先釐清的五件事
| 要釐清的事 | 為什麼重要 |
|---|---|
| 有哪些 AI 系統、誰在用、處理什麼資料 | 沒有清冊就無法界定範圍，也無法回答客戶盡調 |
| 你是提供者還是使用者 | 只使用時，重點在使用規範、資料輸入與輸出審查；對外提供時要加上生命週期與文件要求 |
| 哪些證據自己能控制 | 使用紀錄、核准、教育訓練、輸出審查是你的；模型訓練資料與測試多半只能向供應商要 |
| 法人、場域與共用服務的邊界 | 平台由總公司營運、子公司使用時，誰負責什麼要寫進範圍聲明 |
| 對外怎麼宣稱 | 證書只涵蓋範圍聲明內的組織與活動，不能延伸成「全集團、全產品」 |
顧問應該交付什麼
- AIMS 範圍聲明：納入與排除的法人、場域、AI 系統與理由
- AI 系統清冊：用途、使用部門、資料類別、供應商、核准人
- 責任分工表：總公司平台、子公司使用、供應商三方的責任
- 擴大範圍的路線圖：第二階段納入哪些單位、前提條件是什麼
怎麼驗收
範圍聲明的每一項都能對到清冊中的系統與負責人；驗證機構抽查任一 AI 工具時，能找到核准、使用規範與教育訓練紀錄；業務對外說明的範圍與證書一致。
不能保證的事
範圍定得窄可以先取證，但不代表範圍外的 AI 使用沒有風險；客戶若要求全集團證明，仍要排時程擴大。
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程輔導，不外包
- 專案節奏（服務頁所列）：範圍與盤點 2–4 週、風險與影響評估 3–5 週、制度建置 6–10 週、稽核與驗證 4–8 週；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
- 已完成的工作（受保密協議限制、匿名）：製造業自動化企業建立 AI 系統清單、完成 AI 風險分級，針對高風險應用建立演算法審查流程與人類監督機制，取得 ISO 42001 驗證
相關問題
- 沒有自己開發 AI，也能取得 ISO 42001 驗證嗎？ 可以。ISO/IEC 42001 適用於提供或使用 AI 的組織；只使用外購 AI 的企業，範圍與控制著重在使用、資料輸入、輸出審查與供應商管理。ISO 42001 導入輔導
- 多個法人可以只驗證其中一個嗎？ 可以先驗證一個法人或事業群，範圍聲明要寫清楚納入與排除的理由，對外宣稱也以證書範圍為準。台灣 ISO 42001 顧問怎麼選
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。