当企业开始逐个工具地使用 AI 时，董事会提出的问题就会发生变化：“我们在使用哪些 AI 系统，谁在监控风险，我们如何证明这一点？”ISO 42001 是以管理体系框架回答这一问题的国际标准。本文将介绍什么是 ISO 42001、它面向谁、认证如何进行，以及该标准与欧盟《人工智能法》（EU AI Act）的关系。
什么是 ISO 42001？
其正式名称为 ISO/IEC 42001:2023，是规定在组织内建立、实施、保持和持续改进人工智能管理体系（AIMS；土耳其语为 YZYS）要求的国际标准。ISO 将其描述为全球首个人工智能管理体系标准。
该标准是为提供或使用基于 AI 的产品或服务的组织设计的。其目的是确保 AI 系统得到负责任的开发和使用。
ISO 标准页面上的发布信息如下：
| 项目 | 内容 |
|---|---|
| 完整标题 | Information technology — Artificial intelligence — Management system |
| 发布时间 | 2023 年 12 月，第 1 版 |
| 页数 | 51 |
| 编制委员会 | ISO/IEC JTC 1/SC 42 |
与 ISO 27001 一样，该标准由 ISO 和国际电工委员会（IEC）联合编制，因此其正式缩写为 ISO/IEC 42001。
“人工智能管理体系”是什么意思？
ISO 将这一概念定义为组织内一组相互关联的要素，它为负责任地开发、提供或使用其 AI 系统确立方针和目标，以及实现这些目标的过程。
这里的关键在于：ISO 42001 并不关注任何单个 AI 应用的技术细节。根据 ISO 的说法，该标准提供了一种在整个组织范围内管理 AI 相关风险和机遇的实用方法。实施通过策划-实施-检查-处置（PDCA；土耳其语为 PUKÖ）循环进行。
ISO 在标准页面上强调的益处：
- 管理风险和机遇的框架
- 能够证明 AI 得到了负责任的使用
- 可追溯性、透明度和可靠性
- 支持符合法律和监管要求
ISO 指出，该标准还涉及 AI 特有的问题，如伦理考量、透明度以及系统的持续学习。
适用于谁？
ISO 的回答很宽泛：开发、提供或使用基于 AI 的产品或服务的任何规模的组织。该标准可应用于所有行业，不仅与企业相关，也与公共机构和非营利组织相关。ISO 补充说，该标准旨在适用于不同的 AI 应用和使用场景。
这意味着，该标准的适用范围不仅可以涵盖开发 AI 模型的科技公司，也可以涵盖在业务流程中使用现成 AI 工具的制造、金融或服务企业。员工使用哪些工具、使用哪些数据，是管理体系首先要解决的问题之一。这一话题在关于员工的 AI 使用与治理的文章中有单独介绍。
与 ISO 42001 相关的其他 AI 标准
ISO 在 AI 领域有若干相互补充的标准。决策者最可能接触到的有：
| 标准 | 作用是什么？（ISO 的描述） |
|---|---|
| ISO/IEC 42001 | 人工智能管理体系的要求；认证所依据的标准 |
| ISO/IEC 23894 | AI 特有风险管理指南（2023 年 2 月） |
| ISO/IEC 22989 | AI 术语和基本概念 |
| ISO/IEC 23053 | 描述使用机器学习的通用 AI 系统的框架 |
| ISO/IEC 42006 | 对依据 ISO 42001 开展审核和认证的机构的附加要求（2025 年 7 月） |
ISO/IEC 23894 是一份指南；它不设定要求。根据 ISO 的说法，它描述了开发、生产、部署或使用利用 AI 的产品、系统和服务的组织如何管理 AI 特有的风险，并旨在将风险管理融入 AI 相关活动。在实践中，42001 回答“应该做什么”的问题，而 23894 在风险方面回答“可以怎么做”的问题。
与 ISO 27001 有何不同？
这两项标准遵循相同的管理体系逻辑，但所要保护的对象不同。ISO 27001 侧重于保护信息的保密性、完整性和可用性。而 ISO 42001 侧重于负责任地开发和使用 AI 系统，即伦理、透明度和 AI 特有的风险。
两者互不替代。ISO 将这两项标准打包提供，也说明了同样的道理：由于 AI 系统常常处理敏感数据，信息安全和 AI 管理最终需要在同一家企业中并行存在。已经建立 ISO 27001 管理体系的企业，可以将范围界定、风险评估、内部审核和管理评审等做法沿用到 ISO 42001。
证书由谁颁发？
与 ISO 27001 一样，这里的基本规则相同：**ISO 不开展认证，也不颁发证书。**认证由独立的认证机构进行。
ISO 42001 在这方面有一项新进展。2025 年 7 月发布的 ISO/IEC 42006 为依据 ISO 42001 审核和认证人工智能管理体系的机构规定了附加要求。根据 ISO 的说法，该标准以管理体系认证的通用标准 ISO/IEC 17021-1 为基础，旨在确保审核员有能力评估 AI 特有的议题。
在选择认证机构时，ISO 的通用建议同样适用：比较多家机构，核实该机构是否获得认可，为此可咨询本国的国家认可机构或国际认可论坛的 IAF CertSearch 数据库。ISO 还指出，认可并非强制性的，但它表明机构能力已经过独立验证。在审查供应商出示的 42001 证书时，需要查看证书由哪家机构颁发、范围是什么，以及是否在认可下颁发。
与欧盟《人工智能法》的关系
向欧盟提供产品或服务的土耳其企业经常提出的一个问题是：ISO 42001 证书是否等同于符合欧盟《人工智能法》（Regulation (EU) 2024/1689）。
该法要求高风险 AI 系统的提供者拥有在系统整个生命周期内保持的质量管理体系（第 17 条）和风险管理体系（第 9 条）。这些要求以通过书面政策、程序和指令记录的管理体系逻辑为基础；由于 ISO 42001 也构建同类结构，它可以为准备工作提供共同基础。
然而，根据该法第 40 条，符合性推定适用于符合其编号已在欧盟官方公报上公布的协调标准的系统。因此，不应得出仅凭 ISO 42001 证书就意味着符合该法的结论。该法的分阶段实施时间表在关于欧盟《人工智能法》新时间表的文章中有概述。
起步的第一步
以下顺序并不遵循标准的条款；它是用于规划准备工作的通用框架：
- 建立清单。 企业中有哪些 AI 系统正在被开发、采购或由员工使用？
- 确定您的角色。 对每个系统而言，您是开发者、提供者还是使用者？
- 明确范围。 管理体系是覆盖整个公司，还是特定的产品和流程？
- 写明政策和职责。 谁对 AI 的使用作出决定、谁审批、谁监控？
- 评估风险。 ISO/IEC 23894 中的方法可以作为应对 AI 特有风险的指南。
- 衡量和评审。 建立内部审核和管理评审的循环；如果希望获得认证，再向经认可的机构申请。
结论
ISO 42001 是一个将 AI 使用从单个项目中抽离出来、使其成为企业管理中可追溯组成部分的框架。即使不以认证为目标，该标准提出的问题（哪些系统、哪些风险、谁负责）对任何规模的企业来说都是一个有用的起点。考虑建立人工智能管理体系的组织，可以从初步评估入手，了解现有流程在哪些方面与这一框架相符，以及还存在哪些差距。
#interimmanagement #forwarddeployedengineering