ISO 23894

ISO 23894 是由國際標準化組織（ISO）發布的 AI 風險管理標準，其核心理念是將 ISO 31000 的風險管理原則與 AI 系統的技術特性相結合。AI 系統具備自主性、適應性與不可預測性，傳統風險管理框架難以完整覆蓋這些特性，因此 ISO 23894 提供了針對 AI 生命週期設計的風險處理方法。該標準強調風險管理應整合進 AI 系統的整個生命週期，從需求定義、設計、開發、部署到退役。與 ISO 42001（AI 管理系統標準）相輔相成：ISO 42001 規定「要做什麼」，而 ISO 23894 則指導「如何進行風險評估與處理」。

導入 ISO 23894 的實務步驟通常遵循以下三階段：第一步，建立 AI 風險管理框架。企業需依據 ISO 31000 的風險管理原則（如風險識別、分析、評估、處理），結合 AI 系統的特定風險類別，如演算法偏見、資料污染、模型漂移等。第二步，進行 AI 風險評估。這包括識別 AI 系統在特定情境下的危害情境（harm scenarios），例如醫療 AI 的誤診風險或金融 AI 的歧視性授信。第三步，設計風險處理策略。根據風險等級選擇降低風險、迴避風險、轉移風險或接受風險的對策。根據 ISO 42001 第 6.1.2 條要求，企業必須系統性地識別 AI 風險，ISO 23894 正是實現此要求的具體方法論。

台灣企業導入 ISO 23894 主要面臨三項挑戰。第一，法規合規壓力。台灣《人工智慧基本法》草案及歐盟 EU AI Act 皆對高風險 AI 有嚴格要求，企業需建立可追溯的風險評估文件。建議企業建立「法規追蹤機制」，將 ISO 23894 的風險控制措施與 EU AI Act 第 9 條（風險管理系統）對應。第二，技術人才短缺。AI 風險評估需要同時具備數據科學與風險管理專業的複合型人才。企業應投資跨領域培訓，或與學術機構合作。第三，供應鏈透明度不足。台灣 AI 應用多依賴第三方模型，企業難以獲取完整訓練資料資訊。建議在採購合約中明確要求供應商提供 AI 風險評估報告，以符合 ISO 23894 的供應商風險管理要求。

ISO 23894 與多項國際標準和法規存在直接關聯。首先是 ISO 31000，它是所有風險管理標準的基礎框架，ISO 23894 繼承其風險處理的邏輯結構。其次是 ISO 42001，兩者相輔相成：ISO 42001 提供 AI 管理系統的整體架構，而 ISO 23894 專注於風險評估的技術細節。在法規層面，歐盟 EU AI Act 第 9 條要求高風險 AI 系統建立風險管理系統，其要求與 ISO 23894 的風險處理原則高度一致。此外，NIST AI RTO（AI 風險管理框架）提供了與 ISO 23894 互補的美國視角，強調 AI 風險的測量與治理。台灣企業若同時符合 ISO 23894 與 EU AI Act 要求，將具備進入歐盟市場的關鍵合規資格。