ニュースの概要
AWSは、AIシステムの影響評価に関する国際規格ISO/IEC 42005:2025について、利用企業が自社の運用を規格に合わせやすくなる支援の考え方を公表した。同規格は、AIが人や社会に及ぼす影響を事前に洗い出し、記録し、継続的に見直すための手順を定める。AWSは、自社の責任あるAIの取り組みや提供ツールがその各工程にどう対応するかを整理し、顧客が評価文書を作る際の土台にできると説明している。AIを使う側にも説明責任が求められる時代に、クラウド事業者が規格対応の道筋を示した形だ。
引用元: 責任ある AI ガバナンス: お客様が ISO/IEC 42005:2025 との整合を図れるよう AWS が支援する方法（Amazon Web Services (AWS)）
分析・見解
42001が「体制」、42005が「個別評価」を担う
ISO/IEC 42005は、AIシステムが個人や集団、社会に与える影響を評価する手順を定めた規格だ。すでに広がりつつあるISO/IEC 42001は、組織としてAIを管理する仕組み（＝マネジメントシステム）を問う。つまり42001は会社全体の運営ルールであり、42005は個々のAIシステムごとの健康診断にあたる。
この二つは補い合う関係にある。体制だけ整えても、個別のAIが誰にどんな影響を与えるかの記録がなければ、説明を求められたとき答えに詰まる。
評価の中身は「誰が困るか」を先に考える作業
規格が重視するのは、精度や速度ではなく、影響を受ける側の視点だ。たとえば採用選考の補助AIなら、応募者の公平な扱い、結果への異議申し立ての手段、誤判定が起きたときの損害を想定する。融資審査、医療の問い合わせ対応、社内の人事評価でも同じである。
自動車の衝突安全試験に例えると分かりやすい。完成後に壊してみるのではなく、設計段階で衝突の場面を想定して部品を決める。AIも、公開後に問題が出てから直すのでは遅い。事前に想定し、想定を文書に残し、運用中も更新する。この「残す」ことが、規格の核心だと私は考える。
クラウド事業者の支援には「分担の線引き」という価値がある
AWSのような事業者が規格との対応表を示す意味は大きい。AIの責任は、基盤を提供する側と使う側で分かれる。基盤側は、モデルの安全対策や利用状況の監視機能、データの扱いを説明する。使う側は、自社の用途で誰に影響が出るかを評価する。
この線引きが曖昧だと、事故のたびに責任の押し付け合いが起きる。クラウド側が自分の担当範囲を先に明文化すれば、利用企業は残りの部分だけに集中できる。EUのAI規則や各国の指針が動くなか、共通の物差しを先に持った事業者に仕事が集まる流れは強まるだろう。
規格は認証の話に進む可能性が高い
今回の規格は、取得して看板にする認証とは違い、手順を示す指針だ。しかし、42001の認証が取引条件に入り始めたように、影響評価の実施証跡が調達時の確認項目になる日は近いと見る。大企業の調達部門が、取引先にAI利用の評価書を求める場面はすでに現れている。早く慣れた企業ほど、提出書類を短い時間で整えられる。
ビジネスへの影響
まず自社のAI利用を棚卸しし、影響の大きい順に並べる
最初の一歩は、社内で使っているAIの一覧づくりである。生成AIの利用、採用や与信の自動判定、問い合わせ対応の自動化などを洗い出す。その上で、人の権利や金銭に関わるものから順に評価する。全件を完璧に評価する必要はない。影響が大きいものから、A4一枚程度の評価書を作るだけでも、説明責任を果たす力は大きく変わる。
担当者は一人に任せず、事業部門、法務、情報システムの三者で組むと抜けが減る。
取引先からの確認に答えられる状態を先に作る
今後は、顧客や取引先からAIの扱いについて質問を受ける機会が増える。そのとき、評価の記録、見直しの周期、問題が起きたときの連絡先が揃っていれば、商談の信頼につながる。逆に何も用意がなければ、受注の機会を失う恐れがある。
中小企業でも、クラウド事業者が公開する対応表や雛形を使えば負担は軽い。基盤側の説明は引用し、自社の用途に関する部分だけを書けばよい。まずは一つのAIシステムで試し、手応えを見てから範囲を広げることを勧める。