📝 本系列為 iThome 鐵人賽學習筆記，屬個人教學與非商業用途；文中法規與標準內容均以自身理解後的話轉述並註明出處，非逐字引用。

階段三｜台灣有哪些機構與資源

一張證書，憑什麼可信

前面幾天，我們不斷碰到「證書」這個東西：Day 13 走過 ISO/IEC 42001 的認證之路（從適用性聲明到取得證書）、Day 17 講 AI 測試實驗室與 AI 驗證機構時，也提到它們要「通過財團法人全國認證基金會（Taiwan Accreditation Foundation，以下簡稱 TAF）認證」才有公信力。這兩處都留了一個沒講透的問題：一張證書，到底憑什麼可信？TAF 又是什麼角色？

今天就把這件事補完，並看一個重要的本土里程碑——台灣第一家通過 ISO/IEC 42001 驗證的公司，而且它的驗證範圍，幾乎就是本系列的檢索增強生成（Retrieval-Augmented Generation，以下簡稱 RAG）客服範例。

先點出一個日常最容易混淆的地方：「認證」和「驗證」在中文裡常被當成同義詞交替使用（很多人講「拿到 ISO 認證」），但在制度上它們是上下兩層、不同角色的兩件事。分清楚這兩個詞，就看懂了整條信任鏈。

認證 vs 驗證：用考駕照理解三層信任

要理解一張證書的公信力從哪來，最好的比喻是考駕照，三者的層級關係如下圖所示。

想像你要考駕照，這中間有三個角色：

• 你——想證明自己會開車的人。對應到制度裡，就是想證明自己合規的組織或產品。
• 經監理機關認可、可在班內辦理考驗的駕訓班——你在駕訓班受訓後，直接在班內由考驗員實際考核你會不會開車，通過就能取得駕照。這對應驗證機構（certification body），它做的事叫驗證（certification）：依標準考核一個組織或產品，通過就發證書。
• 公路監理機關——它不必親自監考每一場考驗，而是負責「認可哪些駕訓班有資格在班內辦理考驗」。這對應認證機構（accreditation body），它做的事叫認證（accreditation）：確認「那些發證書的機構本身夠不夠格」。

三層的關係是：認證機構認證驗證機構，驗證機構再驗證你。 在駕訓班考到的駕照之所以到哪都被承認，不是因為駕訓班的考驗員說了算，而是因為背後有一整套「監理機關認可駕訓班」的制度在撐。證書的公信力，同理——它不是來自發證的那一刻，而是來自背後這條「誰認可誰」的信任鏈。

所以務必記住這組官方用語的區分：

• 認證（accreditation）：由認證機構（如 TAF）對驗證機構或測試實驗室進行認可。
• 驗證（certification）：由驗證機構對組織或產品進行第三方確認。

日常說的「拿到 ISO 認證」，嚴格講是「通過 ISO 驗證」；而讓那張驗證證書有公信力的，才是背後的「認證」。

TAF 是誰：台灣的國家認證機構

在台灣，站在信任鏈最上層、扮演「監理機關」角色的，就是 TAF，其角色與國際互認關係如下圖所示。

TAF 是台灣的國家級認證機構，於 2003 年由經濟部整併中華民國實驗室認證體系（Chinese National Laboratory Accreditation，CNLA）與中華民國認證委員會（Chinese National Accreditation Board，CNAB）兩套體系而成立。它本身不測試、也不發產品證書，它做的是更上游的一件事：依國際標準，認證台灣各類「做符合性評鑑的機構」有沒有資格——包括測試實驗室、管理系統驗證機構、產品驗證機構等。

這裡把前兩天的機構接起來看，就完整了。TAF 依不同的國際標準，認證不同類型的機構：

• 測試實驗室依 ISO/IEC 17025，例如 Day 17 的 AI 測試實驗室（工研院）。
• 產品驗證機構依 ISO/IEC 17065，例如 Day 17 的 AI 驗證機構（資安院）。
• 管理系統驗證機構依 ISO/IEC 17021-1，例如 Day 13 所述發出 ISO/IEC 42001 證書的驗證機構。

換句話說，Day 17 說的「AI 測試實驗室與 AI 驗證機構要通過 TAF 認證」、以及 Day 13 說的「42001 證書由驗證機構發、TAF 認證那個驗證機構」——它們都掛在 TAF 這同一棵樹上，只是依循的國際標準編號不同。 TAF 就是把台灣所有這些評測、驗證活動的公信力，統一撐起來的那個角色。

為什麼 TAF 的認證能被國際承認

一張台灣發的證書，為什麼能被國外接受？因為 TAF 加入了國際的相互承認協議。國際上長期有兩大認證合作組織：國際認證論壇（International Accreditation Forum，IAF）與國際實驗室認證聯盟（International Laboratory Accreditation Cooperation，ILAC）；它們的相互承認協議，讓各國認證機構背書的證書能彼此互認——「一地認證、全球接受」。

這裡補上一則最新進展：這兩大組織已於 2026 年 1 月 1 日合併，成立「全球認證合作組織（Global Accreditation Cooperation）」，而 TAF 已於 2025 年 10 月以正會員身分加入。這意味著台灣的認證體系，持續與最新的國際架構同步。

台灣第一家 ISO/IEC 42001 驗證：翱騰國際

制度講完，來看一個真實的里程碑。2025 年 12 月，翱騰國際科技股份有限公司（Octon）成為台灣第一家通過 ISO/IEC 42001 人工智慧管理系統（AI Management System）驗證的公司，並於 2026 年 1 月正式取得證書。

如上圖所示，這個案例對本系列的讀者有三個特別值得注意的點：

• 驗證範圍幾乎就是我們的範例：翱騰的驗證範圍聚焦在「客服與通訊軟體整合的 AI 平台之設計、開發與提供」。這和本系列從第四階段要動手打造的 RAG 客服，是同一類系統。別人已經把這條路走通並拿到證書了——這證明「從法條到程式碼」不是紙上談兵，而是真的能落地成一張國際證書。
• 它走的是國際認證路線：翱騰的驗證，由國際驗證機構 DNV 執行，並獲荷蘭認證委員會（Raad voor Accreditatie，RvA）認可。用前面的信任鏈來看，這條線是「RvA（認證機構）→ DNV（驗證機構）→ 翱騰（組織）」——注意它不是走 TAF，而是走荷蘭的認證體系。這正凸顯了下一節要談的重點：台灣本土的驗證基準，還在成形中。
• 它證明了 42001 的商業價值：搶下「台灣第一家」的頭銜，本身就是強而有力的市場訊號——對客戶、對投資人、對政府標案，這張證書都在說「我把 AI 治理當一回事，而且有國際第三方背書」。

CNS 42001 發布的意義：本土驗證基準成形

翱騰的案例點出一件事：目前要拿 ISO/IEC 42001 證書，走的多半是國際驗證機構與國外認證的路線。那台灣自己的基準呢？

這就是 CNS 42001 的意義。如同 Day 9 介紹過的，台灣已於 2026 年 6 月發布國家標準 CNS 42001（採用 ISO/IEC 42001）。如下圖所示，國際線與本土線自此並行。

它的價值在於：

• 官方繁中、貼台灣脈絡：國家標準用官方繁體中文術語，條號、用語都最貼近台灣的標案與監理語言。
• 本土驗證基準的地基：有了國家標準，未來就有機會發展出「由 TAF 認證的本土驗證機構、依 CNS 42001 發證」的完整本土路線。屆時台灣企業要證明 AI 治理合規，就多了一條在地、可及、且被官方承認的途徑。

換句話說，翱騰案例代表「國際線」已經跑通，而 CNS 42001 的發布，是「本土線」正在鋪軌。兩條線並行，台灣企業未來的選擇會越來越完整。

對映到本系列與 RAG 範例

把今天的內容接回本系列，會發現一個完整的呼應：

• 我們從第四階段（Day 21–30）要打造的 RAG 客服，加上 Day 13 談的適用性聲明（Statement of Applicability，以下簡稱 SoA）與白皮書檢核表——本質上就是在為「送 42001 驗證」預先準備一份迷你的管理系統文件。
• 翱騰國際證明了「AI 客服平台拿到 42001 證書」這條路真實可行；本系列做的，正是把這條路的技術與文件基礎，一步步拆給讀者看。
• 而 TAF 這條信任鏈告訴我們：一張有價值的證書，靠的不只是把系統做好，還要有可信的第三方來驗、有國家級機構來認證。技術落地與制度背書，缺一不可。

換句話說，本系列後半的每一段程式與每一份紀錄，最終都是為了讓這個 RAG 客服，能站上翱騰走過的那條路。

小結與明日預告

今天把「證書怎麼來的」這件事補完整了：

• 認證 ≠ 驗證：驗證（certification）是驗證機構對組織／產品發證；認證（accreditation）是認證機構確認「那些發證機構本身夠格」——認證機構認證驗證機構，驗證機構再驗證你，構成三層信任鏈；
• TAF 是台灣的國家認證機構：2003 年成立，依 ISO/IEC 17025、17065、17021-1 等國際標準認證測試實驗室與各類驗證機構，並透過國際相互承認協議（IAF、ILAC，2026 年起整合為全球認證合作組織）讓台灣的證書被國際接受；
• 本土里程碑：翱騰國際（Octon）於 2025 年 12 月成為台灣第一家通過 ISO/IEC 42001 驗證的公司，驗證範圍是 AI 客服平台，走國際認證路線（DNV／RvA）；
• CNS 42001（2026 年 6 月發布）：為台灣本土的 42001 驗證基準鋪路，讓未來多一條在地、官方承認的合規途徑。

明天（Day 20）是第三階段的最後一天，也是最貼近實戰的一天——把制度變成採購與自評的語言。 我們會把前面三個階段講過的原則、標準、機構、評測項目，翻譯成資安自評表、切結書、招標文件（RFP）裡真正會用到的說法，讓這些制度知識能直接派上用場。制度、機構、語言都齊備後，第四階段就要正式進入技術落地。

• 程式碼：本篇為制度與案例介紹，無對應程式碼；SoA 與白皮書的技術證據落點見第四階段（Day 21–30）。
• 參考條文／出處：財團法人全國認證基金會（TAF）官方網站（taftw.org.tw）關於認證角色、國際相互承認（IAF／ILAC）與 2026 年整合為全球認證合作組織之說明；翱騰國際科技通過 ISO/IEC 42001 驗證之報導（工商時報 2026/02、DNV 新聞稿、台北市電腦公會）；CNS 42001（2026 年 6 月發布，採用 ISO/IEC 42001）之發布事實。ISO/IEC 17021-1、17025、17065、42001 之編號與名稱屬事實引用，本文僅述其角色定位；以上均為公開資料與新聞，以自己的話摘述並註明出處。