随着即将生效的人工智能（AI）监管义务与规则逐步实施，各类组织正面临迫在眉睫的合规期限。人工智能如今已成为一种生产能力，而非实验性工具，因此理所当然地受到监管关注。《欧盟人工智能法案》（EU AI Act）已开始分阶段推行其义务，其中针对通用人工智能（GPAI）的透明度与治理责任，正形成紧迫的实施要求。与此同时，国际标准化组织与国际电工委员会（ISO/IEC）发布的ISO/IEC 42001:2023——首个可认证的人工智能管理体系标准——提供了熟悉的“计划-执行-检查-改进”（PDCA）结构，可将上述法律要求转化为可操作流程。二者结合，《欧盟人工智能法案》界定了“必须达成什么”，而ISO/IEC 42001则说明“如何运行、举证并持续改进”AI治理项目。实施这一双轨方法的组织，将有能力有效应对AI合规与治理的复杂性。

主要科技组织正积极回应《欧盟人工智能法案》“行为准则”（Code of Practice）的要求，围绕文档标准与治理证明的早期合规挑战已开始显现。欧洲委员会持续发布监管指引更新，同时行业协会亦在为其成员制定实施指南。

当前有两项进展决定了短期优先事项：第一，《欧盟人工智能法案》的首批义务已正式适用——最早一波（包括对某些不可接受风险的禁止）已于2025年2月生效。第二，GPAI规则自2025年8月2日起开始适用。欧盟委员会认可的行为准则，作为一条自愿性的短期路径，在统一标准成熟之前，可用于满足透明度及相关义务。在该日期之后发布新GPAI模型的提供方必须立即合规，而已在市场上的系统则拥有更长过渡期。对于整合GPAI的部署方而言，透明度与文档要求亦同步提升。

ISO/IEC 42001恰逢其时，因为其将AI治理与其他管理体系（如ISO/IEC 27001）对齐，使组织能够更容易将新的AI控制、指标与审查纳入既有审计节奏与证据库中。

如图1所示：《欧盟人工智能法案》是规则手册，而ISO/IEC 42001则是使合规可重复、可审计的操作系统。

近期行业发展

图 1——欧盟《人工智能法案》与 ISO/IEC 42001 标准解析

将义务映射至运营

组织可通过将《欧盟人工智能法案》的要求锚定至ISO/IEC 42001基础AIMS的关键要素，将其转化为可执行工作。应重点关注以下方面：

• 高风险系统的风险管理——需依据系统目的与风险，在全生命周期中实施控制。组织应建立风险方法论，明确接受标准、角色分配与审查流程，并设立纠正措施。文档包括与设计成果关联的风险登记与管理审查记录。

• 数据治理与质量——聚焦训练数据集的适用性、完整性与代表性，并进行适当文档化。组织应实施数据生命周期政策，包括供应商控制、抽样计划与数据血缘追踪。支持记录包括数据源清单、质量结果、血缘图及使用批准。

• 技术文档与日志——需提供足以支持监管评估的记录及适当日志系统。组织应采用受控文档流程，使用版本化模型卡与基于风险的日志保留策略，并维护设计历史文件、发布说明、日志保留证明与可追溯矩阵。

• 透明度与人工监督——要求清晰使用说明及人工监督机制以防风险。组织必须在部署前建立监督角色、操作员培训及经测试的运行手册。文档包括用户指南、监督手册、培训记录及覆盖场景测试结果。

• 稳健性、准确性与网络安全——强调与风险相匹配的性能与韧性，并处理漏洞。组织需实施安全开发标准、对抗测试、红队评估、漏洞服务等级协议（SLA）与事件响应程序。相关文档包括渗透测试报告、修复时间表、事件记录与纠正措施。

• 上市后监测与事件报告——要求对已部署系统进行监测，并对重大事件进行通报。组织应制定监测计划，明确阈值、升级角色与管理审查流程，并维护监测仪表板、事件报告与纠正日志。

• GPAI治理与行为准则——为GPAI设定透明度与安全义务的合规时间表。行为准则提供自愿路径，用以证明对《欧盟人工智能法案》第50-55条的合规。组织应制定GPAI角色、披露及安全文档政策，并进行管理层证明。相关文档包括涵盖目的、局限性、数据集声明、安全说明、管理层证明以及审查纪要的通用目的人工智能信息披露包。

• 高风险AI系统的符合性评估——涉及通过在欧洲经济区内销售产品时遵循既定的合格评定程序，加贴"CE"标志。根据适用的合格评定类别（即针对该系统指定的具体评定路径），组织可能被允许在无需公告机构参与的情况下进行内部合格评定。为支持这一流程，组织应维护一个统一的合格评定文件，清晰地将每个人工智能系统的要求映射到相应的政策、测试和持续监控输出上。支持性文件包括要求与测试对照表、符合性声明和变更日志。

一旦组织将这些职责映射到日常运营中，相关流程就会成为可重复执行的例行程序，而非杂乱的文件拼凑。每个高风险系统都维护着一页纸的义务登记表、一份证据索引以及一份当前的符合性文件。这将审计转变为检索练习。组织可行的实践节奏可能包括：季度风险审查覆盖率达到100%、保留完整的数据集血统记录、在检测到严重事件后72小时内起草事故报告，并根据风险等级将日志保留期设置为180至365天。其结果是发布更稳定、后期变更更少，并且整个项目组合随时可接受检查。

成功的表现（董事会、审计与工程团队视角）

基于ISO/IEC 42001的人工智能管理体系的有效实施，在组织各层面展现出三个关键特征。组织通过以下方式保持清晰度：维护包含角色映射的最新AI资产清单，建立包含负责人和日期的单页义务登记表，并明确列出通用目的人工智能风险暴露清单及高风险候选清单。他们通过将每项义务与AIMS证据索引中的具体流程和文档相关联来确保可追溯性。例如，在符合性文件中体现为"第43条要求X -> 测试Y -> 证据Z"的对应关系。企业还通过设定触发纠正措施的监控阈值、定期开展管理评审以及验证运行和关闭状态的内部审计来构建韧性。ISO/IEC 42001的PDCA循环机制确保了这种节奏在多个报告周期中的持续运行。

《欧盟人工智能法案》是规则手册，而ISO/IEC 42001是使合规可重复、可审计的操作系统。

实施挑战与务实缓解

实施基于ISO/IEC 42001的AIMS并准备符合《欧盟人工智能法案》时，挑战在所难免。可采取以下策略：

• 摒弃仅文档化治理——缺乏运营评审与指标的政策往往在审计中失败。AIMS应包含绩效评估与管理审查，以维持证据与纠正措施纪律。

• 明确角色模糊——许多企业同时是提供方与部署方。AI清单中的角色映射可确保按使用场景履行义务。

• 避免低估GPAI时间表——GPAI透明度与治理往往早于高风险义务启动；行为准则提供短期结构与模板。

• 控制证据分散——证据散落于不同系统会妨碍合规与调查。统一符合性文件结构可支持监管与CE标记流程。

• 合理日志策略——无保留与隐私控制的日志会引入风险。日志范围与保留期限应同时满足法案与AIMS要求。

结论

监管机构与行业共同塑造着通用目的人工智能的早期发展阶段。欧盟委员会发布《通用目的人工智能行为准则》（及后续背书），为当今数字环境下的透明度与安全文档建设指明了优选路径。随着合规期限日益临近，组织必须立即行动建立治理框架。各组织应考虑将规定法律义务和时间表的《欧盟人工智能法案》，与提供运营框架及所需证据闭环的ISO/IEC 42001标准相结合。将两者衔接的组织能够快速展现可信的治理态势：清晰的资产清单与角色映射图、通用目的人工智能披露与监督机制、面向高风险候选系统的试点符合性文件，以及可测量、审查和改进的人工智管理体系。这种《欧盟人工智能法案》与ISO/IEC 42001的组合，有望将合规工作从仓促应对转变为稳定、可审计的体系——既能让董事会和审计人员理解，也能让工程团队顺畅运行。

作者简介：Gnanendra Reddy，ISO/IEC 27001 LA

网络安全与DevSecOps架构师，长期在ServiceNow IRM平台设计并运行治理、风险与合规项目，主导关键任务级DevOps、自动化、政策、风险、审计、供应商风险、数据隐私与业务连续性项目，并在Kubernetes与企业平台实施自动化控制。构建安全CI/CD流水线、Terraform基础设施即代码及软件供应链防护（SBOM、SAST、DAST、容器策略执行等）。同时为CNCF社区Kubestronaut、IEEE高级会员、Sigma XI正式会员及ISACA®会员。