ISO/IEC 42001はAIの「マネジメントシステム」規格
ISO/IEC 42001:2023は、2023年12月18日に発行された、AIマネジメントシステム（AIMS）の要求事項を定めた国際規格です。AIを提供する組織と、AIを利用する組織の両方を対象にしています。AIの精度や安全性そのものを規定する製品規格ではなく、AIを責任を持って開発・提供・利用するための組織の仕組みを求める規格です。
構造は、ISO 9001（品質）やISO/IEC 27001（情報セキュリティ）と同じ、ISOのマネジメントシステム規格の共通構造に沿っています。組織の状況、リーダーシップ、計画、支援、運用、パフォーマンス評価、改善という章立てで、PDCAを回す考え方も同じです。そのため、すでにISO 9001や27001を運用している製造業は、既存の文書体系と内部監査の仕組みの上にAIの要素を追加する形で構築できます。
AI固有の要素として求められるのは、AIシステムが人や社会に与える影響の評価、AIの企画から廃止までのライフサイクルの管理、学習データの品質と出所の管理、外部から調達するAIの管理などです。
製造業が取得を検討する3つの場面
認証の取得には、構築の工数、審査費用、維持のための内部監査が継続的にかかります。製造業でこれに見合うのは、次の3つの場面です。
| 場面 | 理由 | 典型的な企業 |
|---|---|---|
| 1. 顧客から求められる | 取引先がサプライヤーにAIの管理体制の証明を求め始めた | 自動車・電子部品のTier1・Tier2 |
| 2. EU向け取引がある | AI Actへの対応状況を説明する材料として、国際規格に沿った仕組みが使いやすい | 機械・装置メーカー、EU拠点を持つ企業 |
| 3. AI製品・サービスを外販する | 買い手に対して、AIの開発と提供の管理体制を第三者の証明で示せる | AI搭載の検査装置メーカー、自社ツールを外販するユーザー企業 |
逆に、社内の業務で生成AIや外観検査AIを使っているだけで、顧客からの要求もない場合は、認証まで取る必要は薄いと考えます。その場合も、規格の考え方を参考に社内の仕組みを作ることには意味があります。
認証を取らずに「仕組みだけ使う」進め方
場面1〜3に当たらない企業でも、次の3つは規格の考え方を取り入れる価値があります。
- AIの台帳：社内で使うAI（購入品・内製・生成AIサービス）を一覧にし、用途、担当部門、扱うデータ、影響の大きさを記録する
- 影響評価：品質・安全・従業員・顧客への影響を、導入前に簡単なチェックシートで評価する
- ライフサイクルの管理：導入の承認、運用中の監視、モデル更新時の再評価、廃止の手順を決める
これらは既存のISO 9001の変更管理や、27001の資産管理・供給者管理に組み込めます。台帳と承認フローを軽く始める方法は製造業のAIガバナンス体制で扱っています。リスクの洗い出しと管理の手順を具体的にするには、米国のNIST AI RMFも参考になります。両者の違いはNIST AI RMFを製造業で使うを参照してください。
構築の進め方：ISO 9001の担当部門を巻き込む
AIの管理体制というと情報システム部門やDX推進部門が担当になりがちですが、製造業ではISO 9001を運用している品質保証部門を最初から巻き込むのが効率的です。
- 文書体系：品質マニュアルや規程の体系に、AIの規程を同じ形式で追加する
- 変更管理：モデルの更新や閾値の変更を、工程変更と同じ変更管理の手続きに載せる
- 内部監査：既存の内部監査員にAIの監査項目を教育し、同じ監査サイクルで回す
- 供給者管理：AIベンダーを購買先の評価・管理の対象に加える
MESや検査装置のデータをAIの学習に使う場合は、データの出所と品質の管理も求められます。どのラインの、どの期間の、どの品番のデータで学習したかを記録しておくことは、規格の要求に応えるだけでなく、精度が落ちたときに原因を追う手がかりにもなります。既存のトレーサビリティの仕組みに、学習データの記録を加える形で対応できます。
よくある質問
ISO 9001を取っていない中小企業でも取得できますか
取得は可能ですが、マネジメントシステムの運用経験がないと、構築の負担は大きくなります。顧客からの要求がないうちは、規格の考え方を参考に、AIの台帳と簡単なルールを作るところから始めるのが現実的です。
EU AI Actに対応するには42001の認証が必要ですか
AI Actへの適合に42001の認証が義務づけられているわけではありません。AI Actの整合規格はCEN/CENELECのJTC 21で策定中で、42001との関係は今後の規格の整備で明らかになります。現時点では、AI Actへの対応を説明する際の土台として使える、という位置づけです。
生成AIを社内で使っているだけでも、規格の対象になりますか
規格はAIを利用する組織も対象にしています。認証を取るかどうかは別として、生成AIの利用も台帳とリスク評価の対象に含めるのが、規格の考え方に沿った運用です。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
