可稽核性

Auditability（可稽核性）是指一個系統、過程或控制措施能夠被系統性驗證其有效性的能力。在AI領域，這意味著AI系統必須設計有能力收集、儲存並呈現足以驗證其決策邏輯、訓練數據完整性及模型行為的證據。根據ISO/IEC 42001:2023第6.1.2條，組織應建立AI管理系統的稽核機制，確保AI系統的設計、開發與部署符合預設的控制措施。這與傳統IT稽核不同，AI系統的非決定性（non-deterministic）特質要求更複雜的動態稽核設計，包括資料血緣（data lineage）、模型版本控制及決策邊界測試。台灣個資法第20條亦要求企業應確保個資處理的安全性，而Auditability正是驗證個資保護措施是否實際運作的技術基礎。

企業導入Auditability需遵循系統化步驟。第一步，依ISO/IEC 42001第6.1.2條進行風險評鑑，識別AI系統的關鍵控制點，例如資料收集、模型訓練、部署前驗證及模型漂移監測。第二步，建立稽核軌跡（audit trail）機制，確保AI系統的輸入、輸出及中間參數具備可追溯性，符合EU AI Act第12條關於技術文件化的要求。第三步，設計定期稽核程序，包括內部驗證與外部驗證，驗證AI系統是否持續符合設計時的風險容忍度。例如，針對高風險AI應用，企業應建立模型性能基準（baseline）與異常偵測閾值，當模型輸出偏離基準時，系統應自動記錄事件供稽核審查。

台灣企業在導入AI可稽核性時面臨三項主要挑戰。首先是技術人才缺口，AI系統的稽核需要同時具備資料科學、IT基礎設施與風險管理三領域知識，企業應透過跨部門培訓或聘請專業技術顧問解決。其次是資料治理基礎薄弱，許多企業缺乏完整的資料血緣紀錄，建議導入ISO 42001第8.4條的資料管理要求，建立資料治理框架。第三是法規不確定性，台灣AI基本法仍在立法討論中，企業應採取「預防性合規」策略，以EU AI Act的技術文件要求為設計基準，確保在台灣法規正式出台前已具備國際接軌的稽核能力。建議企業在2025年前完成AI治理框架的基礎建設，以應對即將到來的監管趨勢。

Auditability的核心參考標準為ISO/IEC 42001:2023，這是全球首個專為AI管理系統設計的國際標準，明確要求組織建立可驗證的AI控制措施。EU AI Act（歐盟人工智慧法案）第11條至第17條對高風險AI系統的技術文件化、透明度與紀錄保存有強制要求，這直接對應Auditability的實施義務。NIST AI RTO（AI可信賴性框架）提供了AI系統可稽核性的實務指引，強調驗證AI系統的安全性、可靠性與公平性。台灣個資法第20條及第21條關於個資處理安全之規定，亦要求企業具備可驗證的技術與管理措施，Auditability是滿足此法規義務的技術手段。