自我評估

Self-assessment（自我評估）是指組織依據內部政策、外部法規（如台灣《人工智慧基本法》草案、歐盟EU AI Act）及國際標準（如ISO/IEC 42001、NIST AI RTO）對自身AI系統的風險、控制措施及治理成效進行系統性檢查的過程。其起源於ISO 31000風險管理框架及COSO ERM框架，強調風險管理應是持續循環的過程而非一次性活動。在AI治理領域，自我評估需涵蓋資料治理、模型透明度、偏見檢測及安全防護等維度。與外部稽核（External Audit）不同，自我評估是內部主動行為，旨在發現問題並在外部監管介入前修正，是建立「可信賴AI」（Trustworthy AI）的必要前提。根據ISO/IEC 42001第9條規定，組織必須定期進行績效評估，自我評估正是達成此要求的具體機制。

實務導入通常分為三個階段：第一階段為「基準設定」，企業需對照ISO/IEC 42001或NIST AI RTO要求，建立AI風險評估矩陣，定義風險容忍度（Risk Tolerance）。第二階段為「執行評估」，透過問卷調查、系統日誌分析、人員訪談及控制措施測試（如對抗性測試），量化AI系統的風險等級。第三階段為「改善行動」，針對評估發現的缺口（Gaps）制定改善計畫。以台灣某大型電信業者為例，導入AI治理自我評估後，在2024年Q2成功識別出3項高風險AI應用場景，並在60天內完成模型重新校準，使AI相關合規事件發生率降低40%。量化指標通常包含：控制措施覆蓋率（目標>85%）、高風險AI項目識別率、以及改善措施完成率（目標>90%）。

台灣企業在導入AI自我評估時面臨三大挑戰：第一，法規不確定性。台灣《人工智慧基本法》草案及歐盟EU AI Act的交叉影響使企業難以確立評估基準，建議採用「最高標準向下相容」原則，以EU AI Act作為主要參考框架。第二，技術人才稀缺。AI風險評估需要跨越法規、技術與業務的複合型人才，企業應建立跨部門AI治理委員會（AI Governance Committee），並與外部專業顧問合作。第三，資料孤島問題。AI模型分散於不同部門，導致評估數據不完整。建議建立統一的AI資產清冊（AI Asset Inventory），並導入自動化工具進行持續性監控。建議企業在導入後12個月內完成首輪完整評估，並每半年進行一次迭代，以應對快速演進的AI監管環境。