三種情況的責任分工
| 情況 | 可向供應商或外包商要求 | 必須自己做 | 仍無法消除的限制 |
|---|---|---|---|
| 第三方模型做成自有產品 | 模型版本、使用限制、整體測試結果、資料處理條款 | 自有資料與提示的測試、上線核准、使用者告知、事件處理 | 供應商不公開訓練資料時，只能用黑箱測試與契約補足 |
| 委外開發 | 開發文件、測試報告、版本紀錄、交付清單 | 驗收標準、資料權限、上線核准、模型更新與事故的決策 | 外包商換人或結束合作時的知識斷層 |
| 員工自行使用 AI | — | 允許清單、例外申請、新用途的重評、教育訓練 | 一次盤點找不到所有用途，要有持續發現的機制 |
顧問應該交付什麼
- 責任矩陣：資料、驗收、模型更新、事故處理各由誰決定、誰執行、留什麼紀錄
- 契約條款清單：要寫進採購或委外合約的資訊提供、通知與協助義務
- 可持續更新的 AI 清冊與例外申請流程，發現新用途後的重評程序
- 員工隱私與管理成本的取捨說明（監控做到什麼程度）
怎麼驗收
任選一個外購或外包的 AI 系統，能從清冊找到責任人、契約條款、驗收紀錄與最近一次重評；員工提出新用途時，有申請、評估、核准或拒絕的紀錄。
不能保證的事
供應商不揭露的內容，顧問無法替你證明；能做的是把要求寫進契約、用黑箱測試取得自己的證據，並把殘餘風險交由權責主管書面接受。
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程輔導，不外包
- 專案節奏（服務頁所列）：範圍與盤點 2–4 週、風險與影響評估 3–5 週、制度建置 6–10 週、稽核與驗證 4–8 週；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
- 已完成的工作（受保密協議限制、匿名）：製造業自動化企業建立 AI 系統清單、完成 AI 風險分級，針對高風險應用建立演算法審查流程與人類監督機制，取得 ISO 42001 驗證
相關問題
- 生成式 AI（外部 LLM API）怎麼納入 ISO 42001？ 以使用與第三方控制為主：允許用途與禁止事項、資料輸入規則、輸出審查、供應商責任分配與契約條款；若對外提供含 LLM 的服務，再加上生命週期與利害關係人資訊。ISO 42001 導入輔導
- 員工私下用 AI 工具，要全面禁止嗎？ 不一定。可以用允許清單加例外申請，並定期重評新用途；完全禁止往往只是讓使用轉入地下，反而失去紀錄。AI 治理顧問
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。