它是什么
一个安装到您自己 AI 助手中的技能。安装后，它便了解这套工具包的组织方式——哪份文件先做、每份文件该写什么，以及哪些文件绝不能提前填写。
它在您自己的电脑上、在您自己的工具包副本上工作。您的回答和文件始终留在您手中。
开始之前
您需要一个支持可安装技能的 AI 助手——例如 Claude——以及电脑上的 Python 3。无需安装其他任何东西，也无需在我们这里创建账户。
快速上手
从打开工具包到拿到管理体系草稿，只需五步。
- 01
安装技能
打开文件夹 00. Start Here — Master Index，再打开 AI Assistant Skill。在您的助手中安装以 .skill 结尾的文件。如遇问题，同一文件夹中有一份简短的 README。
- 02
指向您的工具包，直接提问
与助手开启一段对话，授予它访问您工具包文件夹的权限，然后用您自己的话提出请求。您不需要记住任何命令。
可以这样说
- “帮我用这套工具包搭建我们的 AIMS”
- “对我做访谈并填写这些模板”
- 03
介绍您的组织
它会与您访谈——您是谁、您使用或构建哪些 AI 系统、由谁负责。如果您已有能回答其中部分问题的文件——AI 清单、组织架构图、现成的 ISO 27001 范围声明——请先提供给它：它会阅读这些文件，只追问缺失的部分。它还能通过公开来源研究您的背景，例如您的网站、所在行业以及您经营所在地的法规。这项背景分析值得认真做好：它决定您的范围，并进而决定您的适用性声明 (SoA)——审核员花时间最多的那份文件。您的回答会保存到一个文件中，可随时更正和复用。
- 04
让它开始构建
它会创建一份全新的、量身定制的工具包副本，把您组织的信息一致地写入每份文件。您的原始工具包从不被改动，因此随时可以重新开始。它按照工具包自身的顺序工作——先范围，再您的 AI 系统，然后风险，最后是您的适用性声明——因为每一步都依赖前一步。
- 05
审阅它的产出
您会拿到文件，外加一份它无法回答的事项清单。凡是它不知道的内容，都会在文件中清楚标出，不会有任何东西被悄悄编造。逐项处理那份清单，然后认真通读这些文件——它们是您的文件，最终要为其负责的人是您。
它填写什么，又把什么留给您
工具包中的文件并非同一类型。助手把 Word 文件分为三组，并区别对待。
| 分组 | 文件 | 处理方式 |
|---|---|---|
| 起草 | 35 | 您的方针、程序、计划，以及内容可以预先确定的登记册——依据您的回答撰写，使用您真实的系统、角色和地点。 |
| 定制 | 23 | 每个 AI 系统、数据集或供应商各填写一次的表单和指南。措辞会按您的组织调整；行保持空白，由您在过程中逐步填写。 |
| 留空 | 17 | 您的事件登记册、纠正措施、审核发现与报告、管理评审会议纪要、监视记录。 |
为什么 17 份文件保持空白
这些文件是您的证据。它们记录的是必须真实发生过的事情——您开展过的审核、召开过的评审、处理过的事件。审核员若发现它们已被提前填好，会视之为伪造证据，这可能让您失去证书。
即使您提出要求，助手也不会填写它们。它们会随着您运行管理体系而逐渐充实——这正是建立体系的意义所在。为了展示合格的记录长什么样，工具包附带一份以虚构组织为例的完整示例指南——供学习参考，绝不可照抄。
始终由您做的决定
助手负责起草和建议。以下事项，它每次都会停下来交还给您：
- 批准您的 AI 方针 — 由最高管理者签署。
- 接受剩余风险 — 由具名人员接受，并记录在案。
- 签署您的适用性声明 (SoA) — 包括您排除任何控制的理由。
- 设定您的风险偏好 — 您的容忍度，由您决定。
- 确认欧盟《人工智能法案》(EU AI Act) 分类 — 它给出建议，由您确认。
您可以让它做的所有事
用平常的语言提出即可——以下是内置能力。每一项都遵守同一条规则：事实来自您，决定权在您，证据绝不编造。
构建我的 AIMS
可以这样说
- “帮我用这套工具包搭建我们的 AIMS”
即上文的完整流程：访谈您或阅读您的文件，把您的回答保存到一个文件，并构建整套工具包的定制副本。
完成 SoA
可以这样说
- “帮我完成适用性声明 (SoA)”
针对 38 项附件A控制中的每一项，它会基于您自己的系统、数据和供应商准备一条建议。您逐项确认或修改；只有您确认过的决定才会写入工作簿，写入前会先做备份。
按 EU AI Act 分类
可以这样说
- “按 EU AI Act 对我们的系统进行分类”
将每个 AI 系统与 EU AI Act 映射中的分类器逐一比对，结合相关条款和日期解释所建议的等级，并按系统跟踪由此产生的义务。由您确认——对处于边界的情形，它会提示您咨询法律顾问。
选出我们的风险
可以这样说
- “风险库里哪些风险适用于我们？”
工具包附带一个包含 41 项常见 AI 风险的风险库，已映射到每一项附件A控制。助手帮您挑选并调整真正适用的风险——绝不整库照搬。
管理报告
可以这样说
- “生成一份管理报告”
读取您自己的风险登记册、SoA 和措施登记册，并依据其实际内容起草管理层摘要——主要剩余风险、等待管理层决策的事项、逾期措施。空的登记册就如实报告为空。它还会准备您的管理评审输入和议程；会议纪要在会后由您撰写。
按系统生成文件
可以这样说
- “为我们的每个 AI 系统创建文件”
每个 AI 系统一份影响评估、一份 model card 和一份透明度声明——外加每个数据集一份数据记录、每个供应商一份供应商问卷——识别信息已填好，每项评估都留给实际执行的人来完成。
有什么变化？
可以这样说
- “与上次构建相比有什么变化？”
在您更新回答并重新构建后，它会对比两次构建，列出哪些文件确实发生了变化、需要重新批准——并与仅版本字段变动的文件分开列示。
评审日历
可以这样说
- “生成一份评审日历”
把每份文件的评审日期汇总成一个日历文件 (.ics)，可导入 Outlook 或 Google Calendar，让文件评审按时进行，而不是到审核时才发现被遗漏。
演练一次事件
可以这样说
- “准备一次事件演练”
依据您自己的事件程序和您自己的系统生成一次桌面演练。与团队一起开展，然后让助手帮您记录实际发生的情况——这是获得事件登记册最初几条记录的诚实方式。
成熟度检查
可以这样说
- “运行成熟度自评”
按领域逐一带您完成成熟度工作簿的访谈。评分是您自己的判断——它解释每个等级是什么样子，记录您的理由，并总结优势、差距和后续行动。
添加您的标志
可以这样说
- “把我们的标志加到工具包上”
在一份全新副本中，把您的标志放到每份文件和电子表格的右上角。只有页眉发生变化——您的内容分毫不动。
检查我的工具包
可以这样说
- “检查我的工具包”
报告尚未完成的事项：还没替换的占位符、您的 SoA 已决定的比例，以及指向不存在文件的引用。
您在 Confluence 中的 AIMS
更希望管理体系是一个活的 wiki，而不是一个装满文件的文件夹？让助手把您已构建并审阅过的 AIMS 发布到一个 Confluence 空间。您会得到这样的结构：
可以这样说
- “在 Confluence 中搭建我们的 AIMS”
AIMS Home——范围、方针、状态、关键角色、如何反映问题 └─ 00 从这里开始——手册、审核指南、版本历史 └─ 01 背景与范围 └─ 02 领导作用与方针 └─ 03 目标与支持 └─ 04 AI 系统清单 └─ 05 风险与影响 └─ 06 控制与适用性声明 (SoA) └─ 07 生命周期与数据控制 └─ 08 使用、透明度与第三方 └─ 09 监视、审核与评审 └─ 10 改进 └─ 按系统的文件——每个 AI 系统一组页面 └─ 登记册——由您的团队持续维护的动态表格
- 方针、程序和计划变成易读的页面，每页顶部都带有其文件控制信息块。
- 模板以附件形式提供，并配有一页简短说明，解释何时使用。
- 证据页面保留其表格结构，行为空——“不得编造”的规则随内容一同迁移，而 Confluence 的页面历史为真实记录提供真实的时间戳。
- 重新构建后，只更新确实发生变化的页面——绝不覆盖带有您团队较新编辑的页面。
您在 Confluence 中的 AIMS
发布之前，由您决定哪一份是受控版本——文件还是 wiki——以及谁有编辑权限。文件控制不会止步于 wiki，助手会先请您把这一点定下来。
一份许可，一个组织
工具包及其助手的许可仅限一个客户组织使用。用一份许可为多个组织构建或贴牌工具包是不允许的——每个客户组织都需要自己的许可。
以专业身份为客户实施 ISO/IEC 42001？我们为顾问和实施伙伴提供经销商折扣——欢迎联系我们。 联系我们
常见问题
我必须一次答完所有问题吗？
不必。您暂不清楚的内容会在文件中标记为缺口，并出现在您的待办清单上。之后补上，更新您的回答文件，再构建一次即可。
如果情况变了怎么办——新增了 AI 系统、换了负责人？
更新您的回答文件，重新运行构建，然后询问有什么变化：您会得到一份清单，准确列出哪些文件需要重新评审和重新批准。把回答文件与工具包放在一起保存；它记录着您的管理体系所依据的内容。
它会覆盖我的工作吗？
不会。每次构建都写入一个新文件夹，并拒绝覆盖已存在的文件夹。当它把您确认的 SoA 决定写入工作簿时，会先备份工作簿，并且只填写空白单元格。您的原始工具包永远不会被修改。
如果我坚持要求，它会填写我的审核记录吗？
不会。有十七份文件——事件登记册、审核发现、管理评审会议纪要、监视记录等——记录的是必须真实发生过的事情。提前填写它们等于伪造审核证据。当真的发生了什么，助手会帮您正确地记录：它向您询问事实并整理成文；事实永远来自您。
我是服务多个客户的顾问，该怎么用？
每个客户一份回答文件、一份贴牌副本——并为每个客户组织购买一份许可。我们为专业实施 ISO/IEC 42001 的人士提供经销商折扣：请联系我们。
这是否意味着我已经可以认证了？
这意味着您已拥有成文的管理体系，可供您审阅——这正是第一阶段审核所看的内容。第二阶段抽样检查体系确实在运行的证据：您开展过的审核、召开过的评审、做过的监视。这些证据只有在您使用体系之后才会存在。任何工具包都无法替您走完这一段。