常見的三種錯誤說法
| 說法 | 正確理解 |
|---|---|
| 「拿到 ISO 42001 就符合 AI Act」 | 不是。42001 能承接組織面的治理，但高風險義務、符合性評估與登錄仍要依法完成 |
| 「所有高風險義務都在 2026 年適用」 | 修正後附件 III 系統為 2027 年 12 月 2 日、附件 I 產品為 2028 年 8 月 2 日；第 50 條透明度義務自 2026 年 8 月 2 日起適用 |
| 「調和標準完全沒有發布」 | EN 18286:2026 已刊登，支援第 17 條品質管理系統；但它不涵蓋所有義務 |
改用途、貼牌時要先判定的事
| 問題 | 為什麼重要 |
|---|---|
| 是否貼上自己的名稱或商標 | 第 25 條第 1 項 (a) 款：可能被視為提供者（契約另有分配者除外） |
| 是否做了實質修改 | 第 25 條第 1 項 (b) 款 |
| 是否改變預期用途使其成為高風險 | 第 25 條第 1 項 (c) 款；例如用於員工排班與績效相關決策，須判斷是否落入附件 III |
| 原提供者能提供什麼資訊與協助 | 第 25 條第 2 項要求原提供者合作，但原提供者明確表示不得改為高風險用途者除外 |
顧問應該交付什麼
- 每個 AI 系統的角色與風險分級判定紀錄，資訊不足時列出待確認事項
- ISO 42001 與 AI Act 義務對照：哪些由管理系統承接、哪些需要另外完成
- 對外宣稱的審核規則：證書範圍與產品合規分開說明
- 法律分類與責任的最終意見由律師出具
怎麼驗收
任選一個系統，能看到角色判定、風險分級、適用日期與待確認事項；行銷與業務的對外說法經過審核，不出現「42001 等於 AI Act 合規」。
不能保證的事
法規與指引仍在更新，判定以查核當日的官方資料為準；個案法律責任由律師判斷。
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程輔導，不外包
- 專案節奏（服務頁所列）：範圍與盤點 2–4 週、風險與影響評估 3–5 週、制度建置 6–10 週、稽核與驗證 4–8 週；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
- 已完成的工作（受保密協議限制、匿名）：製造業自動化企業建立 AI 系統清單、完成 AI 風險分級，針對高風險應用建立演算法審查流程與人類監督機制，取得 ISO 42001 驗證
相關問題
- 取得 ISO 42001 驗證就符合 EU AI Act 了嗎？ 不是。ISO/IEC 42001 不是 EU AI Act 的調和標準，驗證本身不產生符合性推定；截至 2026 年 10 月，唯一刊登的調和標準是 EN 18286:2026。台灣 EU AI Act 顧問怎麼選
- 把別人的 AI 系統貼上自己的品牌賣到歐盟，會變成提供者嗎？ 可能。依第 25 條第 1 項，貼上自己的名稱或商標、實質修改或改變預期用途使其成為高風險，都可能被視為提供者。EU AI Act 歐盟 AI 法輔導
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。