直接の答え：ISO/IEC 42001 は組織の AI マネジメントシステムの規格、EU AI 法（規則 (EU) 2024/1689）は法律で、両者は分けて扱います。第三者の AI システムに自社の名称や商標を付ける、高リスクシステムに実質的な変更を加える、想定用途を変えて高リスクにする、のいずれかに当たると、第 25 条第 1 項により提供者とみなされ、提供者の義務を負います。2026 年 10 月時点の公式情報では、デジタル・オムニバス（規則 (EU) 2026/1744、2026 年 7 月 27 日発効）により、高リスクの義務は附属書 III のシステムが 2027 年 12 月 2 日、附属書 I の製品が 2028 年 8 月 2 日からの適用に改められました。EU 官報に掲載された AI 法の整合規格は EN 18286:2026（AI 品質マネジメントシステム、第 17 条を支援、欧州委員会実施決定 (EU) 2026/2274、2026 年 10 月 14 日発効）だけで、適合推定はその規格が扱う要件に限られます。ISO/IEC 42001 は整合規格ではなく、認証だけでは適合推定は生じません。
よくある三つの誤った説明
| 説明 | 正しい理解 |
|---|---|
| 「ISO 42001 を取れば AI 法に適合」 | 違います。42001 は組織面のガバナンスを担えますが、高リスクの義務、適合性評価、登録は法律に従って別に行う必要があります |
| 「高リスクの義務はすべて 2026 年に適用」 | 改正後は附属書 III のシステムが 2027 年 12 月 2 日、附属書 I の製品が 2028 年 8 月 2 日。第 50 条の透明性義務は 2026 年 8 月 2 日から適用 |
| 「整合規格はまったく公表されていない」 | EN 18286:2026 が掲載され、第 17 条の品質マネジメントシステムを支えますが、すべての義務を扱うわけではありません |
用途変更や自社ブランド化の前に判断すること
| 問い | なぜ重要か |
|---|---|
| 自社の名称や商標を付けるか | 第 25 条第 1 項 (a)：提供者とみなされうる（契約で義務を別に配分している場合を除く） |
| 実質的な変更を加えたか | 第 25 条第 1 項 (b) |
| 想定用途を変えて高リスクにしたか | 第 25 条第 1 項 (c)。たとえば従業員の勤務割当や業績に関する判断に使う場合は附属書 III に当たるかを確認 |
| 元の提供者はどんな情報と協力を提供できるか | 第 25 条第 2 項は元の提供者に協力を求めるが、高リスクに変更してはならないと明示していた場合は除く |
コンサルタントが納品すべきもの
- AI システムごとの役割とリスク区分の判断記録。情報が足りない場合は確認事項を列挙
- ISO 42001 と AI 法の義務の対応表：マネジメントシステムで担う部分と別途行う部分
- 認証範囲と製品の適合を分けて説明する、対外表明の確認ルール
- 法的分類と責任についての最終的な意見は弁護士が出す
どう検収するか
任意のシステムについて、役割の判断、リスク区分、適用日、確認事項が見える。マーケティングと営業の対外表明が確認されており、「42001 は AI 法適合と同じ」とは書かれていない。
保証できないこと
法令と指針は改訂が続いており、判断は確認日の公式情報に基づきます。個別の法的責任は弁護士が判断します。
積穗科研のやり方
以下は積穗科研自身の説明です。上の質問で私たちも、他のコンサルタントも同じように確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
- 進め方（サービスページ記載）：範囲と棚卸し 2〜4 週、リスク・影響評価 3〜5 週、仕組みの構築 6〜10 週、内部監査と認証 4〜8 週。ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからは約 6〜9 か月で認証に到達します
- 役割分担：仕組みと証拠の連鎖は私たちが構築し、法的意見は提携弁護士が、認証は ISO/IEC 42006 に基づき認定された認証機関が行います。私たちは同行しますが代わりに審査はしません
- 実施済みの業務（秘密保持契約のため匿名）：産業オートメーションの製造業で AI システム一覧の作成と AI リスク区分を行い、高リスク用途にアルゴリズム審査と人による監督を整備し、ISO 42001 認証を取得
関連する質問
- ISO 42001 認証を取れば EU AI 法に適合するか いいえ。ISO/IEC 42001 は AI 法の整合規格ではなく、認証だけでは適合推定は生じません。2026 年 10 月時点で掲載されている整合規格は EN 18286:2026 だけです。台湾で EU AI 法のコンサルタントを選ぶには
- 他社の AI システムを自社ブランドで EU に販売すると提供者になるか その可能性があります。第 25 条第 1 項により、自社の名称や商標を付ける、実質的に変更する、想定用途を変えて高リスクにする、のいずれでも提供者とみなされえます。EU AI 法対応支援
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。