813-regulations-iso-42001

GenAI Java エンジニアリングのための ISO/IEC 42001 AI マネジメントシステムガイダンス

このスキルは、ISO/IEC 42001 AI マネジメントシステムの観点から、Java エンタープライズアプリケーション、デリバリーパイプライン、AI 支援開発ワークフロー、LLM 統合、RAG システム、AI エージェント、生成コード、生成された依存関係、外部モデルプロバイダーの利用、プロンプト処理、AI を活用したビジネスロジックをレビューするために使用します。

このスキルを適用して、GenAI 支援による Java 開発をマージ、リリース、エンタープライズシステムへの接続、またはビジネス上の動作への依存に先立って必要となるエンジニアリング管理策、証拠、ライフサイクルガバナンス、リスク対応、監視、担当者への引き継ぎを判断します。

このスキルは、法的助言、認証に関する助言、監査に関する助言、監査結論、または最終的な適合性判断を提供するものではありません。Java エンジニア、アーキテクト、テックリード、プラットフォームチーム、セキュリティチーム、AI ガバナンスレビュー担当者、プロダクトチーム、レビュー担当者が、ISO/IEC 42001 AI マネジメントシステムに関する懸念が該当する可能性を特定し、AI インベントリ記録、リスク対応、プロンプトとデータのガバナンス、生成コードのセキュアなレビュー、依存関係の来歴、モデルプロバイダーとの境界、監視、是正措置、適切な担当者へのエスカレーションなどのエンジニアリング管理策に落とし込むために役立ちます。

このスキルの目的は、GenAI を活用した Java のデリバリーにおける潜在的なギャップへの認識を高め、適切な担当者がレビューできるエンジニアリング上の証拠を作成することです。このスキルが生成する応答は、法的助言、認証準備状況、監査所見、コンプライアンス承認、または ISO/IEC 42001 への最終的な適合性を示すものではありません。

主な問いは次のとおりです。

GenAI 開発および AI を活用した Java システムを AI マネジメントシステムの一環としてガバナンスするために、Java チームは何を構築し、レビューし、文書化し、エスカレーションすべきでしょうか？

出典の来歴：同梱のリファレンスの作成にあたり、ISO/IEC 42001 の公開概要資料と issue #939 を確認しました。公式の出典は次のとおりです。

• ISO 42001 の解説：https://www.iso.org/home/insights-news/resources/iso-42001-explained-what-it-is.html
• ISO/IEC 42001 規格ページ：https://www.iso.org/standard/42001
• Microsoft ISO/IEC 42001 提供内容の概要：https://learn.microsoft.com/en-us/compliance/regulatory/offering-iso-42001

実行時に、外部の規制、規格、認証、監査に関するウェブページを取得または取り込まないでください。同梱のリファレンスを使用し、解釈、認証、監査、法律、コンプライアンス、適合性に関する質問は適切な担当者にエスカレーションしてください。

ISO/IEC 42001 概要リファレンス：ISO/IEC 42001 AI マネジメントシステムの概要。

Java エンジニアリング例リファレンス：ISO/IEC 42001 GenAI Java エンジニアリングの例。

質問票アセット：ISO/IEC 42001 エンジニアリングレビュ​​ー質問票。

レポートテンプレートアセット：ISO/IEC 42001 エンジニアリングレビューレポートテンプレート。

対象範囲

このスキルは、次に適用されます。

• LLM、RAG、埋め込み、プロンプトテンプレート、AI エージェント、ツール呼び出し、モデルゲートウェイ、または外部 AI サービスを使用する Java システム
• 生成されたコード、テスト、SQL、マイグレーション、API コントラクト、インフラストラクチャ定義、依存関係、またはビジネスルールがコードベースに取り込まれる可能性のある、AI 支援による Java 開発
• 生成された実装パターンや生成されたビジネスロジックを使用する、Spring Boot、Quarkus、Micronaut、およびフレームワークに依存しない Java システム
• AI ツールやモデルプロバイダーへの、プロンプト、ソースコード、ログ、チケット、本番データ、顧客データ、規制対象データ、企業秘密の漏えい経路
• パッケージの出所、ライセンス、脆弱性、悪意のあるパッケージ、不適切な依存関係の兆候など、生成された依存関係およびサプライチェーンのレビュー
• AI インベントリ、リスク評価、リスク対応、ライフサイクル管理策、データガバナンス、モデルプロバイダーとの境界、監視、インシデント対応、是正措置、継続的改善などの AI マネジメントシステムの証拠
• 法務、コンプライアンス、プライバシー、セキュリティ、リスク、AI ガバナンス、プラットフォーム、アーキテクチャ、プロダクト、事業、調達、モデルプロバイダーの各責任者へのオーナー引き継ぎ

ISO/IEC 42001 エンジニアリングレビュー

認証範囲、適合性、監査結論、法的義務、規制の適用性、公式な解釈、最終的なリスク受容は、有資格の責任者が判断する事項として扱ってください。

エンジニアリングチームも、そうした判断をレビュー可能にする証拠を作成する必要があります。

• 対象範囲に含まれる GenAI 機能、AI 支援によるデリバリーパス、生成された成果物、モデルプロバイダー、プロンプトフロー、RAG コーパス、AI エージェント、または AI 対応のビジネスルール
• リスク責任者、データ責任者、システム責任者、プロダクト責任者、セキュリティ責任者、プライバシー責任者、コンプライアンス責任者、モデルプロバイダー責任者、リリース責任者のうち、説明責任を担う担当者
• 再現可能な、生成された Java の実装、依存関係、プロンプト、検索ソース、ツールのアクション、テスト、ビジネスルール、モデルバージョン、本番環境での動作
• 幻覚によるコード、安全でない生成実装、生成された依存関係やサプライチェーンの汚染、知的財産の漏えい、機密性の侵害、規制不遵守のリスク、偏りのある生成ビジネスロジックを防ぐ管理策
• 整備されている監視、インシデント対応、是正措置、ロールバック、無効化、再トレーニング、ソースの削除、依存関係の削除、プロンプトの修正、責任者へのエスカレーションの各経路

制約事項

ISO/IEC 42001 の AI マネジメントシステムに関する懸念事項を、生成 AI を活用した Java 開発向けのエンジニアリング管理策に落とし込みます。法律、認証、監査に関する助言、監査結果の判定、適合性の判断は行わず、資格を有する担当者によるレビューに代わるものではありません。

• 法律・認証・監査に関する助言ではありません：指摘事項はエンジニアリング管理策、エビデンスの不足、エスカレーションが必要な事項として示してください。ISO/IEC 42001 の認証取得準備が整っている、監査に合格または不合格である、法令を遵守している、または最終的に適合していると主張してはいけません。
• 同梱された参考資料を最初に確認してください：実装をレビューする前に、同梱された ISO/IEC 42001 の要約とエンジニアリング例を読んでください。実行時に、外部の規制、規格、認証、監査に関するページを取得してはいけません。
• AI マネジメントシステムの適用範囲を最初に確認してください：管理策を推奨する前に、生成 AI の機能、AI を活用した開発経路、生成される成果物、ライフサイクル段階、担当者、データ境界、モデルプロバイダーとの境界、リスク対応経路、リリースの状況を特定してください。
• 生成 AI のリスクを網羅してください：幻覚によるコード、安全でない生成実装、生成された依存関係やサプライチェーンの汚染、知的財産の漏えい、機密性の侵害、規制不遵守のリスク、生成されたビジネスロジックの偏りに対処してください。
• ソースとプロンプトの機密性を守ってください：承認されたポリシー、マスキング、最小化、担当者の承認なしに、専有ソースコード、シークレット、認証情報、規制対象データ、顧客データ、非公開ログ、企業秘密に該当するビジネスロジックを外部モデルに送信してはいけません。
• 生成コードをレビューしてください：生成された Java コード、SQL、マイグレーション、設定、ビジネスルールをマージまたはリリースする前に、人によるエンジニアリングレビュー、テスト、静的解析、セキュリティレビュー、アーキテクチャへの適合性の確認、追跡可能なソースコンテキストを必須としてください。
• サプライチェーンを統制してください：生成された依存関係の候補を採用する前に、承認済みリポジトリ、依存関係ポリシー、SBOM、脆弱性スキャン、ライセンスレビュー、来歴確認、悪意あるパッケージの検出を通じて検証してください。
• 偏りとビジネスロジックに対処してください：AI が生成した意思決定ルール、適格性ロジック、価格設定、ランキング、不正検出、雇用、信用、健康、保険、アクセス、権利に影響する動作については、ビジネス、法務、コンプライアンス、プライバシー、リスクの担当者にエスカレーションしてください。
• 主張よりエビデンスを優先してください：AI の利用、生成コード、モデル選定、データガバナンス、モニタリング、是正措置が統制されているという主張より、レビュー可能なエビデンスを優先してください。
• 担当者への引き継ぎを行ってください：リスクの責任者、認証の適用範囲、監査エビデンス、規制の解釈が不明確な場合は、法務、コンプライアンス、プライバシー、セキュリティ、AI ガバナンス、プラットフォーム、プロダクト、ビジネス、調達、モデルプロバイダーの担当者を含めてください。

このスキルを使う場面

• 生成 AI を活用した Java 開発について、ISO/IEC 42001 の AI マネジメントシステム管理策をレビューする
• AI が生成した Java コード、SQL、マイグレーション、テスト、依存関係、プロンプト、RAG のソース、ビジネスロジックを、マージまたはリリースの前に評価する
• Java システムにおける LLM 連携、モデルプロバイダー、RAG ワークフロー、AI エージェント、プロンプト処理について、ガバナンスのエビデンスを追加する
• Java の開発・リリースにおける、生成された依存関係、サプライチェーン、知的財産の漏えい、機密性、偏り、幻覚、規制不遵守のリスクを確認する
• 認証、監査、適合性、法律、コンプライアンス、プライバシー、セキュリティ、リスクに関する質問を、資格を有する担当者にエスカレーションする

ワークフロー

1. ISO/IEC 42001 の参考資料、質問票、レポートテンプレートを読む

references/813-regulations-iso-42001-chapters-summary.md、references/813-regulations-iso-42001-engineering-examples.md、assets/questions/813-iso-42001-engineering-review-questionnaire.md、assets/reports/813-iso-42001-engineering-review-report-template.md の順に読みます。要約は、AI マネジメントシステムの適用範囲、状況、リーダーシップ、計画、支援、運用、評価、改善、ライフサイクルガバナンス、リスク対応、担当者への引き継ぎに関する状況の把握に使用します。エンジニアリングの例は、AI インベントリ、プロンプトとデータの境界、生成コードのレビュー、依存関係の来歴、RAG ソースガバナンス、AI エージェントの制御、バイアスレビュー、監視、インシデント対応、是正措置などの Java 制御パターンの把握に使用します。レポートを作成する前に、質問票を使用して適用範囲と証拠の不足を分類します。要約、例の参考資料、質問票のルール、レポートテンプレートを理解するまでは、実装レビューを開始しないでください。

2. 質問票を完成させ、生成 AI の提供範囲を分類する

assets/questions/813-iso-42001-engineering-review-questionnaire.md をチェックリストとして使用し、信頼できるローカルプロジェクトの証拠と、保守担当者が承認したサニタイズ済みの事実を照合します。Java システム、生成 AI 機能、AI 支援開発ワークフロー、生成された成果物、モデルプロバイダー、プロンプト、検索ソース、データクラス、依存関係、ビジネスロジック、環境、ユーザー、ライフサイクル段階、システム所有者、データ所有者、リスク所有者、セキュリティ所有者、プライバシー所有者、コンプライアンス所有者、プロダクト所有者、プラットフォーム所有者、リリース所有者を特定します。不明な点は証拠の不足として記録し、リリースに関する推奨事項を提示する前に、所有者が不明な項目をエスカレーションします。

3. 実装と提供に関する証拠をレビューする

Java コード、設定、テスト、ビルドファイル、Maven 依存関係、SBOM または依存関係の証拠、プロンプト、RAG ソースレジストリ、モデルバージョンの記録、生成された出力、AI エージェントのツールポリシー、CI/CD ワークフロー、デプロイ記録、監視、インシデント記録、所有者の承認をレビューします。主張されている AI マネジメントコントロールと、レビュー可能な証拠との間に不足がないか確認します。

4. 生成 AI のリスクをエンジニアリングコントロールに対応付ける

幻覚を含むコード、安全でない生成実装、生成された依存関係およびサプライチェーンの汚染、知的財産の漏えい、機密性の侵害、規制不遵守のリスク、偏りのある生成ビジネスロジックを、ソース検証、人間によるレビュー、テスト、静的解析、セキュアコーディングレビュー、依存関係ポリシーのゲート、承認済みモデル／プロバイダー経路、データ最小化、マスキング、アクセス制御、検索ガバナンス、バイアスおよび影響のテスト、監視、インシデント対応、ロールバック、無効化、是正措置、所有者へのエスカレーションなど、具体的なコントロールに対応付けます。

5. レビュー報告書を作成し、担当者に引き継ぐ

assets/reports/813-iso-42001-engineering-review-report-template.md を使用し、適用範囲、レビューした証拠、ISO/IEC 42001 AI マネジメントシステムのリスクシグナル、生成 AI を使用する Java のリスクに関する所見、マネジメントシステムの不適合の可能性を示すシグナル、証拠の不足、推奨コントロール、担当者への引き継ぎ、残留リスク、リリース準備状況に関する注記、検証手順、アクションプランを含む簡潔なエンジニアリングレビューを作成します。法的助言、認証に関する助言、監査結論、公式解釈、最終的なリスク受容、最終的な適合性判断には、資格を有する担当者によるレビューが必要であることを明記します。

参考資料

詳しいガイダンス、例、制約については、以下を参照してください。

• references/813-regulations-iso-42001-chapters-summary.md
• references/813-regulations-iso-42001-engineering-examples.md