AI 治理框架比較

四大框架概述

NIST AI Risk Management Framework (AI RMF)

發布單位：美國國家標準與技術研究院（NIST）

性質：自願性指引，非法規

核心：Govern（治理）— Map（映射）— Measure（衡量）— Manage（管理）

特色：強調彈性與可調適性，不強制特定技術方法

ISO/IEC 42001

發布單位：ISO / IEC 國際標準組織

性質：可驗證的管理系統標準

核心：Plan-Do-Check-Act（PDCA）循環，類似 ISO 27001 架構

特色：可取得第三方驗證（certification），適合供應鏈證明

歐盟 AI Act

發布單位：歐盟委員會

性質：強制性法規（硬法）

核心：風險分級（四級）、高風險系統合規義務

特色：具域外效力，影響非歐盟供應商，違規罰款最高 7% 全球營收

台灣 AI 基本法（草案）

發布單位：行政院 / 國科會

性質：框架性法律（原則立法）

核心：八大原則 + 主管機關授權訂定子法

特色：偏向促進創新，細節待後續授權命令補充

四大框架比較表

| 面向 | NIST AI RMF | ISO 42001 | 歐盟 AI Act | 台灣基本法（草案） | |------|-------------|-----------|-------------|-------------------| | 強制性 | 自願 | 自願（驗證） | 強制 | 框架原則 | | 適用範圍 | 全球 | 全球 | 歐盟市場 | 台灣境內 | | 風險分級 | 無強制分級 | 組織自訂 | 四級法定 | 未明確分級 | | 罰則 | 無 | 無（驗證失效） | 最高7%營收 | 無（待子法） | | 第三方驗證 | 無 | 可（認證制） | 指定機構 | 未來可能 | | 成熟度 | 最成熟（2023版） | 2023年發布 | 2024生效 | 草案階段 |

企業該如何選擇

依企業類型建議

跨國企業（出口歐盟）： 優先滿足歐盟 AI Act 合規（硬性門檻）；同步導入 ISO/IEC 42001 管理系統作為內控工具；參考 NIST AI RMF 補強風險管理細節。

台灣本土大型企業： 導入 ISO/IEC 42001 取得驗證，建立制度化 AI 治理體系；參考 NIST AI RMF 作為技術指引；密切關注 AI 基本法子法動向。

中小企業 / 新創： 從 NIST AI RMF 的「精簡版指引」入手，以最小成本建立風險意識；若為供應鏈一環，配合客戶要求逐步導入 ISO 42001；避免過早投入合規基礎建設。

實際執行建議

盤點現狀：清查組織內所有 AI 系統與使用場景

風險分類：依歐盟 AI Act 分類初步判斷風險等級

差距分析：對標 NIST AI RMF 與 ISO 42001 找出缺口

逐步改善：優先處理高風險項目，建立 AI 使用政策與訓練

持續追蹤：因應法規演進調整策略

> CJ 哥觀點：框架沒有「最好的」，只有「最適合的」。出口導向企業以歐盟 AI Act 為底線、ISO 42001 為骨幹；內需型企業以 NIST AI RMF 為起點，節省成本同時建立治理基礎。