Question 1

什么是 ISO 42001？它为何重要？

Accepted Answer

ISO/IEC 42001:2023 是面向人工智能的国际管理体系标准。它规定了 AI 管理体系必须包含的内容，并且可由经认可的机构进行认证，这使其成为第一个客户或监管机构可以要求您实际持有、而不仅仅是声称符合的 AI 标准。在结构上，它与 ISO 27001 的运作方式相同：第 4 至 10 条款规定了管理体系要求，从组织环境和领导作用，到策划、支持、运行、绩效评价和改进；附录 A 则包含 38 项控制措施，归入九个目标之下。它之所以重要，是因为 AI 治理如今已成为买方、董事会和监管机构要求您提供证据的事项，而这是唯一能够将这些证据转化为证书的工具。

Question 2

ISO 42001 附录 A 包含哪些控制措施？

Accepted Answer

ISO/IEC 42001:2023 附录 A 包含 38 项控制措施，归入九个目标之下，编号为 A.2 至 A.10：与 AI 相关的策略（A.2）、内部组织（A.3）、AI 系统资源（A.4）、AI 系统影响评估（A.5）、AI 系统生命周期（A.6）、AI 系统数据（A.7）、面向 AI 系统相关方的信息（A.8）、AI 系统的使用（A.9），以及第三方和客户关系（A.10）。这些控制措施共同涵盖：AI 策略及其负责人；其背后的角色和汇报关系；AI 系统所使用的数据、工具、算力和人员；影响评估流程；从目标和设计，到验证、部署和退役的生命周期；以及您必须告知用户、合作伙伴和供应商的内容。Venvera 提供全部 38 项控制措施，每一项都配有专门编写的证据指南、一位负责人和一个状态。

Question 3

AI 风险评估与 AI 系统影响评估有何区别？

Accepted Answer

二者是两个独立的条款，将它们混为一谈是 ISO 42001 项目最常见的出错方式。条款 6.1.2 中的 AI 风险评估着眼于内部：它识别并评价对组织以及对管理体系自身预期结果的风险，并为风险处置和适用性声明（Statement of Applicability）提供输入。条款 6.1.4 中的 AI 系统影响评估着眼于外部：它评估 AI 系统对个人、群体和社会造成的后果。前者保护组织，后者审视系统作用于哪些对象；审计师会期望看到这两项评估，并且各自拥有自己的记录和审查周期。Venvera 将二者作为独立的成果物分别管理，各有负责人和审查日期，而不是将其中一项并入另一项。

Question 4

获得 ISO 42001 认证是否意味着我们符合 EU AI Act？

Accepted Answer

不是。任何声称可以的供应商，都是在向您兜售一种误解。欧盟《人工智能法案》（EU AI Act）是具有约束力的法律，有其自身的义务、符合性评估路径和处罚；而 ISO/IEC 42001 是由经认可机构认证的自愿性管理体系标准。证书并不等于符合该法规。该标准真正能为您提供的，是该法案默认您已具备的机制：治理结构、风险流程、影响评估流程、生命周期文档、日志记录、数据治理以及面向用户的信息。换言之，AI 管理体系是组织落实其 EU AI Act 义务的方式，而关于适用范围、角色和风险等级的法律分析，仍是您必须另行完成的工作。

Question 5

ISO 42001 与 ISO 27001 有何关系？

Accepted Answer

二者是姊妹标准，而非相互替代。两者都是基于相同高层结构的管理体系标准，因此第 4 至 10 条款会让您感到熟悉：相同的组织环境、领导作用、策划、支持、运行、评价和改进主线，以及相同的“附录 A 加适用性声明”模式。不同之处在于管理对象。ISO 27001 管理信息安全，其附录 A 共有 93 项控制措施；ISO 42001 管理人工智能，其附录 A 共有 38 项。如果您已持有 ISO 27001 认证，您的策略框架、内部审计方案、管理评审、能力记录和供应商流程都是可复用的结构，而 AI 特有的工作在于影响评估、生命周期控制措施和数据来源证据。Venvera 在同一个工作区中运行这两套控制措施，因此共享部分只需证明一次。

Question 6

ISO 42001 认证如何进行？

Accepted Answer

认证遵循与 ISO 27001 相同的节奏。由经认可的认证机构评估您的 AI 管理体系，证书随后按三年周期运行，期间每年进行监督审计，周期结束后需重新认证。这意味着该标准并不是一个拿到证书就结束的项目：内部审计、管理评审、AI 风险评估、影响评估审查和适用性声明审查都必须持续进行，监督审计师也会要求查看这些工作确实已经开展。Venvera 在合规日历上为这些周期性职责排定时间，并设置负责人和提醒，因此两次审计之间的这一年就能产生下一次审计所需的记录。Venvera 本身不执行认证审计，那是经认可机构的职责。

Question 7

Venvera 在 ISO 42001 方面具体能做什么？

Accepted Answer

Venvera 将 AI 管理体系作为一份可运作的记录交到您手中。全部 38 项附录 A 控制措施均配有专门编写的证据指南、负责人、状态及各自的证据，您的适用性决定会生成一份适用性声明。一份包含 50 个问题的差距评估会按第 4 至 10 条款为您评分，让您看到的不仅是控制措施，还有管理体系本身距离完备还有多远。合规日历承载该标准所产生的周期性职责，包括内部审计、管理评审、AI 风险评估、影响评估审查、策略审查、适用性声明审查、能力审查和监督审计。董事会报告则为管理机构总结当前状况。

Question 8

我们已经在 Venvera 中开展 EU AI Act 合规工作。这些工作能计入 ISO 42001 吗？

Accepted Answer

可以，但仅限于二者真正重叠的部分。Venvera 通过十个映射组在 ISO 42001 与 EU AI Act 之间传递证据：影响评估、系统要求、设计文档、验证与确认、技术文档、事件日志记录、数据治理、数据质量、数据来源以及面向用户的信息。如果您已为其中一方提供证据的控制措施能够满足另一方的某项要求，框架映射会将其计入，并向您显示双方的引用编号，因此第二个框架起步时已部分完成，而不是从零开始。不重叠的部分仍会作为差距显示，因为该标准要求的管理体系机制是法规所不要求的，而法规施加的法律义务也是任何标准都无法代为履行的。

领域	EU AI Act	ISO 42001
AI 影响评估	Art. 9(1)组织是否已在高风险 AI 系统的整个生命周期内建立、实施、记录并维护风险管理体系？ Art. 9(2)(a)是否针对每个高风险 AI 系统识别、分析和估计已知及可合理预见的风险？ Art. 9(9)风险管理流程中是否专门评估对儿童、弱势群体和残障人士的影响？	A.5.2AI 系统影响评估流程 A.5.3AI 系统影响评估的文档记录 A.5.4评估 AI 系统对个人或个人群体的影响
AI 系统要求	Art. 15(1)高风险 AI 系统的设计和开发是否确保其在整个生命周期内达到适当的准确性、稳健性和网络安全水平？ Art. 15(3)AI 系统对系统内部或其运行环境中可能出现的错误、故障或不一致是否具有韧性？	A.6.2.2AI 系统要求与规格说明
AI 设计与开发文档	Annex IV(2)设计规格、总体逻辑、算法、关键设计选择和分类方法是否已记录在案？	A.6.2.3AI 系统设计与开发的文档记录
AI 验证与确认	Art. 9(5)–(7)是否对 AI 系统进行测试，以确定适当的风险管理措施并确保性能稳定一致？ Annex IV(3)性能指标、验证和测试程序及其结果是否已记录在案，并附有明确定义和解释的指标？	A.6.2.4AI 系统验证与确认
AI 技术文档	Art. 11(1)技术文档是否在 AI 系统投放市场或投入使用之前编制，并保持最新？ Annex IV(1)技术文档是否包含 AI 系统的总体描述，包括预期用途、开发者身份、版本以及其与硬件/软件的交互方式？ Art. 11(2)文档是否以适合合格评定机构和市场监督机构进行评估的格式维护？	A.6.2.7AI 系统技术文档
AI 事件日志记录	Art. 12(1)高风险 AI 系统在设计和开发时是否具备在系统整个生命周期内自动记录事件（日志）的能力？ Art. 12(2)日志记录能力是否支持监控系统运行，以识别是否出现可能对健康、安全或基本权利造成风险的情况？	A.6.2.8AI 系统事件日志记录
AI 数据治理	Art. 10(2)训练、验证和测试数据集是否遵循适当的数据治理和管理实践？	A.7.2用于 AI 系统开发与改进的数据 A.7.6数据准备
AI 数据质量	Art. 10(3)就预期用途而言，数据集是否相关、具有充分代表性，并尽最大可能无错误且完整？	A.7.4AI 系统的数据质量
AI 数据溯源	Art. 10(2)(c)所有训练数据集的出处、来源和法律依据是否已记录在案并可追溯？	A.7.3数据获取 A.7.5数据溯源
面向 AI 系统用户的信息	Art. 13(1)高风险 AI 系统的设计和开发是否确保其运行足够透明，使部署者能够解释系统输出并加以适当使用？ Art. 13(3)(a)–(b)每个高风险 AI 系统是否均附有使用说明，包括提供者身份、系统特性、能力和性能局限？ Art. 13(3)(b)(ii)使用说明是否清楚说明系统经测试所依据的准确性、稳健性和网络安全水平，以及任何已知局限？	A.8.2系统文档和面向用户的信息

AI 管理体系，可获认证。

ISO 42001 的要求，您已经具备了多少？

具备完整附录 A 控制措施集的 ISO 42001 合规软件

什么是 ISO 42001，谁在要求您具备它？

全部 38 项附录 A 控制措施，以及每一项预期的证据。

为管理体系评分，而不只是控制措施。

风险评估和影响评估不是同一份文件。

根据您的决策生成的适用性声明。

维持证书有效的各项职责，每一项都有明确日期。

与 AI Act 重叠的工作，只做一次。

电子表格还是 Venvera？

ISO 42001，一一解答。

ISO 42001 与 AI 治理指南

看看您的 AI 治理已经走了多远。