顧客が AI 製品のガバナンスの証明を求めている。ISO 42001 で何を証明できるか？
ISO/IEC 42001:2023 は認証可能な AI マネジメントシステム規格で、ISO/IEC 42006 に基づき認定を受けた認証機関が証明書を発行し、3 年周期で毎年サーベイランス審査があります。証明書は組織の AI ガバナンスの仕組みが健全であることを示し、顧客から AI ガバナンスについて問われたときに、AI システム台帳、リスク評価、管理記録を提示できます。
証明できないこと：証明書は EU AI 法への適合ではなく、ISO/IEC 42001 は EU AI 法の整合規格でもないため、認証から適合推定は生じません。対外的な説明では認証範囲と製品の適合を分けて述べ、「42001 イコール AI 法適合」とは言いません。
AI 製品が外部調達モデルを使っている。どの証拠が引き続き自社の責任か？
モデルを外部調達しても責任まで外注されるわけではありません。第三者のモデルを自社製品にする場合：
| サプライヤーに求められるもの | 自社で行うべきこと |
|---|---|
| モデルのバージョン、利用制限、全体のテスト結果、データ処理条項 | 自社データとプロンプトのテスト、リリース承認、利用者への告知、インシデント対応 |
サプライヤーが学習データを開示しない場合、ブラックボックステストと契約で補うしかありません。調達・委託契約に書き込むべき情報提供、通知、協力の義務は、モデルのサプライヤーを選ぶ前にプロダクトマネージャーが一覧にしておくべきものです。
モデルが毎月更新される。発売済みの AI 機能の有効性をどう保つか？
初回リリースで受け入れ検査に通っても、翌月も使えるとは限りません。外部調達モデルの更新時に必要なのは次のとおりです。
- バージョン識別：呼び出しごと、またはバッチごとにモデルのバージョンを記録し、サプライヤーの更新は通知させる
- 変更影響評価：更新前に、どの用途に影響し、どのテストをやり直すかを判断する
- 回帰テストと承認：同じテストの前後の結果を比較し、基準を満たした場合のみ承認する
- ロールバック不可の場合：代替手段と停止条件を事前に定める
AI が返金、納期の約束、注文の変更を自動で行える場合は、権限の範囲とリスク区分を定め、影響の大きい操作の前に人の介入点を設けます。
AI 製品が発売後に精度が落ちたり、苦情が出たり、サプライヤーを替えたりする場合、どの手順が必要か？
ISO/IEC 42001 は、モニタリング、インシデント対応、是正処置、廃止のそれぞれに手順を求め、その結果をマネジメントレビューに入れます。
| 状況 | 仕組み |
|---|---|
| 精度低下が人手の修正で隠れる | モニタリング指標で人手による上書きの回数と理由も記録し、苦情と上書き率を閾値に含める |
| 誤った提案の後の責任の押し付け合い | AI インシデントの振り分けルール、証拠保全、根本原因調査、是正と有効性の確認 |
| 廃止とサプライヤー変更 | データの移行、削除、保存、アクセス権の取り消し、退出時の検収 |
法定の報告対象となる事象かどうかは、適用される法律に基づいて判断する必要があります。
ISO 42001 の導入にはどのくらいかかるか？製品スケジュールに影響するか？
サービスページ記載の期間：ISO 27001 がある組織は通常 4〜6 か月で認証に達し、ゼロからなら約 6〜9 か月です。四つの段階に分かれます。
- 範囲と棚卸し：2〜4 週間
- リスクと影響の評価：3〜5 週間
- 仕組みの構築：6〜10 週間
- 審査と認証：4〜8 週間
附属書 A の 38 の管理策を一つずつ実装し、証拠を作ります。顧客の開発案件や調達で証明書が求められる場合、プロダクトマネージャーは顧客が必要とする時点から逆算します。
既に ISO 27001 や 27701 がある。何を共有でき、何を追加すべきか？
ISO/IEC 42001 と ISO 27001 は同じ上位構造を採用しています。
- 共有できる：文書と記録の管理、内部監査、マネジメントレビュー、是正処置、教育訓練の記録、供給者管理の一部
- 強化が必要：供給者管理にモデルのバージョン、データ利用、変更通知を追加。セキュリティインシデント手順に AI インシデントの振り分けを追加
- 新たに作る：AI 方針、AI システム台帳、AI リスク・影響評価、データ品質とモデルの検証、ライフサイクル手順
プライバシー影響評価をそのまま AI システム影響評価として使うことはできません。共有で期間は短縮できますが、27001 の認証結果は 42001 に及ばず、それぞれ別に認証を受けます。
積穗科研はプロダクトマネージャーの ISO 42001 対応をどう支援するか？
積穗科研はまず目標、つまりどの市場に出るか、顧客がどの証明を求めるか、社内でどのリスクを統制するかを明確にし、そのうえで 42001 だけ、順番に、または AI 法と同時に、のいずれかを提案します。
- 42001 をマネジメントシステムの土台とし、ISO 27001／27701 と骨格を共有
- 仕組みと証拠の連鎖は当社が構築し、法的意見は提携弁護士が出す
- 認証は ISO/IEC 42006 に基づき認定を受けた認証機関が行い、当社は同行するが代わりに審査はしない
積穗科研は支援コンサルタントで証明書は発行しません。副社長・取締役クラスのコンサルタントが外注せず一貫して支援します。詳しく：ISO 42001 導入支援、外部調達モデルの証拠、モデル更新と人による監視、発売後のインシデント。無料のメカニズム診断を申し込む
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- プロダクトマネージャーと EU CRA：自社製品は対象か、発売前に何をそろえるか？
- プロダクトマネージャーと EU AI 法：製品の AI は発売前に何を終えるべきか？
- プロダクトマネージャーと ISO/IEC 29147・30111：脆弱性の開示と修正をどう約束するか？
- プロダクトマネージャーと IEC 62443-4-2：産業制御製品の認証で発売は遅れるか？
- プロダクトマネージャーと ISO/SAE 21434：車載製品は自動車メーカーの開発監査をどう通るか？
- プロダクトマネージャーと TISAX プロトタイプ保護：ラベルがないと自動車メーカーの案件は止まるか？
- プロダクトマネージャーと ISO 27701・GDPR：各市場で販売する前にどの個人情報対応が必要か？