AI产品对外提供
企业开发模型、平台或AI功能，需要建立产品生命周期治理。
PROJECT INTRODUCTION
ISO/IEC 42001是什么
先明确项目对象和企业责任，再决定体系范围、建设深度与外部准备方式。
ISO/IEC 42001是人工智能管理体系标准，关注组织如何建立政策、角色、风险和控制，以负责任地开发、提供或使用AI系统。
体系对象不是抽象的“人工智能能力”，而是具体的AI场景、系统、模型、数据、供应商和生命周期活动。不同角色承担的责任和可控制范围不同。
项目需要连接业务目标、技术实现和影响评价，并保留设计决策、测试验证、运行监控和事件处置等可解释的管理证据。
FIT ASSESSMENT
企业通常在这些情况下考虑ISO/IEC 42001
以下是常见业务场景，不代表自动满足申请或评价条件。具体做法仍需结合企业、项目用途和当期要求确认。
业务大量使用第三方AI
采购或接入外部模型，需要管理供应商、数据和使用边界。
客户或集团治理要求
客户尽调、集团制度或招投标要求说明AI风险管理。
高影响应用需要审慎控制
AI参与人事、金融、医疗、教育或公共服务等重要决策。
AI项目快速扩张
试点增多但角色、审批、测试和监控方法不统一。
PROJECT CONTENT
人工智能管理体系咨询的核心建设内容
各模块需要对应真实业务和运行记录，不以增加文件数量为目标。
AI角色与体系范围
明确开发者、提供者、使用者等角色和纳入管理的AI系统。
影响与风险评价
识别对个人、群体、社会、业务和安全的潜在影响。
数据与模型治理
管理数据来源、质量、适用性、模型变更和技术文档。
生命周期控制
覆盖需求、设计、开发、测试、部署、监控和退役。
透明与人为监督
根据场景设计信息披露、解释、复核和人工干预。
供应商与事件管理
控制第三方AI依赖、运行异常、投诉和持续改进。
STARTING INFORMATION
项目启动前建议准备
资料不完整也可以先沟通。先说明业务、用途和现状，再按项目需要分阶段补充。
- AI产品、应用场景和拟纳入体系的系统清单
- 组织在AI生命周期中的角色与责任
- 数据来源、用途、质量和授权情况
- 模型开发、测试、验证和变更资料
- 风险、影响、偏差和安全评价资料
- 第三方模型、云服务和供应商合同
- 运行监控、用户反馈、事件和退役安排
CONSULTING DELIVERY
赫挚如何协助ISO/IEC 42001项目
| 阶段 | 主要工作 | 典型输出 |
|---|---|---|
| 需求与范围确认 | 了解客户或项目要求、企业业务、场所、责任和当前安排 | 范围建议、现状差距和项目计划 |
| 体系与方法设计 | 围绕AI角色与体系范围、影响与风险评价、数据与模型治理设计职责、流程和记录 | 流程文件、责任接口和适用记录 |
| 运行辅导 | 结合生命周期控制、透明与人为监督、供应商与事件管理开展培训、试运行、抽样和问题跟踪 | 运行记录、问题清单和改进证据 |
| 评价准备 | 实施内部检查、管理复核、整改和外部评价衔接准备 | 内部评价记录、整改结果和准备清单 |
正式受理、审核、评价、认证或结果决定由相应主管单位或具备资格的机构依据现行规则独立实施。
FAQ
ISO/IEC 42001常见问题
只是使用第三方大模型也需要管理吗？
需要根据使用场景和风险确定管理深度。即使不开发模型，组织仍需管理输入数据、输出使用、供应商和人为复核。
ISO 42001是否等于算法备案或监管合规？
不等于。管理体系可以支持治理，但具体监管程序和法律义务需按业务和地区另行确认。
是否要求公开模型全部技术细节？
不作一概要求。透明度应结合角色、风险、合同、知识产权和适用义务确定。
可以和ISO 27001、ISO 27701整合吗？
可以共享风险、供应商、事件和内部评价机制，但AI影响、数据模型生命周期等专业内容仍需单独落实。