利害關係人訪談

Stakeholder interviews（利害關係人訪談）是風險管理過程中的質性研究方法，透過與組織內外部受AI系統影響的個人或群體進行直接對話，識別潛在風險、期望與控制措施。根據ISO 31000:2018第6.4.2條「風險識別」的要求，組織必須識別出可能影響目標達成的風險來源。訪談相較於問卷調查，能挖掘更深層的組織文化風險與隱性風險。在AI治理情境下，這意味著不僅要訪談技術團隊，更需涵蓋法務、合規、業務單位及最終用戶，以符合EU AI Act第9條對AI系統風險管理系統的要求。此方法與風險評鑑（Risk Assessment）相輔相助，是建立風險矩陣的基礎數據來源。值得注意的是，訪談結果必須被系統性地記錄與驗證，以符合ISO 42001:2023第8.4條關於AI風險評估的證據要求。這與單純的數據分析不同，訪談能捕捉數據無法量化的「人為因素」風險。

在企業風險管理（ERM）中，Stakeholder interviews的實務應用可分為三個核心步驟。第一步是「利害關係人識別」，依據ISO 31000第6.4.2條，組織需建立利害關係人清單，涵蓋直接受AI影響的部門（如IT、法務）與間接受影響者（如客戶、供應商）。第二步是「訪談設計與執行」，設計半結構化訪談大綱，確保每個訪談對象的風險領域均被覆蓋。根據NIST AI RTO（AI可信賴性指南）的原則，訪談應聚焦於公平性、透明度與可問責性。第三步是「風險情境化與整合」，將訪談結果轉化為風險矩陣中的情境描述。例如，若法務部門指出某AI模型可能違反GDPR第22條自動化決策條款，則需在風險矩陣中新增「法規合規風險」項目。每個步驟均需保留訪談紀錄作為稽核證據，以符合ISO 42001第9.1條績效評估的要求。

台灣企業在導入Stakeholder interviews時，常見挑戰包括：第一，組織文化阻礙，許多企業傾向自上而下的決策，中層或基層員工可能因擔心揭露真實風險而隱瞞資訊。對策應是建立匿名回饋機制，並由高階管理層明確支持訪談的獨立性。第二，法規適應能力不足，台灣企業在導入AI時，往往難以將訪談結果對應至具體的法規條文。建議參考台灣《人工智慧基本法》草案精神，預先建立AI風險分類標準。第三，資源配置優先順序問題，中小型企業可能認為訪談耗費人力。可採用分層抽樣訪談法，優先訪談關鍵職能部門，以提升效率。建議導入時程應規劃為：第一季完成利害關係人地圖，第二季執行首輪訪談，第三季整合至AI管理系統，第四季進行風險評估驗證。

Stakeholder interviews直接對應多項國際標準與法規要求。ISO 31000:2018第6.4.2條明確要求組織識別風險來源與情境，這正是訪談的核心目的。EU AI Act（歐盟人工智慧法案）第9條要求高風險AI系統建立風險管理系統，其前提是必須識別所有可預見的風險情境，這需要系統性的利害關係人意見蒐集。NIST AI RTO（AI可信賴性指南）強調AI系統的設計必須考量多方利害關係人的價值觀，訪談是實現這一要求的具體工具。台灣個資法第19條關於個資處理透明度的要求，也意味著企業必須透過訪談了解資料主體的實際風險認知。這些標準共同構成AI治理中「人為參與」的合法性基礎。