ISO/IEC 42001（AIマネジメントシステム）
ISO/IEC 42001とは、組織がAIを責任を持って開発・提供・利用するための管理の仕組み（マネジメントシステム）の要求事項を定めた国際規格です。 2023年12月に発行された、AIに特化した初めてのマネジメントシステム規格です。
別表記：ISO/IEC 42001／ISO 42001／AIマネジメントシステム／AIMS／AI Management System／JIS Q 42001
どういう規格か
ISO 9001（品質）やISO 14001（環境）、ISO/IEC 27001（情報セキュリティ）と同じ、マネジメントシステム規格の仲間です。組織が方針を定め、リスクを評価し、対策を計画し、実行し、監視し、見直す、という型を、AIに当てはめたものです。
対象は、AIを開発する組織だけではありません。AIを他社から調達して業務に使う組織も対象です。「AIを使う側」としての管理の仕組みが求められます。
認証を取得することもできます。第三者の審査機関が、規格の要求事項を満たしているかを審査します。
他のマネジメントシステムと同じ構造
マネジメントシステム規格は、共通の構成を持っています。組織の状況の理解、リーダーシップ、計画、支援、運用、パフォーマンス評価、改善。ISO/IEC 42001もこの構成に沿っています。
すでにISO 9001やISO/IEC 27001を運用している組織であれば、文書の体系、内部監査、マネジメントレビューといった仕組みをそのまま使えます。AIに固有の部分を足す形で対応できます。
AIに固有の要求
AIに固有の部分として、AIシステムの影響評価があります。そのAIが、個人、集団、社会にどんな影響を与えうるかを評価し、記録することが求められます。
もう一つが、AIシステムのライフサイクル全体にわたる管理です。企画、設計、開発、検証、運用、廃止。各段階で何を確認し、何を記録するかを定めます。
附属書には、具体的な管理策の一覧があります。AIに関する方針、役割と責任、リソース、影響評価、ライフサイクル、データ、利害関係者への情報提供、AIの利用、第三者との関係といった領域ごとに、取るべき対策が示されています。
AIエージェントとVCの位置づけ
AIエージェントに業務を任せる組織がこの規格に取り組むとき、「AIの利用」に関する管理策の中で、AIが動ける範囲をどう定め、どう守らせ、どう記録するかが問われます。
文書で方針を定めることは、規格の要求の一部です。ただ、AIエージェントは文書を読んで従うわけではないので、方針を技術的にAIの動作に反映させる手段が要ります。VC（Verifiable Credentials）は、「このAIは誰の委任で何をどこまでしてよいか」を証明書として持たせ、受け付ける側で確認できるようにする手段です。方針が実際に効いていることを、監査の場で設定画面以外の根拠で示せる点が、この規格の運用において意味を持ちます。
責任の所在を明らかにすること、記録を残すことも、規格が求める要素です。VCには発行者と委任の内容が署名付きで入っているので、「誰がいつ何を許可したか」の記録として使えます。
よくある誤解
ISO/IEC 42001を取得すれば、AIは安全になるのか。 規格は、管理の仕組みがあることを示すものです。仕組みがあっても、個々の設定が適切でなければ事故は起きます。規格はガバナンスの型を与え、中身を埋めるのは組織です。
AIを開発していない会社には関係ないか。 AIを調達して業務に使う組織も対象です。「使う側」の管理が、規格の主要な部分を占めています。
ISO/IEC 27001があれば十分か。 27001は情報セキュリティの規格で、AIの影響評価やライフサイクル管理は扱っていません。重なる部分はありますが、AI固有の要求は42001にしかありません。両方を運用する組織も増えています。
