Netpress　第2503号 ISO/IEC42001　AIマネジメントシステムにおけるAI活用の標準化とリスク管理

Point
１．ISO/IEC42001は、人工知能（以下、「AI」という）を適切に利活用するためのマネジメントシステムに関する2023年12月18日に発行された国際規格です。
２．企業がAIを利活用する際のリスクに対応するために、ISO/IEC42001の規格要求に対応した人工知能マネジメントシステム（AI Management System：AIMS、以下「AIMS」という）が有効です。

一般社団法人中部産業連盟

主任コンサルタント　青山誠

１．ISO/IEC42001（AIMS）の必要性

　AIは業務効率化や人手不足の解消、データ分析による意思決定支援などを目的として、幅広い産業の分野で急速に活用が進んでいます。また、生成AIの急速な普及により、文書、画像、音声、映像等の生成による社会的影響が拡大しています。

　しかし、多くの組織でAI活用に関する明確なルールや標準が整備されておらず、十分な管理や制約なく利用されている実態があります。このため、AI活用には多様なリスクが内在していると言えます。これらの課題に対処するため、組織全体でのAI活用の統制強化と標準化が不可欠であり、適切なリスク管理体制の構築と運用が求められています。

　ISO/IEC42001は、AIの開発および運用に関わる組織が、その利用に伴うリスクを適切に管理するために策定されたAIMSに関する国際規格です。

２．企業においてAIを活用するリスク

(1) 経営視点でAI活用の統制不能

　AIの活用が組織全体に広がると、部門や担当者ごとに異なるツールやモデルを独自に導入するケースが増え、全社的な統制が取れなくなる可能性があります。

(2) 機密情報漏洩リスク

　社内の機密情報（顧客データ、技術情報、戦略情報など）をAIに学習させた場合、情報が意図せず外部に流出するリスクがあります。

(3) 知的財産権等の侵害

　AIの出力結果や学習データが第三者の権利を侵害する可能性がある一方で、自社の権利が不正利用されるリスクも存在します。

(4) ハルシネーション（誤情報）のリスク

　AIは誤情報を出力することがあり、これを業務判断や意思決定に用いると誤った結論に至る可能性があります。

　以上のようなリスクに対応するため、ISO/IEC42001規格要求に対応したAIMSを構築・運用することにより、AI活用を戦略的かつ安全に進めることが可能となります。

３．ISO/IEC42001（AIMS）とは

(1) 概要

　本規格は、AIシステムを開発、提供または使用する組織を対象とし、組織がAIシステムを適切に利活用するために必要なマネジメントシステムを構築する際に遵守すべき要求事項を規定しています。

【AIMSのPDCAの概略図】

出典：経済産業省記事：「AIマネジメントシステムの国際規格が発行されました」
URL:https://www.meti.go.jp/press/2023/01/20240115001/20240115001.html

(2) 規格の構成

　本文は、1.適用範囲、2.引用規格、3.用語と定義、4.組織の状況、5.リーダーシップ、6.計画、7.支援、8.運用、9.パフォーマンス評価、10.改善です。

　特に、6.計画の「6.1 リスクと機会への取組」に含まれる特徴的な要求事項を以下に紹介します。

箇条番号	項目名称	要求事項
6.1.2	AIリスクアセスメント	AIシステムに関連するリスクを特定し、発生可能性、影響度を考慮し、リスクを評価する
6.1.3	AIリスク対応	特定したリスクに対しての対策内容を定める
6.1.4	AIシステムインパクトアセスメント	AIシステムが社会・組織・人等に与える潜在的な影響を体系的に評価し、倫理・法令・社会的側面を含めて検討し、リスク管理に反映させる

(3) 6.1.4 AIシステムインパクトアセスメント

　要求事項のねらいは、組織がAIシステムの開発・提供・使用に伴い、個人・集団・社会に及ぼす潜在的影響を体系的に評価することです。

　また、AIシステムが社会や人に与える影響をライフサイクル全体にわたって把握し、適切に管理することです。

　この評価では、AIシステムの企画・設計・運用・廃止に至るまでの各段階において、想定される潜在的な影響を洗い出し、影響の大きさや発生可能性を整理します。具体的には、差別や偏見の助長、プライバシー侵害、安全性や信頼性への影響、説明可能性や透明性の不足といった課題を含め、様々な観点から検討を行います。

　その上で、実行すべき対策を明確にし、責任体制や見直しの仕組みを整備することで、AIシステムを社会に受け入れられる形で継続的に運用することを目指します。また、ここで整理したAIシステムインパクトアセスメントの結果を、AIリスクアセスメントに反映して、リスク対策を講じることが重要です。

(4) AIシステムインパクトアセスメント事例

　以下は、具体的な評価項目と評価結果の一例です。

評価項目	評価結果
AIシステムの名称・バージョン	顔画像認識AI v2.2
評価実施日	2026/3/16
評価責任者	情報セキュリティ部門責任者
対象範囲（開発/提供/利用）	利用（公共空間での監視）
意図する用途	不審者検知
予見可能な誤用	誤検知による一般市民の不利益
技術的状況の考慮点	画像認識精度が限定的
社会的状況の考慮点	社会的偏見の増幅リスク
適用される法規制・管轄区域	個人情報保護法、GDPR
影響を受ける主体（個人/集団/社会）	市民、特定集団、社会全体
潜在的な影響（安全性、プライバシー、差別など）	誤認識による差別、プライバシー侵害
影響の重大性（低・中・高）	高
影響の発生可能性（低・中・高）	中
リスクレベル（重大性×可能性）	高
利害関係者への情報共有の有無	必要有
6.1.2リスクアセスメントへの反映状況	AIリスク番号　XXXXXとYYYYに考慮済み