ISO∕IEC 42001-2023《信息技術(shù)-人工智能-管理體系》之7：“6策劃-6.1 確定風(fēng)險和機(jī)遇的措施”解讀和應(yīng)用指導(dǎo)材料（雷澤佳編制-2024A0）

ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》之7“6策劃-6.1確定風(fēng)險和機(jī)遇的措施”解讀和應(yīng)用指導(dǎo)材料ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》之7“6策劃-6.1確定風(fēng)險和機(jī)遇的措施”解讀和應(yīng)用指導(dǎo)材料ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》6策劃6.1確定風(fēng)險和機(jī)遇的措施6.1.1總則在對人工智能管理體系進(jìn)行策劃時，組織應(yīng)考慮4.1中提及的因素和4.2中提及的要求，并確定需要應(yīng)對的風(fēng)險和機(jī)遇，以：——確保人工智能管理體系能夠?qū)崿F(xiàn)其預(yù)期結(jié)果；——預(yù)防或減少不利影響；——實(shí)現(xiàn)持續(xù)改進(jìn)。組織應(yīng)建立和保持人工智能風(fēng)險準(zhǔn)則，以支持以下工作：——區(qū)分可接受與不可接受的風(fēng)險；——進(jìn)行人工智能風(fēng)險評估；——實(shí)施人工智能風(fēng)險應(yīng)對；——評估人工智能風(fēng)險的影響。注1：ISO/IEC38507和ISO/IEC23894中提供了確定組織愿意追求或保留的風(fēng)險數(shù)量和類型的考慮因素。組織應(yīng)根據(jù)以下因素確定風(fēng)險和機(jī)遇：——人工智能系統(tǒng)的領(lǐng)域和應(yīng)用背景；——預(yù)期用途；——4.1中提及的外部和內(nèi)部因素。注2：在人工智能管理體系的范圍內(nèi)可考慮不止一個人工智能系統(tǒng)。在這種情況下，應(yīng)針對每個人工智能系統(tǒng)或人工智能系統(tǒng)組確定機(jī)會和用途。組織應(yīng)策劃：a）應(yīng)對這些風(fēng)險和機(jī)遇的措施；b）如何做：1）在其人工智能管理體系過程中整合并實(shí)施這些措施；2）評價這些措施的有效性。組織應(yīng)保留為識別和應(yīng)對人工智能風(fēng)險和機(jī)遇而采取的措施的成文信息。注3：關(guān)于如何為開發(fā)、提供或使用人工智能產(chǎn)品、系統(tǒng)和服務(wù)的組織實(shí)施風(fēng)險管理的指導(dǎo)見ISO/IEC23894。注4：組織及其活動的背景會對組織的風(fēng)險管理活動產(chǎn)生影響。注5：不同部門和行業(yè)對風(fēng)險的定義以及風(fēng)險管理的設(shè)想可能有所不同。3.7中對風(fēng)險的規(guī)范性定義允許對風(fēng)險有一個廣泛的認(rèn)識，以適應(yīng)任何部門，如條款D.1中提到的部門。在任何情況下，作為風(fēng)險評估的一部分，組織的職責(zé)是首先采用適合其環(huán)境的風(fēng)險觀。這可以包括通過人工智能系統(tǒng)為之開發(fā)和使用的部門所使用的定義來看待風(fēng)險，如ISO/IEC指南51中的定義。6策劃6.1確定風(fēng)險和機(jī)遇的措施6.1.1總則風(fēng)險的定義及理解：風(fēng)險定義：風(fēng)險指不確定性對目標(biāo)的影響。這種影響可能源于多種內(nèi)外因素，導(dǎo)致實(shí)際結(jié)果與預(yù)期目標(biāo)之間產(chǎn)生偏差；影響的雙重性：風(fēng)險所帶來的影響可能是積極的，也可能是消極的。這意味著風(fēng)險不僅可能導(dǎo)致不利的結(jié)果，也有可能帶來意外的收益或機(jī)遇；不確定性的含義：不確定性指的是對某一具體事件、該事件的潛在后果，或者這些事件和后果發(fā)生的可能性缺乏足夠的信息、理解或知識。這種不確定性可能是完全的或部分的信息缺失；風(fēng)險的描述方式：風(fēng)險通?？梢酝ㄟ^描述潛在的事件以及這些事件可能導(dǎo)致的后果來進(jìn)行概括；風(fēng)險的量化表示：風(fēng)險的大小和可能性通?？梢酝ㄟ^分析事件的潛在后果（這些后果可能包括各種環(huán)境變化）以及這些后果實(shí)際發(fā)生的概率來綜合評估。策劃人工智能管理體系應(yīng)考慮組織環(huán)境及相關(guān)方需求；在對人工智能管理體系進(jìn)行策劃時，組織應(yīng)綜合考慮多個方面以確定并應(yīng)對相關(guān)的風(fēng)險和機(jī)遇。這些考慮因素包括：組織及其環(huán)境：必須審視“4.1理解組織及其環(huán)境”中提到的內(nèi)部和外部因素，包括組織的宗旨、影響預(yù)期結(jié)果的能力、開發(fā)或使用人工智能系統(tǒng)的預(yù)期目的以及組織在人工智能系統(tǒng)中的角色等。相關(guān)方的需求和期望：考慮“4.2理解相關(guān)方的需求和期望”中明確的相關(guān)方的要求，包括確定與人工智能管理體系有關(guān)的相關(guān)方、這些相關(guān)方的具體要求以及如何通過管理體系來滿足這些要求。確定需要應(yīng)對的風(fēng)險和機(jī)遇的目的；確保人工智能管理體系實(shí)現(xiàn)預(yù)期結(jié)果：人工智能管理體系的預(yù)期結(jié)果可能涉及以下幾個方面：人工智能系統(tǒng)的有效性和安全性：確保人工智能系統(tǒng)的運(yùn)行穩(wěn)定、準(zhǔn)確，且不會因安全問題造成組織損失；合規(guī)性：符合適用的法律法規(guī)、行業(yè)標(biāo)準(zhǔn)以及組織的內(nèi)部政策，避免因違規(guī)而面臨的法律風(fēng)險；業(yè)務(wù)目標(biāo)的達(dá)成：支持組織業(yè)務(wù)目標(biāo)的實(shí)現(xiàn)，提高運(yùn)營效率，降低運(yùn)營成本；風(fēng)險管理：識別、評估、監(jiān)控和響應(yīng)與人工智能系統(tǒng)相關(guān)的風(fēng)險，確保風(fēng)險在可控范圍內(nèi)；相關(guān)方的需求和期望：滿足內(nèi)外部相關(guān)方對人工智能系統(tǒng)的需求和期望。預(yù)期結(jié)果的重要性：確保人工智能管理體系能夠?qū)崿F(xiàn)預(yù)期的管理效果和業(yè)務(wù)目標(biāo)是風(fēng)險評估和機(jī)遇識別的核心目標(biāo)。組織應(yīng)明確這些預(yù)期結(jié)果，并通過風(fēng)險評估和機(jī)遇識別確保人工智能管理體系的運(yùn)行與之相符；確保人工智能管理體系的有效運(yùn)行：組織應(yīng)通過系統(tǒng)地評估、應(yīng)對和監(jiān)控風(fēng)險，以及識別和利用機(jī)遇，來確保人工智能管理體系能夠按照既定的方針和目標(biāo)有效運(yùn)行；實(shí)現(xiàn)預(yù)期的管理效果和業(yè)務(wù)目標(biāo)：風(fēng)險管理不僅關(guān)乎人工智能管理體系的穩(wěn)定性和安全性，更關(guān)乎如何通過風(fēng)險控制和機(jī)遇把握來推動組織的業(yè)務(wù)發(fā)展和實(shí)現(xiàn)管理效益。預(yù)防或減少不利影響；“不利影響”：指那些可能對組織、個人和社會造成的潛在后果，這些后果是負(fù)面的、不利的。具體可能包括但不限于對組織目標(biāo)、業(yè)務(wù)運(yùn)營、法律合規(guī)、道德和倫理標(biāo)準(zhǔn)、安全、隱私、公平性和可持續(xù)性等方面的不利影響。這些不利影響可能是由人工智能系統(tǒng)的不當(dāng)使用、設(shè)計缺陷、數(shù)據(jù)問題、技術(shù)限制或其他因素引起的；風(fēng)險識別的重要性：人工智能管理體系的成功實(shí)施和維持依賴于組織能夠識別出那些可能阻礙其達(dá)到預(yù)定目標(biāo)的風(fēng)險；風(fēng)險的評估與應(yīng)對：在識別出潛在風(fēng)險后，組織應(yīng)對這些風(fēng)險進(jìn)行評估，確定其性質(zhì)和可能性，以便對優(yōu)先級進(jìn)行排序?；陲L(fēng)險評估的結(jié)果，組織應(yīng)制定風(fēng)險應(yīng)對策略，選擇適當(dāng)?shù)膽?yīng)對措施以降低風(fēng)險或避免其發(fā)生；降低或避免風(fēng)險：組織通過實(shí)施風(fēng)險應(yīng)對措施，可以降低風(fēng)險發(fā)生的可能性，或者減少風(fēng)險發(fā)生后對組織的影響。實(shí)現(xiàn)持續(xù)改進(jìn)。持續(xù)改進(jìn)的核心地位：持續(xù)改進(jìn)被視為人工智能管理體系成功的關(guān)鍵要素。組織不能停滯不前，而必須不斷地尋求優(yōu)化和提升的機(jī)會；定期識別新的風(fēng)險和機(jī)遇：為了實(shí)現(xiàn)持續(xù)改進(jìn)，組織需定期審視其運(yùn)營環(huán)境，識別新的風(fēng)險因素和發(fā)展機(jī)遇；調(diào)整管理策略和過程：根據(jù)新識別的風(fēng)險和機(jī)遇，組織應(yīng)及時調(diào)整其管理策略和運(yùn)營過程，以確保組織能夠靈活應(yīng)對各種變化。適應(yīng)不斷變化的環(huán)境和業(yè)務(wù)需求：在不斷變化的市場和技術(shù)環(huán)境中，組織通過持續(xù)改進(jìn)，確保其人工智能管理體系始終與當(dāng)前的業(yè)務(wù)需求和市場環(huán)境保持同步；保持競爭力和應(yīng)對未來挑戰(zhàn)：持續(xù)改進(jìn)能力能夠使組織更好地預(yù)見和準(zhǔn)備應(yīng)對未來的挑戰(zhàn)，從而確保其長期穩(wěn)健地發(fā)展。組織應(yīng)建立和保持人工智能風(fēng)險準(zhǔn)則，以支持組織在人工智能領(lǐng)域的風(fēng)險管理活動：建立人工智能風(fēng)險準(zhǔn)則：組織應(yīng)構(gòu)建并維護(hù)一套人工智能風(fēng)險準(zhǔn)則，作為管理人工智能領(lǐng)域風(fēng)險的基準(zhǔn)；風(fēng)險準(zhǔn)則的目的：這些準(zhǔn)則旨在幫助組織區(qū)分可接受與不可接受的風(fēng)險，指導(dǎo)人工智能風(fēng)險評估的實(shí)施，以及進(jìn)行人工智能風(fēng)險應(yīng)對和評估風(fēng)險的影響；準(zhǔn)則內(nèi)容：風(fēng)險準(zhǔn)則可能包括但不限于人工智能系統(tǒng)可能出現(xiàn)的風(fēng)險類型、風(fēng)險評估的方法、風(fēng)險影響程度的定義以及針對不同風(fēng)險水平應(yīng)采取的響應(yīng)措施等；區(qū)分可接受與不可接受的風(fēng)險：組織應(yīng)明確界定哪些人工智能風(fēng)險是可以接受的，哪些是不可接受的，從而做出相應(yīng)決策。組織應(yīng)明確界定風(fēng)險的可接受性：不是所有的風(fēng)險都是不可接受的，有些風(fēng)險在業(yè)務(wù)運(yùn)營中是難以避免的。因此，組織應(yīng)明確哪些風(fēng)險是可以接受的，哪些是不可接受的。這種界定有助于組織在面臨風(fēng)險時做出明智的決策；做出相應(yīng)決策：在明確了風(fēng)險的可接受性后，組織應(yīng)根據(jù)這些準(zhǔn)則來制定相應(yīng)的風(fēng)險管理策略。對于不可接受的風(fēng)險，組織應(yīng)采取措施來降低或消除這些風(fēng)險；對于可接受的風(fēng)險，組織可以選擇接受并監(jiān)控這些風(fēng)險，確保它們不會演變成更大的問題。進(jìn)行人工智能風(fēng)險評估：組織應(yīng)按照建立的準(zhǔn)則，對人工智能系統(tǒng)及其使用可能帶來的風(fēng)險進(jìn)行識別、分析和評價；風(fēng)險識別：組織應(yīng)按照已建立的人工智能風(fēng)險準(zhǔn)則，識別與人工智能系統(tǒng)及其使用相關(guān)的潛在風(fēng)險；風(fēng)險分析：分析識別出的風(fēng)險，評估其發(fā)生的可能性和潛在的影響程度（后果）；風(fēng)險評價：根據(jù)分析結(jié)果，對風(fēng)險進(jìn)行評級或分類，以便后續(xù)采取適當(dāng)?shù)娘L(fēng)險管理措施。實(shí)施人工智能風(fēng)險應(yīng)對：在評估了風(fēng)險后，組織應(yīng)制定并實(shí)施風(fēng)險應(yīng)對措施，如風(fēng)險規(guī)避、減輕、轉(zhuǎn)移或接受。風(fēng)險應(yīng)對的重要性：在完成風(fēng)險評估后，組織應(yīng)制定并執(zhí)行風(fēng)險應(yīng)對措施，以確保人工智能體系的有效性和安全性；風(fēng)險應(yīng)對措施；風(fēng)險規(guī)避：通過避免高風(fēng)險活動或采取替代方案來消除風(fēng)險；風(fēng)險減輕：通過降低風(fēng)險發(fā)生的可能性或影響程度來減少風(fēng)險；風(fēng)險轉(zhuǎn)移：將風(fēng)險的部分或全部責(zé)任轉(zhuǎn)移給另一方，如通過購買保險；風(fēng)險接受：在評估了風(fēng)險后，組織可以選擇接受風(fēng)險，前提是風(fēng)險的影響在可承受范圍內(nèi)。應(yīng)對措施的實(shí)施：組織應(yīng)根據(jù)風(fēng)險評估的結(jié)果，結(jié)合組織的實(shí)際情況和目標(biāo)，選擇合適的應(yīng)對措施，并確保這些措施得到有效執(zhí)行。評估人工智能風(fēng)險的影響：在評估風(fēng)險影響時，組織可以根據(jù)風(fēng)險準(zhǔn)則來確定風(fēng)險的潛在后果和可能性，進(jìn)而對風(fēng)險進(jìn)行優(yōu)先級排序和應(yīng)對。評估風(fēng)險影響：在評估風(fēng)險影響時，組織可以根據(jù)風(fēng)險準(zhǔn)則來確定每一個風(fēng)險的潛在危害程度和其發(fā)生的可能性；對風(fēng)險進(jìn)行優(yōu)先級排序和應(yīng)對：基于風(fēng)險的潛在后果和可能性，組織可以對識別出的風(fēng)險進(jìn)行排序，優(yōu)先處理那些后果嚴(yán)重且發(fā)生可能性高的風(fēng)險。同時，風(fēng)險準(zhǔn)則也應(yīng)指導(dǎo)組織如何采取有效的應(yīng)對措施。注1：ISO/IEC38507:2022《信息技術(shù)-信息技術(shù)治理-組織使用人工智能的治理影響》和ISO/IEC23894:2023《信息技術(shù)-人工智能-風(fēng)險管理指南》中提供了確定組織愿意追求或保留的風(fēng)險數(shù)量和類型的考慮因素。組織應(yīng)根據(jù)以下因素確定風(fēng)險和機(jī)遇：人工智能系統(tǒng)的領(lǐng)域和應(yīng)用背景：人工智能系統(tǒng)的領(lǐng)域：可能包括如醫(yī)療保健、金融、制造業(yè)、零售業(yè)、交通、教育等各個行業(yè)或業(yè)務(wù)范疇，具體領(lǐng)域取決于組織所開發(fā)、提供或使用的人工智能系統(tǒng)的具體應(yīng)用和目標(biāo)；人工智能系統(tǒng)的應(yīng)用背景：人工智能系統(tǒng)應(yīng)用的相關(guān)環(huán)境、條件和情況，可能包括系統(tǒng)的預(yù)期用途、組織的目標(biāo)、業(yè)務(wù)流程的特定需求、用戶的期望、相關(guān)的法律法規(guī)和政策環(huán)境，以及技術(shù)和數(shù)據(jù)可用性等，它們?yōu)轱L(fēng)險評估提供了基礎(chǔ)框架。相關(guān)因素的綜合考量：預(yù)期用途：系統(tǒng)的預(yù)期功能和使用目的對風(fēng)險分析至關(guān)重要；組織目標(biāo)：組織的長遠(yuǎn)規(guī)劃和目標(biāo)影響人工智能系統(tǒng)的部署方式和風(fēng)險容忍度；業(yè)務(wù)流程需求：組織內(nèi)部流程的獨(dú)特需求會影響系統(tǒng)的設(shè)計和實(shí)施，從而帶來特定的風(fēng)險；用戶期望：用戶對系統(tǒng)的期望和反饋是系統(tǒng)改進(jìn)和風(fēng)險管理的關(guān)鍵輸入；法律法規(guī)和政策環(huán)境：合規(guī)性是風(fēng)險管理的重要方面，必須考慮相關(guān)的法律和政策要求；技術(shù)和數(shù)據(jù)可用性：技術(shù)的穩(wěn)定性和數(shù)據(jù)的可靠性對系統(tǒng)性能和風(fēng)險有直接影響；組織運(yùn)營背景的影響：組織的運(yùn)營環(huán)境和背景對風(fēng)險管理活動有直接影響；這意味著風(fēng)險管理策略應(yīng)緊密結(jié)合組織的實(shí)際情況和運(yùn)營特點(diǎn)；行業(yè)差異與風(fēng)險管理：不同部門和行業(yè)對風(fēng)險的理解和管理方法可能存在差異；因此，組織在進(jìn)行風(fēng)險管理時，應(yīng)采納符合其特定環(huán)境和行業(yè)特點(diǎn)的風(fēng)險觀念；參照行業(yè)風(fēng)險定義：組織可以參考相關(guān)部門或行業(yè)（例如健康、國防、交通等）對風(fēng)險的特定定義，以確保風(fēng)險評估的準(zhǔn)確性和針對性；采用國際標(biāo)準(zhǔn)：為確保風(fēng)險管理的全面性和有效性，組織可以借鑒國際標(biāo)準(zhǔn)如ISO/IEC指南51中關(guān)于安全問題的定義，從而形成一個綜合、系統(tǒng)的風(fēng)險管理方法。利用人工智能系統(tǒng)的領(lǐng)域和應(yīng)用背景確定風(fēng)險和機(jī)遇。理解和識別特定領(lǐng)域內(nèi)的常見風(fēng)險和挑戰(zhàn)，這些風(fēng)險可能因行業(yè)特性而有所不同；分析應(yīng)用背景對人工智能系統(tǒng)性能、安全性和可靠性的影響，例如，某些應(yīng)用背景可能需要更高的準(zhǔn)確率和更低的錯誤容忍度；考慮人工智能系統(tǒng)在不同領(lǐng)域和應(yīng)用中的潛在機(jī)遇，例如，優(yōu)化流程、提高效率、降低成本或提供新的服務(wù)或產(chǎn)品；評估人工智能系統(tǒng)對組織戰(zhàn)略目標(biāo)、業(yè)務(wù)模式和市場定位的貢獻(xiàn)，以及它如何幫助組織在競爭中取得優(yōu)勢。預(yù)期用途：人工智能系統(tǒng)的預(yù)期用途包括：明確使用目的：人工智能系統(tǒng)被設(shè)計用于實(shí)現(xiàn)特定的任務(wù)或功能，預(yù)期用途應(yīng)明確這些任務(wù)或功能的具體細(xì)節(jié)；預(yù)期運(yùn)行環(huán)境：描述人工智能系統(tǒng)預(yù)期在何種環(huán)境下運(yùn)行，例如特定的硬件和軟件環(huán)境；預(yù)期用戶群體：明確人工智能系統(tǒng)預(yù)期服務(wù)于哪些用戶或用戶群體，以及他們的特定需求；預(yù)期交互方式：描述用戶如何與人工智能系統(tǒng)進(jìn)行交互，包括輸入和輸出的形式；預(yù)期輸出結(jié)果：說明人工智能系統(tǒng)預(yù)期產(chǎn)生的輸出或結(jié)果，以及這些結(jié)果如何滿足用戶的需求；預(yù)期性能標(biāo)準(zhǔn)：定義人工智能系統(tǒng)應(yīng)達(dá)到的性能標(biāo)準(zhǔn)，如準(zhǔn)確性、效率、可靠性等；預(yù)期風(fēng)險與限制：識別并描述人工智能系統(tǒng)可能存在的風(fēng)險，以及使用該系統(tǒng)時的限制條件。分析人工智能系統(tǒng)的預(yù)期用途中的潛在風(fēng)險：根據(jù)預(yù)期用途，識別可能的技術(shù)風(fēng)險，如算法錯誤、數(shù)據(jù)偏差、模型過擬合等；評估與預(yù)期用途相關(guān)的操作風(fēng)險，包括人為錯誤、系統(tǒng)故障或安全問題；考慮法律和合規(guī)性風(fēng)險，如隱私泄露、數(shù)據(jù)保護(hù)違規(guī)等。識別人工智能系統(tǒng)的預(yù)期用途中的機(jī)遇：分析預(yù)期用途如何為組織帶來競爭優(yōu)勢，例如通過自動化提高效率、降低成本；探索人工智能系統(tǒng)如何能夠開創(chuàng)新的商業(yè)模式或服務(wù)；識別通過優(yōu)化用戶體驗(yàn)來增強(qiáng)客戶滿意度和忠誠度的機(jī)會。外部和內(nèi)部因素：“4.1理解組織及其環(huán)境”提及組織在理解和分析環(huán)境時應(yīng)考慮的外部和內(nèi)部因素。這些因素都會直接影響組織在實(shí)施人工智能系統(tǒng)時所面臨的風(fēng)險和可以把握的機(jī)遇。因此，在策劃人工智能管理體系時，組織應(yīng)全面考慮這些外部和內(nèi)部因素，以確保風(fēng)險管理活動的全面性和針對性。人工智能系統(tǒng)內(nèi)外環(huán)境風(fēng)險因素與機(jī)遇分析表類別內(nèi)外部環(huán)境因素子類別需要應(yīng)對的風(fēng)險需要應(yīng)對的機(jī)遇外部環(huán)境-適用的法律要求（包括禁止使用人工智能）法律變更導(dǎo)致的使用限制或禁止遵守法律要求，建立良好的企業(yè)合規(guī)形象-監(jiān)管機(jī)構(gòu)的政策、指導(dǎo)方針和決定對人工智能系統(tǒng)開發(fā)和使用中法律要求的解釋或執(zhí)行產(chǎn)生影響監(jiān)管政策變化可能導(dǎo)致系統(tǒng)需要重大調(diào)整及時了解并遵循新政策，獲取市場先機(jī)-與人工智能系統(tǒng)的預(yù)期目的和使用相關(guān)的激勵或后果預(yù)期目的不明確或不合理導(dǎo)致的法律風(fēng)險明確、合理的預(yù)期目的可帶來市場認(rèn)可和用戶信任4.人工智能發(fā)展和使用方面的文化、傳統(tǒng)、價值觀、規(guī)范和倫理文化差異、倫理爭議可能導(dǎo)致負(fù)面公眾輿論遵循當(dāng)?shù)匚幕蛡惱硪?guī)范，提升品牌形象5.使用人工智能系統(tǒng)的新產(chǎn)品和服務(wù)的競爭格局和趨勢市場競爭加劇，新技術(shù)或產(chǎn)品的出現(xiàn)可能導(dǎo)致市場份額下降把握市場趨勢，開發(fā)新產(chǎn)品或服務(wù)以滿足市場需求內(nèi)部環(huán)境-組織環(huán)境、治理、目標(biāo)（見6.2）方針和程序組織內(nèi)部環(huán)境不穩(wěn)定，治理不善可能導(dǎo)致項(xiàng)目失敗穩(wěn)定的組織環(huán)境和明確的治理方針有助于項(xiàng)目成功-合同義務(wù)合同履行不當(dāng)可能導(dǎo)致的法律糾紛和經(jīng)濟(jì)損失嚴(yán)格履行合同義務(wù)，建立良好的商業(yè)信譽(yù)-擬開發(fā)或使用人工智能系統(tǒng)的預(yù)期目的預(yù)期目的與實(shí)際需求不符，導(dǎo)致資源浪費(fèi)和項(xiàng)目失敗明確的預(yù)期目的有助于精準(zhǔn)定位市場需求，提升項(xiàng)目成功率人工智能系統(tǒng)風(fēng)險與機(jī)遇的綜合評估。多系統(tǒng)考慮：在人工智能管理體系的框架內(nèi)，組織可能會同時運(yùn)營或管理多個人工智能系統(tǒng)。這一點(diǎn)要求組織在進(jìn)行風(fēng)險和機(jī)遇評估時，不能僅采用一概而論的方式；個體化分析：針對每一個人工智能系統(tǒng)或相關(guān)系統(tǒng)組，組織都需要進(jìn)行獨(dú)立的風(fēng)險和機(jī)遇分析。這是因?yàn)椴煌娜斯ぶ悄芟到y(tǒng)可能具有不同的設(shè)計目標(biāo)、功能特性、應(yīng)用場景等，從而導(dǎo)致它們面臨的風(fēng)險和帶來的機(jī)遇也會有所不同；明確的用途定位：在確定每個系統(tǒng)的風(fēng)險和機(jī)遇時，應(yīng)明確該系統(tǒng)的具體用途。用途的不同會直接影響風(fēng)險評估的結(jié)果和可能抓住的機(jī)遇；綜合評估：組織應(yīng)對所有人工智能系統(tǒng)進(jìn)行全面的評估，這包括但不限于技術(shù)風(fēng)險、操作風(fēng)險、法律風(fēng)險以及市場機(jī)遇等多個方面。通過綜合評估，組織能夠制定出更為精準(zhǔn)的管理策略和措施。策劃人工智能風(fēng)險與機(jī)遇的應(yīng)對措施并實(shí)施評價應(yīng)對這些風(fēng)險和機(jī)遇的措施；組織應(yīng)針對識別出的每一個人工智能相關(guān)的風(fēng)險和機(jī)遇，制定具體的應(yīng)對措施：組織不能籠統(tǒng)地處理所有風(fēng)險和機(jī)遇，而應(yīng)對每一個具體識別出的風(fēng)險和機(jī)遇進(jìn)行詳細(xì)的分析，并根據(jù)其特性和可能的影響來制定相應(yīng)的應(yīng)對措施；這些措施可能包括但不限于風(fēng)險降低、風(fēng)險規(guī)避、風(fēng)險轉(zhuǎn)移等策略，以及抓住和利用機(jī)遇的方法。應(yīng)對風(fēng)險的措施可以多種多樣，包括但不限于降低風(fēng)險的發(fā)生概率或影響程度（風(fēng)險降低），完全避免某些高風(fēng)險活動（風(fēng)險規(guī)避），或者通過保險、外包等方式將風(fēng)險轉(zhuǎn)移給第三方（風(fēng)險轉(zhuǎn)移）；對于機(jī)遇，組織應(yīng)有明確的策略和方法來抓住并利用，從而轉(zhuǎn)化為實(shí)際的利益或競爭優(yōu)勢。措施應(yīng)該是具體的、可操作的，并且能夠直接應(yīng)對相應(yīng)的風(fēng)險或機(jī)遇。制定的措施不能是空洞或模糊的，而需要是明確、具體且可執(zhí)行的；措施必須直接針對已識別的風(fēng)險和機(jī)遇，以確保其針對性和實(shí)效性。每個措施都應(yīng)有明確的目標(biāo)和預(yù)期效果，能夠直接解決或利用特定的風(fēng)險或機(jī)遇。如何做（整合并實(shí)施措施）：在其人工智能管理體系過程中整合并實(shí)施這些措施：組織應(yīng)將識別出的風(fēng)險和機(jī)遇應(yīng)對措施與現(xiàn)有的人工智能管理體系緊密結(jié)合。這包括將應(yīng)對措施融入管理體系的各個階段，如開發(fā)、部署、運(yùn)行、監(jiān)控等；確保措施與管理體系相協(xié)調(diào)：整合過程中，組織需要仔細(xì)評估并確保應(yīng)對措施與管理體系的各個環(huán)節(jié)在目標(biāo)、方法和實(shí)施上保持一致性。這樣可以避免措施間的沖突或重復(fù)，確保管理體系的連貫性和有效性；確保所有人員了解并遵循措施：為了有效實(shí)施應(yīng)對措施，組織需要確保所有相關(guān)人員，包括開發(fā)人員、運(yùn)維人員、管理人員等，都充分理解這些措施，并能夠在日常工作中遵循執(zhí)行；建立監(jiān)控和反饋機(jī)制：為了驗(yàn)證應(yīng)對措施的有效性，組織應(yīng)建立適當(dāng)?shù)谋O(jiān)控和反饋機(jī)制。這包括對措施執(zhí)行情況進(jìn)行定期評估，并根據(jù)反饋及時調(diào)整和優(yōu)化措施，確保它們能夠適應(yīng)不斷變化的環(huán)境和需求。評價這些措施的有效性。評價標(biāo)準(zhǔn)與方法的建立；必要性：組織必須建立一套明確的評價標(biāo)準(zhǔn)和方法，用于評估其制定的人工智能風(fēng)險與機(jī)遇應(yīng)對措施是否達(dá)到預(yù)期的效果；內(nèi)容：評價標(biāo)準(zhǔn)和方法應(yīng)涵蓋多個方面，包括但不限于措施的執(zhí)行情況、執(zhí)行效果以及是否達(dá)成預(yù)期目標(biāo)等。評價內(nèi)容；措施執(zhí)行情況：組織應(yīng)定期檢查應(yīng)對措施是否按計劃執(zhí)行，包括執(zhí)行時間、執(zhí)行人員以及執(zhí)行的詳細(xì)步驟等；執(zhí)行效果：評價應(yīng)對措施的效果是關(guān)鍵，包括其在實(shí)際操作中是否減少了風(fēng)險、是否抓住了機(jī)遇以及是否提高了人工智能系統(tǒng)的性能等；目標(biāo)達(dá)成情況：組織應(yīng)確認(rèn)應(yīng)對措施是否達(dá)到了預(yù)期的目標(biāo)，例如提高系統(tǒng)的安全性、增強(qiáng)數(shù)據(jù)的隱私保護(hù)等。根據(jù)評價結(jié)果調(diào)整措施。及時調(diào)整：基于評價結(jié)果，組織應(yīng)及時調(diào)整和完善其應(yīng)對措施，以確保這些措施能夠持續(xù)有效地應(yīng)對人工智能系統(tǒng)中的風(fēng)險和機(jī)遇；無效或效果不佳的措施：如果發(fā)現(xiàn)某些應(yīng)對措施無效或效果不佳，組織應(yīng)立即進(jìn)行改進(jìn)或替換，以避免資源浪費(fèi)并提升管理體系的有效性。組織應(yīng)保留為識別和應(yīng)對人工智能風(fēng)險和機(jī)遇而采取的措施的成文信息，包括：風(fēng)險與機(jī)會識別記錄：描述組織如何全面識別與人工智能相關(guān)的風(fēng)險和機(jī)遇；風(fēng)險與機(jī)遇的詳細(xì)清單，包括它們的性質(zhì)、來源和潛在影響。風(fēng)險評估報告：對已識別風(fēng)險的分析和評估，包括風(fēng)險的大小、發(fā)生概率和可能造成的損失；風(fēng)險評估的方法和標(biāo)準(zhǔn)，以及評估過程中的關(guān)鍵假設(shè)和參數(shù)。風(fēng)險應(yīng)對措施文檔：詳細(xì)描述為應(yīng)對每種風(fēng)險而制定的具體措施，如預(yù)防、緩解、應(yīng)急響應(yīng)等；措施的實(shí)施計劃，包括時間表、負(fù)責(zé)人和所需資源。機(jī)遇利用方案：對識別到的機(jī)遇的詳細(xì)分析，包括機(jī)遇的潛在價值、實(shí)現(xiàn)的可能性和相關(guān)風(fēng)險；利用機(jī)遇的具體策略和行動計劃，以及預(yù)期帶來的益處。監(jiān)控和審查記錄：定期對已采取的風(fēng)險應(yīng)對措施和機(jī)遇利用方案進(jìn)行監(jiān)控和審查記錄；監(jiān)控結(jié)果的匯總和分析，包括措施的有效性評估和任何必要的調(diào)整建議。持續(xù)改進(jìn)計劃：基于監(jiān)控和審查結(jié)果制定的持續(xù)改進(jìn)計劃，旨在優(yōu)化風(fēng)險管理和機(jī)遇利用策略；改進(jìn)措施的實(shí)施進(jìn)展和效果驗(yàn)證記錄。溝通和培訓(xùn)記錄：與組織內(nèi)部和外部相關(guān)方就人工智能風(fēng)險和機(jī)遇進(jìn)行溝通的記錄；對員工進(jìn)行的與人工智能風(fēng)險和機(jī)遇管理相關(guān)的培訓(xùn)記錄。注：關(guān)于如何為開發(fā)、提供或使用人工智能產(chǎn)品、系統(tǒng)和服務(wù)的組織實(shí)施風(fēng)險管理的指導(dǎo)見ISO/IEC23894:2023《信息技術(shù)-人工智能-風(fēng)險管理指南》。ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》6.1.2人工智能風(fēng)險評估組織應(yīng)規(guī)定并建立人工智能風(fēng)險評估過程，該過程應(yīng)：a）引用并符合人工智能方針（見5.2）和人工智能目標(biāo)（見6.2）；注：在評估作為6.1.2d)1）部分的后果時，組織可利用6.1.4所述的人工智能系統(tǒng)影響評估。b）在設(shè)計上使重復(fù)的人工智能風(fēng)險評估能夠產(chǎn)生一致、有效和可比較的結(jié)果；c）識別有助于或阻礙實(shí)現(xiàn)人工智能目標(biāo)的風(fēng)險；d）分析人工智能風(fēng)險，以：1）評估如果確定的風(fēng)險成為現(xiàn)實(shí)，將對組織、個人和社會造成的潛在后果；2）酌情評估已識別風(fēng)險的現(xiàn)實(shí)可能性；3）確定風(fēng)險等級。e）評估人工智能風(fēng)險，以：1）將風(fēng)險分析結(jié)果與風(fēng)險準(zhǔn)則（見6.1.1）進(jìn)行比較；2）對評估的風(fēng)險進(jìn)行優(yōu)先排序，以便進(jìn)行風(fēng)險應(yīng)對。組織應(yīng)保留有關(guān)人工智能風(fēng)險評估過程的成文信息。6.1.2人工智能風(fēng)險評估規(guī)定并建立人工智能風(fēng)險評估過程的目的：組織應(yīng)當(dāng)設(shè)立一個針對人工智能風(fēng)險的具體評估過程，以確保在人工智能系統(tǒng)整個生命周期內(nèi)，能夠系統(tǒng)地識別、分析、評價并管理潛在的風(fēng)險；組織應(yīng)規(guī)定并建立人工智能風(fēng)險評估過程，該過程應(yīng)：引用并符合人工智能方針和人工智能目標(biāo)；引用并符合人工智能方針和人工智能目標(biāo)：組織在進(jìn)行人工智能風(fēng)險評估時，應(yīng)參考并確保風(fēng)險評估過程與已制定的人工智能方針（見5.2）保持一致，同時還應(yīng)確保該過程符合組織為人工智能設(shè)定的目標(biāo)（見6.2）；在評估后果時可利用人工智能系統(tǒng)影響評估：在進(jìn)行風(fēng)險評估時，特別是在評估如果確定的風(fēng)險成為現(xiàn)實(shí)將對組織、個人和社會造成的潛在后果時（見6.1.2d）1)），組織可以利用“6.1.4人工智能系統(tǒng)影響評估”來輔助決策。風(fēng)險評估過程的設(shè)計：在設(shè)計上使重復(fù)的人工智能風(fēng)險評估能夠產(chǎn)生一致、有效和可比較的結(jié)果；評估過程的設(shè)計：在構(gòu)建這個風(fēng)險評估過程時，特別需要注意其設(shè)計應(yīng)滿足以下條件：一致性：評估過程應(yīng)確保在重復(fù)進(jìn)行時，對相同或相似的人工智能系統(tǒng)能夠產(chǎn)生一致的風(fēng)險評估結(jié)果。這要求評估方法、工具和指標(biāo)具有穩(wěn)定性和可重復(fù)性；有效性：評估過程應(yīng)能夠準(zhǔn)確地識別出人工智能系統(tǒng)中存在的潛在風(fēng)險，并提供合理的風(fēng)險等級劃分。有效性是確保風(fēng)險評估結(jié)果具有實(shí)際指導(dǎo)意義的基礎(chǔ)；可比較性：對于不同的人工智能系統(tǒng)或同一系統(tǒng)的不同版本，評估過程應(yīng)能夠提供可比較的風(fēng)險評估結(jié)果。這使得組織能夠?qū)Σ煌到y(tǒng)或系統(tǒng)版本的風(fēng)險狀況進(jìn)行比較和評估，從而做出相應(yīng)的決策。識別有助于或阻礙實(shí)現(xiàn)人工智能目標(biāo)的風(fēng)險；明確目標(biāo)：組織在實(shí)施人工智能項(xiàng)目或應(yīng)用之前，必須在各個相關(guān)的職能部門和層級中明確設(shè)定具體的人工智能目標(biāo)；全面評估：組織應(yīng)對可能影響目標(biāo)達(dá)成的所有因素進(jìn)行深入且全面地評估。評估的范圍應(yīng)涵蓋技術(shù)可行性、管理層的支持和資源分配、法律法規(guī)的遵循、倫理道德的考量，以及社會對人工智能應(yīng)用的接受度等多個層面；風(fēng)險識別：組織應(yīng)特別關(guān)注那些對人工智能目標(biāo)達(dá)成具有直接影響的風(fēng)險點(diǎn)。這些風(fēng)險因素可能包括但不限于數(shù)據(jù)質(zhì)量問題、算法的不準(zhǔn)確性、系統(tǒng)的不穩(wěn)定性、用戶對新技術(shù)的接受程度，以及外部環(huán)境如政策變化或市場競爭等；分析影響：識別出風(fēng)險因素后，組織應(yīng)進(jìn)一步深入分析這些風(fēng)險對人工智能目標(biāo)實(shí)現(xiàn)的具體影響。分析過程應(yīng)包括評估風(fēng)險發(fā)生的可能性和潛在危害程度，同時考慮風(fēng)險對目標(biāo)實(shí)現(xiàn)的正面或負(fù)面影響。通過這種分析，組織可以更準(zhǔn)確地了解風(fēng)險狀況，為制定有效的風(fēng)險管理策略提供依據(jù)。識別有助于或阻礙實(shí)現(xiàn)人工智能目標(biāo)的風(fēng)險示例目標(biāo)項(xiàng)目目標(biāo)內(nèi)容影響人工智能目標(biāo)實(shí)現(xiàn)的風(fēng)險智能化產(chǎn)品研發(fā)研發(fā)新產(chǎn)品或服務(wù)：在未來一年內(nèi)，研發(fā)并推出至少3款基于AI的新產(chǎn)品或服務(wù)技術(shù)實(shí)現(xiàn)難度、資金短缺、市場需求變化或競爭對手的先行優(yōu)勢可能阻礙新產(chǎn)品或服務(wù)的研發(fā)與推出用戶滿意度：新產(chǎn)品或服務(wù)的用戶滿意度達(dá)到90%以上產(chǎn)品質(zhì)量問題、用戶體驗(yàn)不佳、市場推廣不足或定價策略不合理等因素可能導(dǎo)致用戶滿意度不達(dá)標(biāo)生產(chǎn)效率提升提升生產(chǎn)效率：利用AI優(yōu)化生產(chǎn)線流程，生產(chǎn)效率提升10%以上技術(shù)集成難度、員工對新系統(tǒng)的適應(yīng)性問題、設(shè)備故障或維護(hù)需求可能阻礙生產(chǎn)效率的提升降低不良品率：減少人為因素導(dǎo)致的產(chǎn)品質(zhì)量問題，不良品率降低5%以上生產(chǎn)線自動化水平的局限性、原材料質(zhì)量波動、員工操作失誤或培訓(xùn)不足可能導(dǎo)致不良品率未能有效降低客戶服務(wù)智能化自動化響應(yīng)率：在客服中心全面引入智能語音應(yīng)答系統(tǒng)，自動化響應(yīng)率提高到80%以上技術(shù)故障、用戶對智能語音系統(tǒng)的接受度低、系統(tǒng)無法準(zhǔn)確識別或回應(yīng)復(fù)雜問題可能阻礙自動化響應(yīng)率的提升客戶滿意度：通過智能分析客戶數(shù)據(jù)，客戶滿意度指數(shù)提升至95%以上數(shù)據(jù)質(zhì)量不佳、算法偏差、服務(wù)響應(yīng)不及時或個性化服務(wù)不足可能導(dǎo)致客戶滿意度無法達(dá)到預(yù)期水平安全與隱私保護(hù)安全與隱私標(biāo)準(zhǔn)：確保所有人工智能系統(tǒng)的設(shè)計和運(yùn)行符合國家和行業(yè)的安全與隱私保護(hù)標(biāo)準(zhǔn)法規(guī)變更、技術(shù)漏洞、惡意攻擊或內(nèi)部人員操作失誤可能對符合安全與隱私標(biāo)準(zhǔn)構(gòu)成威脅隱私風(fēng)險評估：在未來六個月內(nèi)，完成對所有現(xiàn)有人工智能系統(tǒng)的隱私風(fēng)險評估和整改工作評估工具的局限性、整改措施的復(fù)雜性、時間緊迫或資源分配不足可能阻礙隱私風(fēng)險評估和整改工作的按時完成分析人工智能風(fēng)險；風(fēng)險潛在后果評估：在進(jìn)行人工智能風(fēng)險評估時，應(yīng)對每一個確定的風(fēng)險進(jìn)行深入分析，以評估如果該風(fēng)險成為現(xiàn)實(shí)，它將對組織、個人以及更廣泛的社會產(chǎn)生的可能后果；人工智能風(fēng)險潛在后果通常包括以下幾個類別：對個人或群體的影響：包括對個人的法律地位或生活機(jī)會的影響、對個人身心健康的影響、對個人普遍人權(quán)的影響等；社會影響：人工智能系統(tǒng)的社會影響可能涵蓋環(huán)境可持續(xù)性（如對自然資源和溫室氣體排放的影響）、經(jīng)濟(jì)影響（如獲得金融服務(wù)、就業(yè)機(jī)會等）、政府管理（如立法程序、提供錯誤信息給政治利益等）、健康與安全影響（如獲取醫(yī)療保健、醫(yī)療診斷和治療等），以及規(guī)范、傳統(tǒng)、文化和價值觀的影響（如導(dǎo)致偏見或?qū)€人造成傷害的錯誤信息）；環(huán)境影響：人工智能系統(tǒng)的使用可能是計算密集型的，會對環(huán)境可持續(xù)性產(chǎn)生直接影響，例如增加溫室氣體排放、對水資源和土地的影響等；安全和隱私影響：人工智能系統(tǒng)的設(shè)計和使用可能涉及數(shù)據(jù)安全和隱私的問題，包括數(shù)據(jù)泄露、未經(jīng)授權(quán)的訪問、數(shù)據(jù)濫用等，這可能對個人和組織產(chǎn)生嚴(yán)重影響；公平性和透明度問題：自動決策系統(tǒng)的應(yīng)用可能導(dǎo)致對特定個人或群體的不公平待遇，如果系統(tǒng)缺乏透明度和可解釋性，將進(jìn)一步加劇這些問題。風(fēng)險現(xiàn)實(shí)可能性評估：應(yīng)酌情評估這些已識別風(fēng)險實(shí)際發(fā)生的可能性。這種評估有助于組織對風(fēng)險進(jìn)行優(yōu)先級排序，將資源和注意力集中在最可能發(fā)生且具有重大影響的風(fēng)險上。確定風(fēng)險等級：綜合風(fēng)險的潛在后果和它們發(fā)生的可能性，組織應(yīng)確定每個風(fēng)險的具體等級。風(fēng)險等級的確定為后續(xù)的風(fēng)險管理和緩解策略提供了明確的方向，確保資源能夠有效分配到最需要的地方。評估人工智能風(fēng)險；將風(fēng)險分析結(jié)果與風(fēng)險準(zhǔn)則（見6.1.1）進(jìn)行比較：在完成風(fēng)險分析后，需要將所得結(jié)果與組織設(shè)定的風(fēng)險準(zhǔn)則進(jìn)行對比。這些風(fēng)險準(zhǔn)則是組織根據(jù)自身情況、行業(yè)標(biāo)準(zhǔn)和法律法規(guī)等制定的，用于衡量風(fēng)險是否可接受以及確定風(fēng)險處理的優(yōu)先級；通過比較，組織能夠清晰地識別出哪些風(fēng)險超出了可接受范圍，從而需要采取進(jìn)一步措施來管理和控制。對評估的風(fēng)險進(jìn)行優(yōu)先排序，以便進(jìn)行風(fēng)險應(yīng)對：基于風(fēng)險分析的結(jié)果以及與風(fēng)險準(zhǔn)則的比較，組織應(yīng)對已識別的風(fēng)險進(jìn)行優(yōu)先排序。這種排序通常基于風(fēng)險的嚴(yán)重性（風(fēng)險的潛在影響或后果）和發(fā)生可能性（或概率），以及其對組織目標(biāo)的影響程度；排序結(jié)果將指導(dǎo)后續(xù)的風(fēng)險應(yīng)對工作，確保組織資源能夠優(yōu)先用于處理最重要的風(fēng)險，從而確保人工智能系統(tǒng)的安全穩(wěn)定運(yùn)行，并最大限度地降低潛在損失；通過這種排序，組織可以更加高效地制定風(fēng)險應(yīng)對策略和計劃，提升整體的風(fēng)險管理水平。組織應(yīng)保留有關(guān)人工智能風(fēng)險評估過程的成文信息，包括：風(fēng)險評估計劃和程序：風(fēng)險評估活動的計劃，包括評估的時間表、參與人員、評估范圍和目的；詳細(xì)的評估程序和方法，說明如何進(jìn)行風(fēng)險的識別、分析和評價。風(fēng)險評估的引用和符合性證明：顯示風(fēng)險評估過程是如何引用并符合組織的人工智能方針和目標(biāo)的文檔；風(fēng)險識別記錄：列出所有已識別的人工智能風(fēng)險，包括風(fēng)險的描述、來源和可能的影響；風(fēng)險分析結(jié)果：對每個識別出的風(fēng)險進(jìn)行詳細(xì)分析，包括風(fēng)險成為現(xiàn)實(shí)可能對組織、個人和社會造成的潛在后果；對已識別風(fēng)險現(xiàn)實(shí)可能性的評估，可能包括概率分析或頻率評估；確定的風(fēng)險等級，反映風(fēng)險的嚴(yán)重性和可能性。風(fēng)險比較與排序：將風(fēng)險分析結(jié)果與組織定義的風(fēng)險準(zhǔn)則進(jìn)行比較記錄；風(fēng)險評估的優(yōu)先排序，顯示哪些風(fēng)險被認(rèn)為是高優(yōu)先級，需要首先進(jìn)行應(yīng)對。風(fēng)險評估參與人員和審查記錄：參與風(fēng)險評估的人員名單及其職責(zé)；風(fēng)險評估過程和結(jié)果的審查記錄，包括審查人員的簽名和日期。風(fēng)險評估的更新和改進(jìn)記錄：風(fēng)險評估過程中識別出的任何需要改進(jìn)或更新的地方，以及相應(yīng)的改進(jìn)措施；風(fēng)險評估過程的反饋和學(xué)習(xí)記錄，用于持續(xù)改進(jìn)未來的評估活動。相關(guān)文件和證據(jù)：支持風(fēng)險評估結(jié)論的任何數(shù)據(jù)、研究報告、專家意見或其他證據(jù)；引用或參考的其他相關(guān)文件，如行業(yè)標(biāo)準(zhǔn)、法律法規(guī)等。ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》6策劃6.1.3人工智能風(fēng)險應(yīng)對考慮到風(fēng)險評估結(jié)果，組織應(yīng)確定人工智能風(fēng)險應(yīng)對過程，以：a）選擇適當(dāng)?shù)娜斯ぶ悄茱L(fēng)險應(yīng)對方案；b）確定實(shí)施所選人工智能風(fēng)險應(yīng)對方案所必需的所有控制，并將這些控制與附件A中的控制進(jìn)行比較，以核實(shí)沒有遺漏任何必要的控制。注1：附件A提供了實(shí)現(xiàn)組織目標(biāo)和應(yīng)對與人工智能系統(tǒng)的設(shè)計和使用有關(guān)的風(fēng)險的參考控制。c）考慮附錄A中與實(shí)施人工智能風(fēng)險應(yīng)對方案相關(guān)的控制；d）確定除了附件A中的控制外，是否還需要其他控制，以實(shí)施所有風(fēng)險應(yīng)對備選方案；e）考慮附錄B中關(guān)于實(shí)施b)和c)中確定的控制措施的指南；注2：控制目標(biāo)隱含在所選擇的控制中。組織可根據(jù)需要選擇附件A中列出的控制目標(biāo)和控制。附件A中的控制并非詳盡無遺，可能還需要額外的控制目標(biāo)和控制。如果需要附件A以外的不同或額外控制，組織可設(shè)計此類控制或從現(xiàn)有來源獲取。如適用，人工智能風(fēng)險管理可融入其他管理體系。f）編制一份適用性聲明，其中包含必要的控制[見b)、c）和d)]，并說明納入和排除控制的理由。排除的理由可包括風(fēng)險評估認(rèn)為不需要的控制，以及適用的外部要求不需要（或?qū)儆诶馇闆r）的控制。注3：組織可提供文件證明排除一般或特定人工智能系統(tǒng)控制目標(biāo)的理由，不論是附件A中列出的還是組織自己制定的。g）制定人工智能風(fēng)險應(yīng)對計劃；獲得指定管理層對人工智能風(fēng)險應(yīng)對計劃和接受剩余人工智能風(fēng)險的批準(zhǔn)。必要的控制應(yīng)：——與6.2中的目標(biāo)相一致；——作為文件信息提供；——在組織內(nèi)得到溝通；——適宜時，可為有關(guān)相關(guān)方所獲取。組織應(yīng)保留有關(guān)人工智能風(fēng)險應(yīng)對過程的成文信息。6.1.3人工智能風(fēng)險應(yīng)對確定人工智能風(fēng)險應(yīng)對過程：組織在評估人工智能系統(tǒng)相關(guān)風(fēng)險后，應(yīng)制定具體的風(fēng)險應(yīng)對過程，以系統(tǒng)地處理這些風(fēng)險。該過程旨在確保組織能夠積極主動地管理人工智能相關(guān)的風(fēng)險，以維護(hù)組織的利益并確保人工智能系統(tǒng)的可靠、安全和有效運(yùn)行；選擇適當(dāng)?shù)娘L(fēng)險應(yīng)對方案：組織應(yīng)根據(jù)風(fēng)險評估的結(jié)果，選擇適合其特定情況和需求的人工智能風(fēng)險應(yīng)對方案（包括風(fēng)險降低、風(fēng)險轉(zhuǎn)移、風(fēng)險接受等多種策略），旨在將人工智能風(fēng)險控制在組織可接受的范圍內(nèi)；確定并核實(shí)必要控制：在選定風(fēng)險應(yīng)對方案后，組織應(yīng)確定實(shí)施這些方案所需的所有控制措施。這些控制措施應(yīng)當(dāng)與《附錄A：參考控制目標(biāo)與控制》中列出的控制進(jìn)行對比，以確保沒有遺漏任何必要的控制。通過這一步驟，組織能夠確保所實(shí)施的控制措施是全面且符合標(biāo)準(zhǔn)要求的，從而有效地管理人工智能風(fēng)險。注1：《附錄A：參考控制目標(biāo)與控制》提供了實(shí)現(xiàn)組織目標(biāo)和處理與人工智能系統(tǒng)的設(shè)計和使用有關(guān)的風(fēng)險的參考控制。參考控制的應(yīng)用：組織應(yīng)考慮《附錄A：參考控制目標(biāo)與控制》中與實(shí)施人工智能風(fēng)險應(yīng)對方案相關(guān)的控制，確保這些控制能夠有效地支持風(fēng)險應(yīng)對策略的執(zhí)行；額外控制的需求：在實(shí)施所有風(fēng)險應(yīng)對備選方案時，組織應(yīng)評估除了《附錄A：參考控制目標(biāo)與控制》中的控制外，是否還需要其他控制?？紤]附錄B中關(guān)于實(shí)施b)和c)中確定的控制措施的指導(dǎo)；控制目標(biāo)隱含：在選擇控制以應(yīng)對人工智能風(fēng)險時，控制目標(biāo)應(yīng)當(dāng)隱含在所選控制中。組織在選擇控制措施時，應(yīng)當(dāng)確保這些措施直接對應(yīng)并服務(wù)于實(shí)現(xiàn)管理風(fēng)險的目標(biāo)；參考控制目標(biāo)與控制：組織可根據(jù)需要選擇《附錄A：參考控制目標(biāo)與控制》中列出的控制目標(biāo)和控制。這些參考控制為組織提供了一個框架，以確保在實(shí)施人工智能風(fēng)險應(yīng)對過程中不會遺漏任何關(guān)鍵的控制點(diǎn)；非詳盡無遺：盡管附錄A中列出了一系列參考控制，但這并不意味著這些控制是全部必需的或詳盡無遺的。組織應(yīng)基于自身的特定情況和需求，評估是否需要額外的控制目標(biāo)和控制；額外控制的設(shè)計或獲取：如果組織認(rèn)為除了附錄A中的控制外，還需要不同或額外的控制，組織可以自行設(shè)計此類控制，或從現(xiàn)有來源（如行業(yè)標(biāo)準(zhǔn)、最佳實(shí)踐等）獲取這些控制；與其他管理體系的融合：在適當(dāng)?shù)那闆r下，人工智能風(fēng)險管理可以融入組織的其他管理體系中。這有助于實(shí)現(xiàn)管理的連貫性和一致性，確保所有風(fēng)險管理活動都在一個統(tǒng)一的框架內(nèi)進(jìn)行。編制適用性聲明；文件化必要性：組織必須編制一份適用性聲明，將所需的風(fēng)險控制措施以文件形式明確記錄下來，這是確保風(fēng)險管理有效性和可追蹤性的基礎(chǔ)；控制的選擇與排除：適用性聲明中應(yīng)包含組織認(rèn)為必要的控制措施，并需明確說明納入或排除這些控制的理由。排除控制的理由可能基于風(fēng)險評估結(jié)果，顯示某些控制對特定風(fēng)險而言并非必要，或因?yàn)橥獠窟m用要求（如法律法規(guī)）已涵蓋某些控制，從而無需額外實(shí)施；文件證明排除理由：組織可能會有排除一般或特定人工智能系統(tǒng)控制目標(biāo)的理由。這些理由可以是基于附件錄中列出的控制目標(biāo)，也可以是組織根據(jù)自身情況自行制定的控制目標(biāo)。組織應(yīng)提供文件證明這些排除理由的合理性，確保這些排除是基于充分的考慮和評估?！陡戒汚：參考控制目標(biāo)與控制》的參考與擴(kuò)展：盡管標(biāo)準(zhǔn)附錄A提供了一系列參考控制，但組織在編制適用性聲明時，應(yīng)根據(jù)實(shí)際情況選擇使用這些控制，甚至可能不需要所有列出的控制，或者基于特定需求自行制定額外的控制措施；風(fēng)險識別與措施對應(yīng)：組織應(yīng)按照標(biāo)準(zhǔn)的要求，將所有已識別的風(fēng)險以及為應(yīng)對這些風(fēng)險而采取的管理措施（控制）完整地反映在適用性聲明中。制定人工智能風(fēng)險應(yīng)對計劃；制定人工智能風(fēng)險應(yīng)對計劃：組織應(yīng)制定詳細(xì)的風(fēng)險應(yīng)對計劃，以應(yīng)對識別出的人工智能相關(guān)風(fēng)險；獲得管理層批準(zhǔn)：風(fēng)險應(yīng)對計劃及其包含的剩余人工智能風(fēng)險接受度需要得到指定管理層的批準(zhǔn)；必要控制的一致性：風(fēng)險應(yīng)對計劃應(yīng)與組織在6.2條款中確定的目標(biāo)相一致。這保證了風(fēng)險應(yīng)對策略與組織整體戰(zhàn)略和目標(biāo)相協(xié)調(diào)。文件信息提供：風(fēng)險應(yīng)對計劃應(yīng)作為文件信息提供，以便組織內(nèi)部進(jìn)行參考和追溯；組織內(nèi)部溝通：風(fēng)險應(yīng)對計劃應(yīng)在組織內(nèi)部得到充分地溝通，確保所有相關(guān)人員了解并遵循計劃內(nèi)容；相關(guān)方的獲?。哼m宜時，風(fēng)險應(yīng)對計劃應(yīng)可供相關(guān)方獲取，以便他們了解組織在人工智能風(fēng)險管理方面的策略和措施，增強(qiáng)與組織的信任和合作。組織應(yīng)保留有關(guān)人工智能風(fēng)險應(yīng)對過程的成文信息，包括：風(fēng)險應(yīng)對方案的選擇：記錄選擇的人工智能風(fēng)險應(yīng)對方案及其理由；實(shí)施所需控制的確定：記錄為實(shí)現(xiàn)所選風(fēng)險應(yīng)對方案所需的所有控制，并與附件A中的控制進(jìn)行比較，核實(shí)是否遺漏任何必要的控制；對附錄中相關(guān)控制的考慮：記錄對附錄A中與實(shí)施風(fēng)險應(yīng)對方案相關(guān)的控制的考慮情況；其他控制需求的確定：記錄除了附錄A中的控制外，是否還需要其他控制來實(shí)施所有風(fēng)險應(yīng)對備選方案，并說明理由；適用性聲明：編制一份適用性聲明，包含必要的控制（見b）、c）和d）部分），并說明納入和排除控制的理由；風(fēng)險應(yīng)對辦法的制定：記錄制定的人工智能風(fēng)險應(yīng)對辦法；管理層的批準(zhǔn)：記錄指定管理層對人工智能風(fēng)險應(yīng)對計劃和接受剩余人工智能風(fēng)險的批準(zhǔn)情況。ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》ISO/IEC42001-2023《信息技術(shù)-人工智能-管理體系》6策劃6.1.4人工智能系統(tǒng)影響評估組織應(yīng)確定過程，用于評估開發(fā)、提供或使用人工智能系統(tǒng)可能對個人和社會造成的潛在后果。人工智能系統(tǒng)影響評估應(yīng)確定人工智能系統(tǒng)的部署、預(yù)期使用和可預(yù)見的濫用對個人和社會造成的潛在后果。影響評估應(yīng)考慮到部署人工智能系統(tǒng)的具體技術(shù)和社會背景以及適用的管轄范圍。系統(tǒng)影響評估的結(jié)果應(yīng)形成成文信息。在適當(dāng)情況下，可將系統(tǒng)影響評估的結(jié)果提供給組織規(guī)定的相關(guān)方。注1：組織應(yīng)在風(fēng)險評估中考慮人工智能系統(tǒng)影響評估結(jié)果（見6.1.2）。A.5提供了評估人工智能系統(tǒng)影響的控制。注2：在某些情況下（如對安全或隱私至關(guān)重要的人工智能系統(tǒng)），組織可要求進(jìn)行特定學(xué)科的人工智能系統(tǒng)影響評估（如物理安全、隱私或信息安全影響），作為組織整體風(fēng)險管理活動的一部分。6.1.4人工智能系統(tǒng)影響評估影響評估的目標(biāo)：核心目的是評估人工智能系統(tǒng)在整個生命周期內(nèi)，開發(fā)、提供或使用人工智能系統(tǒng)對個人和社會可能造成的潛在后果；確定過程：組織應(yīng)建立一個明確的評估過程，這個過程要覆蓋人工智能系統(tǒng)的全生命周期，包括開發(fā)、提供或使用等各個階段。該過程的重點(diǎn)是預(yù)測和評估人工智能系統(tǒng)可能給個人和社會帶來的各種潛在后果；影響評估內(nèi)容與實(shí)施流程：評估應(yīng)全面考慮人工智能系統(tǒng)的部署、預(yù)期正常使用以及可能的濫用情況；部署：評估在部署人工智能系統(tǒng)時可能對個人和社會產(chǎn)生的后果。例如，系統(tǒng)的部署是否考慮了所有必要的安全和控制措施，以確保不會對用戶或社會造成意外或有害的影響。預(yù)期使用：評估人工智能系統(tǒng)按照預(yù)期用途運(yùn)行時可能對個人和社會產(chǎn)生的后果。這包括系統(tǒng)能否按預(yù)期完成其任務(wù)，以及完成任務(wù)時是否會產(chǎn)生任何不期望的副作用；可預(yù)見的濫用：評估人工智能系統(tǒng)可能被濫用的方式，以及這些濫用可能對個人和社會造成的后果。濫用可能包括誤用、攻擊或超出設(shè)計目的的使用，這些都可能導(dǎo)致不期望的結(jié)果或風(fēng)險。影響范圍：評估應(yīng)考慮人工智能系統(tǒng)可能影響的個人和社會范圍。這可能涉及針對特定個人、個人群體或社會層面的評估，以便更精確地確定潛在影響的程度和性質(zhì)；人工智能系統(tǒng)對個人和群體的影響領(lǐng)域可以包括但不限于以下方面：公平性：評估人工智能系統(tǒng)是否對所有用戶一視同仁，沒有不公平的偏見；問責(zé)制：確保當(dāng)系統(tǒng)出現(xiàn)錯誤或問題時，可以明確追溯和確定責(zé)任；透明度和可解釋性：評估系統(tǒng)決策過程是否足夠透明，使得用戶可以理解和信任其結(jié)果；安全和隱私：檢查系統(tǒng)是否采取了適當(dāng)?shù)拇胧﹣肀Ｗo(hù)用戶數(shù)據(jù)和隱私；安全與健康：分析系統(tǒng)是否對用戶的身體或心理安全及健康造成任何潛在影響；財務(wù)后果：考慮系統(tǒng)使用可能帶來的財務(wù)收益或損失，以及這些后果對組織的影響；可獲取性：評估系統(tǒng)是否對所有用戶都易于