ISO/IEC 23894
ISO/IEC 23894 AI 風險管理輔導
ISO/IEC 23894 輔導協助企業把 AI 風險管理接入開發與使用流程。沃達從實際用途、資料與人員決策出發，整理可能失誤、控制措施及監督責任，不以模型表現取代整體使用風險判斷。
For Your Business
適用對象與啟動時機
適合開發、提供、部署或使用 AI 的組織。新應用上線、擴大使用範圍、模型或資料來源變更前，可先檢查原有控制是否仍適用。即使使用外購工具，也需要了解企業自己的使用方式與責任。
The Challenge
企業常見挑戰
測試回答正確，不代表在真實流程中不會造成問題。資料過期、使用者誤解、權限過大或缺少人工接手，都可能影響結果。
AI 供應商與企業之間也可能有責任空白。需要清楚區分可以控制的設定、需向供應商取得的證據，以及尚無法判斷的限制。
Our Approach
方法與適用要求
ISO/IEC 23894:2023 是 AI 風險管理指引，協助組織把相關風險流程整合到 AI 活動與職能，並依情境調整。可作為 AI 治理工作的支援方法，不等同 ISO/IEC 42001 管理系統驗證。
以下依企業情境安排輔導重點，實際採用範圍與證據深度於啟動時確認。
場景與角色
界定 AI 要支援的工作、使用者及決策後果，區分開發、供應與使用責任，避免只登錄模型名稱。
風險評估
從資料、模型及使用流程整理可能的失效情境，記錄證據和假設；影響企業與影響他人的情形均需適當討論。
控制與監督
依風險安排資料限制、權限、人工覆核或停止條件，確認誰能接受剩餘風險，而非一律交給技術窗口。
監測與變更
整理異常回報及重評觸發，例如用途擴充或模型更新；上線後仍需檢查實際使用結果。
Process
輔導內容與流程
盤點 AI 使用
確認應用、資料流與人員角色，選定評估範圍。
討論風險情境
與業務及技術部門檢視失誤、控制與資料缺口，形成評估紀錄。
安排處置試行
測試人工覆核、權限及異常處理是否可執行，交由適當人員核准。
建立重評機制
將使用回饋及變更接入管理流程，追蹤措施與剩餘風險。
Preparation
企業需準備哪些資料
- 用途與角色：應用清單、使用情境及負責部門。
- 資料與供應：來源、流向、供應商與契約摘要。
- 測試與問題：已知限制、測試案例及異常回饋。
- 控制與變更：權限、覆核、更新及核准安排。
初談可先提供目錄或摘要。涉及個資、合約機密或系統紀錄時，先約定授權、遮蔽與保存方式。
Project Planning
時程與費用如何評估
依 AI 場景、資料敏感度、供應關係和評估深度安排。模型技術測試、資安測試、法律評估及系統修改分項確認；不將一份通用清單視為所有應用完成評估。
FAQ
常見問題
只適用自建模型嗎？
不是，部署或使用 AI 的組織也可採用；外購服務仍需確認自身用途、資料與控制。
可以用一份表評估所有 AI 嗎？
可共用基本格式，但需依場景及後果調整問題與證據，不能只換名稱。
人工覆核就能消除風險嗎？
不能直接保證，還要確認人員能力、時間、權限和是否真的能介入。
與 ISO/IEC 42005 有何差別？
本項聚焦 AI 風險管理流程；42005 針對 AI 對個人、群體與社會的影響評估。可共用資料但需分清目的。
一定要使用特定廠牌工具嗎？
不需要。方法依使用情境與資料安排，不限定模型或平台供應商。
上線後還要重評嗎？
應依變更與實際問題安排回顧，尤其用途、資料、模型及使用規模改變時。
Related
相關服務與需求諮詢
請提供產業、希望改善的活動、現有制度與預計完成時間，便於確認合作範圍。
內容查核：。適用版本與要求依企業情況確認。
Let's Talk
