依情境拆開評估
| 情境 | 錯誤落在誰身上 | 要另外看的事 | 驗收不能只看 |
|---|---|---|---|
| 履歷排序 | 求職者 | 不同群體的通過率差異、資料限制、申訴與人工覆核 | 整體準確率 |
| 醫療行政摘要／影像參考 | 病人、醫師 | 預期用途、使用者資格、法規邊界、責任分工 | 同一個風險等級 |
| 工廠瑕疵檢測／危險區警示 | 產品品質／現場人員 | 漏判後果、失效安全、人員監督、停用條件 | 同一套模型的平均表現 |
顧問應該交付什麼
- 每個用途一份 AI 系統影響評估：受影響者、可能傷害、嚴重度、可逆性、緩解措施
- 依用途訂定的驗收標準：分群表現、漏判與誤判的代價、上線門檻
- 人員監督設計：誰在什麼時點能介入、怎麼停用、怎麼留紀錄
- 申訴與覆核機制（對人做決定的用途）
- 依實際使用國家判斷是否另有法律義務的待確認清單，由律師出具意見
怎麼驗收
同一套模型用於兩種用途時，有兩份影響評估、兩套驗收標準與兩個上線核准紀錄；分群表現有測試證據，不只有一個平均數。
不能保證的事
影響評估能讓風險被看見並有人負責，但不保證零偏差或零事故；法律是否構成歧視或醫療器材，需由律師或主管機關判斷。
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程輔導，不外包
- 專案節奏（服務頁所列）：範圍與盤點 2–4 週、風險與影響評估 3–5 週、制度建置 6–10 週、稽核與驗證 4–8 週；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
- 已完成的工作（受保密協議限制、匿名）：製造業自動化企業建立 AI 系統清單、完成 AI 風險分級，針對高風險應用建立演算法審查流程與人類監督機制，取得 ISO 42001 驗證
相關問題
- AI 系統影響評估和 DPIA 有什麼不同？ DPIA 看個資處理對當事人權利的風險；AI 系統影響評估看 AI 對個人、群體與社會的影響，包括偏差、公平、安全與就業。兩者可以共用事實，但各自的內容與核准程序要分別完成。ISO 42001 導入輔導
- 用在招募的 AI 進歐盟會是高風險嗎？ EU AI Act 附件 III 列有就業與人員管理相關用途；是否落入高風險、適用哪個日期，要依實際用途與修正後的規定判斷。台灣 EU AI Act 顧問怎麼選
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。