ChatGPTをはじめとする生成AIが業務に組み込まれ、多くの企業でAI活用が日常風景となりました。議事録作成から顧客対応支援まで、AIが関わる業務領域は、着実に広がりつつあります。その一方で、AIによる誤情報、バイアス、情報漏えいといったリスクへの対応が経営課題として浮上しています。「AIをどう使うか」だけでなく「AIをどう管理するか」が問われる時代に、世界初のAIマネジメントシステムに関する国際規格として登場したのがISO/IEC 42001です。本コラムではこの規格の概説と実際に組織に適用した場合の実践的な運用方法を説明したいと思います。

1. なぜAIガバナンスが経営課題なのか

AIの業務浸透が生んだ「管理空白地帯」

生成AIの業務組み込みは、ここ数年で急速に進みました。議事録の自動作成、メールの下書き、提案資料のドラフト、顧客対応の初動応答 ── 日常業務のさまざまな場面でAIが使われるようになっています。Microsoft 365 CopilotやGoogle Gemini、社内でも利活用がされ始めたChatGPT EnterpriseやAzure OpenAI Service等を通じて、特別な意識をしなくてもAIが業務に組み込まれている状態が一般化しました。
しかし、この急速な浸透は同時に「管理空白地帯」を生んでいます。誰が、どの業務で、どんなデータを使ってAIを利用しているのか ── これを組織として把握できていない企業が依然として多いのが実情です。

図1：AIの業務浸透が生んだ「管理空白地帯」

顕在化する4つのリスク類型

AI利用に伴うリスク整理方法は色々とありますが、ここではシンプルに4つに整理します。

図2：AI利用に伴う4つのリスク類型

「使うか」から「どう管理するか」への論点シフト

こうした状況を背景に、企業の関心は「AIを使うか否か」から「AIをどう管理するか」へと明確にシフトしています。経営層が問うべきは「AIを導入すべきか」ではなく、「すでに使われているAIを、どう組織として制御するか」になりました。
取引先・顧客・規制当局からは、AIの管理体制を可視化し、第三者にも説明できる形で示すことが求められる時代になっています。経済産業省・総務省が公表した「AI事業者ガイドライン」^［1］も、こうした流れを受けた国内の取り組みであり、企業に対して具体的な管理姿勢の整備を促しています。
つまり、AIガバナンスは情報システム部門の技術的論点ではなく、経営の信頼性を支える戦略テーマへと位置づけが変化しているのです。

図3：AI利活用における管理の流れ（AI事業者ガイドラインより引用）

2. 世界の規制環境

AI規制環境の劇的変化

AIを取り巻く規制環境は、ここ数年で劇的に変化しています。時系列で整理すると、その変化の速さが浮き彫りになります。

AIガバナンスを実現する骨格としてのAIマネジメントシステム

AIガバナンスを実現する上で重要なのは、世界各国のAI規制を無差別に取り込むことではありません。まず、自社の事業活動やAIの利用状況に適用される法令・規制・契約上の要求事項を特定した上で、組織の状況に応じてAIリスクを受容可能な水準に管理しながら、AIを迅速かつ適切に活用できる経営システムを構築することが重要です。
この経営システムの共通基盤として、ISO/IEC 42001は有効な選択肢です。同規格は、AIシステムを開発、提供または利用する組織を対象に、方針、体制、リスクおよび影響の評価、運用管理、監視、内部監査、マネジメントレビューおよび改善を体系化し、PDCAサイクルを通じてAIマネジメントシステムを継続的に改善するための要求事項を示しています。
その共通基盤の上に、組織に適用される国・地域の法令や規制、契約上の要求事項を組み込み、必要に応じて業種・業態別の規格やガイドラインを参照し、追加の管理策を設けます。これにより、組織の規模、AIに関する役割、利用目的、影響度、保有資源およびリスクに応じた、実効性のあるAIガバナンスを構築できます。
例えば、日本国内を主な事業範囲とし、AIの利用や製品・サービスの提供が国内で概ね完結している中小企業では、ISO/IEC 42001をマネジメントシステムの骨格として活用し、AI事業者ガイドラインを国内実務への落とし込みに用いる組み合わせが有効です。ただし、海外市場との接点、親会社・取引先からの要求、業種別規制または高リスクなAI利用がある場合には、それらに対応する追加要求を組み込む必要があります。

図4：ISO/IEC 42001とAI事業者ガイドラインの親和性

3. ISO/IEC 42001 の基本プロフィール

規格の基本情報

ISO/IEC 42001^［2］は、正式名称をInformation technology — Artificial intelligence — Management systemといい、2023年12月に発行されました。

この規格の最大の特徴は、第三者認証が可能な「要求事項規格（マネジメントシステム規格：MSS）」であることです。同じAI関連規格でも、ISO/IEC 23894（AIリスクマネジメント指針）のようなガイダンス規格とは異なり、組織が要件を満たしているかを第三者審査機関が審査する性格を持ちます。「ISO/IEC 42001 認証取得済み」と対外的に表明できる点に加え、組織内部でAIガバナンスを体系化する共通フレームワークとして機能する点にも、規格の実務的価値があります。

図5：ISO/IEC 42001の基本プロフィール

適用対象 ─ 想像以上に広い適用範囲

ISO/IEC 42001の適用対象は、AIシステムを開発、提供、利用するすべての組織です。
業種や規模を問わず適用でき、例えば以下のような幅広い組織が対象となります。

近年、業務プロセスのどこかに生成AIやAI搭載サービスが組み込まれている組織は急速に増加しており、「AIと無縁の組織」はむしろ例外的な存在になりつつあります。ISO/IEC 42001は、現代のあらゆる組織が対象となり得る規格とも言えます。

図6：ISO/IEC 42001の適用範囲

4. ISO/IEC 42001 の位置づけ ─ 関連規格との関係

マネジメントシステム規格としての性格

マネジメントシステム規格とは特定の製品や技術ではなく、組織が目的を達成するための方針、責任、プロセス、資源、評価および継続的改善の仕組みを対象とする規格です。
例えば代表的なマネジメントシステム規格には以下があります。

ISO/IEC 42001も、この系譜に位置付けられるAIマネジメントシステム規格です。
ISO/IEC 42001は、HS（Harmonized Structure：調和構造。従来はHLSとも呼称）と呼ばれる、ISOマネジメントシステム規格に共通する構造を採用しています。HSは、箇条番号、箇条タイトル、共通テキスト、用語および中核的な定義を整合させるための枠組みです。
この共通構造により、ISO 9001やISO/IEC 27001など、既存のマネジメントシステムと連携・統合しやすく、組織全体の管理プロセスの中にAIガバナンスを組み込みやすい設計になっています。

図7：ISO/IEC 42001と関連規格

特に親和性の高いISO/IEC 27001（ISMS：情報セキュリティマネジメントシステム）

ISO/IEC 27001^［3］は、組織が保有または取り扱う情報に関するセキュリティリスクを管理し、情報の機密性・完全性・可用性を維持するためのマネジメントシステム規格です。リスクに応じて、アクセス制御、暗号利用、物理的セキュリティ、インシデント管理、事業継続に向けたICTの備えなどの管理策を適用します。
ISO/IEC 42001は、AIシステムの責任ある開発・提供・利用に伴うリスクと機会を管理するためのマネジメントシステム規格です。組織の役割に応じてAIシステムのライフサイクル全体を視野に入れ、方針、責任、プロセス、データ、透明性、説明責任、影響評価および継続的改善などを組織横断的に管理します。
両規格の関係は、次のように整理できます。

ISO/IEC 27001を既に運用している組織は、次の共通基盤をAIMSの構築に活用できます。

これらをゼロから構築するのではなく、ISMSの既存基盤を活用し、AIリスクアセスメント、AIシステム影響評価、データ管理、透明性、説明責任などのAI固有の要素を追加・統合するアプローチが可能です。

図8：ISO/IEC 42001と関連規格ISO/IEC 27001

次回は、ISO/IEC 42001規格の要求事項について説明したいと思います。

（注記）本稿に掲載している図版の一部は、生成AIを活用して作成したイメージを含みます。内容については執筆者が確認・編集を行っています。

参考文献