典型交付成果
概览
人工智能进入产品、运营和决策的速度，超过了大多数治理框架的调整速度。欧盟《人工智能法案》根据每个系统的风险和每家企业的角色设定义务；客户和投资者询问人工智能如何受控；而这些系统同时引发数据保护、安全、知识产权和法律责任方面的问题。
我们帮助企业建立相应的治理：梳理正在使用的人工智能清单，建立既反映《人工智能法案》又体现企业自身风险偏好的风险分类，明确角色和人工监督，并制定支撑人工智能规模化应用的政策、评估和文件。如果目标是获得认证，我们会依据 ISO/IEC 42001 实施人工智能管理体系，并在审核过程中为企业提供支持。
人工智能治理与我们的“隐私与数据保护”、“信息安全与网络安全”、“商业与技术合同”和“法律意见书”业务相互衔接，因为同一个人工智能系统可能同时引发数据保护、安全、合同和监管方面的问题。
本服务属于治理、合规和保证工作。ROZSUD 不开发、训练或从技术上测试人工智能模型。ISO/IEC 42001 认证由独立的经认可认证机构授予，而非 ROZSUD。
核心服务
我们识别差距、设计方案、协助实施，并在审计师、客户和监管机构的外部审查中为您提供支持。
为 ISO/IEC 27001、ISO/IEC 27701 和 ISO/IEC 42001 认证、SOC 2 鉴证及其他外部审计提供全程准备和审计支持——从首次差距分析到关闭审计发现的问题。
认证和鉴证决定由独立的认证机构或审计机构作出。ROZSUD 不颁发认证，也不是认证机构。
安全、隐私以及日益增多的人工智能审查，已成为企业采购的常规环节，一份未答复的问卷就可能拖慢交易。我们帮助您准确、迅速地答复——扫除安全和隐私方面的障碍，同时不夸大答复背后的控制措施。
服务范围
与企业开发、采购和使用人工智能的方式相匹配的治理框架：原则、职责、决策权和路线图。
可接受使用、开发和采购政策，以及将其付诸实践的操作程序。
明确全公司的人工智能问责——从董事会和人工智能治理委员会，到每个系统的负责人。
根据每个使用场景的风险，确定人员在何处、以何种方式审核、推翻或中止人工智能的输出。
监管机构、审计师和客户期望看到的记录：清单、评估、技术文件和决策日志。
在内部职能建立期间，由经验丰富的人工智能治理负责人在约定的月度服务范围内提供支持。
判断《人工智能法案》是否适用及如何适用，明确企业作为每个系统的提供者（provider）或部署者（deployer）的角色，并制定履行相应义务的计划。
正在使用或开发中的人工智能系统和模型登记册，包括嵌入供应商产品中的人工智能。
对照《人工智能法案》的风险类别和企业自身的风险偏好，对每个系统进行分类。
评估人工智能系统对个人、企业和第三方的影响，包括在《人工智能法案》要求时开展基本权利影响评估。
将人工智能系统和模型的安全要求——数据、访问、供应链和滥用防范——纳入整体安全体系。
处理个人数据的人工智能系统的合法依据、透明度、数据最小化和 DPIA。
对人工智能服务商和模型开展尽职调查，并监督供应商产品和服务中嵌入的人工智能。
采购和提供人工智能的合同条款：数据使用、知识产权、性能、透明度和责任分配。
依据 ISO/IEC 42001 建立人工智能管理体系（AIMS），并在认证审核中提供支持。
为客户的人工智能问卷、尽职调查以及针对人工智能治理方式的审计准备证据和答复。
面向员工和管理层、符合《人工智能法案》要求的人工智能素养培训，以及面向开发或使用人工智能团队的岗位培训。
框架
标准和框架是主动选择的——用于认证、出具报告或为管理体系搭建结构；法规和立法则依法适用，取决于企业的经营地点和业务内容。我们兼顾两者，并将一套控制措施映射到所适用的各项要求。
与我们合作
每项委托在开始工作前都以书面形式确定范围，可采用以下一种形式或多种形式组合。
就特定的安全、隐私或人工智能治理问题进行有准备的咨询，并提出切实可行的行动要点。
编制、审阅或改进特定的政策、程序、评估、登记册、方法论或其他治理交付成果。
在约定的月度服务范围内，持续提供资深的安全、隐私或人工智能治理支持。
依据约定框架建立或改进 ISMS、PIMS、AIMS 或更全面的合规体系。
为认证审核、客户审计和企业安全或隐私审查做准备，并完成后续整改。
对供应商、合作伙伴、被投资企业、收购标的或其他第三方开展独立的安全与隐私评估，并提出结论和建议。
所需时间取决于组织规模、当前成熟度、产品和业务地域、所选框架以及审计范围。我们会在确定工作范围时明确时间安排，但不承诺认证日期。
司法辖区
“人工智能治理”是我们的跨辖区服务能力之一。我们在名录中的各司法辖区提供该服务，并在当地法律、注册、代理或执业要求需要时协调当地专业人士。各辖区的法律要求和工作方式有所不同。
问题
可能适用。《人工智能法案》适用于在欧盟市场投放或投入使用人工智能系统的提供者，也适用于其人工智能系统输出在欧盟使用的欧盟以外提供者和部署者。在设计任何方案之前，我们会先确定该法是否适用以及以何种角色适用。
认证属于自愿性质。有些企业通过认证，以一项公认标准回应客户和投资者的问题；另一些企业则将 ISO/IEC 42001 作为框架使用而不申请认证。我们帮助您作出决定，而认证决定本身由独立认证机构作出。
通常适用。部署第三方人工智能的企业自身也负有义务，而一般企业的大部分人工智能风险恰恰来自外购而非自建的工具。我们首先梳理正在使用的人工智能清单，包括嵌入供应商产品中的人工智能。
请简要介绍您的业务和计划，我们将与您联系，安排一次保密的初步沟通。
