ISO/IEC 42001とAIガバナンス――標準が作る責任の前段階についての雑感

0　はじめに

　AIガバナンスという言葉は、昨年で一気に市民権を得た。他方で、議論が条文とガイドラインの収集に寄り過ぎる場面も多い。現場で実際に困るのは、AIを開発・提供・利用する組織の中で、誰が何を決め、どの記録を残し、いつ見直すのかという、きわめて地味な管理の問題である。派手なモデルの陰に、地味な指標が必要になる。

　その指標づくりを標準化しようとする試みが、ISO/IEC 42001である。AIマネジメントシステムの要求事項を定める国際規格であり、AIを良く使うための組織内の回し方を、品質管理や情報セキュリティのマネジメントシステムと同じ言語で記述する。法にとって興味深いのは、こうした標準が、法規制の手前にある運用を整えることで、結果的に責任配分や説明責任の地形を変えていく点である。

　以下では、断片化という問題、マネジメントシステム標準の射程、法と契約への含意、の順で雑感を整理する。

1　問題の所在

　AIをめぐる規範は、ハードローとソフトローが多層化している。法律があり、ガイドラインがあり、標準がある。EU AI Actのような横断規制が現れる一方で、各国の行政指針や業界ルール、技術標準が同時進行で増える。企業のAI担当者にとっては、地図が増え過ぎて現在地が分からない現象が起きる。

　この断片化は責任論に直撃する。事故や不利益が生じたとき、誰がどの程度まで注意義務を負うかは、結局のところ、当該組織がどのようなプロセスでAIを採用し、監視し、更新していたかに依存する。問われるのはアルゴリズムの中身それ自体というより、アルゴリズムを取り巻く管理である。

2　マネジメントシステムという法以前のインフラ

　マネジメントシステム標準の発想は単純である。技術は変わる。人も入れ替わる。だが、意思決定と記録、監視と改善の仕組みは型を与えられる。そこでPDCAを核に、方針、役割分担、リスク評価、文書化、監査、是正措置といった管理の骨格を規格化する。ISO/IEC 42001は、この骨格をAIに適用したものと位置づけられる。

　重要なのは、これが技術要件ではなく組織要件の規格だという点である。モデルの精度が何％でなければならない、といった数値は示さない。むしろ、精度をどう測り、どの条件で再学習や停止を決め、誰が承認するのかを問う。法が評価しやすいのも、ブラックボックスの数学ではなく、意思決定の履歴と統制の仕組みである。

3　ISO/IEC 42001の射程

　ISO/IEC 42001は、組織がAIマネジメントシステムを確立し、実施し、維持し、継続的に改善するための要求事項を定めるとされる（注1）。特徴は、リスクと機会に基づくアプローチ、ガバナンスと説明責任の明確化、開発から運用までを含むライフサイクル管理、そして既存のISOマネジメントシステム標準との統合可能性にある（注2）。

　統合可能性は実務上効く。多くの組織は、すでに品質のISO 9001や情報セキュリティのISO/IEC 27001等を運用している。ISO/IEC 42001は、Annex SLという共通骨格により、他のマネジメントシステムと統合しやすい設計が意識されていると説明される（注2）。AIだけが特別扱いされると運用は破綻しやすい。

　他方で、規格が万能の免罪符になるわけではない。ISO/IEC 42001は、AIシステムの安全や信頼性を直接保証する道具ではなく、そのための管理体制を整える枠組みである（注1）。標準は、静的な達成ではなく、動的な運用を促す装置として読むべきである。

4　法が標準を参照するとき

　法が標準に目配りする局面は大きく二つある。第一に、規制遵守の実装ツールとしてである。EU AI Actは、高リスクAIに対しリスク管理や品質管理、ポストマーケット・モニタリング等の枠組みを要求している（注3）。企業は条文を読んでも社内で何を作ればよいかに迷う。マネジメントシステム標準は、その空白を埋める設計図として機能し得る。

　第二に、私法上の注意義務や過失判断の物差しとしてである。過失は結果ではなく行為の相当性を問う。相当性は、同種の事業者が通常採るべき措置から測られる。そして通常採るべき措置を具体化する装置が、標準や業界慣行である。標準を守っていれば過失なし、とはならない。だが、標準を意識的に外すなら理由付けが必要になりやすい。

　日本でも、総務省と経済産業省がAI事業者ガイドラインを公表し、AIの開発・提供・利用に必要な取組の基本的考え方と実践を整理している（注4）。ガイドラインとISO規格は性格が異なるが、組織内での説明責任を組み立てる材料としては連続している。

5　契約実務への接続

　企業間取引の現場では、AIガバナンスは契約条項に落ちる。ISO/IEC 42001的発想は、少なくとも次の二点で使い道がある。

　第一に、役割分担の明確化である。提供者と利用者とで、データ品質、更新権限、ログ保全、事故時の通報、説明の範囲を分ける必要がある。責任論は、責任の分界線を引いたかどうかから始まる。

　第二に、継続的監視と変更管理である。生成AIを含むモデルは更新が常態である。NISTのAI RMFは、ガバナンス等の機能を通じてAIリスクを管理する枠組みを提示し（注5）、生成AIに特有のリスクに対応するプロファイルも公表している（注6）。契約としては、モデル更新の通知と承認、性能劣化の検知、インシデント共有、監査権限を運用の単位で定義しておくことになる。

6　雑感

　AIガバナンスの議論は、倫理原則と規制要件の間で往復しがちである。だが、その間に運用という厚い層がある。ISO/IEC 42001は、その層に型を与える試みであり、責任論を抽象論からプロセス論へ引き寄せる触媒になり得る。

　もっとも、標準は指標であって法律ではない。標準に従うこと自体が目的化すると、現場は監査対応の儀式に沈む。標準は、現場の問いを増やし続ける仕組みとして使われて初めて意味を持つ。AIに対して必要なのは魔法のアイテムではなく、面倒だが確実な指標であり拠り所であるように思う。

（参考）国際規格標準化・認証 ISO/IEO 42001等

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。