ISO 27001（ISMS）与 ISO 42001（AIMS）的比较分析。范围、控制措施、风险评估、认证和联合实施策略。
ISO 27001作为信息安全管理体系的参考标准已有二十多年历史。ISO 42001于2023年12月发布，建立了人工智能管理体系的要求。尽管它们共享附件SL的高层结构（HLS），但目标和控制措施存在实质性差异。
| 方面 | ISO 27001:2022 | ISO 42001:2023 |
|---|---|---|
| 主要目标 | 通过基于风险的方法保护信息的机密性、完整性和可用性。ISMS系统地管理组织信息资产面临的威胁。 | 确保人工智能系统的负责任开发、提供和使用。AIMS涵盖技术风险、伦理影响、算法偏见和自动化决策的透明度。 |
| 规范范围 | 适用于任何处理信息的组织，无论其规模或行业。附件A包含93项控制措施，分为4个主题：组织、人员、物理和技术。 | 面向开发、提供或使用人工智能系统的组织。附件B包含38项AI生命周期专用控制措施，附件C和D提供额外指南。 |
| 风险评估 | 专注于信息面临的威胁和漏洞：未授权访问、数据泄露、网络攻击、可用性丧失。方法论灵活但必须考虑机密性、完整性和可用性。 | 要求进行超越安全范畴的AI影响评估（条款6.1.4）：包括偏见、歧视、基本权利、环境和社会影响。要求记录组织和受AI系统影响的个人所面临的风险。 |
| 文档要求 | 信息安全方针、适用性声明（SoA）、风险处置计划、操作程序、事件记录和人员能力证据。 | AI方针、已记录的影响评估、AI系统生命周期记录（从设计到退役）、训练和验证数据文档，以及关于每个系统自主程度决策的记录。 |
| 生态系统成熟度 | 超过20年历史，生态系统成熟。全球约71,000张有效证书。各地区拥有大量认可的认证机构和合格审核员。 | 2023年12月发布，处于早期采用阶段。2024年颁发首批证书。认证机构正在培训具备AI、算法伦理和数据科学专业能力的审核员。 |
| 与其他标准的整合 | 与ISO 9001、ISO 22301和ISO 27701自然整合。ISO 27000系列提供补充指南（27002、27005、27017、27018）。整合质量、安全和连续性的综合管理体系很常见。 | 旨在补充ISO 27001，因为AI数据安全需要信息安全控制措施。与EU AI Act等监管框架保持一致，并提及需要考虑现有的隐私和安全标准。 |
开发或部署AI系统的组织需要两个标准。ISO 27001保护为AI模型提供数据的基础设施，ISO 42001确保这些模型得到负责任的管理。联合实施利用60%的共享结构，减少重复工作。
技术上可以，但不建议。ISO 42001预设信息安全控制以保护训练数据、模型和推理结果。没有ISO 27001，组织仍需实施这些控制以满足ISO 42001附件B的要求。
对于中型组织，联合实施需要12至18个月。如果已获得ISO 27001认证，添加ISO 42001可缩短至6-9个月，因为60%的结构要求已被现有ISMS覆盖。
系统性开发、提供或使用AI系统的任何组织。包括科技公司、金融科技、数字健康、智能自动化制造以及任何将机器学习模型融入决策流程的行业。