ISO/IEC 42001:2023（以下簡稱 ISO 42001）是全球第一個可稽核驗證的人工智慧管理系統標準，但 AI 管理並不是一個容易掌握的專業技能，因為它橫跨了管理系統、風險管理與 AI 技術這 3 個知識領域，學習之前需要先具備一些基礎知識。因此，我準備了一份知識地圖和學習路徑，希望可以為有意學習人工智慧管理系統標準的夥伴，指出一個容易前進的方向。
圖1 學習 ISO 42001 前需要補齊的 3 層基礎知識
第一層 — 管理系統核心概念
對於沒有接觸過 ISO 管理系統標準 (Management System Standard, MSS) 的人而言，第一步要先理解的是管理系統不是指一個 IT 的應用系統，而是一套「體系」或「制度」，它規範的是組織如何「有系統地」規劃、執行、查核與改善，而不是規定技術做法。所以組織通過驗證取得證書，代表的是管理流程符合標準要求，並不代表驗證範圍中的 AI 系統本身通過測試，這是新手最常見的誤解。
ISO 42001 與其他管理系統標準 (例如 ISO/IEC 27001:2022) 目前都採用高階結構 (High Level Structure, HLS，2021 年後的正式名稱為 Harmonized Structure)，它對應了 PDCA 的管理精神：標準本文第 4 至 7 章是規劃 (Plan)、第 8 章是執行 (Do)、第 9 章是查核 (Check)、第 10 章是改善 (Act)，運作起來就如同一個輪子一般，讓組織的管理體系可以持續向前滾動。
第二層 — 風險管理基礎
管理系統標準最重要的核心要求，就是風險管理。在 ISO 42001 本文條款 6.1（因應風險與機會的行動）要求組織執行風險評鑑（包含風險識別、風險分析、風險評估 3 個步驟）與風險處理，它的方法論基礎來自 ISO 31000:2018《風險管理－指引》。ISO 31000 把風險管理拆成 7 個構成要素，其中 5 項是核心步驟，依序是範疇界定與準則建立、風險識別、風險分析、風險評估與風險處理；至於「溝通與諮詢」和「監督與審查」則貫穿整個流程。
人工智慧管理系統特別重視風險評鑑的過程，主要是因為 AI 風險有 3 項特性：一是不確定性高，模型行為會隨資料更新與再訓練而改變；二是影響對象擴及了個人、群體（如求職者、弱勢團體）及社會；三是風險型態多元，除了資訊安全與隱私保護之外，還涉及公平性、透明度與可解釋性，以及穩健性等。這使得傳統 IT 風險管理方法不足以完整涵蓋 AI 風險，也是實務上還要搭配 ISO/IEC 23894:2023《人工智慧－風險管理指引》的原因。
第三層 — AI 基本概念
如果您對於 AI 的認知，還是停留在與 ChatGPT 或 Gemini 的對話過程，這對於學習人工智慧管理來說明顯不夠。雖然學習人工智慧管理系統標準並不需要精通技術細節，但需要能理解 AI 相關名詞的定義與層次，例如人工智慧 (AI) 是最上層的概念，機器學習 (ML) 是實現 AI 的方法之一，而深度學習是機器學習的子集合，大型語言模型 (LLM) 與生成式 AI 則是深度學習技術的近期應用型態。
想要獲得 AI 的基礎知識，可以研讀 ISO/IEC 22989:2022《人工智慧－概念與術語》（以下簡稱 ISO 22989），它是少數不用花錢就可以從 ISO 官網下載的標準。另外，在 AI 生態系中，使用者不會是唯一的角色。如果您的組織有開發或提供 AI 系統，那麼能辨識 AI 系統生命週期 7 個階段（起始、設計與開發、驗證與確效、部署、運作與監控、再評估、汰除）各自的目標與風險，也是必須具備的能力，而這套 7 階段模型同樣出自 ISO 22989。
建議的 5 階段學習路徑
在具備了以上 3 層知識之後，建議您可以依下列 5 個階段持續推進，並且試著用自己的話來解釋標準的核心知識，或是產生對應的內容，路徑如下：
1. 管理系統基礎建立：自己能白話說明 PDCA 各階段所對應的標準本文章節。
2. 風險與 AI 基本概念：自己能解釋風險管理的過程與 AI 系統生命週期 7 階段。
3. 精讀標準本文：逐條研讀第 4 至 10 章，能夠指出管理系統要求建立的文件化資訊。
4. 研讀附錄 A／B：理解 9 大控制領域、38 項控制措施，能夠說明控制措施的目標與要求。
5. 案例演練與自我檢核：以實際或假設情境（例如 AI 客服系統）練習差異分析 (gap analysis)，產出一份差異分析報告。
圖2 ISO 42001 建議的 5 階段學習路徑與各階段產出
結語
回到一開始提到的，AI 管理並不是一個容易掌握的專業技能，所以先照著知識地圖與建議的學習路徑來走，會是比較容易的做法。
如果您已有 ISO 27001 或其他管理系統標準的學習經驗，代表第一層的知識已經具備，那麼就可以直接從第二層開始；如果完全沒有接觸過標準，就請務必從第一層起步。至於沒有 AI 技術背景的夥伴，您也不需要擔心，只要能理解 AI 相關名詞與 AI 系統生命週期各個階段，您也能成為組織建立人工智慧管理系統的重要推手。
Source: 本文之知識分層與學習路徑架構，整理自作者編撰之《ISO/IEC 42001 基礎知識地圖 v1.0》（2026 年 7 月）。
沒有留言:
張貼留言