LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

AIを業務に採り入れる動きが広がるなかで、「AIを責任もって扱う仕組みを、どう社内に根づかせるか」という問いが、経営やシステム部門の共通の関心事になってきました。その手がかりとして注目を集めているのが、ISO/IEC 42001という国際規格です。2023年に発行された、AIマネジメントシステム（AIMS）の要求事項を定めた規格になります。品質のISO 9001や情報セキュリティのISO 27001と同じ系譜に連なる、AIに特化したマネジメントシステム規格だと捉えると、位置づけがつかみやすいでしょう。

本記事では、AIの開発や利用を外部と進める情報システム部門・事業部門の担当者に向けて、ISO/IEC 42001とは何か、EU AI Actのような法規制とどう違うのか、規格の中身はどうなっているのか、そして認証取得や委託開発で押さえておきたい点を整理します。なお、本記事は制度の一般的な解説であり、法的な助言ではありません。実際の対応にあたっては、公式の規格文書や認証機関の最新情報を確かめながら進めてください。

ISO/IEC 42001とは——AIマネジメントの国際規格

ISO/IEC 42001とは、組織がAIを責任もって開発・提供・利用するための「マネジメントシステム」の要求事項を定めた国際規格です。2023年に発行され、AIマネジメントシステム（AIMS：AI Management System）と呼ばれる枠組みを扱います。ここでいうマネジメントシステムとは、方針を決め、体制をつくり、リスクを見きわめ、運用し、点検して直していく——という一連の仕組みのことなのです。特定の製品や技術そのものを認証するのではなく、「AIをきちんと扱う仕組みが組織にあるか」を問うのが、この規格の性格になります。

大切なのは、ISO/IEC 42001が、品質のISO 9001や情報セキュリティのISO 27001と同じ構造（高位構造と呼ばれます）に沿って作られている点でしょう。適用範囲を定め、経営層が関与し、リスクにもとづいて計画し、運用の管理策を置き、成果を評価して改善につなげる——という流れは、ほかのISOマネジメント規格を経験した組織にとってなじみのある形です。そのため、すでに何らかのISO認証を運用している企業であれば、既存の仕組みを土台にしてAIMSを積み上げていける余地があります。ゼロから作り直す話ではない、というわけです。

なぜ今、注目されるのか——規制の広がりという背景

ISO/IEC 42001への関心が高まっている背景には、AIをめぐる規制やルールが世界的に整いはじめたことがあります。象徴的なのが、欧州のEU AI Act（AI規制法）への対応でしょう。リスクの高いAIの使い方に対して、さまざまな義務を課す枠組みです。こうした法規制は「何を達成すべきか」を定めますが、「では社内で、どんな体制と手順でそれを回していくのか」までは、細かく面倒を見てくれるわけではありません。その運用の部分を体系立てて支えるものとして、ISO 42001のようなマネジメント規格に目が向いているのです。

国内に目を移すと、日本でもAI推進法（AI関連技術の研究開発・活用推進法）をはじめ、AIの活用と適切な扱いを両立させようという議論が進んでいます。規制の細部は国や地域で異なりますが、「AIを扱う組織に、責任ある運用の仕組みを求める」という方向性は、おおむね共通しているといえるでしょう。取引先や利用者から「御社はAIをどう管理していますか」と問われる場面も、これから増えていくと見られます。国際規格にもとづく認証は、そうした問いに対して、対外的に示しやすい裏づけのひとつになるものです。

もっとも、認証を取ること自体が目的化しては本末転倒になります。規制対応や取引上の要請という「外からの理由」だけでなく、AIを扱ううえでの手戻りやトラブルを減らし、社内の判断をそろえるという「内からの効き目」があってこそ、仕組みは根づくのです。この両面を見すえて取り組む姿勢が、遠回りを避ける近道になります。

規格の中身——PDCAと附属書Aの管理策

ISO/IEC 42001の骨格は、大きく二つの部分でできています。ひとつが、本文で示されるマネジメントシステムの要求事項です。ここはPDCA——Plan（計画）、Do（実施）、Check（点検）、Act（改善）——のサイクルで整理できます。Planでは、AIMSの適用範囲や方針を定め、経営層の関与のもとで、AIの利用に伴うリスクや影響を評価するのです。Doでは、そのリスクに見合った管理策を導入します。Checkでは、内部監査やマネジメントレビューを通じて、管理策がねらいどおり働いているかを確かめる。Actでは、うまくいっていない点を是正処置に回し、見直しを続けていきます。一度作って終わりではなく、回し続ける仕組みなのだ、という点が肝になります。

もうひとつが、附属書A（Annex A）に並ぶ管理策の一覧です。ここには、AIに関する方針づくり、責任や役割の割り当て、データの扱い、AIシステムの影響評価といった、複数の領域にわたる管理策が示されています。ポイントは、これらをすべて一律に導入するわけではないところでしょう。自社がAIをどう使うのか、その使い方にどんなリスクがあるのかに照らして、必要なものを選び、なぜそれを採る／採らないのかを説明できるようにする——という考え方です。実装のより詳しい手引きは、附属書B〜Dに置かれています。

この「リスクにもとづいて、必要な管理策を選ぶ」という発想は、情報セキュリティのISO 27001を運用したことのある方には、なじみ深いはずです。下の表に、PDCAの各段階で何をするのかを、大まかに整理しました。

全体像としては、「AIを扱う方針と体制を決め、リスクを見て手を打ち、点検して直し続ける」という流れになります。特別に複雑な話ではなく、ふだんの業務改善の考え方を、AIという対象に当てはめたものだと捉えると入りやすいでしょう。

ISO 27001（ISMS）との関係と違い

ISO/IEC 42001を理解するうえで、情報セキュリティのISMS（ISO/IEC 27001）認証との関係を押さえておくと、輪郭がはっきりします。両者は、マネジメントシステムという同じ土台を共有しています。適用範囲を決め、リスクを評価し、管理策を選び、運用・点検・改善を回す——という骨組みは共通です。そのため、すでにISO 27001を運用している組織は、その経験や文書、監査の仕組みを、AIMSの構築に活かしやすいのです。まったく別物として身がまえる必要はありません。

違いは、「何に着目するか」にあります。ISO 27001が情報の機密性や可用性、正しさの保持といった情報セキュリティの観点を中心に置くのに対し、ISO 42001はAIならではの論点——たとえば、学習データの偏り、AIが出す結果の説明のつけにくさ、利用者や社会への影響——に目を向けます。守る対象と評価の切り口が、AIに合わせて広がっているわけです。両者は競合するものではなく、重ねて運用できる関係にあります。情報セキュリティの土台の上に、AI特有の管理を積み上げる、という組み合わせが現実的でしょう。

認証取得の流れと、外部委託で押さえる点

ISO/IEC 42001の認証取得は、おおまかにいえば、ISO 27001など他のマネジメント規格と似た道のりをたどります。まず、AIMSの適用範囲を決め、AIの利用に伴うリスクと影響を評価する。次に、附属書Aなどを参照しながら必要な管理策を選び、運用する。一定期間まわして記録を残したうえで、認証機関（第三者の審査機関）の審査を受ける——という流れになります。審査では、仕組みが文書のうえで整っているかだけでなく、実際に運用され、点検・改善が回っているかが見られる、と理解しておくとよいでしょう。

ここで悩みどころになりやすいのが、社内にAIガバナンスの知見がまだ十分でない場合です。AIのリスク評価も、附属書Aの管理策の取捨選択も、経験がないと勘どころがつかみにくいもの。そこで、体制づくりの段階から外部の知見を頼るという選び方が出てきます。AIガバナンス体制づくりの支援を受けながら、自社にとって過不足のない仕組みを組み立てていく進め方です。ただし、丸投げにすると仕組みが社内に根づきません。要所は自社で判断できるよう、伴走してもらいながら手の内化していく構えが、あとあと効いてきます。

なお、認証取得は手段であって、ゴールそのものではありません。取得後も、AIの使い方や外部環境は変わっていきます。だからこそ、点検と改善を回し続けられる体制を、無理のない規模で用意しておくことが欠かせないのです。背伸びした仕組みは、続かなければ意味を持ちません。

受託・委託開発で押さえる実務ポイント

AIシステムの開発や運用を外部に委託する場合、ISO/IEC 42001の観点は、委託先選びと契約のすり合わせにそのまま活きてきます。出発点になるのが、「委託先が、AIのリスクや影響をどう扱っているか」を確かめることでしょう。学習データの出どころや扱い、AIが出す結果の検証のしかた、問題が起きたときの連絡と対応の段取り——こうした点を、開発を始める前に共有できる相手だと、任せたあとも落ち着いて進めやすくなります。規格の言葉をそのまま持ち出さなくても、「責任ある運用の勘どころを押さえているか」を見る、という発想です。

あわせて、成果物とともに残す記録の取り決めも、早い段階で決めておきたいところになります。どんなデータを使い、どんな評価をし、どんな判断でその作りにしたのか——という履歴は、あとから説明を求められたときの裏づけになるのです。自社が将来AIMSの認証を目指す場合はもちろん、そうでなくても、こうした記録は運用の見通しを立てるうえで役立ちます。要件の整理から、リスクの見きわめ、記録の設計、運用後の点検までを見通して伴走できるかどうかを、委託先選びの視点にするとよいでしょう。目的から逆算して提案できる相手であれば、規格対応も現場に無理なく落とし込みやすくなるものです。

まとめ：ISO/IEC 42001で押さえる3つの視点

ISO/IEC 42001は、AIを責任もって扱う仕組みを、組織のなかに根づかせるための国際規格です。押さえておきたい視点は、三つに整理できます。第一に、ISO 42001は2023年発行のAIマネジメントシステム規格であり、EU AI Actのような法規制が「何を満たすべきか」を定めるのに対して、「どう運用し、点検し、改善へつなげるか」を体系立てて支える任意の規格だということ。第二に、骨格はPDCAと附属書Aの管理策で、ISO 27001と同じ構造のため、既存のマネジメントの仕組みを土台にして積み上げやすいこと。第三に、認証取得はゴールではなく、点検と改善を回し続ける体制を無理のない規模で用意することが肝になること。まずは、自社がAIをどう使い、どんなリスクがあるのかを見きわめるところから始めるとよいでしょう。判断に迷う部分は、公式情報の確認とあわせて、外部の知見を頼るのも手堅い進め方といえます。

よくある質問

出典

1. *1　参考：ISO「ISO/IEC 42001:2023 — Artificial intelligence — Management system」（https://www.iso.org/standard/42001）。規格の概要・位置づけの参考として。（2026年8月確認）
2. *2　参考：欧州委員会「AI Act」関連情報（https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai）。法規制との関係の参照先として。（2026年8月確認）

Tweet