ISO 42001の認証は法律上の義務ですか？

義務ではありません。ISO 42001は任意で取り組む国際規格です。ただし、EU AI法や経済産業省の「AI事業者ガイドライン」が求めるAIガバナンスの体制づくりに使えるため、取引先への説明材料として取得する企業が増えています。

ISO 27001を取得済みなら、ISO 42001の対応は楽になりますか？

楽になります。どちらも同じマネジメントシステム共通構造（箇条4〜10）を採用しているため、文書管理・内部監査・マネジメントレビューの仕組みを流用できます。ISO 42001で新たに必要になるのは、AI固有のリスク評価・影響評価と附属書Aの管理策への対応です。

生成AIを社内で使うだけの企業も対象になりますか？

対象になります。ISO 42001はAIを開発・提供する組織だけでなく、AIを利用する組織にも適用できます。業務で生成AIやAIエージェントを使う企業は、利用者の立場で適用範囲を決めて取り組めます。

ISO 42001とは？要求事項・ISO 27001との違いと認証の流れ

図解：数字で見るISO 42001の構成

7本文の箇条（箇条4〜10）

9附属書Aの管理目的（A.2〜A.10）

38附属書Aの管理策

2023年12月ISO/IEC 42001:2023 初版発行

図解：ISO 27001とISO 42001の違い

ISO/IEC 27001（ISMS）

管理対象は情報資産
リスクの観点は機密性・完全性・可用性
中心となるプロセスは情報セキュリティリスクアセスメント
附属書Aは93管理策（2022年版・4テーマ）

ISO/IEC 42001（AIMS）

管理対象はAIシステムとそのライフサイクル
リスクの観点は偏り・不透明性・誤用・社会的影響
AIリスクアセスメントに加えてAIシステム影響評価を行う
附属書Aは38管理策（9つの管理目的）

図解：ISO 42001の認証取得までの流れ

適用範囲の決定対象の事業・拠点・AIシステムと、自社のAIに関する役割を定める
ギャップ分析と体制整備要求事項との差を洗い出し、経営層の承認を得てAI方針と責任者を定める
AIシステムの棚卸し生成AIツール、自社開発のモデル、AIエージェントを一覧化する
リスク評価と運用影響評価を行って適用宣言書を作り、ルールを運用して記録を残す
内部監査とレビュー仕組みが機能しているかを自ら点検し、経営層が見直す
第一段階・第二段階審査審査機関が文書と現場の運用状況を確認し、認証の可否を判定する

ISO 42001とは何を定めた規格か？

ISO 42001は、AIを扱う組織の方針・リスク管理・改善の仕組みを定めた、認証できるマネジメントシステム規格です。正式名称はISO/IEC 42001:2023「Information technology — Artificial intelligence — Management system」です。ISOとIEC（国際電気標準会議）の合同委員会JTC 1/SC 42が策定し、2023年12月に初版が発行されました。

特定のAI製品を評価する規格ではありません。生成AIやAIエージェントの業務導入が進むなか、組織のAIガバナンスを社内外に示す手段として注目されています。

AIMS（AIマネジメントシステム）とはどういう考え方か？

AIMSは、AIの利用方針・リスク評価・運用の見直しを、組織の仕組みとして継続的に回す考え方です。ISO 42001ではこの仕組みをAIMS（Artificial Intelligence Management System）と呼びます。個々のAIモデルの精度や性能を直接認証するものではなく、審査で問われるのは、組織がAIを継続的に管理できる体制を持っているかどうかです。

よくある受け止め方	実際の審査の焦点
AIの利用ルール集を作れば終わり	ルールが運用され、記録が残り、見直されているか
AIモデルの性能が認証される	組織がAIを継続的に管理できる体制があるか
文書は審査前にまとめて作ればよい	日常の運用の証拠が残っているか

審査の中心は、ルールそのものではなく運用の証拠です。導入初期から記録の残し方を設計しておくと、後の負担が軽くなります。

対象となる組織と関連規格はどこまでか？

ISO 42001は、AIを開発・提供する組織にも利用するだけの組織にも適用でき、規模や業種は問いません。周辺には用語や手引きを定めた関連規格があり、組み合わせて参照するのが一般的です。

規格	位置づけ
ISO/IEC 42001:2023	AIマネジメントシステムの要求事項（認証の基準）
ISO/IEC 22989:2022	AIの概念・用語の定義
ISO/IEC 23894:2023	AIリスクマネジメントの手引き
ISO/IEC 38507:2022	AI利用が組織のガバナンスに与える影響の手引き
ISO/IEC 42006:2025	ISO 42001の認証を行う審査機関に対する要求事項

認証の基準になるのはISO/IEC 42001だけです。ほかの規格は、用語の統一やリスク評価の具体化に使う補助資料と位置づけると整理しやすくなります。

ISO 42001の要求事項と附属書Aの管理策は？

要求事項は本文の箇条4〜10に定められ、具体的な対策は附属書Aの38管理策から選んで適用します。本文は「何を仕組みとして持つか」を定め、附属書Aは「どのような対策を検討するか」の一覧です。この役割分担を押さえると、規格の全体像をつかみやすくなります。

本文の箇条4〜10では何が求められるか？

本文は調和構造に沿った7つの箇条で、AI方針からリスク対応、監査、改善までの仕組みを求めます。調和構造（Harmonized Structure）は、ISOのマネジメントシステム規格に共通する骨格です。ISO 9001やISO/IEC 27001を運用した経験がある組織なら、全体像をつかみやすいでしょう。

箇条	主な要求事項
4 組織の状況	内外の課題、利害関係者、AIに関する組織の役割、AIMSの適用範囲
5 リーダーシップ	経営層のコミットメント、AI方針、役割・責任・権限
6 計画	AIリスクアセスメント、リスク対応、AIシステム影響評価、AI目標
7 支援	資源、力量、認識、コミュニケーション、文書化した情報
8 運用	計画したリスク対応と影響評価の実施・管理
9 パフォーマンス評価	監視・測定、内部監査、マネジメントレビュー
10 改善	不適合と是正処置、継続的改善

ISO 42001の特徴が最もよく表れているのは、箇条6の「AIシステム影響評価」です。組織自身が被るリスクだけでなく、AIシステムが個人・集団・社会に与えうる影響まで評価することを求めています。採用の書類選考や与信判断に生成AIを使う場面では、この観点が特に重要になります。

附属書Aの38管理策はどう構成されているか？

附属書Aは9つの管理目的の下に38の管理策を並べ、組織は採否と理由を適用宣言書にまとめます。管理策はリスク評価の結果に基づいて選び、その結果を「適用宣言書（SoA：Statement of Applicability）」として文書化します。

区分	テーマ	主な内容
A.2	AIに関する方針	AI方針の策定、他の方針との整合、見直し
A.3	内部組織	役割と責任、懸念を報告する仕組み
A.4	AIシステムのための資源	データ・ツール・計算資源・人的資源の把握
A.5	AIシステムの影響評価	個人・集団・社会への影響の評価と文書化
A.6	AIシステムのライフサイクル	設計・開発・検証・展開・運用・監視
A.7	AIシステムのためのデータ	データの取得、品質、来歴、準備
A.8	利害関係者への情報	利用者への説明、インシデントの伝達
A.9	AIシステムの利用	責任ある利用のプロセスと目的
A.10	第三者・顧客との関係	供給者や顧客との責任分担

適用宣言書で大切なのは、採用した管理策だけでなく、採用しなかった管理策の理由も説明できることです。除外の根拠がリスク評価と結びついていれば、審査でも一貫した説明ができます。

附属書B〜Dと見落としやすい管理策は？

附属書B〜Dは実施の手引きと参考情報で、管理策ではA.10の第三者との関係が見落とされがちです。各附属書の役割は次のとおりです。

附属書	扱う内容
附属書B	各管理策の実施の手引き
附属書C	AI関連の目標とリスク源
附属書D	分野・業種ごとの適用の考え方

OpenAI、Anthropic、Microsoft、Googleなどの外部モデルをAPI経由で使う場合は、責任の境界を決めておく必要があります。どこまでを自社で管理し、どこからを提供者の責任とみなすかを明文化してください。この境界は審査で論点になりやすいポイントです。

ISO 42001とISO 27001の違いは？

ISO 27001は情報の機密性・完全性・可用性を守り、ISO 42001はAIが人や社会に与える影響まで管理します。両者の構造は共通していますが、守る対象とリスクの捉え方が異なります。

管理対象とリスクの捉え方はどう違うか？

ISO 27001は情報資産の漏えい・喪失を、ISO 42001は公平性や透明性などAI特有の論点まで扱います。AI特有の論点には、公平性、透明性、説明可能性、人による監督などがあります。

比較軸	ISO/IEC 27001	ISO/IEC 42001
管理対象	情報資産	AIシステムとそのライフサイクル
主なリスク観点	機密性・完全性・可用性	偏り、不透明性、誤用、社会的影響など
特徴的なプロセス	情報セキュリティリスクアセスメント	AIリスクアセスメント＋AIシステム影響評価
附属書Aの管理策	93（2022年版、4テーマ）	38（9管理目的）
共通点	調和構造、適用宣言書、内部監査、マネジメントレビュー	同左

RAG（検索拡張生成）を使った社内ナレッジ検索を例に考えます。ISO 27001の観点では「アクセス権のない文書が回答に混ざらないか」が問われます。ISO 42001ではさらに、「誤った回答を利用者が鵜呑みにしないための説明や監督が設計されているか」まで問われます。

両方を統合して運用できるか？

両規格は調和構造が共通のため、方針体系や内部監査を共通化した統合マネジメントシステムとして運用できます。方針体系、内部監査、マネジメントレビュー、文書管理を共通化でき、既存の資産も流用できます。

共通化しやすい領域	AIMSで新たに必要になる領域
方針体系・文書管理	AIシステム影響評価
内部監査・マネジメントレビュー	学習データの来歴管理
適用宣言書の運用	外部モデル提供者との責任分担

ISO 27001の認証を持つ組織なら、既存のISMS事務局がAIMSも兼ねる形が現実的です。ただし、AIシステム影響評価や学習データの来歴管理は、情報セキュリティ担当者だけでは判断が難しい領域です。事業部門、法務、データサイエンスの担当者を早い段階で巻き込んでください。

ISO 42001の認証取得の流れは？

認証取得は、適用範囲の決定、仕組みの構築・運用、内部監査を経て、審査機関の2段階審査に進みます。認証後も定期的な審査で、運用が続いているかが確認されます。

準備から認証までの手順は？

手順は適用範囲の決定から第二段階審査までの9段階で、最も時間がかかりやすいのはAIの棚卸しです。流れは一般的なマネジメントシステム認証と同じです。

適用範囲の決定：対象とする事業・拠点・AIシステムと、自組織のAIに関する役割（開発者、提供者、利用者など）を定める
ギャップ分析：現状の規程・体制と、ISO 42001の要求事項との差を洗い出す
AI方針と体制の整備：経営層の承認を得てAI方針を定め、責任者と役割を明確にする
AIシステムの棚卸し：社内で使っている生成AIツール、自社開発のモデル、AIエージェントを一覧化する
リスクアセスメントと影響評価：リスクを評価し、管理策を選んで適用宣言書を作成する
運用と記録：決めたルールを運用し、その証拠を残す
内部監査とマネジメントレビュー：仕組みが機能しているかを自ら点検し、経営層が見直す
第一段階審査：審査機関が文書と準備状況を確認する
第二段階審査：審査機関が現場での運用状況を確認し、認証の可否を判定する

手順4の棚卸しでは、部門ごとに導入された生成AIのSaaSや、個人の判断で使われているツールまで対象にします。その結果、把握できていなかった利用が見つかることも少なくありません。

認証取得後の維持には何が必要か？

認証後は毎年の維持審査と数年ごとの更新審査に対応し、変更管理で運用を最新に保つ必要があります。一般的なマネジメントシステム認証では有効期間が3年で、その間は毎年維持審査（サーベイランス）が行われます。具体的な周期や費用は審査機関によって異なるため、見積もり段階で確認してください。

AIは、モデルの更新、新しいツールの導入、利用部門の拡大などで状況が変わりやすい領域です。年1回の見直しでは実態に追いつかない場合があります。新規導入や大きな変更のたびにリスク評価をやり直す「変更管理」の手順を組み込むと、運用が形骸化しにくくなります。

変化のきっかけ	変更管理で見直す項目
モデルの更新	リスクアセスメント、AIシステム影響評価
新しいツールの導入	AIシステムの一覧、適用宣言書
利用部門の拡大	適用範囲、役割と責任、利用者への説明

ISO 42001に取り組むべき企業は？

AI搭載製品の提供企業や、重要な業務判断にAIを使う企業ほど、ISO 42001に取り組む意義は大きくなります。認証は義務ではありませんが、取引先や規制当局への説明責任を果たす手段として活用が広がっています。

優先度が高いのはどのような企業か？

優先度が高いのは、AI搭載製品の提供企業やEUで事業を展開する企業など、対外的な説明が必要な企業です。目安は次のとおりです。

優先度	企業の状況	主な理由
高	AI搭載の製品・SaaSを提供している	顧客のセキュリティ審査や調達要件で、AIガバナンスの説明を求められる
高	欧州連合（EU）で事業を展開している	EU AI法（2024年8月発効）への対応体制を整える土台になる
中	採用・与信・医療など、人への影響が大きい判断にAIを使う	AIシステム影響評価の考え方が直接役立つ
中	全社で生成AIやAIエージェントの導入を進めている	部門ごとにばらばらな利用ルールを統一できる
低	限られた業務で汎用ツールを試験的に使っている段階	まずは社内ガイドラインの整備から始めれば十分な場合が多い

なお、ISO 42001の認証を取得しても、EU AI法などの法令への適合が自動的に保証されるわけではありません。法令対応を含めたAIガバナンスを継続的に回すための仕組み、と位置づけるのが妥当です。

認証を取らない場合でも活用できるか？

認証を取得しなくても、ISO 42001は社内のAIガバナンス設計の参照枠として十分に活用できます。附属書Aの9つの管理目的は、AI利用ガイドラインの目次を作るときのチェックリストになります。ISO 42001と国内の指針を並べて参照すると、国内外の取引先に同じ枠組みで説明しやすくなります。

時期	動き
2023年12月	ISO/IEC 42001:2023が発行
2024年4月	総務省・経済産業省が「AI事業者ガイドライン（第1.0版）」を公表
2024年8月	EU AI法が発効
2025年	審査機関向けのISO/IEC 42006:2025が発行
2025年5月	「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI推進法）が成立

AX推進の立場から見ると、ISO 42001の価値は認証マークそのものよりも、組織として答えられる状態をつくる点にあります。答えるべき問いは「どのAIを、誰が、どのリスクを把握したうえで使っているか」です。

多くの企業にとって現実的なのは段階的な進め方です。まずAIシステムの棚卸しと簡易なギャップ分析から始め、事業上の必要性がはっきりした段階で認証取得を判断します。なお、審査の周期と有効期間は一般的な慣行に基づく記載です。規格や法令の最新情報は、それぞれの原典で確認してください。