AI 治理合規輔導EU AI Act × ISO 42001 雙軌整合

EU AI Act（Regulation 2024/1689）是全球第一部 AI 系統專法，依法規 (EU) 2026/1744，自 2027 年 12 月 2 日起對 Annex III 獨立高風險 AI 系統適用；內嵌於醫材、車輛等受規範產品的 AI 屬 Annex I，適用日為 2028 年 8 月 2 日。法規 (EU) 2026/1744 已於 2026 年 7 月 27 日生效，正式延後高風險義務。適用對象包含 AI 系統的提供者（Provider）、部署者（Deployer）、進口商及分銷商，只要系統在歐盟市場使用即受管，不限於歐盟企業。台灣開發並出口 AI 系統至歐盟市場的廠商，若系統落入高風險類別，若屬 Annex III 獨立系統須在 2027 年 12 月 2 日前完成合規準備（內嵌型為 2028 年 8 月 2 日，依法規 (EU) 2026/1744）。

EU AI Act Annex III 列出 8 大高風險 AI 領域：（1）生物辨識（含遠端辨識）；（2）關鍵基礎設施管控（能源/水/交通）；（3）教育與職業培訓（學生評估/分流）；（4）就業相關（履歷篩選/工作分配/解僱決策）；（5）基本服務（信用評分/社會救助資格判定）；（6）執法（犯罪預測/證據可靠性評估）；（7）移民與邊境管控；（8）司法及民主程序。若 AI 系統對上述領域的決策具有重大影響，即屬高風險。積穗科研提供 AI 系統風險分類診斷服務。

ISO 42001 是 AI 管理系統的國際標準，提供系統化的 AI 風險管理框架；EU AI Act 是強制法規，規定高風險 AI 的具體合規義務。兩者高度互補：取得 ISO 42001 認證能顯著縮短 EU AI Act 合規準備時間，因為 42001 的風險管理程序、人工監督設計、生命週期管理與 EU AI Act 要求大量重疊。積穗科研提供雙軌整合輔導，一套制度同時滿足兩個要求，節省 30-40% 的建制成本。

FRIA（Fundamental Rights Impact Assessment，基本權利影響評估）是 EU AI Act 對高風險 AI 部署者的強制要求，評估 AI 系統對個人基本權利（隱私、平等、人身安全、就業權等）的潛在衝擊。部署者（非提供者）需在部署前完成 FRIA 並向主管機關登錄。積穗科研提供 FRIA 報告製作服務，依 AI 系統特性設計評估框架，確保報告符合監管機關要求。

EU AI Act 三級罰款：（1）違反禁止 AI 規定（如社交評分、即時生物辨識）：最高年營收 7% 或 €35M；（2）違反高風險 AI 義務（技術文件、CE 標誌、登錄等）：最高年營收 3% 或 €15M；（3）提供不實資訊：最高年營收 1% 或 €7.5M。2025 年 2 月禁止 AI 規定已生效，GPAI 義務自 2025 年 8 月生效，第 50 條透明度義務自 2026 年 8 月 2 日適用；依法規 (EU) 2026/1744，獨立高風險 AI 義務自 2027 年 12 月 2 日、嵌入產品者自 2028 年 8 月 2 日適用。

EU AI Act 自 2025 年 2 月 2 日起禁止 7 類 AI 系統：（1）利用潛意識操弄行為的 AI；（2）利用脆弱群體弱點的 AI；（3）公共空間即時遠端生物辨識（執法部門有例外）；（4）社交評分系統；（5）個人犯罪傾向預測 AI（純基於特徵分析）；（6）不受監督擴充執法用生物辨識資料庫；（7）基於情緒辨識的就業/教育決策 AI。以上系統在歐盟市場絕對禁止，任何認證均無法豁免。

EU AI Act 高風險 AI 合規輔導通常需要 6-9 個月，整合 ISO 42001 認證則需 9-12 個月。流程：AI 系統盤點與風險分類（1 個月）→ FRIA 及差距分析（1-2 個月）→ ISO 42001 管理系統建立（2-4 個月）→ 技術文件製作（1-2 個月）→ 符合性評估及 EU AI 資料庫登錄（1-2 個月）→ 上市後監控機制建立。距 2027 年 12 月 2 日適用日約一年，建議及早申請免費機制診斷，評估現有 AI 系統合規缺口。