ISO 42001とは何か？｜AI管理の規格を読む

「取引先からAIの管理体制について聞かれたが、何を出せばよいのか分からない」「認証を取るべきか、社内で判断がつかない」——AIを業務に入れた会社から、こうした相談が増えています。数字で見ると、国内の認定の枠組みでAIの管理の仕組みの認証を取った組織は、2026年8月に公表された一覧で11件です。審査を行う認証機関も2機関にとどまります。まだ少数派の制度です。ただ、この規格は認証を取るかどうかを決めるための文書ではありません。本当は、AIの管理を社外に説明するときの共通の物差しです。この記事では、規格の中身と、認証を取らずに使う道を含めた読み方を整理します。

この規格は何を対象にしているのか

番号は42001です。国際標準化機構と国際電気標準会議が共同で置いている専門委員会のうち、AIを扱う分科委員会で作られ、2023年12月18日に発行されました。経済産業省の発表によれば、この分科委員会は2017年に設けられており、規格の開発には日本からも多くの専門家が参加して提案を行っています。

対象は、AIを使った製品やサービスを開発する組織、提供する組織、そして使う組織です。つまりモデルを自分で作っていない会社も、業務でAIを使っているなら対象に入ります。要求している内容は、AIを適切に扱うために組織が備えるべき管理の仕組みで、リスクの大きさに応じて対策の程度を決める考え方を前提に書かれています。

発表文の説明も具体的です。信頼性や透明性、説明責任を備えた形でAIを扱えるように、リスクを特定して軽減することに加え、公平性や個人のプライバシーへの配慮も求めているとされています。さらに、学習に使うデータや機械学習の特性を考えるうえでも重要な規格だと位置づけられています。同じ時期には、AIの一生の工程を定めた別の規格も発行されました。

押さえておきたいのは、これが管理の仕組みの規格だという点です。AIの精度や安全性そのものを測る技術の規格ではありません。測られるのは、組織がAIをどう扱っているかという運び方です。だから、使っているサービスを乗り換えても、仕組みの側は使い続けられます。

日本産業規格になり、日本語で読めるようになった

この規格は、日本産業規格としても制定されています。2025年8月20日に、日本規格協会が日本産業規格の42001を発行しました。国際規格と内容を整合させたもので、名称は「情報技術－人工知能－マネジメントシステム」です。原文を英語で読み解く必要がなくなったのは、実務上の大きな違いです。

制定の趣旨も公表されています。そこで挙げられているのは、AIに関する指針や決まりが各国で乱立している状況です。欧州の報告によれば、人工知能に関する指針や法令は600を超えるとされ、その結果、AIの管理をしていると表明しても、中身が組織ごとにばらばらだという課題が指摘されています。

だから規格が要るという筋立てです。同じ物差しがあれば、管理していると言うだけでなく、何をどこまでやっているかを比べられる。国内外で整合の取れた仕組みを作れることで、相互の理解が進み、互換性の確保に役立つと期待されています。取引の場面で共通言語として使えることが、この規格の値打ちです。

実務では、日本語版があること自体が着手の速さに直結します。社内の稟議に添える資料も、外注先への説明も、翻訳を挟まずに済みます。規格そのものは有償で入手する必要がありますが、要求事項の並びは公表資料で確認できます。全社に配る前に、担当者が1部を読んで骨格をつかむのが順番です。

要求していることの骨格

中身は、管理の仕組みの規格として見慣れた並びです。公表されている主な規定項目は、適用範囲、引用規格、用語及び定義から始まり、組織の状況、リーダーシップ、計画策定、支援、運用、パフォーマンス評価、改善と続きます。最後に、参考となる管理目的及び管理策をまとめた附属書と、その実施の手引の附属書が付きます。

規格の区分	求めていることの中身	手元で作る物
組織の状況	自社がAIをどう扱う立場かと、関係する相手を明らかにする	対象範囲と関係者の一覧
リーダーシップ	方針を定め、責任者と役割を割り当てる	方針文書と責任者の任命
計画策定	リスクと影響を評価し、目標と対策を決める	評価の記録と実施計画
支援	人と力量、記録の管理、周知を整える	教育の記録と文書の管理台帳
運用	決めた対策を実行し、供給者と変更を管理する	手順書と供給者の管理記録
評価	自ら点検し、経営層が仕組みを見直す	内部の点検記録と見直しの議事
改善	不適合を直し、再発を防ぐ	是正の記録
管理策の附属書	リスク対策の候補を一覧で示す	採用と不採用の判断の記録

右端の列が大事です。規格は要求を文章で書きますが、審査でも取引先の確認でも、見られるのは作った物と残した記録です。読むときは、各区分から自社で作る物を1つずつ言い当てる作業だと考えると進みます。逆に、要求の文言を暗記しても実務は動きません。

並び順にも意味があります。前半で自社の立場と方針を決め、中盤で評価と運用を回し、後半で点検して直す。この流れは、対象を決めないまま手順書を書き始めると崩れます。実際につまずくのは、方針は立派なのに対象範囲が書かれていない、という形です。

AIに固有の要求は4つに集まる

他の管理の仕組みの規格と何が違うのかは、認定を行っている機関が整理しています。挙げられているのは4点です。対象となる組織をAIを開発・提供・利用する組織としていること、影響評価の実施を求めていること、AIの一生の工程を考えることを求めていること、そしてデータの取扱いを明確にすることを求めていることです。

なかでも負担が変わるのは影響評価です。情報が漏れるかどうかというリスクの見方に加えて、その使い方が人や社会にどんな影響を与えるかを、使う前に評価して残す作業が入ります。採用の選考、与信の判断、価格の決定など、相手の不利益につながりうる場面では、この記録があるかどうかが後から効きます。

もう一つ、自社の役割の判定が入口になります。この規格では、関わる主体を6つの役割に分けて当てはめる形になっており、1つの組織が複数の役割を担うこともあるとされています。業種や規模の制約はありません。役割の考え方はAIの概念と用語を定めた別の規格に基づいており、そちらは日本産業規格にもなっています。

一生の工程を考えるという要求も、実務では具体的な形になります。使い始める前の検討、試しに動かす段階、本番、そして使うのをやめる段階まで、それぞれで誰が何を確認するのかを決めることになります。とくに抜けやすいのは、使うのをやめた後のデータと記録の扱いです。ここを決めておかないと、退職や部署の統合のたびに置き場所が分からなくなります。

情報セキュリティの規格を持っているなら、何を足すのか

すでに情報セキュリティの管理の仕組みの規格（番号は27001）を運用している会社は、出発点が有利です。経済産業省の発表でも、品質の規格や情報セキュリティの規格と同様のアプローチを採り、同じ構成で要求事項を規定していると説明されています。方針、責任者、内部の点検、経営層の見直し、記録の管理といった土台は、そのまま使えます。

足すのは、AIに固有の部分です。実務では次の6つに落ち着きます。業務で使っているAIの一覧、使い始める前の影響評価、外部の提供元と外注先の管理、学習や参照に使うデータの出所と扱い、モデルや設定が変わったときの扱い、そして説明を求められたときの窓口です。

既存の仕組みに載せるほうが早いのも実際です。新しい規程を1本増やすのではなく、既にある文書の中にAIの節を足す形にすると、運用が二重になりません。点検の周期も既存の内部の点検に合わせて回すと、担当の負担が増えません。ここを分けて作ると、片方だけが更新されて形骸化します。

反対に、既存の仕組みをそのまま流用してはいけない部分もあります。情報セキュリティの評価は、守るべき情報の重要さから出発します。AIの影響評価は、出力を受け取る人に何が起きるかから出発します。出発点が違うので、様式も別に用意する必要があります。同じ表に列を足すだけで済ませると、評価の視点が抜け落ちます。

認証の仕組みは3層になっている

認証の話に進みます。仕組みは3層です。認定を行う機関、その認定を受けて審査と認証を行う認証機関、そして認証を受ける組織です。日本では、情報セキュリティの分野で長く認定を担ってきた機関が、AIの管理の仕組みについても認定を行っています。

時期を追うと状況が分かります。審査と認証を行う機関に対する要求事項の規格（番号は42006）が2025年7月7日に発行され、これを受けて同機関は認定を開始しました。2026年1月14日には、国内で初めて2つの認証機関が認定されています。認証を取った組織の数は、2026年8月5日時点の一覧で11件です。

国境をまたぐ通用性も動いています。同機関は2026年6月21日付で、アジア太平洋地域の認定機関どうしの相互承認の取決めについて、AIの管理の仕組みの分野の署名機関として承認されました。インドとシンガポールに続く3番目です。国内で取った認証を、海外の取引先にも説明しやすくなる方向に進んでいるということです。

この時系列から読み取れることが1つあります。制度としてはまだ立ち上がりの段階だという点です。認証機関の数も限られており、審査の実績が積み上がるのはこれからです。急いで取るより、先に自社の管理を規格に当てて整えるほうが、順番として無理がありません。

認証を取るなら、この順番になる

認証を取る場合の流れは、他の管理の仕組みの規格と大きく変わりません。順番を守ることが期間の短縮につながります。とくに最初の範囲の決定を曖昧にしたまま文書づくりに入ると、後で全部やり直しになります。費用と期間は範囲と組織の規模で大きく変わるため、金額の相場を前提に計画を立てないほうが安全です。

この5段のうち、社内の合意が必要なのは1段目と4段目です。範囲を決めるのは経営の判断、見直しを行うのも経営層です。担当部門だけで完結する作業ではないため、着手の前に決裁の道筋を確認しておくと止まりません。

見積もりを取る順番にも注意が必要です。範囲が固まる前に問い合わせると、前提の違う金額が並んで比較できません。範囲を文章で確定させてから、複数の認証機関に同じ文面で問い合わせる。同じ範囲の記述で見積もりを取れば、差の理由が読めます。

範囲の決め方で、負担はほぼ決まる

実務で最も効く判断が、適用範囲です。ここを広く取ると、影響評価の対象も供給者の管理も一気に増えます。狭く取れば、準備は現実的な量になりますが、示せる内容もその範囲に限られます。負担と説明力の両方が、この1つの判断で決まります。

決め方の目安があります。取引先から説明を求められている業務、外部に影響が出る業務、扱うデータが重い業務を先に含めます。逆に、社内の下書き作成のように影響が閉じている用途は、後の段階に回して構いません。狭く始めて次の更新で広げるほうが、広く始めて破綻するより早く着地します。

範囲の書き方にも注意が必要です。認証を示すときは、認証書に書かれた範囲まで含めて相手に伝わります。範囲の外の業務について認証があるかのように読める案内を出すと、後から説明の訂正が必要になります。社内の案内文と外向けの表現は、同じ文言で管理しておくと事故が減ります。

範囲を決める会議では、対象を業務の名前で書くのがこつです。使っているサービスの名前で書くと、乗り換えのたびに範囲が変わってしまいます。業務の名前で書けば、道具が変わっても範囲は動きません。この違いは、数年運用してから差が出ます。

認証を取らずに、物差しとして使う

ここが多くの会社にとって現実的な道です。認証は任意で、規格を読んで自社の管理に当てるだけでも十分に使えます。認定を行っている機関の説明にも、規格が示す管理策と自社が実施したリスク評価や対策を比べることで、自社の対策が十分かどうかを確認できるようになっていると書かれています。

やり方は単純です。管理策の附属書の項目を並べ、それぞれについて実施している、一部だけ、該当しないのどれかを記録します。該当しないと判断したものには理由を1行付けます。この一覧が、そのまま社外に示せる自己点検の結果になります。認証がなくても、規格に沿って点検した記録があるという事実は示せます。

記録の形は、凝る必要はありません。列は4つで足ります。次の形で、まずは自社に関係する項目だけを埋めます。全項目を一度に埋めようとすると止まるので、影響の大きい用途から順に進めます。

列の名前	書く内容	書き方の例
項目	管理策の名前を自社の言葉で言い換えたもの	使うAIの一覧を持つ
状況	実施している・一部だけ・該当しない	一部だけ
根拠	その判断の裏づけになる物の置き場所	台帳の場所と最終更新日
次の一手	いつ誰が何をするか	来月末までに担当部門が2部門分を追記

この一覧の効き目は3つあります。1つ目は、社内の議論が具体になることです。管理が甘いという抽象的な指摘が、どの項目が一部だけなのかという話に変わります。2つ目は、社外への説明に使えることです。認証の有無を聞かれたときに、点検の一覧と次の一手を出せば、会話が前に進みます。

3つ目は、認証に進むかどうかの判断材料になることです。一覧を埋めた時点で、審査に向けて足りないものが目に見えます。認証を取るか取らないかは、この一覧が埋まってから決めるほうが早い。先に見積もりを取ると、何のための費用なのかが分からないまま議論になります。

• 自己点検の記録には、点検した日と担当者、参照した規格の年を書いておく
• 該当しないと判断した項目こそ理由を残す。後から質問が来るのはこの部分
• 半年から1年に1回は見直す。作った時点の一覧は数か月で古くなる
• 認証がないことを隠さない。取得の予定と現在の到達点を並べて示すほうが通る
• 社外に出す資料では、認証と自己点検を明確に書き分ける

自己点検を続けるための仕組み

一覧を作った後に起きるのは、更新されないまま古くなることです。防ぐには、点検を独立した作業にしないことです。すでにある会議や台帳に相乗りさせるのが最も長持ちします。新しい定例を作ると、半年で消えます。

相乗りの先は3つあります。1つ目は、使っているサービスの棚卸しです。情報システムの部門が持っている一覧があるなら、AIの列を1つ足します。2つ目は、外注先の評価です。年に1回の評価の項目に、AIの利用と確認の分担を加えます。3つ目は、内部の点検です。既存の点検の対象範囲に、AIの節を含めます。

点検の担い手も決めておきます。全社で1人にすると滞るので、用途ごとに部門の担当を置き、まとめ役を1人置く形にします。まとめ役の仕事は、埋まっていない欄を催促することだけです。点検が続く組織は、様式が軽く、催促する人が決まっている組織です。

最後に、規格が改まったときの備えです。国際規格も日本産業規格も改訂されます。社内の一覧には、参照した規格の名称と年を書いておきます。年を書いていない一覧は、改訂のときにどこを見直せばよいかが分かりません。この1行が、数年後の手戻りを防ぎます。

行政の指針と、規格はどう役割が違うのか

紛らわしいのは、行政の指針と規格の関係です。総務省と経済産業省のAI事業者ガイドラインは、目指す姿と取組の方向、そして立場ごとに重要な事項を示す文書です。政府が2025年12月に決めた指針も、適正さを確保するために考慮すべき要素と基本方針を示すものです。いずれも、何を大事にするかを示す側です。

規格が担うのは別の部分です。方針を作り、責任者を置き、評価を記録し、点検して見直すという組織の運び方を要求の形で書き、第三者が確かめられる状態にすることです。つまり指針が価値の側、規格が仕組みの側です。どちらかで足りるという関係ではありません。

両者はつながってもいます。政府の指針では、国際的な規範や国際規格、各種の指針を活用しつつ取り組むことが求められています。加えて、AIの管理の仕組みの国際規格に基づく体制の整備と運用が、リスクの管理と制御に役立ち、その取組を積極的に開示・説明することが企業価値の向上や競争上の優位につながると期待する旨も述べられています。指針で方向を決め、規格で運びを整え、開示で伝えるという組み合わせです。

社内で説明するときは、この役割分担をそのまま使うと通りやすくなります。指針を読んで何を大事にするかを決め、規格を使ってその運びを組み、点検の記録で示す。3つの文書を並べて優劣を論じるより、担当を分けて考えるほうが実務は進みます。

取引先から求められたとき、何を示せるのか

実際に問われる場面は、取引先の確認票や調達の要件です。AIの利用について尋ねる欄が増えており、認証の有無を書く欄が現れることもあります。ここで大事なのは、認証だけが答えではないという点です。この規格を使っていると示せるものは、3種類あります。

1つ目は、範囲つきの認証です。認証書に書かれた範囲を添えて示します。2つ目は、規格に沿った自己点検の結果です。管理策ごとの実施状況と、該当しないと判断した理由を付けた一覧です。3つ目は、個別の記録です。影響評価の実施記録、供給者の管理記録、点検と見直しの記録がこれに当たります。

相手が知りたいのは、体制があるかどうかという言葉ではありません。確かめられる証拠があるかどうかです。認証がない状態でも、点検の一覧と個別の記録がそろっていれば、示せる内容の質は大きく変わります。逆に、認証があっても範囲が示されていなければ、相手は判断できません。

示すときの原則は1つです。範囲を明示することです。全社で運用していますと書くより、対象は顧客向けの2つの業務で、社内の下書き作成は範囲外ですと書くほうが信用されます。広く聞こえる書き方は、後で確認されたときに崩れます。

マーケ部門にとって、何が変わるのか

最後に、自部門の話に落とします。マーケティングの現場でこの規格が効いてくるのは3点です。1つ目は生成物の記録です。原稿や画像をAIで作った場合、どのサービスを使い、何を参照し、誰が確認したのかを残すことになります。これは規格の記録の要求と供給者の管理の要求から自然に出てきます。

2つ目は外注先の扱いです。制作会社や代理店がAIを使っているかどうか、使う場合に何を守るのかを、発注の条件として書く必要が出てきます。自社の範囲に含まれる業務を外部に出しているなら、その先まで管理の対象です。契約書や発注書の書式に一節を足すのが実務の入口になります。

3つ目は説明の備えです。広告表現や公開記事についてAIの関与を問われたときに、誰がどこまで確認したかを答えられる状態にしておきます。ここで判断そのものをAIに渡さないという線を先に決めておくことが要になります。材料の整理や下書きはAIに任せ、根拠の確認と最終の判断は人が行い、確認する範囲を先に決めておく。この形にしておけば、規格が求める記録は日々の仕事の副産物として残ります。

運用の負担を増やさないこつもあります。記録の置き場所を、成果物と同じ場所にすることです。別の管理台帳に転記する運用は、担当が変わると必ず途切れます。入稿票や依頼票に欄を2つ足すだけで、規格が求める記録の大半は満たせます。

よくある誤解

相談の場で繰り返し出てくる誤解を挙げます。どれも、規格を認証の手続きだと捉えたところから来ています。

• 認証を取らないと規格を使えない。実際は自己点検の物差しとして使うのが多数派
• AIを作っていないから対象外。使う組織も対象に含まれる
• 情報セキュリティの認証があるから十分。影響評価やデータの出所の管理は別に要る
• 全社を範囲にしないと意味がない。範囲を絞った認証も、範囲を示せば通用する
• 取れば終わり。定期の審査と更新、経営層の見直しが続く
• 規格があれば行政の指針を見なくてよい。役割が違うので両方見る

裏返すと、着手の順番が見えます。まず範囲を決め、次に役割を判定し、影響評価から記録を始める。認証をどうするかは、その後に判断できます。

よくある質問

社内で必ず出る質問と、公表資料に沿った答えを並べます。判断を個人の感覚に委ねないためのものです。

小さな会社でも取れますか

業種や規模の制約は設けられていません。範囲を絞れば、少人数でも運用できる形にできます。ただし、方針、責任者、影響評価、記録、点検、経営層の見直しという要素は規模にかかわらず必要です。省けるのは対象の広さで、要素そのものではありません。

費用はどのくらいですか

範囲、拠点の数、対象となるAIの数、既存の仕組みの整備状況で大きく変わるため、相場を示すのは適切ではありません。見積もりを取るときは、先に範囲を文章で確定させてから複数の認証機関に問い合わせてください。範囲が決まっていない状態の見積もりは、後から動きます。

認証を取るのに何か月かかりますか

運用して記録を残す期間が必要になるため、文書を作った翌月に審査というわけにはいきません。内部の点検と経営層の見直しを一度は回す必要があります。期間を左右するのは審査の日程ではなく、運用の記録がそろうまでの時間です。

日本産業規格の版と国際規格の版は違いますか

日本産業規格の42001は2025年に発行され、2023年発行の国際規格に対応する内容です。社内文書で引用する際は、どちらを参照したのかと年を書いてください。年を書いていない引用は、改訂の追跡ができません。

認証がないと取引で不利になりますか

2026年8月時点で認証を取った組織は国内で11件と少数です。認証がないことが直ちに不利になる段階ではありません。ただし、確認票で問われる機会は増えています。認証の代わりに自己点検の結果と記録を示せる状態を作っておくのが現実的な備えです。

使っているサービスが認証を取っていれば足りますか

足りません。この規格が対象にするのは、AIを使う組織自身の管理の仕組みです。提供元の認証は、提供元の運びについての証明です。自社の中で誰が何を確認しているかは、自社が示すほかありません。提供元の情報は、供給者の管理の記録として使います。

まとめ

AIの管理の仕組みを定めた国際規格42001は、2023年12月18日に発行され、2025年8月20日には日本産業規格としても発行されました。対象はAIを開発する組織だけでなく、提供する組織と使う組織を含みます。求めているのは、対象範囲と関係者の把握、方針と責任者、リスクと影響の評価、支援と記録の管理、運用と供給者の管理、自らの点検と経営層の見直し、そして改善です。参考となる管理策をまとめた附属書があり、自社の対策と比べて十分かどうかを確認できる構成になっています。他の管理の規格と違うのは、影響評価の実施、AIの一生の工程の考慮、データの取扱いの明確化、そして自社の役割の判定が入ることです。情報セキュリティの規格を運用している会社は土台を流用でき、足すのはAIの一覧、影響評価、提供元と外注先の管理、データの出所、変更の扱い、説明の窓口の6つに整理できます。ただし影響評価は出発点が違うので、様式は別に用意します。認証の仕組みは3層で、認証機関に対する要求事項の規格が2025年7月7日に発行され、2026年1月14日に国内初の2機関が認定されました。認証を取った組織は2026年8月5日時点で11件、相互承認の枠組みにも2026年6月に加わっています。制度はまだ立ち上がりの段階です。だから多くの会社にとって現実的なのは、認証を取らずに物差しとして使い、項目ごとの実施状況と該当しない理由、根拠の置き場所、次の一手を4列で記録して示す道です。点検を続けるこつは、既存の棚卸しや外注先の評価、内部の点検に相乗りさせ、様式を軽くしてまとめ役を1人置くことです。行政の指針は何を大事にするかを示し、規格は組織の運び方を要求の形で示します。役割が違うので両方を見ます。まずは対象にする業務を2つか3つ選び、その範囲で管理策の一覧に印を付けるところから始めてください。範囲を決めた時点で、負担の大きさはほぼ見えます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。