iso-42001-ai-governance

ISO 42001 AI ガバナンス監査

このスキルを使用すると、AI エージェントは、人工知能マネジメントシステム（AIMS）の国際規格である ISO/IEC 42001:2023 に基づき、包括的な AI ガバナンスの準備状況とギャップの評価を実施できます。

ISO 42001 は、AI システムの責任ある開発、導入、利用のためのフレームワークを提供し、リスク、倫理、セキュリティ、透明性、規制遵守に取り組みます。

このスキルを使用して、AI プロジェクトが国際的なベストプラクティスに従っているか、リスクを効果的に管理しているか、AI のライフサイクル全体を通して倫理基準を維持しているかを評価します。

認証の範囲：このスキルでは、証拠の準備やギャップの特定ができますが、認証監査は行いません。資格を持つ監査人または認証プロセスによる検証がない限り、ISO/IEC 42001 に適合していると主張しないでください。

包括的な AI システム評価を行うには、セキュリティ監査、コードレビュー、または倫理的 AI 評価と組み合わせてください。

このスキルを使用するタイミング

次の場合にこのスキルを呼び出してください：

• AI システムを開発または統合するとき
• AI ガバナンスとコンプライアンスを確保するとき
• AI のリスクと倫理的な懸念を管理するとき
• AI 規制要件（EU AI Act など）に備えるとき
• 既存の AI 実装を監査するとき
• AI ガバナンスのフレームワークを確立するとき
• AI セキュリティまたはバイアスのインシデントに対応するとき
• 責任ある AI の導入を計画するとき
• ステークホルダー向けに AI システムを文書化するとき

必要な入力

この監査を実行する際は、次の情報を収集してください：

• ai_system_description：詳細な説明（目的、機能、使用データ、影響を受けるユーザー、導入状況）［必須］
• use_case：具体的な用途（例：採用ツール、医療診断、コンテンツモデレーション）［必須］
• risk_category：EU AI Act の分類に基づく高リスク、限定リスク、または最小リスク［任意ですが推奨］
• existing_documentation：技術文書、データシート、モデルカード、リスク評価［任意］
• stakeholders：AI を開発、導入、利用する人、および AI の影響を受ける人［任意］
• regulatory_context：適用される法律（GDPR、EU AI Act、業界規制）［任意］
• impact_assessment_context：既存または必要となる AI 影響評価。特に、個人、グループ、または社会に影響するシステムの評価［任意］

ISO 42001 フレームワークの概要

ISO 42001 は、10 の主要な箇条と補足的な附属書で構成されています：

中核となる箇条

1. 適用範囲 - AIMS の境界を定義します
2. 引用規格 - 関連規格
3. 用語及び定義 - AI に関する用語
4. 組織の状況 - 内部および外部の要因
5. リーダーシップ - 経営陣のコミットメントと役割
6. 計画 - 目標とリスク管理
7. 支援 - リソース、力量、コミュニケーション
8. 運用 - AI システムのライフサイクル管理
9. パフォーマンス評価 - 監視と測定
10. 改善 - 継続的な向上

ISO 42001 の主要原則

1. リスクベースのアプローチ

• AI 固有のリスクを特定、評価、軽減します
• 技術的、倫理的、法的、社会的なリスクを考慮します
• リスクレベルに応じた適切な管理策を適用します

2. 倫理的な AI

• 公平性と差別の禁止
• 透明性と説明可能性
• 人間による監督と制御
• プライバシーとデータ保護
• 説明責任

3. ライフサイクル管理

• 設計 → 開発 → 導入 → 監視 → 廃止
• 継続的な評価と改善
• 全過程にわたる文書化

4. ステークホルダーの関与

• 影響を受ける関係者を参加させます
• AI の利用について明確に伝えます
• フィードバックと救済の仕組みを設けます

関連する ISO AI 規格

ISO/IEC 42001 をマネジメントシステムの中核として使用してください。依頼の焦点が社会的、人間的、環境的な影響、またはライフサイクルの影響評価にある場合は、AI システムの影響評価に関する補完規格として ISO/IEC 42005:2025 も参照してください。依頼の焦点がリスク手法にある場合は、補足ガイダンスとして ISO/IEC 23894 の利用を検討してください。

監査手順

ISO 42001 の条項に対応する 7 つのステップに沿って進めます。管理策ごとの詳細なチェックリスト（評価質問、採点基準、リスクの例、7 つの AI ライフサイクル段階）は、references/audit-procedure.md に記載されています。ファイル全体を一度に読み込むのではなく、現在のステップに該当するセクションを読んでください。

ステップ	焦点	ISO 42001 条項	目安
1. コンテキストと適用範囲	AIMS の境界、ステークホルダー、EU AI Act のリスク分類	4	15 分
2. リーダーシップとガバナンス	経営陣のコミットメント、AI ポリシー、役割と責任	5	20 分
3. 計画とリスク管理	リスクカテゴリ、評価プロセス、AI 目標	6	30 分
4. 支援とリソース	リソース、力量、認識、コミュニケーション、文書化	7	20 分
5. 運用（AI ライフサイクル）	設計 → データ → 開発 → 検証 → デプロイ → モニタリング → 廃止	8	40 分
6. パフォーマンス評価	KPI、内部監査、マネジメントレビュー	9	20 分
7. 改善	不適合、是正処置、継続的改善（PDCA）	10	15 分

各ステップでは、文書化された管理策を評価し、証拠とギャップを記録し、条項ごとにスコア（0～10）を割り当て、その結果をレポートに反映します。

---

出力形式

調査結果を標準の ISO 42001 監査レポートにまとめます。すぐに使えるテンプレートと条項ごとの自己評価チェックリストは、references/report-template.md にあります。

レポートは次の順に構成します。

1. エグゼクティブサマリー — 全体的な適合状況、条項ごとのステータス表、リスク分類、重大な指摘事項の上位 5 件、肯定的なハイライト
2. 詳細な指摘事項 — 条項ごとの分析（証拠、ギャップ、推奨事項を含む）
3. リスク評価の概要 — 管理策、担当者、期限を含む重大／高リスク
4. コンプライアンスロードマップ — 段階的な対応（0～3／3～6／6～12 か月）
5. 文書化要件 — 作成が必要な不足資料
6. ステークホルダー別の推奨事項 — リーダーシップ、AI チーム、法務／コンプライアンス、運用
7. 次のステップ — 直近から長期にわたる対応
8. 付録 — チェックリスト、リスク登録簿、用語集、参考資料

---

ベストプラクティス

1. リスク評価から始める：AI のリスクレベルに基づいて優先順位を付けます
2. すべてを文書化する：ISO 42001 では広範な文書化が求められます
3. 早い段階からステークホルダーを巻き込む：ガバナンスに影響を受ける当事者を含めます
4. 既存のフレームワークを活用する：NIST AI RMF、EU AI Act の要件を活用します
5. モニタリングを自動化する：ガバナンスを組み込んだ MLOps を構築します
6. チームをトレーニングする：ISO 42001 では力量のある人員が求められます
7. 定期的に監査する：問題が起きるまで待たず、先回りしてレビューします
8. インシデントから学ぶ：あらゆる問題を改善の機会と捉えます
9. イノベーションと安全性のバランスを取る：責任ある AI は、AI を使わないことを意味しません
10. 必要に応じて独立したレビューを受ける：第三者による ISO 42001 認証は信頼性を高めることがありますが、このスキルが支援するのは準備状況の確認と証拠の準備のみです

---

規制との整合性

ISO 42001 は主要な AI 規制と整合しています。

EU AI Act：

• リスク分類の枠組み
• 高リスク AI に関する義務
• 透明性要件
• 適合性評価

GDPR：

• 設計段階からのデータ保護
• プライバシー影響評価
• データ主体の権利
• 適法な処理

NIST AI RMF：

• 統治、マッピング、測定、管理の各機能
• リスクベースのアプローチ
• 信頼できる AI の特性

ISO/IEC 42005:2025：

• AI システムの影響評価
• ライフサイクル全体にわたる人間、社会、環境への影響
• 予見可能な影響の透明性のある文書化

分野固有：

• ヘルスケア：FDA AI/ML ガイダンス、MDR
• 金融：モデルリスク管理（SR 11-7）
• 雇用：EEOC AI ガイダンス

---

よくある落とし穴

1. 「ガバナンスは後で追加すればよい」 - 最初から組み込みましょう
2. ISO 42001 を一度限りの取り組みとして扱う - 継続的に取り組む必要があります
3. 実装を伴わない文書化 - 運用可能な状態にする必要があります
4. 低リスクの AI を無視する - リスクが最小限でも、基本的なガバナンスは必要です
5. ステークホルダーの関与がない - 影響を受ける人々を関与させる必要があります
6. リソースが不十分 - 責任ある AI には投資が必要です
7. 監視がない - 導入後に放置することは、コンプライアンス違反です
8. インシデント対応計画がない - AI に問題が起きた場合に備えて、計画が必要です
9. チェック項目としてのトレーニング - チームが責任ある AI を真に理解する必要があります
10. テンプレートをカスタマイズせずにコピーする - 状況に合わせて調整しましょう

---

バージョン

1.0 - ISO/IEC 42001:2023 に基づく初回リリース

---

ご留意ください: ISO 42001 は、体系的なリスク管理とガバナンスを通じて、信頼できる AI システムを構築するためのものです。イノベーションを妨げるものではなく、組織と AI の影響を受ける人々の双方を守る、責任あるイノベーションのためのフレームワークです。