モデルは購入、開発は外注、社員は各自で AI を利用：それでも自社が負う証拠は何か

直接の答え：モデルの購入や開発の外注で、責任まで外注されるわけではありません。第三者の基盤モデルを自社の顧客対応製品に組み込む場合、検索用データ、プロンプト設計、ツール連携、公開前の承認は引き続き自社の責任です。開発を外注しても、データ、検収、公開の判断、インシデント対応は発注側の責任です。社員がブラウザ拡張や個人アカウントで業務に AI を使うことも、組織が管理すべき AI 利用です。ISO/IEC 42001 は、この三つの状況の責任、証拠、例外処理を文書にし、更新し続けることを求めます。

三つの状況の責任分担

コンサルタントが納品すべきもの

• 責任マトリクス：データ、検収、モデル更新、インシデントについて、誰が決め、誰が実行し、何を記録するか
• 調達・外注契約に入れる情報提供、通知、協力義務の条項一覧
• 更新し続けられる AI 一覧と例外申請の流れ、新しい用途を見つけたときの再評価手順
• 社員のプライバシーと管理コストの兼ね合いの説明（監視をどこまで行うか）

どう検収するか

購入・外注した任意の AI システムについて、一覧から責任者、契約条項、検収記録、直近の再評価にたどれる。社員が新しい用途を申請したとき、申請、評価、承認または却下の記録がある。

保証できないこと

供給者が開示しない内容は、コンサルタントにも証明できません。できるのは、要求を契約に入れ、ブラックボックス試験で自社の証拠を得て、残余リスクを権限ある管理者が書面で受容することです。

積穗科研のやり方

以下は積穗科研自身の説明です。上の質問で私たちも、他のコンサルタントも同じように確かめてください。

• 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
• 進め方（サービスページ記載）：範囲と棚卸し 2〜4 週、リスク・影響評価 3〜5 週、仕組みの構築 6〜10 週、内部監査と認証 4〜8 週。ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからは約 6〜9 か月で認証に到達します
• 役割分担：仕組みと証拠の連鎖は私たちが構築し、法的意見は提携弁護士が、認証は ISO/IEC 42006 に基づき認定された認証機関が行います。私たちは同行しますが代わりに審査はしません
• 実施済みの業務（秘密保持契約のため匿名）：産業オートメーションの製造業で AI システム一覧の作成と AI リスク区分を行い、高リスク用途にアルゴリズム審査と人による監督を整備し、ISO 42001 認証を取得

関連する質問

• 生成 AI（外部の LLM API）は ISO 42001 にどう組み込むか 利用と第三者に関する管理策が中心です。許可する用途と禁止事項、入力データのルール、出力の確認、供給者との責任分担と契約条項を定めます。LLM を使ったサービスを外部に提供するなら、ライフサイクルと利害関係者への情報も加えます。ISO 42001 導入支援
• 社員の AI ツール利用は全面禁止すべきか 必ずしもそうではありません。許可リストと例外申請、新しい用途の定期的な再評価のほうが機能しやすく、全面禁止は利用を見えなくし記録を失いがちです。AI ガバナンス支援

無料のメカニズム診断を申し込む