ISO 42001 与欧盟 AI 法案：AI 治理与监管的交汇点

AI 系统日益与企业数据、应用程序、工作流和决策过程相连接。随着其角色的扩展，安全和治理团队需要超越模型行为本身进行思考。

更大的问题在于：

组织应如何治理 AI，同时满足适用于其系统的监管要求？

对于在欧洲运营的组织来说，两个框架尤为相关：ISO/IEC 42001 和欧盟《人工智能法案》（EU AI Act）。

它们解决了问题的不同层面。

欧盟《人工智能法案》：监管层

欧盟《人工智能法案》为其范围内的 AI 活动确立了具有法律约束力的义务。

其基于风险的方法意味着监管要求取决于 AI 系统的分类以及组织的角色等因素。

对于适用的较高风险系统，要求可能涉及风险管理、数据治理、技术文档、人工监督、透明度、准确性、网络安全以及上市后监控。

从工程角度来看，这意味着合规考量可以延伸到模型本身之外。

周围的数据、流程、接口、文档、监控和人工控制都可能变得相关。

ISO 42001：管理层

ISO 42001 从组织层面着手处理 AI 治理。

它建立了一个人工智能管理体系（AIMS），旨在管理整个生命周期内的 AI 相关活动。

这种管理体系方法围绕领导责任、AI 风险、政策、目标、生命周期治理、监控和持续改进引入了结构化流程。

这在 AI 系统周围创建了一个组织层，而不是仅专注于单个技术组件。

重要的界限

这两个框架不应被视为等同。

获得 ISO 42001 认证并不能自动确立对欧盟《人工智能法案》的合规性。

一个组织可能拥有认证的 AIMS，但仍需履行特定的欧盟《人工智能法案》义务，这些义务需要进行单独评估。

在复杂的 AI 环境中，这种区别尤为重要，因为不同的系统可能具有不同的监管分类。

将各层结合

更强大的治理架构可以将两者联系起来。

在组织层，ISO 42001 可以建立治理结构、所有权、风险流程、监控和生命周期监督。

在监管层，欧盟《人工智能法案》可以确定适用于特定系统和组织角色的义务。

这创造了一种模式，其中治理是集中结构的，而监管要求则根据各个 AI 用例进行评估。

随着 AI 系统与企业应用程序、外部数据源、自动化工作流和第三方服务相互作用，这种方法变得越来越重要。

为何生命周期治理至关重要

当模型投入生产时，AI 治理不能就此停止。

AI 系统可能会通过重新训练、新数据、配置更改、新集成、使用场景改变或周围商业环境的变化而发生变化。

ISO 42001 的管理体系视角强调持续监控和持续改进，而欧盟《人工智能法案》引入了可能延伸至适用 AI 系统整个生命周期的义务。

这使得生命周期治理成为这两个框架之间的重要连接点。