国際規格とコンプライアンス（ISO/IEC 42001等）

1. はじめに

AIに関する国際標準化活動は、技術の急速な進歩に対応しながら、信頼性、安全性、相互運用性を確保するための規範的基盤を形成する。ISO/IEC JTC 1/SC 42（人工知能）を中心に展開されるAI関連の国際規格群は、EU AI Actの整合規格の候補としても重要な位置を占め、グローバルなAIガバナンスの共通言語を提供する。

本稿では、AI関連の主要な国際規格の体系と内容を分析し、認証制度の仕組み、規制との関係、およびコンプライアンス戦略について包括的に論じる。

2. ISO/IEC JTC 1/SC 42の全体像

ISO/IEC JTC 1/SC 42（人工知能）は、2017年に設立されたAI標準化の専門委員会であり、基盤標準、信頼性、ユースケース・応用、計算アプローチ、データの5つのワーキンググループ（WG）で構成される。2025年現在、30以上の標準・技術報告書が発行済みまたは策定中であり、AI標準化の国際的な中核機関としての地位を確立している。

3. ISO/IEC 42001：AI管理システム

ISO/IEC 42001:2023は、AI管理システム（Artificial Intelligence Management System: AIMS）の国際標準であり、組織がAIシステムを責任を持って開発、提供、使用するための管理体制を構築するための要件を定めている。ISO 9001（品質管理）、ISO 27001（情報セキュリティ管理）と同様のHigh Level Structure（HLS / Annex SL）に基づいて構成されており、既存の管理システムとの統合が容易である。

ISO/IEC 42001の主要な要求事項は以下のとおりである。組織のコンテキスト（第4条）：AI活動に関連する内部・外部の課題、利害関係者の期待、AIMS の適用範囲の決定。リーダーシップ（第5条）：トップマネジメントのコミットメント、AIポリシーの策定、役割・責任・権限の割当て。計画（第6条）：リスクと機会への対応、AI目標とその達成計画。支援（第7条）：資源、力量、認識、コミュニケーション、文書化された情報。運用（第8条）：運用の計画と管理、AI影響評価。パフォーマンス評価（第9条）：モニタリング・測定・分析・評価、内部監査、マネジメントレビュー。改善（第10条）：不適合と是正処置、継続的改善。

附属書Aは、AI固有の管理策のカタログを提供しており、AIポリシー、内部組織、資産管理、人的資源、AI開発、データ、AIシステムのパフォーマンスと監視、サードパーティ関係、AIの使用など、39の管理策が定義されている。

4. ISO/IEC 23894：AIリスクマネジメント

ISO/IEC 23894:2023は、ISO 31000:2018のリスクマネジメントプロセスをAIシステムに適用するためのガイダンスを提供する。AI固有のリスク要因（不確実性、自律性、データ依存性、ブラックボックス特性）に対する体系的なリスク管理手法を提示し、組織のAIリスクマネジメントの枠組み構築を支援する。

5. その他の主要AI標準

ISO/IEC 22989:2022（AI概念と用語）：AIの基本概念と用語の国際的な統一定義を提供する基盤標準。AI Act等の規制文書が参照する定義との整合性が確保されている。

ISO/IEC 5338:2023（AIライフサイクルプロセス）：AIシステムのライフサイクル全体を通じたプロセスの枠組みを定義。ISO/IEC/IEEE 15288（システムライフサイクルプロセス）のAI拡張として位置づけられる。

ISO/IEC TR 24027:2021（AIにおけるバイアス）：AIシステムにおけるバイアスの発生源と軽減策に関する技術報告書。バイアス監査の方法論的基盤を提供する。

ISO/IEC 24029シリーズ（ニューラルネットワークの頑健性評価）：ニューラルネットワークの頑健性を評価するための方法論を定義。敵対的攻撃に対する耐性評価の標準化に寄与する。

ISO/IEC 25059:2023（AI品質モデル）：AIシステムの品質特性を定義する標準。ISO/IEC 25010（ソフトウェア品質モデル）をAI固有の品質次元（公平性、頑健性、説明可能性等）で拡張する。

6. AIMS認証制度

ISO/IEC 42001に基づくAIMS認証は、第三者認証機関による管理システムの適合性評価であり、ISO 9001やISO 27001の認証制度と同様の枠組みで運用される。認証取得は、AI Act のコンプライアンスの「推定」を得るための有力な手段となりうる。

認証プロセスは、ステージ1審査（文書審査：AIMSの文書化と計画の評価）、ステージ2審査（現地審査：AIMSの実装と有効性の評価）、認証決定、そしてサーベイランス審査（年次の継続審査）から構成される。認証の有効期間は3年間であり、3年後に再認証審査が実施される。

7. EU AI Actとの整合化

EU AI Actは、整合規格（harmonised standards）への適合が法的要件への適合の「推定」を与えるメカニズムを採用している。CEN-CENELEC JTC 21が策定する欧州規格（EN）の基盤として、SC 42の国際標準が参照されることが予想される。特に、ISO/IEC 42001はAI Actの品質管理システム要件（第17条）との強い親和性を有し、ISO/IEC 23894はリスク管理システム要件（第9条）の充足に寄与しうる。

ただし、国際標準と整合規格は同一ではない。欧州規格は、EU AI Actの特有の要件（基本権影響評価、EU適合宣言、特定の透明性要件等）に対応するための追加条項を含む可能性がある。したがって、ISO/IEC標準の認証のみで AI Actの完全なコンプライアンスが保証されるわけではない点に留意が必要である。

8. コンプライアンス戦略

複数の規制・標準に対する効率的なコンプライアンス戦略には、統合的管理システム（Integrated Management System: IMS）のアプローチが有効である。ISO/IEC 42001（AIMS）、ISO 27001（ISMS）、ISO 9001（QMS）はいずれもHigh Level Structureに準拠しているため、共通の管理フレームワークの下で統合的に運用することが可能である。

統合アプローチの利点は、重複する管理策の統合による効率化、一貫したリスク管理プロセスの確立、内部監査・マネジメントレビューの統合による負荷軽減、および組織横断的なガバナンス文化の促進にある。

9. 日本の標準化活動への貢献

日本はSC 42の標準化活動に積極的に参加しており、特にAI管理システム、AI品質、およびAIライフサイクルプロセスの分野で重要な貢献を行っている。産業技術総合研究所（AIST）の「機械学習品質マネジメントガイドライン」は、国際標準化の議論にも影響を与えている。

10. 結語

AI関連の国際規格体系は、急速に整備が進むAIガバナンスの制度的基盤として重要性を増している。ISO/IEC 42001を中心とするAIMS認証は、組織のAIガバナンス能力を対外的に証明する有力な手段であり、EU AI Actをはじめとする規制へのコンプライアンスを効率化する。上級技術者は、国際標準の動向を継続的に注視し、自組織のガバナンス体制の構築・改善に活用することが推奨される。