欧盟《人工智能法案》的透明度与高风险条文以 2026 年 8 月为期限，违反禁止性行为的罚则最高可达 3,500 万欧元或全球年度营业额的 7%。单是这个数字，已足以令 ISO 42001 由「有更好」变成香港采购清单上的一项，而财务总监提出的第一个问题，永远是要花多少钱。
本文以公开数据回答这个问题，列出香港有哪些机构可以为你发证，并坦白说明这些数字在什么位置开始不再可靠。同时，也会谈「不认证」这个选项。
ISO 42001 认证要花多少钱？
根据 Vanta 公开的成本拆解，首次 ISO 42001 认证由数千美元至 75,000 美元以上不等，尚未计算后续维护。对一间员工 100 至 500 人、范围内有两至三个 AI 系统的香港中型企业而言，合理的规划区间是 25,000 至 60,000 美元，以 1 美元兑 7.8 港元计算，约为 195,000 至 470,000 港元。
差距达十倍，原因在于证书本身只占一小部分。你真正付钱购买的，是底下那套管理系统。
公开的成本组成（Vanta，2026 年）
--- 准备度评估或差距分析：3,000 至 10,000 美元以上，涵盖 AI 管理系统范围界定、文件审视与初步风险评估。
--- 实施与内部稽核：10,000 至 40,000 美元以上，涵盖控制补救、AI 政策撰写、员工意识培训，以及正式审核前的内部评估。
--- 认证审核：首次认证 5,000 至 20,000 美元，视乎范围、复杂度与认证机构而定。
--- 持续监控与维护：每年 3,000 至 10,000 美元。
--- 监督审核：三年周期内每年 3,500 至 9,000 美元。
规模较小的机构实际付多少？
Vanta 按持份者人数公开了一组示例定价，实际金额会因认证机构而异。1 至 20 名持份者：首次认证约 5,000 美元，第二及第三年监督审核各 2,500 美元，三年合计 10,000 美元。21 至 50 名持份者：首次 7,000 美元，每次监督审核 3,500 美元，周期合计 14,000 美元。
请把这组数字理解为「审核费用一项」而已。它并不包括实施、顾问工时或工具开支，而对于从未系统化记录过 AI 治理的机构来说，开支大部分正落在这几项。
审核费与整个计划总额之间的落差，是最常见的预算错误。请把审核视为商业方案中最小的一条数，而不是标题数字。
香港有哪些机构可以发证？
在香港市场营运并提供 ISO/IEC 42001 人工智能管理系统认证的认可认证机构包括 SGS 香港与 BSI 香港，两者均在本地设有专门服务页面。认证以两阶段审核方式进行，由认可机构执行，并非自我声明。
第一阶段审视你提交的文件与管理系统准备程度。第二阶段则是对系统实际运作的端到端审视，涵盖政策、程序，以及你所选用的附录 A 控制项。
认证机构按审核日数、评审员费率与计划管理成本商业定价。由于 ISO 42001 涉及算法偏差、数据伦理与算力考量，其审核时数有一套自身规则，不能直接沿用 ISO 27001 的做法。
建议向至少两间认可机构索取报价。本地是否设有据点会影响第二阶段成本，因为评审员差旅是一条实际费用。
合规平台会为账单增加多少？
GRC 自动化平台属于可选的加速器，而非必要条件，而且是经常性支出而非一次性支出。2026 年的行业报道指出，主要平台的基础方案，单一框架年费约为 7,500 至 15,000 美元，而 ISO 42001 通常以附加模块形式出售。
ISO 42001 模块本身，普遍被报道为在基础平台之上每年再加 7,500 至 10,000 美元。
这里必须诚实说明证据质量。Vanta 与其主要竞争对手并未公开各模块价格，因此上述数字来自行业报道与买家自述合约，而非供货商价目表。请把它当作规划区间，并在写入商业方案前取得书面报价。
你买的其实是时间。Vanta 指出，以人手为主的 ISO 42001 计划通常需时 6 至 12 个月，而自动化通常可压缩至约 3 至 6 个月。若你的驱动因素是一个具体的客户死线，这段压缩本身可能就是全部理由。
对香港企业而言，这笔钱值得吗？
当有一位具名的买家、监管机构或合约在要求时，它就值得；当驱动因素只是内部焦虑时，它就过早。价值取决于你如何以及为何使用 AI，远多于取决于你的员工人数。
理由最充分的，是把 AI 相关服务销售予受规管行业、欧盟市场，或大型企业采购流程的机构。在这些场景，证书能缩短安全问卷流程，并让你留在候选名单上。
理由最薄弱的，是仅在内部低风险场景使用 AI 的机构。对这类机构，Vanta 自身的建议是先建立核心实践：AI 系统清单、基本风险分类，以及与具名角色挂钩的治理机制，把正式认证视为较后阶段的里程碑。
就香港而言，请留意 ISO 42001 并非《个人资料（私隐）条例》的强制要求。它是一个市场信号与管理纪律，不是本地法定义务。延伸阅读：金管局 AI 网络安全通函对香港董事会的启示。
哪些因素会推高或压低报价？
四个因素对金额的影响最大：范围界定、既有认证、你在 AI 供应链中的角色，以及外判比例。在索取报价之前先把范围定准，是整个计划中杠杆最高的一个决定。
--- 范围界定含糊会推高成本。后期扩大范围会触发控制返工与额外的审核员投入，也是审核被开不符合项最常见的原因之一。
--- 已持有 ISO 27001 或 SOC 2 会压低成本。风险管理、事故管理与持续监控等基础要求已经到位。
--- 你的角色会改变成本。你是 AI 使用者、生产者还是开发者，会决定适用的附录 A 控制项与严谨程度，而开发者面对的标准最高。
--- 内部能力会压低成本。由受过训练的内部负责人吸收的每一小时，都是你不必支付的顾问工时，并会降低整个三年周期的重新认证成本。
本文的局限在哪里？
在任何人以本文编列预算之前，有三项局限必须说清楚：公开区间以美国市场为主、平台数字并非供货商公开发布，以及认证本身并不会令你的 AI 变得安全。
上述成本区间源自一间美国供货商的公开指引。香港的评审员日费、差旅与多址范围都会改变审核那条数，而且没有任何认可机构会公开香港价目表。本文每一个数字，在呈交董事会之前都应由书面报价取代。
认证证明的是你运行着一套管理系统，而不是你的模型行为正确。一间机构可以持有有效证书，同时仍有代理在悄悄修改记录，那是控制问题，不是认证问题。
UD 的能力界线
--- UD 并非 ISO 42001 认可认证机构，无法为你签发证书。只有 SGS、BSI 等认可机构可以。
--- UD 并非 Vanta、Drata 或本文提及任何 GRC 平台的代理商，亦不会从你的平台订阅中赚取差价。
--- 若你唯一的驱动因素只是单一客户问卷，而你已持有 ISO 27001，请直接联络你现有的认证机构。这件事不需要中间人。
正确的下一步是什么？
在索取任何报价之前，先做出一份 AI 系统清单与一份范围声明。你收到的几乎每一份报价，都会按你描述的范围定价，因此范围含糊等于保证收到一份既宽松又昂贵的报价。
清单应列出所有在用的 AI 系统、各自的负责人、触及哪些数据，以及你的机构在其中属使用者、生产者还是开发者。单是这份文件，就已决定你的附录 A 控制项组合，因而决定审核日数。
若你目前还做不出这份清单，认证就不是你的下一步。一次结构化的准备度评估才是，而它的成本只是完整差距分析的一小部分。延伸阅读：香港 AI 准备度评估的实际费用，以及 认证捕捉不到的代理式失准风险。
结论
为香港中型企业的首次认证预留 25,000 至 60,000 美元，预期审核会是其中最小的一条数，并且在有具名买家、监管机构或合约提出要求之前不要开始。若机构以外从来没有人要求过这张证书，把钱先花在 AI 清单与控制上，等到需求真实出现时再认证。
这个答案比供货商会给你的更难听，却是真正保护预算的那一个。懂AI的冷，更懂你的难。UD 同行28年，让科技成为有温度的陪伴。
本文由 UD 企业 AI 团队审阅。所有数字于 2026 年 8 月 14 日对照供货商公开文件核实，并可能随时变动。
不确定应该先做认证还是先做控制？由一次免费、结构化的准备度评估开始。UD 团队手把手带你完成每一步，由 AI 系统清单、范围界定，到控制设计与认证机构挑选，28 年服务香港企业的经验，全程陪你走。
