積穗科研
繁中/EN/日本語

研發長 × EU AI Act 歐盟 AI 法輔導

研發長面對 ISO 42001 與 EU AI Act：AI 產品要準備什麼？

更新日期 2026-11-03

直答

研發長要先判定每個 AI 系統在 EU AI Act 下的角色（提供者或部署者）與風險等級；開發並以自己名義投入市場的，是提供者。高風險 AI 的研發要準備技術文件、資料治理、紀錄、人類監督、準確性與穩健性的證據，並完成符合性評估。依數位綜合法案，附件 III 高風險系統自 2027 年 12 月 2 日、附件 I 產品自 2028 年 8 月 2 日起適用。ISO 42001 驗證不等於 EU AI Act 合規；服務頁所列高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月。

研發長要先判定什麼：我們在每個 AI 系統是提供者還是部署者？

角色是誰主要義務
提供者開發 AI 系統或通用目的 AI 模型，並以自己的名義投入市場或提供使用高風險：第 9 至 17 條、符合性評估、歐盟符合性聲明、CE 標誌、登錄
部署者在業務上使用 AI 系統高風險：依使用說明使用、指派具備能力的人員監督、紀錄至少保存 6 個月

台灣企業即使在歐盟沒有據點，只要把 AI 系統投入歐盟市場，或 AI 系統的輸出在歐盟使用，也在適用範圍內（第 2 條第 1 項）。風險等級要判定是否落入第 5 條禁止、附件 I 或附件 III 高風險、第 50 條透明度，或可依第 6 條第 3 項排除；排除須書面評估並登錄，不以口頭認定。角色與等級怎麼判，屬法律判斷，最終由法律顧問依個案確認。

高風險 AI 的研發要準備哪些技術文件與測試證據？

高風險 AI 提供者要符合風險管理、資料治理、技術文件、紀錄、人類監督、準確性與穩健性等要求。測試證據要能追溯，常見缺口與要證明的事：

問題要能證明的事
引錯版本回答引用的文件與版本可追溯；舊版下架後不再被引用
有資料卻答錯檢索與生成的失敗分開統計，各有改善紀錄
整體準確但少數群漏判分群表現、錯誤代價與上線門檻
測試資料與訓練資料重複資料切分方法與檢查紀錄
資料來源與授權混雜來源、授權用途、個資、標註與版本的清冊

實際測試由你的工程團隊或第三方測試單位執行，顧問負責設計驗收要求並審查證據是否足以支持結論。

AI 產品上市時程：哪些日期與合規步驟要排進研發計畫？

法定日期（數位綜合法案，規則 (EU) 2026/1744，2026 年 7 月 27 日生效）：

  • 第 5 條禁止的 AI 做法：自 2025 年 2 月 2 日起適用。
  • 第 50 條透明度義務：自 2026 年 8 月 2 日起適用。
  • 附件 III 高風險系統：自 2027 年 12 月 2 日起適用。
  • 附件 I（A 節）產品：自 2028 年 8 月 2 日起適用。

服務頁所列合規步驟（高風險 AI 合規通常 6–9 個月，整合 ISO 42001 驗證 9–12 個月）：AI 系統盤點與風險分類（1 個月）→ FRIA 及差距分析（1–2 個月）→ ISO 42001 管理系統建立（2–4 個月）→ 技術文件製作（1–2 個月）→ 符合性評估及 EU AI 資料庫登錄（1–2 個月）→ 上市後監控機制建立。附件 III 系統要在上市前完成歐盟資料庫登錄。

模型每次更新後，研發怎麼證明 AI 系統仍然合規？

首次上線通過驗收，不代表下個月仍然可以用。AI 系統的生命週期包括更新、監控與退役，制度要對每次變更仍然有效：

項目要做到的事
版本識別每次呼叫或每批次記錄模型版本；供應商更新要有通知
變更影響評估更新前判斷影響哪些用途、要重跑哪些測試
回歸測試與核准同一套測試的前後結果比較，達門檻才核准
無法回退預先定義替代方案與暫停條件

上市後要建立監控與重大事件通報程序，可以併入既有的資安事件流程。供應商若不通知更新，只能靠版本偵測與契約條款補強。

產品同時有連網與 AI 功能，CRA 與 AI Act 的技術文件能合併嗎？

可以部分合併。產品同時在 CRA 範圍內、又被 AI Act 列為高風險 AI 系統時，CRA 第 12 條搭了一座橋：產品符合 CRA 附件 I 的基本要求，並在 CRA 的歐盟符合性聲明中說明已達到 AI Act 第 15 條要求的資安保護水平，就推定符合 AI Act 第 15 條的網路安全要求。

但準確性與穩健性不在這座橋內，仍須依 AI Act 處理；符合性評估原則上依 AI Act 第 43 條進行，重要產品與關鍵產品另有例外。研發的做法：同一份風險評估、技術文件與符合性聲明涵蓋兩部法規的資安部分；AI 風險分級、資料治理、人類監督與準確性驗證另外準備。

客戶要求 ISO 42001 驗證，能不能代替 EU AI Act 合規？

不能。ISO/IEC 42001 是可由獨立驗證機構驗證的 AI 管理系統標準，但不是 EU AI Act 的調和標準，驗證本身不產生符合性推定；符合性評估、歐盟資料庫登錄、授權代表與第 50 條透明度是法定程序，證書不能替代。截至 2026 年 10 月，唯一刊登於歐盟公報的 AI Act 調和標準是 EN 18286:2026（AI 品質管理系統，支援第 17 條）。

42001 本身的安排（服務頁所列）：由依 ISO/IEC 42006 取得認可的驗證機構發證，三年週期、每年監督稽核；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月。輔導顧問與發證的驗證機構應是不同的兩家。

積穗科研怎麼協助研發長處理 ISO 42001 與 EU AI Act？

由副總、董事級顧問全程親自輔導、不外包，讓 ISO 42001 與 EU AI Act 共用一套文件與證據，不必兩套並行：

  • AI 系統風險分類診斷：釐清 AI 產品在四級風險架構中的位置，再依風險等級規劃合規路徑。
  • 三份核心文件：AI 系統清冊、AI 風險與影響評估、EU AI Act 義務矩陣（依角色列出每條義務、負責人、證據與到期日）。
  • 技術文件與符合性評估：製作技術文件，安排符合性評估與歐盟資料庫登錄；建立上市後監控與重大事件通報程序。
  • FRIA：提供 FRIA 評估輔導，也協助提供者準備部署者完成評估所需的資訊。
  • 分工：積穗科研是輔導顧問、不發證。

深入：EU AI Act 歐盟 AI 法輔導、ISO 42001 導入輔導、EU AI Act 顧問怎麼選、RAG 與模型測試證據、研發長要放進研發流程的要求。申請免費機制診斷

服務介紹：EU AI Act 歐盟 AI 法輔導申請免費機制診斷

其他角色怎麼看這項服務

同一角色的其他服務

回到角色總覽：研發長（CTO）要把哪些要求放進研發流程？8 項要求逐項說明

官方來源