有人工智慧系統（例如用於信用評分、欺詐檢測、客戶服務）必須在公平、透明、安全與問責的原則下開發和運作。它明確引用並協調銀行的數據保護政策與行為準則。該憲章由董事會的技術委員會每年審查，以確保其能應對新興的法規與道德議題。
目標： 在組織內部建立問責制，以維持其負責任的方針。
內容： 這將高階政策轉化為可執行的問責制。它涉及定義人工智慧生態系統中各方的責任，並建立提出疑慮的清晰管道。這能防止關鍵問題在無人負責的情況下被忽略。
關鍵控制項：
A.3.2 人工智慧角色與職責：定義並分配角色（例如人工智慧道德官、模型驗證員、數據管理員）。
A.3.3 疑慮報告：建立一個供員工與承包商機密報告關於人工智慧系統的道德、安全或合規疑慮的流程。
實例：
一家人工智慧驅動的招聘平台公司定義了明確角色：人工智慧道德主管批准模型公平性評估、產品經理負責用戶透明度、機器學習工程師負責技術文件記錄。他們實施了一個匿名的「人工智慧疑慮熱線」（透過網路入口網站），任何員工均可藉此標記篩選算法中的潛在偏見或候選人數據的誤用。
目標： 確保組織考慮到理解與解決風險所需的人工智慧系統所有資源。
內容： 此條款要求對「驅動」人工智慧系統的所有要素進行全面盤點。它不僅僅是模型，更涵蓋整個技術堆疊：數據、軟體工具、計算基礎設施，以及至關重要的、具備適當技能的人員。
關鍵控制項：
A.4.2 資源文件化：識別並記錄每個生命週期階段所需的所有資源。
A.4.3 至 A.4.6：針對數據、工具、系統/計算和人力資源的特定文件化要求。
實例：
一家開發診斷人工智慧的醫學影像新創公司維護著一份資源登記冊。它列出：1) 數據：來自合作醫院的 10 萬份匿名標註 X 光片；2) 工具：PyTorch、GitLab CI/CD、偏見檢測工具包；3) 基礎設施：安全的 AWS S3 儲存貯體與 GPU 叢集；4) 人員：Smith 醫生（臨床負責人）、Jane Doe（專精公平性的數據科學家）及其經過認證的培訓記錄。
目標： 評估人工智慧系統在其整個生命週期中對個人、群體與社會的影響。
內容： 這是基於風險的人工智慧盡職調查核心。它要求主動且持續地評估潛在危害——不僅是技術故障，還包括對人權、福祉與社會結構的影響。這類似於環境影響評估，但適用於人工智慧。
關鍵控制項：
A.5.2 人工智慧系統影響評估流程：建立進行評估的正式流程。
A.5.4 及 A.5.5：評估對個人/群體的影響以及更廣泛的社會影響。
實例：
一個部署人工智慧以優化社會福利分配的城市議會進行了全面的影響評估。他們評估了個人影響風險（例如，因算法錯誤而錯誤拒絕福利）與社會影響風險（例如，延續現有不平等、侵蝕公眾信任）。文件化的評估結果導致了設計變更，包括對邊緣情況實施強制性的人類參與審查，並發布一份公共透明度報告。
目標： 為人工智慧系統生命週期的每個階段定義準則與要求。
內容： 此條款將負責任的人工智慧操作化，融入經典的開發與維運（DevOps）流程。它要求在從初始構想到退役的每個階段都有結構與文件記錄，確保人工智慧系統的可追溯性與受控演進。
關鍵控制項（選擇性）：
A.6.2.2 需求：記錄人工智慧系統必須（及不得）執行的內容。
A.6.2.4 驗證與確認：嚴格測試系統。
A.6.2.6 運作與監控：規劃部署後的持續監督。
A.6.2.8 事件記錄：記錄關鍵事件以供稽核與解釋。
實例：
一家自動駕駛堆高機製造商遵循一個階段性生命週期：1) 需求：「堆高機必須在 2 公尺內出現不明物體時停止」；2) 設計/開發：模型在模擬環境中訓練；3) 驗證與確認：在有安全駕駛員的受控倉庫中進行實地測試；4) 部署：分階段推出，並設置額外監控；5) 運作：持續記錄未遂事件與系統覆蓋情況，供每週審查。
目標： 確保組織理解數據在人工智慧系統中的角色與影響。
內容： 認識到「垃圾進，垃圾出」是一個關鍵風險，此條款聚焦於人工智慧燃料——數據的治理。它涵蓋數據的整個旅程——來源、品質、溯源與準備——以確保數據適合其目的，且其限制已被理解。
關鍵控制項：
A.7.3 取得：記錄數據來源與法律依據。
A.7.4 品質：定義並衡量數據品質指標。
A.7.5 溯源：追蹤數據來源與轉換（數據沿襲）。
實例：
一家建構交易異常檢測器的金融科技公司記錄了：其數據取得（根據 GDPR 取得客戶同意、為罕見詐欺模式使用合成數據）、其品質標準（商家代碼準確率達 99.9%）及其溯源流程（原始日誌 -> 清理後的表格 -> 特徵集，並有版本控制）。
目標： 確保利益相關方擁有必要的資訊以理解與評估風險。
內容： 這是透明度與溝通條款。它要求針對不同受眾（使用者、監管機構、公眾）主動提供量身訂做的揭露，說明人工智慧的運作方式、其限制，以及如何與之互動或提出問題。
關鍵控制項：
A.8.2 給使用者的資訊：提供清晰的說明與限制。
A.8.3 外部報告：提供外部方報告問題的管道。
A.8.4 事件溝通：規劃如何溝通故障或違規事件。
實例：
一家使用人工智慧敗血症預測工具的醫院提供：1) 給醫生：一個顯示人工智慧信心分數及警報背後關鍵因素的儀表板；2) 給患者：一份說明人工智慧是輔助工具，而非臨床醫生判斷替代品的小冊子；3) 給所有人：一個清晰的網站與電話號碼，用於報告疑似錯誤。
目標： 確保組織按照政策負責任地使用人工智慧系統。
內容： 此條款處理風險的「最後一哩」：部署與人機互動。它確保存在防護措施與流程，以防止誤用、偏離預期目的，並在必要時維持人類監督。
關鍵控制項：
A.9.2 負責任使用的流程：定義人工智慧應如何在日常中運作。
A.9.4 預期用途：透過確保使用符合文件記錄的目的，防止「任務蔓延」。
實例：
一家使用人工智慧進行司機排班的物流公司建立了「負責任使用協議」。它規定：1) 調度員必須審查並可基於司機福利原因覆蓋人工智慧建議的排班；2) 該人工智慧不得被重新用於預測工會活動；3) 在極端天氣下，人工智慧建議的任何重大路線變更都需要管理層簽核。
目標： 確保在涉及第三方時，職責與風險能得到適當分配。
內容： 此條款承認人工智慧系統常使用外部元件、數據或服務建構。它將人工智慧管理系統的範圍擴展到組織邊界之外，要求對供應商進行盡職調查，並與客戶進行清晰溝通，以管理生態系統風險。
關鍵控制項：
A.10.2 分配職責：在合約中明確規定各方的責任（例如模型性能、數據權利、事件應變）。
A.10.3 供應商：審查供應商並以合約約束其遵循您的人工智慧標準。
實例：
一家從供應商授權人臉辨識模組的軟體公司在合約中包含：1) 職責：供應商對核心模型的偏見負責；整合商對最終應用中的誤用負責；2) 供應商要求：供應商必須提供年度偏見稽核報告；3) 客戶考量：最終使用者授權協議（EULA）明確禁止將該軟體用於非法監控。
準備好實施了嗎？從免費的人工智慧驅動 ISO 42001 自我評估開始。請聯絡我們獲取 ISO 42001 專家諮詢服務。
