AIシステムインベントリ（AIシステムレジストリとも呼ばれる）とは、組織全体で使用されているすべてのAIシステム、モデル、およびエージェントを網羅した、一元化されたカタログです。ビジネス上の目的、所有権、およびリスクレベルを追跡するものであり、企業のガバナンスプログラムの基盤となります。EU AI法、ISO 42001、NIST AI RMF、および米国財務省の新しい金融サービスAIリスク管理フレームワークへの準拠において、完全なAIインベントリの構築は、今や厳格な必須条件となっています。

ほとんどの組織は、「現在、ビジネス全体でいくつのAIシステムが稼働しているか」という、一見シンプルでありながら回答が難しい質問に答えることができません。信頼できる回答を導き出せないこと、そして包括的なAIインベントリが存在しないことは、単なる管理上の不備にとどまりません。それはコンプライアンス上の責任追及の対象であり、リスク管理における盲点であり、世界中の規制枠組みが任意のガイドラインから法的拘束力のある義務へと移行する中で、ますます擁護しがたい立場へと組織を追い込むことになります。

2024年8月に発効し、2027年にかけて義務化が段階的に進むEU AI法では、ハイリスクAIシステムの展開者に対し、それらのシステムをEUのデータベースに登録すること（第71条）、および対象となるすべてのシステムを完全に把握していることを前提とした文書を維持することを義務付けています。[1] AIマネジメントシステムの国際規格であるISO/IEC 42001では、認証の前提条件としてAIシステムの範囲とコンテキストを文書化することを組織に求めており、体系的なカタログ作成が実務上の必須事項となっています。[2] NIST AIリスク管理フレームワークは、AIシステムの特定と分類を、下流のすべてのリスク測定および管理にデータを提供する「Map（マッピング）」機能内の基礎的な活動として位置づけています。[3] 2026年2月に発表された財務省の金融サービスAIリスク管理フレームワークでは、AIインベントリの作成そのものを管理目標（GV-1.6）として掲げており、シャドーITの発見からポートフォリオレベルのリスク分析に及ぶ6つのサブ目標を設けています。[4] 包括的なAIインベントリがなければ、これらのフレームワークへの準拠は構造的に不可能です。

しかし、企業内のすべてのAIシステムをカタログ化する作業は、一見するよりもはるかに複雑です。本ガイドでは、何を取得すべきか、中央のガバナンスからは見えない可能性のあるシステムをどのように発見するか、そしてインベントリの正確性を長期にわたってどのように維持するかを含め、何もない状態からAIインベントリを構築するための体系的なアプローチを提示します。

AIインベントリがガバナンスの基盤である理由

規制による義務化はさておき、完全なAIシステムインベントリは、実質的に下流にあるすべてのガバナンス活動の前提条件として機能します。未知のシステムに対してリスクアセスメントを実施することはできません。調達部門が記録していないAIツールに、バイアス監査が届くことはありません。IT部門が把握していないAI主導のプロセスを、インシデント対応計画に組み込むことはできません。

インベントリなしで運用することの実質的な代償は、すでに顕在化しています。EU AI法の対象となる組織は、欧州のデータベースへのハイリスクシステムの登録義務に直面しています。[1] ISO 42001認証の取得を目指す組織は、組織全体でAIシステムを特定し管理するための体系的なプロセスを実証しなければなりません。[2] イングランド銀行、FCA（金融行動監視機構）、欧州中央銀行などの金融規制当局は、アルゴリズムやAIベースのツールによってどの意思決定が影響を受けるかを企業が正確に把握していることを前提とした、監督上の期待事項の提示を開始しています。[5] そして、2026年2月の時点で、米国の金融機関は財務省のFS AI RMF質問票に対応する準備を整える必要がありますが、これは基本レベルのAIインベントリがなければ完了できません。[4]

AI導入のスピードが、この課題をさらに複雑にしています。マッキンゼーの2024年AIに関するグローバル調査によると、72%の組織が少なくとも1つのビジネス機能においてAIを導入しており、導入実績は前年比でほぼ倍増しています。その多くは、中央の監視がないまま部門レベルで行われています。[6] Enzaiのようなプラットフォームは、エンタープライズスケールで生きたAIインベントリを維持する複雑さに対処し、発見、リスク分類、および継続的なモニタリングを単一のガバナンスレイヤーで接続するために特別に設計されています。

AIインベントリは、単にコンプライアンスのチェックボックスを埋めるためのものではありません。他のすべてのガバナンス活動が依存する、唯一無二の成果物なのです。

2026年のAIインベントリに含めるべき内容：更新された要件

ほとんどの組織が最後にインベントリの仕様を見直して以来、2つの変化が生じました。規制のハードルが上がったこと、そしてインベントリの対象となるシステム自体が進化したことです。2024年にEU AI法の準備を支援するために設計されたインベントリは、2026年の時点では本質的に不十分です。

2026年の規制背景

EU AI法 - ハイリスク義務が2026年8月2日に発効。 第9〜15条に基づくハイリスクシステム要件、第43条に基づく適合性評価、第50条に基づく透明性義務、および第71条に基づくEUデータベースへの登録要件のすべてが、2026年8月2日に発効します。[7] 2025年11月に提案されたデジタルオムニバス法案は、附属書IIIの期限を2027年12月まで延長することを提案していますが、その提案は依然として三者対話（トライローグ）の交渉段階にあり、結果は不透明です。8月の施行を前提に計画を立て、延長は基本計画ではなく不測の事態への備えとして扱ってください。インベントリにおける実質的な影響は明確です。附属書IIIのカテゴリに該当する可能性のあるすべてのシステムが、特定・分類可能であり、登録の準備が整っている状態でなければなりません。

財務省 金融サービスAIリスク管理フレームワーク - 2026年2月19日発表。 米国財務省は2026年2月19日、AI用語集とともに、金融機関向けにNIST AI RMFを230の管理目標に適合させた金融サービスAIリスク管理フレームワーク（FS AI RMF）を発表しました。[4] AIインベントリの構築は、それ自体が独自の管理目標である GV-1.6 として設定されており、シャドーITの発見からポートフォリオレベルのリスク分析に及ぶ6つのサブ目標が設けられています。このフレームワークは現在のところ任意ですが、監査人の期待事項を急速に形成していくことが予想されます。金融サービス機関にとって、インベントリは、基準としてFS AI RMF質問票の完了をサポートできるものでなければなりません。

コロラド州AI法および並行する州法。 当初2026年2月1日に施行され、現在改正案の提出を控えているコロラド州AI法は、ハイリスクAIシステムを開発・展開する者に対し、重大な意思決定においてアルゴリズムによる差別を回避するための合理的な配慮を行うことを義務付けています。[8] コロラド州法への準拠をサポートするインベントリは、意思決定への影響、影響を受ける集団、および重大な意思決定フラグなど、従来の古いAIインベントリには必ずしも存在しなかった項目を取得する必要があります。

ISO/IEC 42001およびNIST AI RMF。 継続的な任意フレームワーク。ISO 42001認証には、AIシステムを特定し管理するための体系的なプロセスを実証することが求められます。NIST AI RMFは、特定と分類を「Map（マッピング）」機能内の基礎的な活動として位置づけています。[2][3]

2026年に新たに取得すべき項目

2026年に特に追加すべき項目と考慮事項は以下の通りです：

• エージェントシステムフラグ。 システムが自律型エージェントであるかどうか、その自律性層（EnzaiのエージェントAIガバナンスガイドを参照）、およびシステムが稼働する制約付きアクションスペース。

• 基盤モデルへの依存性。 サードパーティの基盤モデル上に構築されたシステムについては、モデルプロバイダー、モデルバージョン、バージョン固定ポリシー、およびプロバイダーがアップデートをリリースした際の再検証トリガー。

• EU AI法リスク分類項目。 該当する場合の附属書IIIのカテゴリ、ハイリスク分類の理由、適合性評価のルート、EUデータベースへの登録ステータス、市販後モニタリング計画の参照。義務の詳細な内訳については、EnzaiのEU AI法コンプライアンスガイドを参照してください。

• FS AI RMFマッピング（金融サービス）。 関連する管理目標、特にGV-1.6のサブマッピング（外部向け公開、機密データまたは規制対象データの使用、顧客または市場への影響、および重要度を含む）に対する指定。

• シャドーエージェント発見フラグ。 正式な調達プロセスを経ずに導入された自律型エージェント（SaaSプラットフォームに埋め込まれているか、データサイエンスチームによって非公式に構築されていることが多い）の特定の追跡。

• 「重大な変更」のトリガー。 既存のシステムへの変更が、EU AI法第3条第23号に基づき、再評価を要する「重大な変更（substantial modification）」に該当するかどうかの定義基準。

これらは、以下に示す基本的なフィールド構成への追加事項です。すでに下記の主要フィールドをカバーしている組織は、ゼロから再構築するのではなく、2026年特有のデータを追加するためのピンポイントなデータ拡充作業を計画する必要があります。

発見における課題

インベントリの構築を試みる前に、なぜAIシステムのカタログ化が難しいのかを理解することが不可欠です。AIは、可視性の観点において、従来のソフトウェアとは異なる挙動を示します。既存のツールに自ら組み込まれ、サードパーティのAPIを介して機能し、調達部門を通さない個々の従業員の判断によって普及していきます。

シャドーAI - 発見における最大の課題は、従業員やチームが正式な承認なしに導入する「シャドーAI」です。マーケティングアナリストが個人のクレジットカードでAI搭載のコピーライティングツールを契約したり、営業チームがAI会議文字起こしサービスを利用したり、財務チームがブラウザ拡張機能を介して大規模言語モデルを試用したりする事例がこれに該当します。これらはすべて、ガバナンスフレームワークの枠外で組織のデータを処理しているAIシステムです。

SaaSプラットフォームに組み込まれたAI - 主要なエンタープライズソフトウェアベンダーは、驚異的なスピードで既存製品にAI機能を統合しています。予測リードスコアリングを導入したCRMプラットフォーム、履歴書スクリーニングを追加した人事システム、自動応答生成を展開したカスタマーサポートツールなどがあります。これらはAIシステムですが、新規の調達ではなく機能アップデートとして提供されることが多いため、従来のソフトウェア監査では検知されません。

ベンダーおよびサードパーティのAI - サービス提供にAIを使用するベンダーと契約する場合、組織はEU AI法などの規制枠組みにおいて、そのAIシステムの「展開者」となる可能性があります。採用候補者の選考にAIを使用するバックグラウンド調査会社、申請の優先度判定にAIを使用する請求処理のアウトソーシング先、ルート最適化にAIを使用する物流パートナーなどがこれに当たります。これらはすべて、システムの存在を知ることから始まるガバナンス義務を生じさせます。

社内構築のAI - データサイエンスチーム、イノベーションラボ、ソフトウェアエンジニアリング部門が、正式なリリース管理プロセスを経ずにAIモデルを構築し、展開することがあります。本番環境に昇格されたJupyter Notebook、部門サーバー上で稼働する機械学習モデル、誰からも正式な委託を受けることなく概念実証からビジネスに不可欠なシステムへと進化した自動意思決定スクリプトなどがこれに該当します。

発見における課題は、根本的には可視性の問題です。従来のITアセット管理はAIを想定して設計されておらず、多くの組織が依存しているツールやプロセスでは、AI利用の大部分を見落とすことになります。

AIインベントリに記録すべき情報

実用的なAIインベントリを作成するには、網羅性と実用性のバランスをとる必要があります。記録する情報が少なすぎると、リスク評価やコンプライアンスにおいて不十分なインベントリになります。逆に多すぎると、維持管理の負担が大きくなり、インベントリが陳腐化する原因になります。以下のテンプレートフレームワークは、規制要件、業界標準、および実務上のガバナンスニーズが求めるフィールドを網羅しています。

基本識別フィールド

所有権と説明責任

リスクとコンプライアンスの分類

技術的・運用的な詳細

エージェント固有のフィールド（該当する場合）

ライフサイクルとステータス

最初の段階で、すべてのシステムに対してすべてのフィールドを完全に埋められるわけではありません。現実的なアプローチとしては、登録時に必須とするフィールド（システム名、オーナー、展開タイプ、リスク分類など）と、最初のガバナンスレビューサイクルまで延期できるフィールドを明確に定義することです。EnzaiのAIインベントリスキーマは、この段階的なアプローチを採用しており、登録時の必須フィールドと、段階的に拡充していくフィールドを区別しています。これにより、チームが作業をすべてスキップしてしまったり、200あるシステムのそれぞれに対して22項目におよぶ入力フォームを前にして作業が滞ったりするのを防ぎます。目標は、すべてのフィールドを完璧に埋められるまでインベントリ作成を遅らせるのではなく、まず構造を確立し、体系的にギャップを埋めていくことです。

発見の手法

記録すべき情報が明確になったら、次の問題は、組織内で稼働しているすべてのAIシステムをどのように見つけるかです。単一の手法だけで完全な網羅を達成することはできません。効果的な発見プログラムは、複数のアプローチを組み合わせて使用します。

自動スキャンと技術的な発見 - ネットワークトラフィック分析により、OpenAI、Google、Anthropic、AWSなどのプロバイダーが提供する主要なクラウドAIエンドポイントを含む、既知のAIサービスプロバイダーへのAPI呼び出しを識別できます。DNSログ、プロキシサーバーの記録、クラウドアクセスセキュリティブロッカー（CASB）ツールにより、正式に承認されていないAIサービスへの接続を検出できます。ソフトウェア構成分析（SCA）により、社内で開発されたアプリケーション内のAIライブラリやフレームワークを特定できます。

Enzaiのようなプラットフォームを使用している組織は、自動検出機能をガバナンスワークフローに直接統合することができます。これにより、手作業を削減し、新たに検出されたシステムを即座に分類およびレビューの対象として指定できます。

調達およびベンダー監査 - 調達記録、ソフトウェアライセンス契約、ベンダー契約を体系的に確認することで、正式なチャネルを通じて取得されたAIシステムを浮き彫りにすることができます。これには、既存の契約の遡及的な見直しも含める必要があります。多くのベンダーが、以前はAIを搭載していなかった製品にAI機能を追加しているためです。調達チームは、AIや機械学習機能を含む新規取得案件を確実に特定できるよう、事前説明を受けておく必要があります。

従業員調査と自己申告 - ビジネス部門への直接の働きかけは、シャドーAIを発見するための最も効果的な方法の1つです。AI、機械学習、自然言語処理、または自動意思決定を伴うツール、サービス、モデルを各チームが使用しているかを尋ねる体系的なアンケートを実施することで、技術的なスキャン手法では検出できないシステムが一貫して明らかになります。この調査は、取り締まりではなくガバナンスをサポートすることを強調し、誠実な開示を促す建設的な形で行う必要があります。

ベンダー質問票 - 既存のサードパーティ関係については、サービス提供においてAIが使用されているか、使用されている場合はどのような種類でどのような目的かを尋ねるピンポイントな質問票を送付することで、組み込み型およびサードパーティ製のAIを特定できます。これは、クライアントへの明示的な通知なしにベンダーによってAIが導入される可能性がある、業務アウトソーシングにおいて特に重要です。

ネットワークおよびAPIトラフィック分析 - 既知のAIエンドポイントのスキャンにとどまらず、APIトラフィックパターンのより深い分析により、目立たないチャネルを通じて通信するAIシステムを明らかにできます。モデルの推論呼び出しと一致するパターン（ML推論に典型的なレイテンシプロファイルを持ち、外部エンドポイントに送信される構造化されたJSONペイロードなど）を監視することで、他の手法では見落とされるシステムを検出できます。

最も堅牢な発見プログラムは、これらの手法を並行して実行し、定期的なサイクルで繰り返します。1回の調査で大半のシステムを把握できますが、新しいAIツールが組織に流入するスピードに対応し続けるためには、継続的な発見プロセスが必要です。

インベントリプロセスの構築

AIインベントリの有効性は、それを維持するプロセスとガバナンス構造の堅牢性に左右されます。明確な責任主体、部門横断的な関与、定義されたワークフローがなければ、どれほど徹底した初期カタログであっても、数ヶ月以内に陳腐化してしまいます。

責任主体の確立 - 単一の部門が、企業資産としてAIインベントリの責任を持たなければなりません。ほとんどの組織において、この役割はチーフAIオフィサー（役職が存在する場合）、チーフインフォメーションセキュリティオフィサー、またはチーフコンプライアンスオフィサーのいずれかが担います。重要な要件は、その責任者がすべてのビジネス部門に対して開示を強制できる十分な権限を持ち、分類やリスク評価についてエンジニアリングチームと対話できる十分な技術的信頼性を備えていることです。

部門横断的な関与 - インベントリプロセスには、複数の部門の積極的な参加が必要です：

• ITおよびエンジニアリング部門は、技術的な発見機能を提供し、社内構築されたAIシステム、インフラストラクチャの詳細、および連携ポイントを特定します。

• 調達部門は、新しいAIの取得を特定し、既存のベンダー関係を遡及的にレビューします。

• 法務およびコンプライアンス部門は、EU AI法のリスクカテゴリ、FS AI RMFの管理目標、およびデータ保護義務を含む規制要件に照らしてシステムを分類します。

• ビジネス部門のリーダーは、チーム内で使用されているAIツールを特定し、各システムに対するビジネスオーナーを割り当てます。

• データ保護 / プライバシー部門は、個人データ処理を評価し、GDPRおよび同等のフレームワークとの整合性を確保します。

• 内部監査部門は、インベントリの網羅性と正確性を定期的に検証します。

インテークワークフローの定義 - 調達、構築、またはスキャンによって発見されたすべての新しいAIシステムは、標準化された登録（インテーク）ワークフローを通過する必要があります。このワークフローには、初期登録（基本識別フィールドの入力）、暫定的なリスク分類、ビジネスおよびテクニカルオーナーの割り当て、そして本式のガバナンスレビューのスケジュール設定を含める必要があります。登録プロセスは、それを回避する動機を与えない程度に軽量であり、かつ基本的なガバナンス文書なしに本番環境へシステムが導入されるのを防ぐのに十分な厳格さを備えている必要があります。

ガバナンス頻度の設定 - インベントリは、少なくとも四半期に1回、正式なレビューを行う必要があります。各レビューでは、網羅性（前回のサイクル以降に新しいシステムが追加されているか？）、正確性（既存のシステムの詳細情報が最新であるか？）、およびコンプライアンス状況（承認されたリスクパラメータの範囲外で運用されているシステムはないか？）を評価する必要があります。

責任主体のないプロセスは、単なる願望にすぎません。明確な責任、部門横断的な合意、そして定義された頻度を伴うプロセスこそが、真のガバナンスプログラムと言えます。

インベントリの継続的な維持管理

最初の構築は、課題全体の容易な半分にすぎません。正確で「生きた」インベントリを維持するには、更新トリガー、自動化、および広範な組織変更管理との統合が必要です。

インベントリ更新のトリガー - 以下のイベントが発生した場合は、いつでもインベントリを更新する必要があります：

• 新しいAIシステムが調達、構築、または展開されたとき

• 既存のシステムが大幅に変更されたとき（新しいデータソース、意思決定範囲の変更、モデルの再学習、基盤モデルのバージョン変更）

• システムが廃止または一時停止されたとき

• 既存製品へのAI機能の追加についてベンダーから組織に通知があったとき

• 規制の変更により、既存のシステムのリスク分類が変化したとき

• AIシステムに関連するインシデントが報告されたとき

• 組織再編により、システムのビジネスオーナーが変更されたとき

継続的な発見プロセス - 技術的な発見手法は、定期的なイベントとしてではなく、継続的に実行する必要があります。AI APIトラフィックの自動スキャン、新しいAI SaaSツールに対するCASBアラート、および新しいリリースに含まれるAIコンポーネントを特定するためのソフトウェア展開パイプラインとの統合はすべて、システムが組織に導入されてからインベントリに登録されるまでのタイムラグを減らすことに貢献します。

変更管理との統合 - AIインベントリは、既存の変更管理およびITサービス管理プロセスに組み込まれるべきです。変更諮問委員会（CAB）は、AIインベントリへの影響を標準の評価基準に含める必要があります。ソフトウェア展開プロセスには、AIコンポーネントのチェックを含める必要があります。ベンダー管理ワークフローには、AI開示を標準的な契約要件およびレビュー要件として含める必要があります。

バージョン履歴と監査トレール - インベントリの登録内容に対するすべての変更は、タイムスタンプ、変更を行った人物のID、および更新の理由とともにログに記録する必要があります。この監査トレールは、単なる優れたプラクティスではありません。これは複数の規制フレームワークの下で明示的な要件となっており、監査人や監督当局から確認を求められます。

維持管理こそ、多くのAIインベントリが失敗する原因です。成功している組織は、インベントリを毎年見直す静的な文書としてではなく、日々の業務ワークフローに統合された生きたシステムとして扱っています。

よくある落とし穴

十分なリソースを持つ組織であっても、AIインベントリの構築と維持において、予測可能な失敗パターンに陥ることがあります。これらのパターンを事前に認識しておくことで、永続的な成果を得られる可能性が大幅に高まります。

AIを狭く定義しすぎる。 インベントリの対象を「機械学習モデル」に限定してしまう組織は、ルールベースの自動意思決定システム、認知要素を備えたロボティックプロセスオートメーション（RPA）、自律型エージェント、およびビジネス全体で非公式に使用されている生成AIツールを見落とすことになります。インベントリ作成の目的において、何がAIシステムに該当するかの定義は意図的に広く設定すべきであり、EU AI法第3条第1号の広範な表現などの規制定義と整合させる必要があります。[1]

インベントリ作成をITプロジェクトとして扱う。 インベントリがIT部門だけで管理されている場合、ビジネス部門側におけるAIの導入状況は、構造的に過少報告されることになります。逆に、コンプライアンス部門だけで管理されている場合は、技術的な詳細が不足し、信頼性の低いものになります。部門横断的な責任体制は必須です。

初回から完璧を求めすぎる。 インベントリを公開する前に、すべてのシステムに対してすべてのフィールドを完璧に埋めようとする組織は、永久にインベントリを公開できません。現実的なアプローチとしては、初期構築段階では一部の記録が未完成であることを許容し、その後のレビューサイクルを通じて体系的にギャップを埋めていくプログラムを実施します。

ベンダーのAIを無視する。 組織に最大のインパクトを与えるAIシステムは、バックグラウンド調査会社のAI、信用情報機関のモデル、クラウドプラットフォームの自動セキュリティツールなど、サードパーティによって運営されているものであることがよくあります。これらは、可視性が低いことを考慮すると、社内で構築されたシステムと同等、あるいはそれ以上のガバナンス上の注意を払う必要があります。

エージェントシステムを見落とす。 従来のインベントリの多くは、人間が行動するための予測やコンテンツを生成する「静的なAI」を対象に構築されていました。マルチステップのワークフローにわたって自律的に行動を実行するエージェントシステムは、追加のフィールド（自律性層、アクションホワイトリスト、エスカレーションのトリガー、監査トレールの保存場所）と、追加のガバナンス手法を必要とします。エージェントシステムを静的モデルと区別して表示できないインベントリは、適切なガバナンスをサポートできません。詳細なフレームワークについては、EnzaiのエージェントAIガバナンスガイドを参照してください。

実務上の意味合い

規制の方向性は非常に明確です。EU AI法、ISO 42001、NIST AI RMF、財務省のFS AI RMF、および拡大し続ける分野固有の監督上の期待事項はすべて、同じ基本的な要件に収束しています。すなわち、組織はどのようなAIを保有しているか、それがどこで稼働しているか、誰がその責任を負っているか、そしてそれがどのようなリスクをもたらしているかを把握しなければならない、ということです。あらゆる企業においてAIシステムの数は遡及的にカタログ化する能力を超えるスピードで増加するため、この機能の構築を先延ばしにするほど、そのコストは高くなります。

完璧ではないとしても、今すぐ最初の取り組みを開始する組織は、規制の期限が迫ってから行動を起こす組織よりも、本質的に有利な立場に立つことができます。本ガイドで概説したテンプレートフレームワーク、発見手法、およびプロセス構造は、具体的な出発点を提供します。

監査可能な記録システムを維持するためには、適切なAIシステムインベントリツールを選択することが極めて重要です。AIのガバナンス、リスク、およびコンプライアンスのために専用設計されたプラットフォーム内でAIインベントリを実用化したい組織に対し、Enzaiは発見、分類、および継続的な維持管理のための体系的なアプローチを提供します。実務での機能を確認するには、デモをご予約ください。

Enzaiは、組織が抽象的なポリシーから実務的な監視へと移行するのを支援するために特別に構築された、主要なエンタープライズAIガバナンスプラットフォームです。当社のAIリスク管理プラットフォームは、エージェントAIガバナンスの管理、包括的なAIインベントリの維持、およびEU AI法への準拠を確実にするために必要な専用インフラを提供します。複雑なワークフローを自動化することで、Enzaiは企業が自信を持ってAIの導入規模を拡大できるよう支援すると同時に、ISO 42001やNISTなどのグローバルスタンダードとの整合性を確保します。

参考文献

1. 人工知能に関する調和ルールを定める規則（欧州連合規則2024/1689、人工知能法 / EU AI Act）。欧州連合官報、2024年8月。

2. ISO/IEC 42001:2023 - 情報技術 - 人工知能 - マネジメントシステム。国際標準化機構、2023年12月。

3. 人工知能リスク管理フレームワーク（AI RMF 1.0）、NIST AI 100-1。米国国立標準技術研究所、2023年1月。

4. 米国財務省、「財務省、金融セクターにおけるAI利用を導く2つの新しいリソースを公開」、2026年2月19日。金融サービスAIリスク管理フレームワークおよびAI用語集を含む。AIインベントリは管理目標 GV-1.6。

5. イングランド銀行、FCA、PRA、およびPSR、「人工知能と機械学習」、DP5/22、2022年10月；PRA監督声明 SS1/23、2023年。

6. マッキンゼー・アンド・カンパニー、「2024年初頭におけるAIの現状：生成AIの導入が急増し、価値を生み出し始める」、2024年5月。

7. 規則（EU）2024/1689、第113条〜第114条（発効日および適用日）。欧州委員会が2025年11月に提案したAIに関するデジタルオムニバス法案は、三者対話による合意を条件として、附属書IIIの期限を延長する可能性があります。

8. コロラド州上院法案 SB 24-205、人工知能に関する消費者保護について、2024年5月署名。当初の発効日は2026年2月1日、保留中の法改正案の対象。