全球人工智能监管：ISO 42001 的定位

问人工智能监管现状如何，每个大洲都会给出不同答案。欧盟有一部附带日期的全面法案。韩国有一部已生效的法律。美国没有联邦成文法，但有一套快速变化的州法律拼图。英国有原则和监管机构，而不是一部人工智能法案。亚洲大部分地区通过指南、行政规则或促进优先的立法进行治理。

一个合理的结论可能是，全球人工智能治理必须逐个市场建设，每个项目遵循自己的规则手册。实际上，这些制度之间的共同点比新闻标题所暗示的更多。监管机构在机制上的差异远大于在实质内容上的差异；一旦撇开法律机器，同样的要求会从一个制度到另一个制度反复出现：

• 以明确、可重复的方式识别和处理人工智能风险
• 对人工智能在何处使用保持透明，并有文件作为支撑
• 具名问责和有意义的人类监督
• 对人工智能所依赖的数据进行治理
• 报告和处理事件的途径
• 在人工智能被采购或供应时明确责任

ISO 42001 是首个可认证的人工智能管理体系国际标准，它把这份清单正式化。规则手册不同；它们所假设的治理却相同。按照可认证标准一次性建立这种治理，然后在边缘加以调整，比按司法辖区运行合规项目更可行。因此，本文按机制而非按地图来概览这一格局。

有日期的硬法

目前有两套全面的人工智能制度具有约束力。

欧盟《人工智能法案》是发展最成熟的。其禁止性规定和人工智能素养义务已经适用，透明度义务自2026年8月2日起适用。在《数字综合法案》（Digital Omnibus）之后，主要高风险义务自2027年12月2日起适用，嵌入受监管产品的高风险人工智能则自2028年8月2日起适用。对被禁止做法的处罚最高可达全球年营业额的7%。ISO 42001 证书在该法案下能带来什么、不能带来什么，值得单独讨论，也确实有单独讨论：本文的配套文章逐项义务地进行了分析。简言之：认证不是符合性，但它是构建符合性论证所依托的治理基础。

其二是韩国的。《人工智能基本法》及其实施条例自2026年1月22日起生效。它对高影响和生成式人工智能施加义务，包括风险评估、影响评估、透明度以及人工智能生成内容的标注。它域外适用于影响韩国市场的系统，并要求较大的外国运营者指定一名韩国境内代表。科学技术信息通信部（MSIT）设定了至少一年的宽限期，在此期间，除造成严重损害的情形外，事实调查和行政罚款通常暂缓执行。相关义务本身现已适用。

不会停滞不前的规则

美国没有全面的联邦人工智能成文法。联邦行政行动设定政策层面，包括2025年12月的第14365号行政命令，该命令推动联邦优先于各州人工智能法律；其效果有待法院裁定。具有约束力的私营部门义务主要存在于州法律中，而州层面不会保持不变。2024年，科罗拉多州成为首个通过全面人工智能法律的州。在两次延迟后，该法在生效前于2026年5月被废除并替换；较窄的替代法将于2027年1月1日起适用。《德克萨斯州负责任人工智能治理法案》（TRAIGA）于2026年1月生效，其形式比原始草案窄得多。加利福尼亚州也有一系列自己的规则，从前沿开发者透明度到自动化决策规则，将在2027年前逐步生效。数量是最明确的信号，表明还会有更多变化：截至2026年3月，州立法者已在45个州提出1,561项人工智能相关法案。

这一切都不是等待明确性的理由。它反而是停止按某一法规措辞构建合规的理由，因为该措辞可能在一个立法会期内就过时。持久的投资是一个治理体系，它能产生这些法律每个版本都要求的证据（清单、风险和影响评估、披露纪律、人类监督），并随着法规来来去去而在边缘进行调整。

美国的参照点是美国国家标准与技术研究院（NIST）人工智能风险管理框架（AI RMF），这是许多美国风险团队已在使用的自愿性方法。它不可认证，但与 ISO 42001 高度一致；NIST 发布了二者之间的对照表。实践中，该框架组织风险工作；该标准将其转化为经独立第三方验证的内容。

原则、指南和行政规则

英国采取了基于原则的路径：通过现有监管机构适用跨部门原则，而不是制定单一人工智能成文法。日本2025年的人工智能立法以促进为导向，其义务基本上不具惩罚性。新加坡提供示范治理框架和自愿测试工具。中国通过行政措施进行监管，包括对生成式人工智能的标注要求。在每个市场，金融服务、卫生和就业等领域的行业监管机构现在就在对人工智能适用现有权力，而不等待人工智能专门法律。

软法本质上仍是一种证据要求。监管机构在适用相关原则时，会提出与法律条文相同的第一性问题：请说明你如何对这一事项进行规制。

买方作为监管者

对大多数组织而言，第一个要求提供证据的监管者不是政府，而是客户。人工智能治理条款和尽职调查问卷正在企业采购中比任何法规传播得都快。它们在不同市场之间覆盖许多相同领域，而且不设宽限期。董事会和保险公司也从另一个方向提出同样的问题。采购是当今唯一具有全球影响力的制度，也是经认可的证书最能发挥作用的地方，因为它用一份独立验证的证据回答了问卷中的大部分内容。

共同核心，以及认证能证明什么

下表列出了上述各制度中反复出现的要求主题，以及 ISO 42001 管理体系对每项主题的贡献。所有 ISO 42001 引用均指标准本身。

右栏是组织机制，而不是法律符合性。这一区别是配套文章的主题，而且它适用于所有地方，不仅限于欧洲。

在任何市场，认证能带来什么、不能带来什么

没有任何证书能使组织符合上述任何制度，也永远不应将其说成符合。经认可的 ISO 42001 证书提供的是独立验证的证据，证明治理基础存在并有效：风险按明确方法评估，问责已分配，能力得到维持，供应商得到管理，整个体系经过审计和改进。在监管沟通、采购、客户尽职调查和董事会保证中，这消除了否则会主导对话的问题：政策声明之下究竟有没有东西。

时间逻辑在哪里都一样；只是日期不同。认证通常需要六到十二个月，而且管理体系必须在审计之前存在。在欧洲，日期是2027年12月。在韩国，调查和罚款的宽限期不早于2027年1月结束。在美国，日期是第一部触及您的法规，或者更可能，是下一份客户问卷。从适用于您的任何日期倒推，起点都接近现在。日历本身就在说明这个道理。

可通行的证据

一个管理体系，一条审计轨迹，一张证书。由于底层要求如此相似，以这种方式构建的证据在布鲁塞尔、首尔、美国州检察长调查和供应商问卷中同样可用。LRQA 是 UKAS 认可的 ISO 42001 认证机构，这意味着我们自身的能力和公正性已经过独立评估。