公的認定開始 AIマネジメントシステムの国際規格ISO42001:2023

ISO/IEC42001:2023とは

ISO/IEC42001:2023は、2023年12月18日に国際標準化機構（ISO︓International Organization for Standardization）および国際電気標準会議（IEC︓International Electrotechnical Commission）の合同専門委員会（JTC1︓Joint Technical Committee 1）から発表された、AIシステムマネジメントのための国際規格です。AIに関する分科会はSC 42専門委員会で討議されました。

生成AIであるChatGPTは2022年12月にリリースされ、その後の発達は著しく、自然言語の対応、合成画像の生成など、これまで考えられなかったアウトプットを生成します。AIに関してはその特徴から、我々の生活を豊かにする反面、ディープフェイクに代表される反社会的扇動、生成の過程で予想される既存権利の侵害など、一定リスクがあり、その果実を企業・組織が享受するためには、企業リスクマネジメント（Enterprise Risk Management）の一部として、コントロールすることが不可欠です。

欧州連合（EU）ではAI規制法案（Artificial Intelligence Act）を、2024年8月1日に発効しています。
国内公的認証として、ISMS-ACの認定も開始されることになりました。

AIの発達と並行したリスクの拡大

近年、日常生活に入りこんでいるAIですが、第1次ブームに沸いた1980年代から長い歴史があります。しかし、当時の計算機性能では簡単に処理できるものではなく、身近になったのは最近です。高性能GPUによりさらに進化し、「生成AI」が生み出され、クラウドの拡大とともに、これまで大型計算機を扱う一部の研究者のみに限定されていた運用が一般にまで広がったことによります。生成画像は完成度が高く、これが人心を惑わす「ディープフェイク」が登場する結果となっています。

これらは利用者が意図したもの、また無意識に生み出したものなど様々ですが、結果的にコンプライアンスに反する場合があり、企業・組織として運用する場合には一定の利用規約が必要です。

AI利用において、情報管理の観点から組織に内在するリスクに視点をおくと、次のものが考えられます。

• 企業情報の漏洩：
  AI利用では、一定情報をインプットする必要があります。現有の企業秘密情報、個人情報などをインプットしてしまうと、それがディープラーニングされ、データベースとして残る可能性があります。
• AIからの間違った情報：
  AIは必ず正しい情報を生成するわけではありません。昨今の生成AIでは、生成されるアウトプットがかなり自然言語化しており、実在の人間が作成したものと区別がつきにくく、誤った情報を信じてしまう可能性があります。
• 権利の侵害：
  情報の生成では、これまでため込んだ情報からアウトプットを行います。特に著作権などに配慮されていないAI基盤を利用したものでは、出典元が不明であるため、著作権侵害リスクが伴います。

どんな組織に有効なのか

AIコンプライアンスは組織のサイズにかかわらず必要ですが、AI基盤そのものが発展過程であることに留意すると、特に次のような企業でマネジメントシステムが重要と考えられます。

• 業務上の個人情報を幅広く抱え、かつ日常プロセスで運用が多い組織
• 機密情報を多く保有し、かつ運用する組織
• 業務に関連したステークホルダが存在し、それらの評価が企業価値に直結する組織
• 生成画像などを積極的に活用する組織

共通テキストと他のMSとの統合・構築

ISO/IEC42001:2023は、ISOマネジメントシステム（以下、ISO-MSという。）共通テキストに準拠して開発されています。現在、ISO9001をはじめとして、さまざまなマネジメントシステム規格が開発・運用され、審査登録機関による認証制度が整備されています。

ビューローベリタスジャパン株式会社でも、品質・環境をはじめ、さまざまな公的認証を提供しています。

ISO/IEC42001:2023は、これら既存のISO-MSと基本構造を同一とする共通テキスト準拠です。
従って、これまでこれらを運用する組織では、理解・周知がしやすいです。基本構造は、情報セキュリティマネジメントシステムISO/IEC27001とリスクベースで同一構造となっていますが、特有のAI管理策も存在します。こちらは専門書籍などを参考に、組織で開発を行うことが可能です。

ビューローベリタスの認証サービス

ビューローベリタスでは豊富な人材を揃え、ISO42001：2023認証サービスを行います。
※認証機関（審査登録機関）の認定取得準備中 

AIコンプライアンスの構築と第三者認証はセットであり、ERM構築のため企業・組織では必須ツールとなります。

ご興味ある方は、お問い合わせください。

関連記事：AIを安全・安心に利用するには？

システム認証事業本部　山口 大輔