- A.2方針
- A.3内部組織
- A.4資源
- A.5影響評価
- A.6ライフサイクル
- A.7データ
- A.8利害関係者への情報
- A.9AIの利用
- A.10第三者及び顧客
箇条4
自社を取り巻く状況を把握したうえで、適用範囲を定めます。つまり、マネジメントシステムが対象とするAIシステム、チーム、活動です。
箇条5
トップマネジメントがシステムへのコミットメントを示し、AI方針を定め、役割と責任を割り当てることで、すべての作業に担当者が置かれます。
箇条6.1.2
各AIシステムがもたらしうるリスクを特定し、それぞれの起こりやすさと重大さを判断します。
箇条6.1.3
各リスクへの対処方法と、それを担う管理策を選び、附属書Aと照らし合わせてから、作業を計画します。
箇条6.1.4
組織にとってのリスクだけでなく、各AIシステムが人に与えうる影響を評価します。システムを使わなくても、その結果の影響を受ける人も含みます。
箇条8
計画を運用に移します。リスクアセスメント、リスク対応、影響評価を、審査前の数週間だけでなく、通常業務の一部として実施します。
箇条9
システムのパフォーマンスを測定し、計画した間隔で内部監査を実施し、トップマネジメントが結果をレビューして変更点を決定します。
附属書A
附属書Aには、AI方針や影響評価からデータ、第三者まで、38の管理策が示されています。どれを適用するかを、それぞれの判断理由とともに適用宣言書に記録します。
認証の対象はマネジメントシステムであり、AIシステムが同法の要件を満たすかどうかではありません。第40条では、適合性の推定はEU官報に掲載された整合規格によって生じるもので、42001の認証によるものではありません。[5]
適用するのは、リスクに応じて必要な管理策です。適用宣言書には、含める管理策と除外する管理策を、それぞれの理由とともに記録します。[1]
2026年のオムニバスで変わったのは、EUの高リスクに関する期限（2027年12月2日と2028年8月2日）だけです。ISO 42001はもともとこれらと連動していません。任意の規格であり、審査日は自社と認証機関が決めます。[6]
ISO 42001とは何ですか？
ISO/IEC 42001は、AIマネジメントシステム、つまり組織がAIを統制するための方針、役割、プロセス、管理策に関する国際規格です。2023年12月に発行され、そのシステムを確立し、実施し、維持し、継続的に改善するための要求事項を定めています。AIを開発する組織だけでなく、AIを提供または利用する組織も対象です。
ISO 42001とISO 27001の違いは何ですか？
ISO 27001は情報セキュリティを管理する規格です。ISO 42001はAIを管理する規格で、システムの結果が人に与える影響など、セキュリティを超えるリスクや影響も扱います。どちらも箇条4〜10という同じ構成に従うため、適用範囲、方針、内部監査、マネジメントレビューにはなじみがあるはずです。ISO 42001は27001に代わるものではなく、両者を1つの統合マネジメントシステムとして運用できます。
ISO 42001の取得は必須ですか？
いいえ。任意の規格であり、従わなくても制裁金はありません。組織が認証を取得するのは、顧客、パートナー、入札でAIの統制方法を問われるためで、認定機関による認証書はその明確な答えになります。取得後のリスクは実務的なものです。審査で見つかる不適合、失う可能性のある認証、そして通過できない可能性のある購買側の審査です。
ISO 42001認証の有効期間はどのくらいですか？
認証の有効期間は通常3年です。その間、認証機関は通常年1回のサーベイランス審査を行い、マネジメントシステムが引き続き機能しているかを確認します。サイクルの終わりには再認証審査が行われ、次のサイクルが始まります。正確なスケジュールは認証機関が決めるため、早めに確認してください。初回審査の日程がすでに決まっている場合は特に重要です。
適用宣言書とは何ですか？
附属書Aの管理策を一覧にし、どれを適用するか、また各管理策を含める理由や除外する理由を示す文書です。附属書Aには38の管理策があり、すべてを適用する必要はありません。選ぶ管理策はリスク対応から導かれるべきもので、両方の文書の内容が一致するようにします。常に最新の状態に保ってください。AIシステムやリスクが変われば、選択も変わることがあります。
ISO 42001の認証は誰が行えますか？
認定を受けた認証機関です。2025年に発行されたISO/IEC 42006は、ISO/IEC 17021-1に加えて、ISO 42001の認証を行う機関への要求事項を定めています。英国では、BSIがUKASから最初の認定を受けました。ソフトウェアやアドバイザーは準備を支援できますが、認証はできません。Enzaiは認証機関ではありません。チームが作業の拠り所とする評価、責任者、エビデンス、レポートを一元管理します。
