直接の答え：ISO/IEC 42001 は AI を用いた製品やサービスを提供または利用する組織が対象で、自社でモデルを学習する会社に限りません。購入した生成 AI を要約やプログラミング支援に使うだけの製造業では、範囲の中心は「利用」です。どの部門が、どの AI ツールで、どのデータを扱い、誰が承認し、問題が起きたら誰が責任を負うのか。複数の法人と共用 AI 基盤がある場合は、まず一つの事業グループまたは一つの法人を最初の認証範囲とし、共用基盤の責任を明記してから段階的に広げます。認証範囲と営業が顧客に説明する範囲を食い違わせないことが重要です。
最初に確かめる五つのこと
| 確かめること | なぜ重要か |
|---|---|
| どの AI システムがあり、誰が使い、どのデータを扱うか | 一覧がなければ範囲を決められず、顧客のデューデリジェンスにも答えられない |
| 提供者か利用者か | 利用者は利用ルール、入力データ、出力の確認が中心。外部提供ならライフサイクルと文書の要求が加わる |
| 自社で管理できる証拠 | 利用記録、承認、教育、出力確認は自社のもの。学習データや試験は多くの場合供給者に求めるしかない |
| 法人・拠点・共用サービスの境界 | 本社が基盤を運営し子会社が使う場合、誰が何を担うかを範囲記述に書く |
| 対外的に何を表明するか | 認証は範囲記述の組織と活動だけが対象で、「グループ全体・全製品」には広げられない |
コンサルタントが納品すべきもの
- AIMS の適用範囲記述：含める・除外する法人、拠点、AI システムとその理由
- AI システム一覧：用途、利用部門、データの種類、供給者、承認者
- 本社基盤・子会社の利用者・供給者の三者の責任分担表
- 範囲拡大の計画：第二段階でどの部門を加え、前提条件は何か
どう検収するか
範囲記述の各項目が一覧のシステムと責任者に対応している。認証機関が任意の AI ツールを抽出しても、承認、利用ルール、教育の記録が見つかる。営業の対外説明と認証範囲が一致している。
保証できないこと
範囲を絞れば早く認証できますが、範囲外の AI 利用にリスクがないわけではありません。顧客がグループ全体の証明を求めるなら、拡大の計画が必要です。
積穗科研のやり方
以下は積穗科研自身の説明です。上の質問で私たちも、他のコンサルタントも同じように確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
- 進め方（サービスページ記載）：範囲と棚卸し 2〜4 週、リスク・影響評価 3〜5 週、仕組みの構築 6〜10 週、内部監査と認証 4〜8 週。ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからは約 6〜9 か月で認証に到達します
- 役割分担：仕組みと証拠の連鎖は私たちが構築し、法的意見は提携弁護士が、認証は ISO/IEC 42006 に基づき認定された認証機関が行います。私たちは同行しますが代わりに審査はしません
- 実施済みの業務（秘密保持契約のため匿名）：産業オートメーションの製造業で AI システム一覧の作成と AI リスク区分を行い、高リスク用途にアルゴリズム審査と人による監督を整備し、ISO 42001 認証を取得
関連する質問
- 自社で AI を開発していなくても ISO 42001 認証は取れるか 取れます。ISO/IEC 42001 は AI を提供または利用する組織が対象です。購入した AI を使うだけの企業では、範囲と管理策は利用、入力データ、出力の確認、供給者管理が中心になります。ISO 42001 導入支援
- 複数の法人のうち一つだけ認証できるか できます。まず一つの法人または事業グループを認証し、範囲記述に含める・除外する理由を書き、対外表明も認証範囲に合わせます。台湾で ISO 42001 コンサルタントを選ぶには
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。