客戶要求證明 AI 產品的治理，ISO 42001 能證明什麼？
ISO/IEC 42001:2023 是可驗證的 AI 管理系統標準，由依 ISO/IEC 42006 取得認可的驗證機構發證，三年週期、每年監督稽核。證書證明組織治理 AI 的制度健全；客戶詢問 AI 治理時，能提出 AI 系統清冊、風險評估與控制紀錄。
它不能證明的：證書不等於 EU AI Act 合規，ISO/IEC 42001 也不是 EU AI Act 的調和標準，驗證本身不產生符合性推定。對外說法要把證書範圍與產品合規分開說明，不出現「42001 等於 AI Act 合規」。
AI 產品用外購模型，哪些證據仍由我們負責？
模型外購不會把責任一起外包。把第三方模型做成自有產品時：
| 可向供應商要求 | 必須自己做 |
|---|---|
| 模型版本、使用限制、整體測試結果、資料處理條款 | 自有資料與提示的測試、上線核准、使用者告知、事件處理 |
供應商不公開訓練資料時，只能用黑箱測試與契約補足。要寫進採購或委外合約的資訊提供、通知與協助義務，產品經理要在選定模型供應商前就列出。
模型每月更新，已上市的 AI 功能怎麼確保仍然有效？
首次上線通過驗收，不代表下個月仍然可以用。外購模型更新時需要：
- 版本識別：每次呼叫或每批次記錄模型版本，供應商更新要有通知
- 變更影響評估：更新前判斷影響哪些用途、要重跑哪些測試
- 回歸測試與核准：同一套測試的前後結果比較，達門檻才核准
- 無法回退：預先定義替代方案與暫停條件
AI 能自動退款、承諾交期或修改訂單時，要定義授權範圍與風險分級，在高影響操作前設人工介入點。
AI 產品上市後失準、客訴或要換供應商，要有哪些程序？
ISO/IEC 42001 要求監測、事件處理、矯正措施與退役都有程序，並把結果送進管理審查：
| 狀況 | 機制 |
|---|---|
| 失準被人工修正掩蓋 | 監測指標同時記錄人工覆寫次數與原因；客訴與覆寫率納入門檻 |
| 錯誤建議後責任互推 | AI 事件分流規則、證據保存、根因調查、矯正與有效性驗證 |
| 停用與換供應商 | 資料移轉、刪除、保存、存取撤銷與退出驗收 |
是否構成法定通報事件，需依適用法律判斷。
導入 ISO 42001 要多久？會不會影響產品時程？
服務頁所列時程：已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月。分四個階段：
- 範圍與盤點：2–4 週
- 風險與影響評估：3–5 週
- 制度建置：6–10 週
- 稽核與驗證：4–8 週
附錄 A 的 38 項控制逐項落地並產出證據。客戶的開發案或採購若要求證書，產品經理要從客戶要求的時間點回推。
已有 ISO 27001 或 27701，哪些可以共用、哪些要另外補？
ISO/IEC 42001 與 ISO 27001 採相同的高階結構：
- 可共用：文件與紀錄管制、內部稽核、管理審查、矯正措施、教育訓練紀錄、部分供應商管理
- 需補強：供應商管理加上模型版本、資料使用與變更通知；資安事件流程加上 AI 事件分流
- 必須新建：AI 政策、AI 系統清冊、AI 風險與影響評估、資料品質與模型驗證、生命週期程序
個資影響評估不能直接當作 AI 系統影響評估；共用能縮短時程，但 27001 的驗證結果不延伸到 42001，兩者仍各自接受驗證。
積穗科研怎麼協助產品經理處理 ISO 42001？
積穗科研第一步先釐清目標：進哪些市場、客戶要什麼證明、內部要控什麼風險，再建議只做 42001、先後做或與 AI Act 同時做：
- 以 42001 為管理系統底，與 ISO 27001／27701 共用骨架
- 制度與證據鏈由我們建立；法律意見由合作律師出具
- 驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
積穗科研是輔導顧問、不發證，由副總、董事級顧問全程親自輔導、不外包。延伸：ISO 42001 導入輔導、外購模型的證據、模型更新與人工監督、上市後事件。申請免費機制診斷