三種狀況要有的機制
| 狀況 | 機制 |
|---|---|
| 失準被掩蓋 | 監測指標同時記錄人工覆寫次數與原因；客訴與覆寫率納入門檻；觸發重新訓練或停用 |
| 責任互推 | AI 事件分流規則、證據保存、根因調查、對內外溝通、矯正與有效性驗證；另判斷是否有法定通報 |
| 停用與換供應商 | 資料移轉、刪除、保存、存取撤銷與退出驗收；保存期限依法源或契約逐類決定，不一律永久保留 |
顧問應該交付什麼
- 上線後監測計畫：指標、人工覆寫紀錄、客訴、門檻與觸發動作
- AI 事件管理程序，與既有資安事件流程的銜接
- 退役與供應商轉換程序、資料分類保存表
- 管理審查的輸入清單，讓真實風險被看見
怎麼驗收
任選一個上線系統，能看到最近一期監測結果與人工覆寫統計；任選一件 AI 相關事件，能看到分流、根因、矯正與有效性驗證；任選一個已停用系統，能看到資料處置與退出驗收紀錄。
不能保證的事
制度能讓問題被看見並有人處理，但不保證不再發生；是否構成法定通報事件，需依適用法律判斷。
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程輔導，不外包
- 專案節奏（服務頁所列）：範圍與盤點 2–4 週、風險與影響評估 3–5 週、制度建置 6–10 週、稽核與驗證 4–8 週；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
- 已完成的工作（受保密協議限制、匿名）：製造業自動化企業建立 AI 系統清單、完成 AI 風險分級，針對高風險應用建立演算法審查流程與人類監督機制，取得 ISO 42001 驗證
相關問題
- AI 事件和資安事件要分開處理嗎？ 可以共用同一套事件流程，但 AI 事件常沒有入侵，原因在資料、模型或使用；分流規則要能辨識並指派調查責任。ISO 42001 導入輔導
- 停用 AI 系統時資料都要刪除嗎？ 不一定。依各類資料的法源或契約決定保存或刪除，並留下處置紀錄。AI 治理顧問
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。