ISO/IEC 42001とは
ISO/IEC 42001は、組織がAIを責任をもって管理・運用するための仕組み（AIマネジメントシステム、AIMS）に関する国際規格です。国内でも認定制度の整備が進んでおり、ISMSと同様に第三者認証を取得できる枠組みが立ち上がりつつあります。
ISMSが「情報資産をどう守るか」を扱うのに対し、ISO/IEC 42001は「AIをどう責任をもって使うか」を扱います。対象はAIを開発する企業だけではありません。外部のAIサービスを業務で利用する企業も対象になり得ます。
ISMSとの違い
| 観点 | ISMS（ISO/IEC 27001） | AIMS（ISO/IEC 42001） |
|---|---|---|
| 中心的な問い | 情報資産をどう守るか | AIをどう責任をもって扱うか |
| 主なリスク | 漏えい・改ざん・可用性の毀損 | 誤出力・バイアス・説明できないこと・意図しないデータ利用 |
| 求められる記録 | アクセス管理・インシデント記録 | 利用しているAIの一覧・用途・影響評価・利用状況の記録 |
| よくある不足 | 運用記録の不備 | そもそもどのAIが使われているか把握できていない |
審査で必ず問われる「利用実態の把握」
AIマネジメントシステムの構築において、出発点になるのは自組織におけるAIの利用実態の把握です。どのAIを、どの業務で、誰が、どのような目的で使っているのか。ここが曖昧なままでは、リスク評価も、対策の妥当性の説明も成立しません。
実務上、多くの企業がここで止まります。「公式に導入したAI」は台帳にありますが、現場で使われているシャドーAIは台帳に載っていません。台帳と実態が乖離している状態で認証を取得しても、実効性のない仕組みになってしまいます。
取得を検討する前に整えるべき3つのこと
- AI利用の棚卸し：公式・非公式を問わず、実際に使われているAIサービスを洗い出す。自己申告だけでは漏れるため、技術的な可視化と併用するのが確実
- 利用ルールの明文化：入力禁止情報、承認済みサービス、申請フロー、記録範囲を文書化する
- 運用記録の仕組み化：誰がどのAIをいつ使ったかを、継続的に記録できる状態を作る。認証は取得時点ではなく、運用の継続性が問われる
認証を取らない企業にとっての意味
認証取得を予定していない企業にとっても、この規格の考え方は有用です。近年、取引先のセキュリティチェックシートに生成AIに関する設問が加わりつつあります。「AIの利用管理体制」を問われたとき、規格が示す観点——利用実態の把握、リスク評価、記録——に沿って答えられれば、説明としての説得力が変わります。
※ 制度の詳細や認定の状況は変わり得ます。最新の情報は認定機関の公式情報をご確認ください。
