ISO∕IEC 23894-2023 信息技術(shù) -人工智能 - 風(fēng)險(xiǎn)管理指南（雷澤佳譯-2024）

ISO9001：2015（資料性）：風(fēng)險(xiǎn)管理與AI系統(tǒng)生命周期表C.1展示了根據(jù)ISO/IEC22989:2022定義的風(fēng)險(xiǎn)管理過程與AI系統(tǒng)生命周期之間的映射關(guān)系示例。表C.1：風(fēng)險(xiǎn)管理與AI系統(tǒng)生命周期風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)管理框架（第5章）風(fēng)險(xiǎn)管理過程（第6章）AI系統(tǒng)生命周期范圍、環(huán)境與準(zhǔn)則風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)應(yīng)對(duì)監(jiān)視與評(píng)審記錄與報(bào)告組織層面的風(fēng)險(xiǎn)管理活動(dòng)治理機(jī)構(gòu)設(shè)定AI風(fēng)險(xiǎn)管理方向。最高管理者作出承諾。建立高級(jí)別的風(fēng)險(xiǎn)管理偏好和一般準(zhǔn)則。接收并處理來自AI系統(tǒng)風(fēng)險(xiǎn)管理過程的反饋報(bào)告。因此，通過擴(kuò)展和完善組織的風(fēng)險(xiǎn)管理工具來改進(jìn)組織的風(fēng)險(xiǎn)管理框架風(fēng)險(xiǎn)準(zhǔn)則目錄潛在風(fēng)險(xiǎn)源目錄、風(fēng)險(xiǎn)源評(píng)估與測量技術(shù)目錄已知或已實(shí)施的AI系統(tǒng)監(jiān)視與控制技術(shù)目錄已知或已實(shí)施的緩解措施目錄為追蹤、記錄、報(bào)告和與內(nèi)部和外部相關(guān)方共享AI系統(tǒng)信息而建立的方法和定義的格式目錄。啟動(dòng)治理機(jī)構(gòu)在組織和相關(guān)方的原則和價(jià)值觀的環(huán)境中評(píng)審AI系統(tǒng)目標(biāo)?；冢ㄍǔＪ嵌鄬拥模┓治?，確定AI系統(tǒng)是否可行并解決了組織尋求解決的問題。通過定制組織的風(fēng)險(xiǎn)管理框架，建立AI系統(tǒng)風(fēng)險(xiǎn)管理過程和體系的風(fēng)險(xiǎn)準(zhǔn)則。識(shí)別（可能以多層方式）并詳細(xì)描述特定于AI系統(tǒng)的風(fēng)險(xiǎn)源。制定詳細(xì)的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。可能定義概念驗(yàn)證方法。實(shí)施、測試和評(píng)估必要的“概念驗(yàn)證”方法。分析和其結(jié)果以及建議被記錄并傳達(dá)給最高管理者。設(shè)計(jì)與開發(fā)治理機(jī)構(gòu)根據(jù)收到的反饋報(bào)告不斷重新評(píng)估目標(biāo)、效能和系統(tǒng)的可行性。可能由于反饋報(bào)告而修改AI系統(tǒng)風(fēng)險(xiǎn)準(zhǔn)則。持續(xù)進(jìn)行風(fēng)險(xiǎn)評(píng)估（可能在多個(gè)層面上）。實(shí)施風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。風(fēng)險(xiǎn)應(yīng)對(duì)和（剩余）風(fēng)險(xiǎn)評(píng)估繼續(xù)進(jìn)行，直到滿足既定的風(fēng)險(xiǎn)準(zhǔn)則。在測試、驗(yàn)證和確認(rèn)過程中，評(píng)估和調(diào)整系統(tǒng)組件以及整個(gè)系統(tǒng)的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。記錄結(jié)果并將其反饋到相關(guān)的風(fēng)險(xiǎn)管理過程活動(dòng)中。如有必要，將結(jié)論傳達(dá)給管理層和治理機(jī)構(gòu)。驗(yàn)證與確認(rèn)部署治理機(jī)構(gòu)根據(jù)收到的反饋報(bào)告不斷重新評(píng)估目標(biāo)和系統(tǒng)的可行性。針對(duì)必要的“配置”更改，調(diào)整AI系統(tǒng)風(fēng)險(xiǎn)準(zhǔn)則和風(fēng)險(xiǎn)管理過程。持續(xù)進(jìn)行風(fēng)險(xiǎn)評(píng)估（可能在多個(gè)層面上）。由于“配置”更改，可能更新并實(shí)施風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。風(fēng)險(xiǎn)應(yīng)對(duì)和（剩余）風(fēng)險(xiǎn)評(píng)估繼續(xù)進(jìn)行，直到滿足既定的風(fēng)險(xiǎn)準(zhǔn)則。重新評(píng)估AI系統(tǒng)的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃，以便進(jìn)行必要的調(diào)整。運(yùn)營、監(jiān)視治理機(jī)構(gòu)根據(jù)收到的反饋報(bào)告不斷重新評(píng)估目標(biāo)和系統(tǒng)的可行性。可能由于反饋報(bào)告而修改AI系統(tǒng)風(fēng)險(xiǎn)準(zhǔn)則?？赡茚槍?duì)風(fēng)險(xiǎn)準(zhǔn)則的變化調(diào)整系統(tǒng)的風(fēng)險(xiǎn)評(píng)估計(jì)劃。可能針對(duì)風(fēng)險(xiǎn)評(píng)估結(jié)果中的風(fēng)險(xiǎn)變化調(diào)整系統(tǒng)的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。評(píng)估和調(diào)整系統(tǒng)組件的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。持續(xù)驗(yàn)證再評(píng)價(jià)治理機(jī)構(gòu)重新評(píng)審AI系統(tǒng)目標(biāo)及其與組織和相關(guān)方原則和價(jià)值觀的關(guān)系?；诜治?，確定AI系統(tǒng)是否可行。針對(duì)AI系統(tǒng)的特定目的和范圍、運(yùn)營監(jiān)視結(jié)果和新監(jiān)管要求的任何潛在變化，對(duì)AI系統(tǒng)風(fēng)險(xiǎn)管理過程和系統(tǒng)的風(fēng)險(xiǎn)準(zhǔn)則進(jìn)行再評(píng)估。評(píng)審現(xiàn)有特定于AI系統(tǒng)的風(fēng)險(xiǎn)源列表的相關(guān)性和任何可能的差距?？赡芨嘛L(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。風(fēng)險(xiǎn)應(yīng)對(duì)和（剩余）風(fēng)險(xiǎn)評(píng)估繼續(xù)進(jìn)行，直到滿足既定的風(fēng)險(xiǎn)準(zhǔn)則。重新評(píng)估AI系統(tǒng)的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃，以便進(jìn)行必要的調(diào)整。退役或替換觸發(fā)具有新目標(biāo)、新風(fēng)險(xiǎn)及其緩解措施的新風(fēng)險(xiǎn)管理過程。治理機(jī)構(gòu)基于分析重新評(píng)審AI系統(tǒng)目標(biāo)，確定AI系統(tǒng)退役或替換是否可行。建立AI系統(tǒng)風(fēng)險(xiǎn)管理退役流程和系統(tǒng)的退役風(fēng)險(xiǎn)準(zhǔn)則。識(shí)別和詳細(xì)描述特定于AI系統(tǒng)退役的風(fēng)險(xiǎn)源。制定詳細(xì)的風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃。實(shí)施、測試和評(píng)估必要的“概念驗(yàn)證”方法。參考文獻(xiàn)[1]ISO/IEC38507:2022，信息技術(shù)—信息技術(shù)治理—組織使用人工智能的治理影響[2]ISO26000:2010，社會(huì)責(zé)任指南[3]ISO/IECTR24028:2020，信息技術(shù)—人工智能—人工智能可信性概述[4]ISO/IECTR24027:2021，信息技術(shù)—人工智能（AI）—AI系統(tǒng)中的偏見和AI輔助決策[5]ISO/IEC29134:2017，信息技術(shù)—安全技術(shù)—隱私影響評(píng)估指南[6]ISO/IECTR24029-1:2021，人工智能（AI）—神經(jīng)網(wǎng)絡(luò)魯棒性評(píng)估—第1部分：概述[7]ISO/IECTR54692，人工智能—功能安全和AI系統(tǒng)[8]ISO/IEC27005:2022，信息安全、網(wǎng)絡(luò)安全和隱私保護(hù)—信息安全