直接の答え：決める前に二つの問いに答えます。顧客はすでに認証を求めているか、自社で最もリスクの高い AI の用途はどれか。顧客がまだ求めておらず予算も限られているなら、先にガバナンス（一覧、リスク・影響評価、利用ルール）を整え、段階的に認証します。顧客が求めている、あるいは他者の判断を左右する AI を外部に販売しているなら、その製品を範囲として認証するのが適切です。導入支援と後の認証を同時に調達するなら、両者は別の組織でなければなりません。認証機関が仕組みを作ってから自ら合格を判定することはできず、研修の修了証は組織の認証ではありません。顧客の秘密に関わるモデルの試験、データ一覧、インシデント記録は、社内に置いて段階的にアクセスを管理でき、終了時にすべて引き渡されるべきです。
三つの進め方の比較
| 進め方 | 向いている場合 | 注意点 |
|---|---|---|
| 先にガバナンス | 顧客の要求がまだなく、主に社内利用 | 仕組みを実際に回し、認証時に記録がある状態にする |
| 段階的な認証 | まず一製品を認証し、その後拡大 | 範囲記述と対外表明を一致させる |
| 最初から範囲を拡大 | 複数製品で顧客が要求 | 人員と時間が足りないと記録の質が下がる |
契約に書ける要求
| 要求 | 内容 |
|---|---|
| 独立性 | コンサルタントは認証機関を兼ねない。ISO/IEC 42006 に基づき認定された認証機関を貴社が選ぶ |
| 秘密保持 | 機微な証拠を承認されていない基盤に上げない。段階的なアクセスと遠隔での確認方法は貴社が承認 |
| 引き渡し | 終了時に編集可能な文書、データ構造、監査証跡を引き渡す |
| 検収 | 成果で検収し、「認証取得日の保証」を納品物にしない |
どう検収するか
契約に独立性、秘密保持、引き渡しの条項がある。終了時にすべての納品物を開いて編集できる。認証機関の認定範囲を貴社が確認している。
保証できないこと
コンサルタントは認証の結果を保証できません。認証機関はコンサルタントから独立して判断します。
積穗科研のやり方
以下は積穗科研自身の説明です。上の質問で私たちも、他のコンサルタントも同じように確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
- 進め方（サービスページ記載）：範囲と棚卸し 2〜4 週、リスク・影響評価 3〜5 週、仕組みの構築 6〜10 週、内部監査と認証 4〜8 週。ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからは約 6〜9 か月で認証に到達します
- 役割分担：仕組みと証拠の連鎖は私たちが構築し、法的意見は提携弁護士が、認証は ISO/IEC 42006 に基づき認定された認証機関が行います。私たちは同行しますが代わりに審査はしません
- 実施済みの業務（秘密保持契約のため匿名）：産業オートメーションの製造業で AI システム一覧の作成と AI リスク区分を行い、高リスク用途にアルゴリズム審査と人による監督を整備し、ISO 42001 認証を取得
関連する質問
- 導入支援のコンサルタントに ISO 42001 の認証もしてもらえるか すべきではありません。認証は独立した認証機関が行います。ISO/IEC 42006 に基づき認定されているかを確認し、コンサルタントは同行するだけで代わりに審査はしません。台湾で ISO 42001 コンサルタントを選ぶには
- 顧客が認証を求める前に ISO 42001 を導入すべきか 先にガバナンスを整え、段階的に認証できます。すでに他者の判断に影響する AI を販売しているなら、その製品を範囲として認証するのが適切です。ISO 42001 導入支援
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。