## 【解説】ISO/IEC 42001の管理目標と管理策の概要 2025年12月19日 生成AIにより原案作成 東京都　校正 ### はじめに ISO/IEC 42001（AIマネジメントシステム：AIMS）は、組織がAIを責任を持って開発・提供・利用するための国際規格です。この規格の核となる「附属書A」には、AI特有のリスクを管理するための**10の管理目標（カテゴリー）と、それに紐づく38の管理策**が定義されています。 --- ### 本文 ISO/IEC 42001の38の管理策は、AIのライフサイクル全体をカバーする以下の10のカテゴリーに分類されます。 #### **1. AIに関する方針 (A.2)** 組織がAIをどのように活用し、どのような倫理観を持つべきかの「憲法」を定めます。 * **管理目標:** AIの適切な利用と管理に関する組織的な方向性と指針を示す。 * **A.2.1 AI方針:** 組織全体のAI活用に関する基本方針を策定し、全従業員に周知する。 * **A.2.2 AI方針のレビュー:** 社会情勢や技術、法規制の変化に合わせて、方針を定期的に見直す。 #### **2. 内部組織 (A.3)** AIを適切に管理するための責任体制とガバナンスを構築します。 * **管理目標:** AIに関する役割と責任を明確に割り当て、組織的に対応する。 * **A.3.1 AIの役割と責任:** 開発、運用、監視などの各フェーズで誰が責任を持つかを明確に定める。 * **A.3.2 報告ライン:** AIに関連する問題やリスク、倫理的懸念が発生した際の報告ルートを確立する。 #### **3. AIシステムの資源 (A.4)** AIのライフサイクルを支えるために必要なリソースを適切に管理します。 * **管理目標:** 必要な人材、データ、計算資源を適切に確保し、維持する。 * **A.4.1 人的人源:** AIの専門知識を持つ人材の確保と、スキル向上のための教育を行う。 * **A.4.2 データ資源:** 学習や検証に使うデータの品質、量、入手方法が適切かを確認・管理する。 * **A.4.3 計算資源:** CPU/GPU、クラウド環境など、AIの動作に必要なインフラを計画的に確保する。 #### **4. AIシステムの影響評価 (A.5)** AIが社会、個人、環境に及ぼす潜在的な影響を分析します。 * **管理目標:** AIのリスクを事前に特定し、不利益な影響を最小化する。 * **A.5.1 影響評価プロセス:** 影響評価をいつ、誰が、どのように実施するかの標準手順を決める。 * **A.5.2 影響評価の実施:** 個別のAI案件ごとに、人権、プライバシー、社会への影響を具体的に評価する。 * **A.5.3 影響評価の記録:** 評価のプロセスと結果をエビデンスとして記録し、適切に保管する。 #### **5. AIシステムのライフサイクル (A.6)** 企画から開発、運用、廃棄までの各段階で品質と安全性を確保します。 * **管理目標:** AIの各段階において一貫した管理を行い、信頼性を保証する。 * **A.6.1 ライフサイクルプロセスの管理:** 企画から廃棄までの各工程における標準的なルールを定める。 * **A.6.2 目標の策定:** 精度、堅牢性、安全性など、AIシステムが達成すべき具体的な目標を定義する。 * **A.6.3 設計と開発:** セキュリティや公平性を初期段階から考慮した設計（By Design）を行う。 * **A.6.4 検証と妥当性確認:** AIが意図通りに動くか、バイアスやエラーがないかを厳格にテストする。 * **A.6.5 展開（リリース）:** 本番環境への導入手順、承認プロセス、切り戻し手順を確立する。 * **A.6.6 運用と監視:** 稼働中のAIの挙動をモニタリングし、ドリフト（精度低下）や異常を検知する。 * **A.6.7 変更管理:** AIを更新・修正する際の影響評価と、安全なアップデート手順を定める。 * **A.6.8 廃棄:** 利用終了時に、データやモデルを安全に消去し、システムを停止させる。 #### **6. データと情報 (A.7)** AIの精度と信頼性の源泉である「データ」を厳格に管理します。 * **管理目標:** 信頼できるデータを活用し、情報の機密性と整合性を守る。 * **A.7.1 データの取得:** 著作権や個人情報保護法に抵触しない適正な方法でデータを収集する。 * **A.7.2 データの準備:** 学習用データのクリーニング、アノテーション（ラベル付け）を適切に行う。 * **A.7.3 データの品質:** データが正確、完全、最新であり、AIの目的に合致しているかを保証する。 * **A.7.4 データのバイアス:** 不当な差別に繋がるようなデータの偏りを検出し、軽減対策を講じる。 * **A.7.5 データの機密性:** 学習データや出力結果（機密情報を含む場合）の漏洩を防止する。 * **A.7.6 データの出所管理:** データの由来（データリネージ）を記録し、追跡可能にする。 #### **7. 利用者への情報提供 (A.8)** AIの透明性を高め、利用者との信頼関係を築きます。 * **管理目標:** AIシステムの特性を明示し、利用者の適切な理解を助ける。 * **A.8.1 利用者への説明:** AIによる判定であることや、その仕組み、意図を分かりやすく伝える。 * **A.8.2 説明可能性:** なぜAIがその判断を下したのか、人間が納得できる根拠を提示可能にする。 * **A.8.3 情報の提供:** 利用ガイドラインや制限事項、想定されるリスクを適切に開示する。 #### **8. AIシステムの利用 (A.9)** 他社から提供されるAIツールやサービスを利用する際のリスクを管理します。 * **管理目標:** 外部提供のAIによるリスクを自社の管理基準に適合させる。 * **A.9.1 外部AIシステムの利用方針:** 社外のAIツールを選定・利用する際の基準や許可ルールを定める。 * **A.9.2 供給者（ベンダー）の評価:** 信頼できる提供者かどうか、セキュリティや倫理面から審査する。 * **A.9.3 供給者との合意:** 責任分担、データの取り扱い、品質維持について契約を締結する。 * **A.9.4 外部AIシステムの監視:** 導入後も継続的に外部ツールの安全性や稼働状況をチェックする。 #### **9. 関係者とのコミュニケーション (A.10)** 社会的な説明責任を果たし、ステークホルダーとの信頼を維持します。 * **管理目標:** ステークホルダー（顧客、当局等）との適切な情報共有を行う。 * **A.10.1 外部への報告:** 事故や重大な不具合が起きた際の外部公表の手順を確立する。 * **A.10.2 利害関係者との対話:** 顧客や一般市民からの懸念や苦情に対し、誠実に対応する。 * **A.10.3 インシデントの通知:** 深刻な問題発生時、被害を受ける可能性がある者に速やかに知らせる。 #### **10. 改善 (A.11)** PDCAサイクルを通じて、AIマネジメントを継続的に進化させます。 * **管理目標:** システムの有効性を高め、常に最適な管理状態を維持する。 * **A.11.1 不適合と是正処置:** 問題発生時に原因を究明し、再発を防ぐための抜本的対策を講じる。 * **A.11.2 継続的改善:** 管理体制全体を定期的に評価し、より高度なものへブラッシュアップする。 * **A.11.3 AIシステムの再学習:** 環境変化により精度が落ちた際、適切な再学習プロセスを実行する。 * **A.11.4 モニタリング結果の活用:** 日々の監視データを分析し、将来のリスク予防や改善に役立てる。 --- ### **まとめ** ISO/IEC 42001の38の管理策は、AIを「単なるソフトウェア」としてではなく、**「社会的な責任を伴う動的な資産」** として管理するための包括的な指針です。 これらをすべて導入することは一見大変に思えますが、組織の状況（AIを自社開発するのか、既製品を利用するだけか）に合わせて、どの管理策を重点的に適用するかを選択する「適用宣言書（SoA）」を作成することが、この規格運用の第一歩となります。 ### **引用文献** * ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system * https://www.iso.org/standard/81230.html * 日本規格協会（JSA） ISO/IEC 42001:2023 規格解説 https://webdesk.jsa.or.jp/common/W10K0500/index/dev/iso\_iec\_42001/ * 一般財団法人日本情報経済社会推進協会（JIPDEC） AIマネジメントシステムの最新動向 * https://www.jipdec.or.jp/project/ai.html * 経済産業省 AI事業者ガイドライン * https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20240419_report.html