一句话总结
ISO/IEC 23894:2023（信息技术—人工智能—风险管理指南）于 2023 年 2 月 6 日发布，由 ISO/IEC JTC 1/SC 42 制定，指导开发、生产、部署或使用 AI 的组织管理与 AI 相关的风险，需与 ISO 31000:2018 配套使用。
标准概览
| 项目 | 内容 |
|---|---|
| 标准编号 | ISO/IEC 23894:2023 |
| 标准名称 | 信息技术—人工智能—风险管理指南（Information technology — Artificial intelligence — Guidance on risk management） |
| 发布机构 | ISO（国际标准化组织）与 IEC（国际电工委员会），由 ISO/IEC JTC 1/SC 42 人工智能分技术委员会制定 |
| 状态 | 国际标准，现行（First edition） |
| 发布日期 | 2023 年 2 月 6 日 |
| 版本/页数 | Edition 1.0，共 26 页 |
适用范围
本标准适用于开发、生产、部署或使用利用人工智能的产品、系统与服务的各类组织，指导其管理与 AI 相关的特定风险，并帮助将风险管理整合进组织的 AI 相关活动与职能。标准引言明确：其设计为与 ISO 31000:2018《风险管理—指南》结合使用，条款结构镜像 ISO 31000:2018 并针对 AI 补充子条款；规范性引用文件包括 ISO 31000:2018、ISO Guide 73:2009（风险管理—词汇）与 ISO/IEC 22989:2022（AI 概念与术语）。应用方式可根据任何组织及其情境定制。
关键条款要点
| 条款 | 内容 | 影响对象 |
|---|---|---|
| 第 4 章 原则 | 规定 AI 风险管理的原则，在 ISO 31000:2018 第 4 章基础上补充 AI 特定考量 | 所有开展 AI 风险管理的组织 |
| 第 5 章 框架 | 5.2 领导与承诺、5.3 框架设计、5.4 整合（理解组织及其情境、阐明承诺、分配角色与职责、配置资源、建立沟通与协商）、5.6 实施、5.7 评价与持续改进 | 组织管理层与 AI 治理部门 |
| 6.3 范围、情境与准则 | 界定风险管理范围、外部与内部情境、定义风险准则 | 风险管理部门 |
| 6.4 风险评估 | 6.4.2 风险识别、6.4.3 风险分析、6.4.4 风险评价 | 开发、部署与使用 AI 的团队 |
| 6.5 风险处置 | 选择风险处置方案、制定并实施处置计划 | 风险负责人与业务部门 |
| 6.6/6.7 监测评审与记录报告 | 持续监测与评审、记录与报告风险 | 合规、审计与运营部门 |
| 附录 A/B/C（资料性） | A：AI 常见目标；B：AI 常见风险源；C：风险管理过程与 AI 系统生命周期的映射示例 | 风险分析人员 |
合规建议
- 将 AI 风险管理纳入组织现有 ISO 31000:2018 风险管理体系，按标准第 5 章建立框架并取得管理层承诺。
- 依据第 6.4 条在 AI 系统全生命周期开展风险识别、分析与评价，可参考附录 C 的映射示例。
- 对识别出的风险按 6.5 条选择处置方案（避免、降低、转移、接受等）并形成书面处置计划。
- 建立持续监测与评审机制（6.6 条），并按 6.7 条记录报告风险信息，确保可追溯。
- 术语与概念对齐 ISO/IEC 22989:2022 与 ISO Guide 73:2009，保证组织内外口径一致。