近年來，人工智慧技術迅速發展。為了確保人工智慧被合理且合法的應用，世界各國紛紛制定相關法規與標準。這些法規與標準是什麼？為什麼要遵守？這些標準具體包括哪些內容？讓筆者為您詳細解說，帶您深入了解在當前趨勢下的合規要求。
為什麼你要了解ISO/IEC 42001?
AI正在快速的發展
人工智慧的快速發展，是我們每個人都可以直接感受到的。為了更好地解釋這一點，筆者用一張簡圖，通過簡單的圖表和例子，展示人工智慧（AI）的發展歷程。
人工智慧的起源，可以追溯到1956年，在美國達特茅斯學院，舉辦了人工智慧會議，釐清了許多關鍵問題，並奠定了「人工智慧」名稱及相關應用 (如自然語言處理、神經網絡以及推動當代電腦科學進步的計算理論等)。
在接下來的幾十年裡，AI技術不斷取得里程碑式的成就:
- 1966年，約瑟夫·魏岑鮑姆開發的ELIZA程序能夠用英語與人類進行基本對話。
- 1997年，IBM的深藍（Deep Blue）超級電腦，擊敗了西洋棋世界冠軍。
- 2011年，Apple的Siri問世
- 2012年，Google無人車上路。
- 2015年，微軟的深度學習技術在圖像識別準確率首次超過人類。
- 2017年，Google的DeepMind團隊，打造了AlphaGo，並戰勝了圍棋世界冠軍柯潔。
- 2023年，OpenAI推出ChatGPT v3.5，引爆新的AI熱潮！
AI技術的正在持續突破，每次都讓人感到驚奇！
如今AI的浪潮已經全面席捲各行各業，然而AI快速的發展也帶來新的信任危機！
法規要求即將席捲而來
近年來，由於人工智慧相關技術有長足的進步，各國紛紛將人工智慧發展納入國家重大
政策，希望能夠在這波新興產業革命中取得先機，帶動未來經濟發展邁入新階段。而隨
著發展人工智慧成為國際趨勢，相關法制層面的需求也日益增加，目前國際間針對相關
法制議題的討論，雖仍未有定論，惟有鑒於人工智慧發展及其影響的重要性
從2019年到2024年，各國開始陸續推出AI相關管理原則、規則及法規：
- 新加坡: AI監管模式框架 (2019/1/23)
- 新加坡: 生成式人工智慧(Generative AI)治理架構草案 (2024/1/16)
- 美國加州: AI模型治理框架
- 美國參議院: AI算法責任法案
- 歐盟: AI法案
- 加拿大: AI和數據法案
- 日本: AI實踐準則
- 中國: 網路服務算法推薦管理條例
- 英國: AI監管政策文件草案
- 台灣: 人工智慧基本法草案
這麼多的管理框架、規則及法規中，最需要注意的就是歐盟的人工智慧法案(EU AI ACT)
歐盟人工智慧法案(EU AI Act)
隨著人工智慧技術的快速發展，各國政府也開始建立相關的法律法規。
最受關注的是歐盟所提出的人工智慧法案（EU AI ACT）。
這是歐盟首個針對人工智慧的法案，也是一個非常快速通過的法案，該法案旨在管控人工智慧可能帶來的風險，同時強化歐洲在全球科技領域的領導地位。
這項法案於2023年5月通過初稿，同年12月9日達成共識。2024年，歐洲議會將此法案正式採納，預計同年正式通過，並計劃於2026年全面生效。
根據法案規定，違反規定的企業可能面臨高達3,500萬歐元或其全球營業額7%的罰款。
目前，人工智慧的風險被分為四個等級：
| 風險分類 | 規範 | 範圍概述 |
|---|---|---|
| 不可接受風險 | 明令禁止使用 | 《Article 5》 被認為對人們構成威脅的系統，包含： (1) 對人(或群體) 進行思想控制、詐欺、或重大傷害 (2) 利用個人弱點實行操控 (3) 基於敏感生物特徵的分類系統 (備註1) (4) 基於社會行為或個性特徵，進行社會評分 (備註2) (5) 在公共空間使用「即時」生物識別系統 (備註3) |
| 高風險 | 需要接受監管 | 《Annex I》 第一大類：符合歐盟產品安全的人工智慧系統； 包含：玩具、航空、汽車、醫療設備和電梯等。 《Annex III》 第二大類：關鍵應用領域的人工智慧系統； 包含以下類別： (1) 生物識別技術 (2) 關鍵基礎設施 (3) 教育和職業培訓 (4) 就業、工人管理和自主就業機會 (5) 獲取和享受基本私人服務與公共服務與福利 (6) 執法(根據聯盟或國家法律) (7) 移民、庇護和邊境控制管理(根據聯盟或國家法律) (8) 司法行政和民主程序 |
| 有限風險 | 有義務進行標註、 並告知使用者 | 《Article 50》 目前沒有明確定義 (直接與人互動的AI，需設計得讓人明白自己正與AI互動) (例如: 聊天機器人、換臉APP) |
| 低風險 極小風險 | 未被規範 可自由使用 | 目前沒有明確定義 (個人非專業活動，使用的AI被排除在法案適用範圍之外) (例如: 遊戲AI、垃圾郵件過濾器) |
針對上述表格中的備註，說明如下：
備註1: 禁止使用人工智慧進行生物特徵分類，推斷敏感個人特徵，除非在合法情況下。
備註2: 禁止人工智慧系統基於社會行為或個性特徵評估社會分數，導致不利的待遇。
備註3: 嚴格限制在公共空間使用「即時」(Real-Time) 生物識別系統，僅限於執法用途；執法用途，需符合嚴格條件，包括司法或行政授權、基本權利評估及遵守國家法律。
如果對於EU AI ACT 有興趣：
請參閱：《2024年2月2日人工智能法案的臨時協議文本》，該文本已在新聞稿中正式宣布。機構間文件編號：2021/0106(COD)
筆者後續等法規正式發布後，會再整理一篇更完整的文章。
簡單的來說，針對上述提到「高風險AI系統」，需要額外被嚴格的約束與管理。「高風險AI系統」的管理重點如下：
- 評估系統可能的風險，並建立相應的管理制度。 (備註4)
- 確保所有數據來源的品質，以減少風險和避免歧視。
- 記錄所有相關的系統使用活動，以便追蹤和審查結果。
- 提供詳細的系統資訊，增強透明度，方便當局評估其合規性 (備註5)
- 確保使用者獲得必要的系統資訊 (備註6)
- 採取必要的監督措施，降低系統運行的風險。
- 確保AI系統的穩定性(Robustness)、資訊安全(Security)和準確性(Accuracy)。
針對上述段落中的備註，說明如下：
備註4: 導入ISO/IEC 42001 或相關產業標準。
備註5: 演算法、採用技術、訓練資料來源
備註6: 使用手冊、或操作指南。
此外，根據歐盟的AI法規，AI系統（主要是：高風險）必須從設計初期到部署，乃至於整個運作生命周期中，嚴格遵守合規性規範。這包括了在AI系統部署後，持續地進行監控，一旦發生重大事件，必須立即進行通報和重新評估。
合規的AI系統，可以申請CE標章，做為合規的證明。
ISO/IEC 42001是什麼?
ISO/IEC 42001 提出了一個「可認證」的人工智慧管理系統（AIMS），實施這個標準，意味著使用「計畫-執行-檢查-行動」方法來制定與人工智慧相關的組織的健全治理政策和程序。
標準並沒有太多詳述人工智慧的技術細節，而是提供了一個管理風險和機會的方法。這有助於最大限度地減少與人工智慧相關的潛在風險和負面影響。
發展沿革與目的
人工智慧的飛速進展，其特定領域的應用，不可避免地帶來了許多社會挑戰。為了因應這些挑戰及風險，並與各國相關法規保持一致，國際標準組織ISO和國際電子電機委員會IEC合作制定了ISO/IEC 42001標準，該標準已於2023年12月8日正式發布。
ISO/IEC 42001是全球第一個專為人工智慧管理而設的標準。標準提出了一套人工智慧管理系統（AIMS）和一系列指南，目的在幫助組織建立、實施、維護以及不斷改善這套管理系統。
透過此標準，組織不僅可以追求業務目標，還能在開發、提供或使用AI技術時，確保行為符合法律規定、滿足相關利益方的期望，並負起相應的責任。
適用範圍
ISO/IEC 42001標準適用於各種行業的公司。
無論是開發AI系統（包含生成式、機器學習、深度學習）、提供AI相關服務的組織，或是使用這些系統和服務的組織，都適用這個標準。
筆者備註:
ISO/IEC 42001標準本身，當然希望適用於盡可能多的產業。
公司是否需要導入，應該要看公司的業務範圍。例如，如果一家公司在歐盟地區，提供被視為「高風險」的人工智慧服務，那麼，根據歐盟法規（EU AI ACT），這家公司必須建立一套管理系統來符合法規要求，而採用ISO/IEC 42001標準正是一種有效的方法。
舉例來說，假假設有一家公司生產「自動駕駛模組」，並將這些產品銷售給歐盟的車廠。由於這類產品涉及「安全性」（Safety），被劃分為高風險。根據EU AI ACT的規定，這家公司需要遵循ISO/IEC 42001標準，以確保其人工智慧技術的安全性和符合法規。
關於公司是否需導入ISO/IEC 42001標準
這個問題，與歐盟人工智慧法案（EU AI Act）高度相關。
至於如何判斷公司的業務、產品、或服務是否落在歐盟人工智慧法案的範圍內，筆者將在後續的文章中進一步探討並分享。
ISO/IEC 42001 章節概述
ISO/IEC 42001 標準本身採用Annex SL架構，就像是ISO/IEC 27001、ISO 9001等標準的撰寫架構。依此架構，標準中提到的人工智慧管理系統(AIMS)也遵循了「計畫-實施-檢討-行動」（PDCA）的撰寫方法。
此外，標準特別強調「風險思維」，即在使用或開發AI系統時，需先評估相關風險。根據這些風險評估的結果，可以從標準中的附錄A中，選擇合適的控制措施來應對。
ISO/IEC 42001 標準的各章節內容：
從第 4 章到第 10 章的具體內容，筆者將在後面的段落中進一步詳細解釋和分享。
至於附錄 A 的詳細介紹，也將在後續的內容中逐一說明。
筆者備註:
由於 ISO/IEC 42001 採用了 Annex SL 架構，標準內文的章節與 ISO/IEC 27001 高度相似。對於已具備 ISO/IEC 27001 稽核員資格或經驗的人來說，這份標準，會讓你感到非常親切！
值得一提的是，人工智慧管理系統（AIMS）在風險分析的方法上，與傳統的資訊安全管理系統（ISMS）存在一些不同。這主要是由於 AIMS 可被應用於各種不同的領域，而每個領域對於風險的評估都有其特殊需求。
舉個例子來說，傳統的 ISMS 通常會先對資產進行盤點，然後評估資訊的機密性、完整性和可用性（CIA）。不過，當 AIMS 應用於工業控制行業時，僅依賴 CIA 的評估可能就不夠全面了。
關於更多評鑑角度，請參考《下方針對ISO/IEC 42005的補充說明》
《人工智慧管理系統》的標準基本框架
ISO/IEC 42001 標準的主要結構，如先前章節所描述，採用了「計畫-實施-檢討-行動」（PDCA）這一循環過程。此框架確保了標準的實施可以是循環且持續改進的。
如下圖所示，展示標準各章節，如何與PDCA模型相互對應：
- (計畫) 第四章: 組織全景
- (計畫) 第五章: 領導
- (計畫) 第六章: 規劃
- (計畫) 第七章: 支援
- (實施) 第八章: 運作
- (檢討) 第九章: 績效評估
- (行動) 第十章: 改善
點選連結放大圖片→(PDCA各章節圖)
《人工智慧管理系統》的控制措施
在 ISO/IEC 42001 標準的《附錄A》中，列出了9個領域，總計38個控制措施。這些措施為想導入此標準的公司提供了明確方向，協助他們實現管理目標。
如下圖及下表所示，展示標準《附錄A》中的所有控制措施：
點選連結放大圖片→(控制措施part I)(控制措施 part II)
值得注意的是，附錄A中提到的控制措施並不是全部必須執行的。組織可以依據風險評估結果，選擇適合的控制措施，並制定相應的執行計劃。
舉例來說：假設公司主要從事「AI系統的設計與開發」，並將開發完成的AI系統佈署到特定產品中，進而提供給客戶使用。在這個情況下，該公司特別需要關注《A.6: AI系統的生命週期》和《A.7: AI系統的數據》這兩個領域的控制措施。
在《A.6: AI系統的生命週期》中，探討了從需求、系統設計、功能驗證到最終的部署、運作及監控等階段。作為一家AI系統開發公司，需要根據標準所提到的各階段，落實系統開發管理；除此之外，根據產業別，還需要依據特有的產業標準及規範，來實施這些生命週期。
而《A.7 AI系統: 數據》則著重AI系統「訓練與驗證」中的數據管理，這包括數據獲取、品質確認、來源追蹤與數據準備等。對於AI系統的開發來說，有效的數據管理與系統開發同等重要。
再舉一個例子，若一家公司主要「利用AI系統來完成其業務和工作」，則應特別關注《A.9: AI系統的使用》這個領域的控制措施。
根據《A.9: AI系統的使用》的定義，企業應該明確制定AI系統的使用目的、預期用途以及操作流程。為了確保AI系統的使用處於可控範圍內，公司需要更詳細地識別和規範AI系統的運用場景和流程，從而保證操作的可控性和預期結果的達成。
《人工智慧管理系統》的標準生態系
目前ISO/IEC 42001標準雖然已經發行，但是與之相關的周邊標準，部分還在制定中。關於AI管理系統的周邊標準生態系，請參考下圖：
ISO/IEC 38507:2022 組織使用人工智慧的治理挑戰
這份標準為組織的管理層提供指南，幫助他們啟用並管理AI技術的使用，以確保在組織內部能夠有效、高效和安全地運用AI。
ISO/IEC 23894:2023 人工智慧的風險管理
這份標準主要針對那些開發、生產、佈署或運用AI技術的產品和服務的組織，提供了管理AI相關風險的方法。它不僅幫助這些組織將風險管理策略融入AI相關的各種活動中，還詳細說明了如何有效實施和整合AI風險管理計劃。
ISO/IEC 42005 (DIS) 人工智慧系統影響評估
這份標準為組織提供了如何對人工智慧系統及其對個人和社會的可能影響進行評估的指南。它涵蓋了評估的時機、方式和人工智慧系統生命週期的相應階段。文件還介紹了如何記錄評估結果和將評估流程融入組織的人工智慧風險及管理系統中。
筆者備註：
風險評鑑通常考慮兩個主要因素：「影響」和「發生可能性」。投過這兩個因素，我們便可以推算出風險值，如下公式所示：
潛在事件: [造成的影響] X [發生可能性] = 風險
在這個公式中，“造成的影響” 應該根據人工智慧的基礎思維及應用產業，進行更細致的評估。
舉例來說：
以ISO/IEC 42001為基準的影響評估，建議從兩個層面著手：
* [對個人造成的影響] (Individuals)
* [對社會造成的影響] (Society)
進一步考慮不同產業的特性：
例如: 工業控制、車用或醫療產業，我們可能還需額外關注以下面向：
* [對運作造成的影響] (Operational)
* [對安全造成的影響] (Safety)
* [對隱私造成的影響] (Privacy)
* [對財務造成的影響] (Financial)
再延伸考量：
如果將資訊安全納入考量，則應進一步關注：
* [對資產機密性造成的影響] (confidentiality)
* [對資產完整性造成的影響] (integrity)
* [對資產可用性造成的影響] (availability)
ISO/IEC 23053:2022 使用機器學習的人工智慧框架
這份標準制定了一個人工智慧和機器學習（ML）框架，用於描述使用機器學習技術的人工智慧系統。這個框架說明了AI生態系統中各組件及其功能。
ISO/IEC 5259 系列標準
這是一個系列標準，共包含6份子標準，分別：
ISO/IEC 5259-1 (FDIS) 概述、術語和範例
這份標準著重於機器學習與數據分析的基本數據品質問題。它包括了基本概述、相關術語，以及實際範例，旨在幫助各類型的組織更有效地運用數據。
ISO/IEC 5259-2 (FDIS) 數據品質措施
這份標準提供一套數據品質模型與衡量工具。在機器學習和數據分析的背景下，它指導如何評估並報告數據品質，以協助組織實現他們的數據品質目標。
ISO/IEC 5259-3 (FDIS) 數據品質管理要求和指南
這份標準確定了使用數據進行機器學習和數據分析時的品質管理要求。它並不涉及具體的工作流程或方法，而是提供了一套基本的品質管理流程和建議。此外，還包括了一套可根據組織需求定制的參考流程和方法。
ISO/IEC 5259-4 (FDIS) 數據品質處理框架
這份標準為不同類型和規模的組織提供了一套方法，目的是在機器學習與分析過程中確保數據品質。涵蓋了監督式、非監督式、半監督式及強化學習的數據標記與處理指南。
ISO/IEC 5259-5 (DIS) 數據品質治理框架
這份標準提供了一套數據品質治理框架，支持組織在數據的整個生命週期中管理和監督數據品質措施及相關流程。
ISO/IEC 5259-6 (CD) 數據品質視覺化
這份標準詳述了在人工智慧和機器學習應用中使用數據視覺化的不同情境。它展示了不同階段的利益相關者如何運用數據視覺化技術，以提升AI專案的透明度和理解度。
ISO/IEC 42006 (DIS) 稽核與認證的要求
這份標準是基於 ISO/IEC 17021-1，設立了額外要求。其目的是為了確保已經取得認證或接受同行評估的認證機構，可以可靠地審核和評估那些使用或開發人工智慧系統的組織。
ISO/IEC 22989:2022 AI概念及術語
這份標準建立了人工智慧領域的專業術語並闡述了核心概念，為行業內外的溝通提供了共同語言。
ISO/IEC TR 24030:2021 使用案例
這份標準匯集了多個領域中的人工智慧的使用案例。這份文件涵蓋了各種應用，展示 AI 在不同行業中的實用性和創新潛力，對於制定有效的 AI 標準提供了重要的見解和指南。
