AI 風險放在風險地圖的哪一格？風控長第一步盤什麼？
守則第 18 條的「其他新興風險」。第一步是 AI 系統清冊：盤點全組織的 AI 系統（自建與採購），判定每個系統在 EU AI Act 下的角色（提供者、部署者、進口商或經銷商）與風險等級，並把判斷紀錄寫進清冊。
台灣企業即使在歐盟沒有據點，只要把 AI 系統投入歐盟市場，或 AI 系統的輸出在歐盟使用，也在適用範圍內（第 2 條第 1 項）。此守則以上市上櫃公司為對象；非公開發行公司不受此守則規範，可自願參考。
既有風險矩陣只看公司損失，評估 AI 風險為什麼不夠？
ISO 42001 要兩種評估：AI 風險評估（對組織），以及 AI 系統影響評估（對個人、群體、社會），各有評估方法與日期。只看公司營收與商譽，沒有評估 AI 對個人與群體的影響，稽核追查的那條線就斷了。
例如定價與資格篩選系統，對公司財務損失不大，卻可能長期不利於特定客群——這正是只看公司損失的風險矩陣看不到的。風控長要在影響評估中加上受影響群體、可能傷害與長期累積效果的欄位。
AI 的殘餘風險由誰接受？委員會要看到什麼紀錄？
殘餘風險由組織的權責主管書面接受，寫明接受條件、期限、停止使用與重新評估的觸發點；顧問負責讓決策有依據、有紀錄，不能替主管簽核，也不應替主管做接受決定。
可驗收的一條線：任選一項風險，能在 10 分鐘內從評估找到控制、負責人、證據與接受紀錄；任選一項不適用的控制，能說出理由。
EU AI Act 的罰則與適用日期，衝擊評估與 KRI 要怎麼放？
罰則上限（第 99 條，取其高者；中小企業取兩者中較低者）：
| 違反 | 上限 |
|---|---|
| 第 5 條禁止規定 | 3,500 萬歐元或全球年營業總額 7% |
| 提供者、部署者等義務與第 50 條透明度 | 1,500 萬歐元或 3% |
適用日期：第 5 條禁止規定自 2025 年 2 月 2 日；第 50 條透明度自 2026 年 8 月 2 日；依規則 (EU) 2026/1744，高風險義務改為附件 III 系統自 2027 年 12 月 2 日、附件 I 產品自 2028 年 8 月 2 日起適用。
取得 ISO 42001 驗證，能向董事會報告已符合 EU AI Act 嗎？
不能。ISO/IEC 42001:2023 是可驗證的 AI 管理系統標準，由依 ISO/IEC 42006 取得認可的驗證機構發證，三年週期、每年監督稽核；但它不是 EU AI Act 的調和標準，不產生推定符合效力。符合性評估、歐盟資料庫登錄、授權代表與第 50 條透明度是法定程序，證書不能替代。
截至 2026 年 10 月，唯一刊登於歐盟公報的 AI Act 調和標準是 EN 18286:2026（AI 品質管理系統，支援第 17 條）。
ISO 42001 與 EU AI Act 各要多久？
服務頁所列：
- ISO 42001：已有 ISO 27001 者通常 4–6 個月可達驗證，從零開始約 6–9 個月。四階段：範圍與盤點（2–4 週）、風險與影響評估（3–5 週）、制度建置（6–10 週）、稽核與驗證（4–8 週）
- EU AI Act 高風險 AI 合規：通常 6–9 個月；整合 ISO 42001 驗證 9–12 個月
積穗科研怎麼協助風控長處理 AI 風險？
- 三份核心文件：AI 系統清冊；AI 風險與影響評估（同時對應第 9 條、第 27 條與 ISO/IEC 42001）；EU AI Act 義務矩陣（每條義務的負責人、證據與到期日）
- 同一副骨架：以 42001 為管理系統底，與 ISO 27001／27701 共用骨架
- 角色分開：驗證由依 ISO/IEC 42006 認可的驗證機構執行，積穗陪同、不代審
- 誰主導：副總、董事級顧問全程親自輔導、不外包
其他角色怎麼看這項服務
同一角色的其他服務
- 風控長導入 ERM：風險地圖、KRI 與董事會報告怎麼建？
- 風控長看 ISO 22301：中斷情境、RTO 與演練怎麼進風險報告？
- 風控長導入 ISO 37001：賄賂情境、海外暴險與誠信指標怎麼管？
- 風控長看營業秘密保護：外流情境、合理保密措施與 KRI 怎麼設？
- 風控長看 ISO 27001：資訊風險怎麼和企業風險用同一把尺？
- 風控長看 GDPR：罰則暴險、集團跨境傳輸與外洩情境怎麼評估？
- 風控長看 NIS2：適用身分、罰則與管理機構責任怎麼評估？
- 風控長看 EU CRA：市場准入風險、通報義務與監督角色怎麼排？
- 風控長看 DORA：ICT 第三方與營運韌性風險怎麼放進風險地圖？
- 風控長管 AI 轉型：AI 風險怎麼進風險地圖、KRI 與董事會報告？