ISO/IEC 42001

定義

ISO/IEC 42001は、組織のAIライフサイクル全体にわたってAIマネジメントシステム（AIMS）を確立し、継続的に改善するための要求事項を規定するマネジメントシステム規格です。

スコープ

規模やセクターを問わず、AIを提供または利用するすべての組織。これは特定の製品ではなく、AIを取り巻くマネジメントシステムを管理するものであるため、製品固有またはリスク固有のフレームワークを代替するものではなく、それらを補完します。

主な要件

• 他のISOマネジメント規格と同様に構成された、認証可能なAIマネジメントシステム。
• AI方針、リーダーシップのコミットメント、および明確に割り当てられた役割と責任を要求します。
• AIリスク評価とAIシステム影響評価を中心に据えています。
• 管理策の参照セット（附属書A）と実施ガイダンス（附属書B）を提供します。
• 継続的改善のためのPlan-Do-Check-Act（PDCA）サイクルに基づいています。
• 規制（EU AI法）やリスクフレームワーク（NIST AI RMF）を補完します。

コントロール

AI方針とガバナンスの役割

組織のAI方針を確立し、責任あるオーナーを割り当てます。ガバナンスはツールではなく、リーダーシップから始まります。

AIリスク評価

AIライフサイクル全体にわたるリスクを体系的に特定、分析、および対処し、評価を最新の状態に維持します。

AIシステム影響評価

技術的なリスクだけでなく、個人や社会への影響（公平性、安全性、権利）を評価します。

ライフサイクル管理策（附属書A）

データ、設計、デプロイ、および運用に関する管理策を適用し、コンテキストに関連するものを選択します。

継続的改善（PDCA）

マネジメントシステムを定期的に監査、レビュー、および改善し、ガバナンスが変化に対応できるようにします。

チェックリスト

• 01AIMSの適用範囲と組織のAI方針を定義します。
• 02ガバナンスの役割、責任、およびリーダーシップの責任を割り当てます。
• 03AIリスク評価とAIシステム影響評価を実行します。
• 04関連する附属書Aの管理策を選択し、実装します。
• 05目標、プロセス、および運用の証拠を文書化します。
• 06内部監査とマネジメントレビューを確立します。
• 07Plan-Do-Check-Act（PDCA）サイクルを実行し、必要に応じて認証取得を目指します。

一般的な落とし穴

• 継続的なマネジメントシステムとしてではなく、単発のプロジェクトとして扱ってしまうこと。
• 日常業務で誰も従わない方針を文書化してしまうこと。
• EU AI法への準拠と混同してしまうこと。認証は法的適合性を意味するものではありません。
• 影響評価をスキップし、技術的なリスクのみに矮小化してしまうこと。

例

• 単一の方針とリスクプロセスの下で、すべてのAI利用を管理するためにAIMSを立ち上げる企業。
• モデルのリリース前に、影響評価によって公平性のリスクが明らかになるケース。
• 年に一度の内部監査とマネジメントレビューによって、ガバナンスのギャップを解消するケース。

FAQ

ISO/IEC 42001は、EU AI法に準拠することと同じですか？

いいえ。この規格は任意で認証可能なマネジメントシステムであり、EU AI法は拘束力のある法律です。適切に運用されているAIMSは法的遵守をサポートしますが、それ自体で法を満たすものではありません。

認証を取得することはできますか？

はい。ISO 27001と同様に、認定された機関が組織のAIマネジメントシステムを監査し、規格に適合していることを認証できます。

NIST AI RMFとはどのような関係がありますか？

これらは補完関係にあります。NIST AI RMFはリスクマネジメントフレームワークと信頼性の特性を提供し、ISO/IEC 42001はガバナンスを継続的に運用するための認証可能なマネジメントシステム構造を提供します。

参考文献

• ISO/IEC 42001:2023 — AI management system
• ISO — What is an AI management system?

関連するガバナンス