iso-42001-ai-governance

ISO 42001 AI 治理审计

此技能可让 AI Agent 根据 ISO/IEC 42001:2023（人工智能管理体系（AIMS）国际标准），开展全面的 AI 治理就绪度和差距评估。

ISO 42001 为 AI 系统的负责任开发、部署和使用提供框架，涵盖风险、伦理、安全、透明度和法规合规。

使用此技能评估 AI 项目是否遵循国际最佳实践、有效管理风险，并在整个 AI 生命周期中维持道德标准。

认证边界：此技能可用于准备证据和识别差距，但不能替代认证审计。除非经合格审计员或认证流程验证，否则不得声称符合 ISO/IEC 42001。

结合安全审计、代码审查或伦理 AI 评估，全面评估 AI 系统。

何时使用此技能

在以下情况下调用此技能：

• 开发或集成 AI 系统
• 确保 AI 治理和合规
• 管理 AI 风险和伦理问题
• 准备满足 AI 法规要求（《欧盟 AI 法案》等）
• 审计现有 AI 实施方案
• 建立 AI 治理框架
• 应对 AI 安全或偏见事件
• 规划负责任的 AI 部署
• 为利益相关方记录 AI 系统信息

所需输入

执行此审计时，请收集：

• ai_system_description：详细描述（用途、能力、使用的数据、受影响的用户、部署情境）[必填]
• use_case：具体应用（例如，招聘工具、医疗诊断、内容审核）[必填]
• risk_category：根据《欧盟 AI 法案》的分类，确定为高风险、有限风险或最低风险[可选，但建议提供]
• existing_documentation：技术文档、数据表、模型卡、风险评估[可选]
• stakeholders：AI 的开发者、部署者、使用者和受影响者[可选]
• regulatory_context：适用法律（GDPR、《欧盟 AI 法案》、行业法规）[可选]
• impact_assessment_context：已有或需要开展的 AI 影响评估，尤其是涉及个人、群体或社会的系统[可选]

ISO 42001 框架概览

ISO 42001 由 10 个关键条款和配套附录构成：

核心条款

1. 范围 - 界定 AIMS 的边界
2. 规范性引用文件 - 相关标准
3. 术语和定义 - AI 术语
4. 组织环境 - 内部/外部因素
5. 领导作用 - 管理层承诺和职责
6. 策划 - 目标和风险管理
7. 支持 - 资源、能力、沟通
8. 运行 - AI 系统生命周期管理
9. 绩效评价 - 监测和测量
10. 改进 - 持续改进

ISO 42001 核心原则

1. 基于风险的方法

• 识别、评估并缓解 AI 特有风险
• 考虑技术、伦理、法律和社会风险
• 根据风险等级采取适度的控制措施

2. 伦理 AI

• 公平和非歧视
• 透明度和可解释性
• 人工监督和控制
• 隐私和数据保护
• 问责制

3. 生命周期管理

• 设计 → 开发 → 部署 → 监测 → 退役
• 持续评估和改进
• 全过程记录

4. 利益相关方参与

• 让受影响方参与
• 清楚说明 AI 的使用情况
• 建立反馈和补救机制

相关 ISO AI 标准

将 ISO/IEC 42001 作为管理体系的基础。当请求侧重于社会、人员、环境或生命周期影响评估时，也应参考 ISO/IEC 42005:2025，将其作为 AI 系统影响评估的配套标准。当请求侧重于风险方法时，可将 ISO/IEC 23894 作为辅助指南。

---

审计流程

按顺序完成七个步骤，每个步骤对应 ISO 42001 条款。完整的逐项控制清单——评估问题、评分标准、风险示例和七个 AI 生命周期阶段——位于 references/audit-procedure.md。 请阅读当前步骤对应的部分，而不要一次性加载整个文件。

步骤	重点	ISO 42001 条款	预计用时
1. 背景与范围	AIMS 边界、利益相关方、EU AI Act 风险分类	4	15 分钟
2. 领导力与治理	管理层承诺、AI 政策、角色与职责	5	20 分钟
3. 规划与风险管理	风险类别、评估流程、AI 目标	6	30 分钟
4. 支持与资源	资源、能力、意识、沟通、文档	7	20 分钟
5. 运营（AI 生命周期）	设计 → 数据 → 开发 → 验证 → 部署 → 监控 → 停用	8	40 分钟
6. 绩效评估	KPI、内部审计、管理评审	9	20 分钟
7. 改进	不符合项、纠正措施、持续改进（PDCA）	10	15 分钟

对于每个步骤：评估已记录的控制措施，记录证据与差距，分配条款评分（0–10），并将发现纳入报告。

---

输出格式

将审计发现整理成标准 ISO 42001 审计报告。可直接复制的模板和逐条款自我评估清单位于 references/report-template.md。

报告按以下顺序涵盖：

1. 执行摘要 — 总体符合情况、逐条款状态表、风险分类、前 5 项关键发现、积极亮点
2. 详细发现 — 按条款逐项分析，包括证据、差距和建议
3. 风险评估摘要 — 关键/高风险及相关控制措施、负责人和截止日期
4. 合规路线图 — 分阶段行动（0–3 / 3–6 / 6–12 个月）
5. 文档要求 — 需要创建的缺失材料
6. 面向利益相关方的建议 — 领导层、AI 团队、法律/合规、运营
7. 后续步骤 — 从近期到长期的行动
8. 附录 — 清单、风险登记表、术语表、参考资料

---

最佳实践

1. 从风险评估入手：根据 AI 风险等级确定优先级
2. 记录所有内容：ISO 42001 要求详尽的文档记录
3. 尽早让利益相关方参与：将受影响方纳入治理
4. 利用现有框架：借鉴 NIST AI RMF、EU AI Act 的要求
5. 实现监控自动化：构建内置治理机制的 MLOps
6. 培训团队：ISO 42001 要求人员具备相应能力
7. 定期审计：不要等到问题出现——主动开展审查
8. 从事件中吸取教训：每个问题都是改进的机会
9. 平衡创新与安全：负责任的 AI 并不意味着不使用 AI
10. 必要时寻求独立审查：第三方 ISO 42001 认证可以提升可信度，但此技能仅支持就绪准备和证据准备工作

---

监管协调

ISO 42001 与主要 AI 法规保持协调：

EU AI Act：

• 风险分类框架
• 高风险 AI 义务
• 透明度要求
• 合格评定

GDPR：

• 通过设计实现数据保护
• 隐私影响评估
• 数据主体权利
• 合法处理

NIST AI RMF：

• 治理、映射、衡量、管理职能
• 基于风险的方法
• 可信 AI 特征

ISO/IEC 42005:2025：

• AI 系统影响评估
• 生命周期各阶段对人类、社会和环境的影响
• 对可预见影响进行透明的文档记录

行业特定要求：

• 医疗保健：FDA AI/ML 指南、MDR
• 金融：模型风险管理（SR 11-7）
• 就业：EEOC AI 指南

---

常见误区

1. “我们以后再加入治理” - 从一开始就将其纳入
2. 把 ISO 42001 当作一次性工作 - 这是一项持续工作
3. 只有文档，没有实施 - 必须落实到实际运营中
4. 忽视低风险 AI - 即使风险极低，也需要基本治理
5. 没有让利益相关方参与 - 必须让受影响的各方参与进来
6. 资源不足 - 负责任的 AI 需要投入
7. 缺乏监控 - 部署后置之不理不符合要求
8. 没有事件响应计划 - AI 出现故障时，你需要有应对计划
9. 把培训当作走过场 - 团队必须真正理解负责任的 AI
10. 照搬模板，不作定制 - 根据自身情况进行调整

---

版本

1.0 - 基于 ISO/IEC 42001:2023 的初始版本

---

请记住：ISO 42001 旨在通过系统化的风险管理和治理，构建值得信赖的 AI 系统。它不是创新的障碍，而是推动负责任创新的框架，能够保护组织和受 AI 影响的人们。