iso42001-ai-management

ISO 42001 AI Management System

ISO/IEC 42001:2023（AI マネジメントシステム（AIMS）に関する初の国際規格）向けのツールとガイダンスです。

---

目次

• ツール
  • AIMS 準備状況チェッカー
  • AI インパクト評価ツール
• リファレンスガイド
• ワークフロー
• 規格の概要

---

ツール

AIMS 準備状況チェッカー

ISO 42001 のすべての条項と附属書 A の管理策に照らして、組織の準備状況を評価します。各条項を 0～100 の尺度で採点し、認証準備に向けたギャップを特定します。

# Assess readiness from a JSON profile
python scripts/aims_readiness_checker.py --input org_profile.json

# Generate a blank input template
python scripts/aims_readiness_checker.py --template > org_profile.json

# JSON output for automation
python scripts/aims_readiness_checker.py --input org_profile.json --json

# Export report to file
python scripts/aims_readiness_checker.py --input org_profile.json --output report.json

評価領域：

条項	領域	主な確認項目
条項 4	組織の状況	適用範囲の定義、利害関係者、AIMS の境界
条項 5	リーダーシップ	AI 方針、ガバナンス体制、経営陣のコミットメント
条項 6	計画	リスク評価の方法論、AI 目標、影響評価
条項 7	支援	リソース、力量、認識、文書化
条項 8	運用	AI ライフサイクル、データ管理、リスク対応、サードパーティ管理策
条項 9	パフォーマンス評価	モニタリング、内部監査、マネジメントレビュー
条項 10	改善	是正処置、継続的改善、インシデント管理
附属書 A	管理策	A.2-A.10 の管理策の実施状況

出力：

• 全体の準備状況スコア（0～100）
• 成熟度レベル（初期／開発中／定義済み／管理済み／最適化済み）を含む条項ごとのスコア
• 附属書 A の管理策の実施状況（実施済み／一部実施／未実施／該当なし）
• 優先順位付きの推奨事項を含むギャップ分析
• 認証準備状況の評価（準備完了／ほぼ準備完了／重大なギャップあり）

---

AI インパクト評価ツール

公平性、透明性、安全性、プライバシー、セキュリティの側面を評価する包括的な AI 影響評価を生成します。影響を利害関係者に対応付け、リスク対応の推奨事項を提示します。

# Assess an AI system from a JSON description
python scripts/ai_impact_assessor.py --input ai_system.json

# Generate a blank input template
python scripts/ai_impact_assessor.py --template > ai_system.json

# Export assessment report
python scripts/ai_impact_assessor.py --input ai_system.json --output assessment.json

# Generate markdown report
python scripts/ai_impact_assessor.py --input ai_system.json --format markdown --output assessment.md

評価の側面：

側面	評価対象	主な要因
公平性	バイアス、差別、公平性	学習データの多様性、保護対象属性、結果の同等性
透明性	説明可能性、解釈可能性	モデルの複雑さ、意思決定の文書化、ユーザーへの開示
安全性	信頼性、堅牢性、危害の防止	故障モード、エッジケース、人間による監督、フォールバック機構
プライバシー	データ保護、同意、最小化	個人情報の処理、同意の仕組み、データ保持、匿名化
セキュリティ	敵対的攻撃への耐性、アクセス制御	攻撃ベクトル、モデルの完全性、アクセス管理、監査ログ
アカウンタビリティ	ガバナンス、責任、監査可能性	意思決定の責任者、監査証跡、エスカレーション手順

機能：

• 側面ごとのリスクスコア（低／中／高／重大）
• 利害関係者への影響の対応付け（ユーザー、影響を受ける個人、社会、規制当局）
• リスク対応の選択肢（回避、軽減、移転、受容）
• 規制との対応付け（EU AI Act のリスク分類、ISO 42001 附属書 A の管理策）
• 対応後の残留リスクの算出
• Markdown および JSON 形式のレポート生成

---

リファレンスガイド

ISO 42001 条項ガイド

references/iso42001-clause-guide.md

条項ごとの包括的なガイダンス：

• 要求事項と実施手順を含むすべての条項（4～10）
• 証拠の要求事項を含む附属書 A の管理策（A.2-A.10）の詳細
• 内部監査の準備に役立つ条項ごとの監査質問
• よくある不適合の指摘事項とその回避方法
• 条項ごとに必要な文書化した情報
• ISO 27001、ISO 9001、EU AI Act への相互参照

AI ライフサイクル管理

references/ai-lifecycle-management.md

AI システムのライフサイクル全体にわたるガイダンス：

• ライフサイクルの各段階：設計、開発、テスト、デプロイ、監視、廃止
• 設計および開発の管理策（要件、アーキテクチャ、コーディング標準）
• テストおよび検証の要件（機能、公平性、堅牢性、パフォーマンス）
• デプロイ手順（ステージング、カナリアリリース、ロールバック、承認ゲート）
• 監視および保守（ドリフトの検出、パフォーマンス低下、再トレーニング）
• 廃止および使用停止（データの廃棄、モデルのアーカイブ、関係者への通知）
• ライフサイクル全体にわたるデータ管理（品質、来歴、公平性評価、リネージ）
• モデルのバージョン管理および変更管理（バージョン管理、変更の影響、承認ワークフロー）

---

まず確認すること

評価を実施する前に、以下の入力事項を確定してください。不足している、または曖昧な項目が結果を左右する場合は質問してください。結果に影響しない場合は、妥当なデフォルトを使用し、使用した内容を明記してください。

• AIMS の適用範囲： 対象となる AI システムおよび組織上の境界（準備状況評価とシステムごとの影響評価に影響します）。
• タスク： AIMS 準備状況評価か、システムごとの AI 影響評価か（使用するツールとワークフローが決まります）。
• 認証の目標： 初回認証、サーベイランス、または内部利用のみ（スコアのしきい値と証拠の詳細度が決まります）。

リクエストに最も重要な 2、3 項目について質問し、リスト全体について尋ねないでください。ユーザーがすぐに結果を求める場合は、結果を提示し、前提条件を冒頭に記載してください。

ワークフロー

ワークフロー 1：ISO 42001 準備状況評価

Step 1: Define AIMS scope
        → Identify AI systems in scope
        → Determine organizational boundaries
        → Document interested parties and requirements

Step 2: Generate assessment template
        → python scripts/aims_readiness_checker.py --template > org_profile.json
        → Fill in organizational details and current state

Step 3: Run readiness assessment
        → python scripts/aims_readiness_checker.py --input org_profile.json

Step 4: Review results
        → Address critical gaps (Clauses 5, 6, 8 typically weakest)
        → Prioritize Annex A controls by risk
        → Develop remediation roadmap

Step 5: Conduct AI impact assessments
        → python scripts/ai_impact_assessor.py --template > ai_system.json
        → Assess each in-scope AI system
        → python scripts/ai_impact_assessor.py --input ai_system.json

Step 6: Plan implementation
        → See references/iso42001-clause-guide.md for requirements
        → See references/ai-lifecycle-management.md for operational controls

ワークフロー 2：AI システム影響評価

Step 1: Identify AI system for assessment
        → Document system purpose, inputs, outputs, and decisions
        → Identify affected individuals and groups

Step 2: Generate assessment template
        → python scripts/ai_impact_assessor.py --template > ai_system.json
        → Complete all sections (model details, data sources, deployment context)

Step 3: Conduct assessment
        → python scripts/ai_impact_assessor.py --input ai_system.json --format markdown --output report.md

Step 4: Review dimension scores
        → Fairness: check for bias in training data and outcomes
        → Transparency: verify explainability mechanisms
        → Safety: validate failure modes and human oversight
        → Privacy: confirm data protection measures
        → Security: assess adversarial resilience

Step 5: Implement risk treatments
        → Apply recommended mitigations per dimension
        → Document residual risk acceptance decisions
        → Assign treatment owners and timelines

Step 6: Monitor and review
        → Schedule periodic reassessment (quarterly minimum)
        → Track treatment implementation progress
        → Update assessment when system changes materially

ワークフロー 3：AIMS 認証準備

Step 1: Gap analysis
        → python scripts/aims_readiness_checker.py --input org_profile.json
        → Target overall score of 80+ for certification readiness

Step 2: Document AIMS
        → AI policy (Clause 5.2)
        → AIMS scope (Clause 4.3)
        → Risk assessment methodology (Clause 6.1)
        → Statement of Applicability for Annex A controls
        → AI objectives (Clause 6.2)

Step 3: Implement operational controls
        → AI lifecycle procedures (Clause 8)
        → Data management processes (Annex A.7)
        → Third-party management (Annex A.10)
        → Impact assessments for all AI systems (Annex A.5)

Step 4: Conduct internal audit
        → Use references/iso42001-clause-guide.md audit questions
        → Document findings and corrective actions
        → Verify closure of nonconformities

Step 5: Management review
        → Present AIMS performance to top management
        → Review AI objectives achievement
        → Obtain commitment for continual improvement

Step 6: Stage 1 and Stage 2 audits
        → Stage 1: Documentation review (readiness check)
        → Stage 2: Implementation effectiveness audit
        → Address any nonconformities from audit

---

規格の概要

ISO 42001:2023 の概要

ISO/IEC 42001:2023 は、世界初の AI マネジメントシステム（AIMS） に関する国際規格です。2023 年 12 月に発行され、組織が AI システムを責任ある方法で開発、提供、利用するためのフレームワークを定めています。この規格は、マネジメントシステム規格の ISO 調和構造（附属書 SL）に準拠しているため、ISO 27001、ISO 9001、ISO 14001 との統合が可能です。

主な特徴：

• 認証可能なマネジメントシステム規格
• 技術に依存しない（あらゆる AI アプローチに適用可能）
• AI ガバナンスに対するリスクベースのアプローチ
• PDCA（計画・実行・評価・改善）サイクル
• あらゆる規模および業種の組織に適用可能

AIMS フレームワーク（計画・実行・評価・改善）

組織の状況（箇条 4）

要件	セクション	説明
組織の状況	4.1	AI 目標に関連する内部および外部の課題
利害関係者	4.2	ステークホルダー、その要件および期待
AIMS の適用範囲	4.3	AIMS の境界および適用可能性
AIMS の確立	4.4	AIMS の確立、実施、維持および改善

リーダーシップ（箇条 5）

要件	セクション	説明
リーダーシップのコミットメント	5.1	トップマネジメントが AIMS へのコミットメントを示す
AI 方針	5.2	責任ある AI の原則、倫理ガイドライン、組織の価値観
役割および責任	5.3	AIMS の役割、権限および説明責任の明確な割り当て

AI 方針に含める事項：

• 責任ある AI の開発および利用へのコミットメント
• AI に関する意思決定を導く倫理原則
• 適用される法的要件および規制要件との整合
• AIMS の継続的改善へのコミットメント
• AI 目標を設定するためのフレームワーク

AI ガバナンス体制：

• AI ガバナンス委員会または委員会組織
• 説明責任が定義された AI システムの所有者
• AI データ管理を担うデータスチュワード
• 倫理審査機能
• インシデント対応の役割

計画策定（箇条 6）

要求事項	セクション	説明
リスクと機会	6.1	AI 固有のリスクと機会に対処するための取り組み
AI リスクアセスメント	6.1.2	AI リスクを特定・評価するための方法論
AI 目標	6.2	責任ある AI に関する測定可能な目標
影響評価	6.1.4	AI システムが個人や社会に及ぼす影響の評価

AI リスクアセスメントで対象とすべき事項：

• 公平性と差別禁止に関するリスク
• 透明性と説明可能性の不足
• 安全性と信頼性に関する懸念
• プライバシーとデータ保護に関するリスク
• セキュリティ上の脆弱性
• アカウンタビリティの不足
• 社会および環境への影響

支援（箇条 7）

要求事項	セクション	説明
リソース	7.1	コンピューティング、データ、専門知識、インフラストラクチャ
力量	7.2	AI 関連の役割に必要なスキル、トレーニング計画
認識	7.3	組織全体における AI リテラシー
コミュニケーション	7.4	AI に関する社内外のコミュニケーション
文書化した情報	7.5	文書の作成、管理、保持

運用（箇条 8）

要求事項	セクション	説明
運用計画	8.1	AI プロセスの計画と管理
AI リスクアセスメント	8.2	方法論に従ったリスクアセスメントの実施
AI リスク対応	8.3	リスク対応計画の実施
AI システムのライフサイクル	8.4	ライフサイクルのすべての段階における AI システムの管理

AI システムのライフサイクルの各段階：

1. 設計：要件、アーキテクチャ、倫理的レビュー
2. 開発：データの準備、モデルのトレーニング、コーディング標準
3. テスト：機能、バイアス、堅牢性、パフォーマンスの検証
4. デプロイ：ステージング、承認、モニタリングの設定
5. 運用：パフォーマンスのモニタリング、ドリフトの検出、インシデント対応
6. 廃止：使用停止、データの廃棄、ステークホルダーへの通知

AI のデータ管理：

• データ品質の評価と改善
• データの来歴とリネージの追跡
• トレーニングデータおよび評価データにおけるバイアスの評価
• データガバナンスとアクセス制御
• 個人データの保護対策
• データの保持と廃棄の手順

サードパーティおよびサプライヤーの管理：

• AI コンポーネントのサプライヤー評価
• サードパーティの AI サービス契約
• サプライチェーンのリスクアセスメント
• サプライヤーの継続的なモニタリング

パフォーマンス評価（箇条 9）

要求事項	セクション	説明
モニタリングと測定	9.1	AI システムのパフォーマンス指標と KPI
内部監査	9.2	AIMS の計画的な監査
マネジメントレビュー	9.3	AIMS の有効性に関するトップマネジメントのレビュー

AI のパフォーマンス指標：

• モデルの正確度、適合率、再現率
• 公平性の指標（人口統計学的均等性、均等化オッズ）
• レイテンシと可用性
• ドリフト指標（データドリフト、コンセプトドリフト）
• インシデントの頻度と深刻度
• 消費者からの苦情率

改善（箇条 10）

要求事項	セクション	説明
不適合	10.1	不適合に対する是正処置
継続的改善	10.2	AIMS の継続的な強化
AI インシデント管理	10.3	AI システムのインシデントおよびヒヤリハットへの対応

付属書 A 管理策

管理策	タイトル	説明
A.2	AI 方針	組織の目標に沿った、責任ある AI のための方針
A.3	内部組織	AI に関する役割、責任、職務の分離
A.4	AI システムのリソース	コンピューティングリソース、データ、ツール、専門知識の管理
A.5	AI システムの影響評価	AI システムの影響評価プロセス
A.6	AI システムのライフサイクル	設計、開発、導入、廃止にわたる管理策
A.7	AI システムのデータ	データ品質、来歴、バイアス、ガバナンス、保護
A.8	利害関係者向け情報	透明性、開示、コミュニケーション
A.9	AI システムの利用	許容される利用に関する方針、人間による監督、ユーザー向けガイダンス
A.10	第三者との関係	サプライヤー管理、AI の外部委託、コンポーネントの評価

付属書 B — 実施ガイダンス

付属書 B では、付属書 A の管理策を実施するための規範的でないガイダンスを示します。

• 各管理目標の実践的な例
• さまざまな組織規模に対応する拡張性に関するガイダンス
• 業種固有の考慮事項
• 既存のマネジメントシステムとの統合ポイント

付属書 C — AI のリスク源と目標

カテゴリー別に整理した AI 固有のリスク源：

• 技術的リスク：モデルの障害、データ品質、敵対的攻撃、ドリフト
• 倫理的リスク：バイアス、差別、透明性の欠如、自律性の侵害
• 法的リスク：規制への不適合、責任、知的財産
• 社会的リスク：雇用の喪失、誤情報、環境への影響
• 組織的リスク：スキル不足、依存、評判の毀損

AI 固有の管理目標：

• 公平性と非差別を確保する
• 透明性と説明可能性を維持する
• 安全性と信頼性を保証する
• プライバシーとデータを保護する
• 脅威から AI システムを保護する
• 説明責任とガバナンスを可能にする

付属書 D — 分野横断的な AIMS の利用

業種固有の考慮事項：

• ヘルスケア：患者の安全性、臨床的検証、規制当局の承認（FDA、MDR）
• 金融：アルゴリズム取引、信用スコアリング、マネーロンダリング対策
• 自律システム：安全性が極めて重要な意思決定、人間による介入、安全側に故障する設計
• 人事：採用時のバイアス、従業員の監視、公平性
• 公共部門：市民への影響、民主主義の価値、公的信頼

他の規格との関係

規格	関係	統合ポイント
ISO 27001	情報セキュリティ	リスク評価、アクセス制御、インシデント管理
ISO 9001	品質マネジメント	プロセスアプローチ、文書管理、継続的改善
ISO 14001	環境マネジメント	影響評価、ライフサイクル思考
ISO 31000	リスクマネジメント	リスクフレームワーク、評価方法論
ISO 22989	AI の概念／用語	基礎となる定義
ISO 23894	AI リスクマネジメント	リスクマネジメントのガイダンス

EU AI Act との関係

EU AI Act の要件	ISO 42001 との対応
リスクマネジメントシステム（第 9 条）	箇条 6.1、8.2、8.3、付属書 A.5
データガバナンス（第 10 条）	箇条 8.4、付属書 A.7
技術文書（第 11 条）	箇条 7.5、付属書 A.6
透明性（第 13 条）	付属書 A.8
人間による監督（第 14 条）	付属書 A.9
精度、堅牢性、セキュリティ（第 15 条）	箇条 9.1、付属書 A.6
品質マネジメントシステム（第 17 条）	AIMS 全体（箇条 4～10）
適合性評価	認証プロセス

認証プロセス

フェーズ	活動	期間
準備	ギャップ分析、実装、内部監査	6～12 か月
ステージ 1 審査	文書レビュー、準備状況の評価	1～2 日
ギャップの是正	ステージ 1 の指摘事項への対応	1～3 か月
ステージ 2 審査	実装の有効性評価	2～5 日
認証	認証書の発行（有効期間 3 年）	審査合格後
サーベイランス	年次サーベイランス審査	年 1～2 日
再認証	3 年ごとの全面的な再評価	2～4 日

実装ロードマップ

フェーズ 1 — 基盤（1～3 か月目）：

• AIMS の適用範囲と境界を定義する
• AI ガバナンス体制を確立する
• AI ポリシーを策定する
• AI システムの初期インベントリを作成する
• リスク評価の方法論を定義する

フェーズ 2 — 中核の実装（4～6 か月目）：

• 対象範囲内のすべてのシステムについて AI リスク評価を実施する
• 影響評価を実施する（附属書 A.5）
• AI ライフサイクル管理策を実装する（附属書 A.6）
• データ管理プロセスを確立する（附属書 A.7）
• サードパーティ管理手順を策定する（附属書 A.10）

フェーズ 3 — 運用化（7～9 か月目）：

• 監視と測定を導入する（箇条 9.1）
• AIMS における役割と責任について担当者をトレーニングする
• インシデント管理手順を実装する
• AI リテラシーに関する啓発プログラムを実施する
• コミュニケーションプロセスを確立する

フェーズ 4 — 検証と認証（10～12 か月目）：

• 内部監査を実施する（箇条 9.2）
• マネジメントレビューを開催する（箇条 9.3）
• 不適合に対処する
• ステージ 1 認証審査の準備をする
• 箇条ごとに証拠資料一式をまとめる

---

トラブルシューティング

問題	考えられる原因	解決策
経営幹部の支援があるにもかかわらず、箇条5（リーダーシップ）の準備状況スコアが低い	AI ポリシーに、倫理原則、責任ある AI への取り組み、または AI 目標の設定に関する枠組みが含まれていません	AI ポリシーを更新し、必要なすべての要素、すなわち倫理原則、責任ある AI、法令との整合性、継続的改善への取り組み、AI 目標の枠組みを明示的に盛り込み、経営陣から正式な承認を得てください
AI 影響評価で、すべての側面において高リスク／重大リスクと判定される	AI システムが、機密性の高い個人データを処理し、安全対策がないまま自律的な意思決定を行い、大規模な集団に影響を及ぼしています	側面ごとに的を絞った緩和策を実施してください。安全性には人間が介在する仕組み、公平性にはバイアステスト、透明性には説明可能性の仕組み、プライバシーにはデータ保護を導入します。緩和策の実施後に評価を再実行してください
運用上の慣行があるにもかかわらず、附属書Aの管理策が「未実施」と評価される	慣行は非公式に存在していますが、ISO 42001 の要件に従って文書化されていません	既存の AI に関する慣行をすべて正式な手順として文書化してください。証拠資料（ポリシー文書、議事録、リスク登録簿、トレーニング記録）を作成し、附属書Aの具体的な管理目標に対応付けてください
認証機関の監査員から AI リスク評価の方法論について質問される	リスク評価で、必須の7つのリスクカテゴリ（公平性、透明性、安全性、プライバシー、セキュリティ、説明責任、社会的影響）がすべて網羅されていません	リスク評価の方法論を更新し、ISO 42001 のすべてのリスクカテゴリを明示的に扱ってください。包括的に網羅できていることを確認するため、ai_impact_assessor.py のテンプレートを使用し、リスク基準と許容水準を文書化してください
サードパーティ製 AI コンポーネントにガバナンス管理策がない	組織が、正式な評価やサプライヤー管理を行わずに、サードパーティ製 AI モデルや API を使用しています	附属書A.10（サードパーティとの関係）の管理策を実施してください。すべてのサードパーティ製 AI コンポーネントを評価し、AI サービスプロバイダーとの契約要件を定め、サプライヤーの AI に関する慣行を監視してください
AI ライフサイクルに関するデータ管理手順が不完全	トレーニングデータと評価データのデータ品質、来歴、バイアス評価が体系的に実施されていません	附属書A.7（AI システムのデータ）の管理策を実施してください。データ品質の評価手順を確立し、データの来歴と系譜を文書化し、データセットごとにバイアス評価を実施し、保持および廃棄の手順を定めてください
第1段階監査で、AIMS の文書化が不十分と判断される	文書が、AI 固有の要素を含まない一般的な QMS の構成に従っています	文書を再構成し、ISO 42001 のすべての箇条（4～10）と附属書Aの管理策（A.2～A.10）に対応させてください。AI 固有のポリシー、リスク評価、影響評価、ライフサイクル手順を含めてください

---

成功基準

• 認証取得に向けた準備状況スコアが80以上 -- aims_readiness_checker.py で測定し、すべての条項が「定義済み」成熟度レベル以上であること
• AI ポリシーが策定され、周知されていること -- 倫理原則、責任ある AI への取り組み、法令遵守との整合性、継続的改善、AI 目標の枠組みを含み、経営陣の正式な承認を得ていること
• 対象範囲内のすべての AI システムについて AI 影響評価が完了していること -- 公平性、透明性、安全性、プライバシー、セキュリティ、説明責任の6つの側面を網羅し、リスク対応が文書化され、残留リスクが経営陣に受容されていること
• AI リスク評価手法が必要なすべてのカテゴリーを網羅していること -- 公平性、透明性、安全性、プライバシー、セキュリティ、説明責任、社会的・環境的影響を対象とし、リスク基準と許容レベルが定義されていること
• 附属書 A の管理策が証拠とともに実施されていること -- A.2（ポリシー）から A.10（第三者）まで、認証監査に適した手順、記録、証拠資料が文書化されていること
• すべての AIMS 条項を対象とした内部監査が実施されていること -- 所見が文書化され、是正措置の完了まで追跡され、改善に関する決定が文書化されたマネジメントレビューが完了していること
• AI ライフサイクルの手順が運用されていること -- 設計、開発、テスト、デプロイ、監視、廃止の各段階を網羅し、各ゲートで管理策が文書化されていること

---

対象範囲と制限事項

対象範囲内：

• すべての条項（4～10）および附属書 A の管理策（A.2～A.10）を対象とする ISO 42001:2023 の準備状況評価
• 6つの側面（公平性、透明性、安全性、プライバシー、セキュリティ、説明責任）にわたる AI 影響評価
• ギャップ分析、導入ロードマップ、監査準備を含む AIMS 認証の準備
• AI ライフサイクル管理のガイダンス（設計から廃止まで）
• AI システムのデータ管理（品質、来歴、バイアス、ガバナンス）
• 第三者 AI サプライヤーの管理と評価
• EU AI Act の要件への規制対応マッピング
• ISO 27001、ISO 9001、ISO 14001 との統合に関するガイダンス

対象範囲外：

• 実際の AI モデルの開発、トレーニング、テスト、デプロイ -- このスキルが提供するのはガバナンスのフレームワークであり、ML エンジニアリングではありません
• 認証機関の選定、監査のスケジュール調整、認証費用の交渉
• 倫理審査委員会の設置、または手順に関するガイダンスを超える倫理的な意思決定
• AI の公平性アルゴリズムの具体的な実装（例：敵対的デバイアス、較正済み均等化オッズ） -- 技術的なテストには eu-ai-act-specialist のバイアス検出機能を使用してください
• AI トレーニングにおける環境影響の測定またはカーボンフットプリントの算出

重要事項：

• ISO 42001 認証は3年周期で、12か月間隔の年次サーベイランス監査を実施します
• 主要な認証機関（BSI、DNV、TUV、LRQA）は、2025～2026年時点で ISO 42001 の監査サービスを運用しています
• 多くの組織が、ガバナンス管理策については ISO 42001 認証を、規制上の期待事項については EU AI Code of Practice を利用する、二重の整合を目指しています
• この規格の Annex SL 構造により ISO 27001 との直接的な統合が可能となり、重複する文書作成と監査の負担が軽減されます

---

統合ポイント

スキル	統合内容	使用するタイミング
eu-ai-act-specialist	ISO 42001 AIMS は EU AI Act の要件に直接対応しており、認証によって第 17 条の QMS 適合性を実証できます	ISO 42001 と EU AI Act の両方の義務を満たす AI ガバナンスを構築する場合
information-security-manager-iso27001	ISO 27001 のセキュリティ管理策は、共通の Annex SL 構造を介して AIMS と統合されます。また、リスク評価の手法も整合しています	情報セキュリティと AI ガバナンスの両方を対象とする ISMS と AIMS を共同で実装する場合
gdpr-dsgvo-expert	AIMS のデータ管理（Annex A.7）は GDPR のデータ保護要件に準拠しており、AI による処理には DPIA が必要です	AI システムが個人データを処理し、AIMS と GDPR の両方への適合が必要な場合
isms-audit-expert	ISO 27001 と ISO 42001 では、内部監査の手法と指摘事項の管理を共有できます	ISMS と AIMS の両方を対象とする内部監査を実施する場合

---

ツールリファレンス

aims_readiness_checker.py

ISO 42001:2023 のすべての箇条と Annex A の管理策に照らして、組織の準備状況を評価します。

フラグ	必須	説明
--input <file>	はい（--template を指定する場合を除く）	評価対象となる組織プロファイルの JSON ファイルへのパス
--template	いいえ	空の入力テンプレートを生成して標準出力に出力します
--json	いいえ	自動化用に結果を JSON 形式で出力します
--output <file>	いいえ	レポートを指定したファイルパスにエクスポートします

評価範囲： 箇条 4（組織の状況）、箇条 5（リーダーシップ）、箇条 6（計画）、箇条 7（支援）、箇条 8（運用）、箇条 9（パフォーマンス評価）、箇条 10（改善）、および Annex A の管理策（A.2～A.10）。

出力： 全体の準備状況スコア（0～100）、成熟度レベル（初期／発展中／定義済み／管理済み／最適化済み）を含む箇条ごとのスコア、Annex A の管理策の実施状況、優先順位付けされた推奨事項を含むギャップ分析、認証準備状況の評価（準備完了／準備ほぼ完了／重大なギャップあり）。

ai_impact_assessor.py

6 つのリスク側面にわたる包括的な AI 影響評価を生成し、規制要件との対応付けを行います。

フラグ	必須	説明
--input <file>	はい（--template を指定する場合を除く）	評価対象となる AI システムの説明を記載した JSON ファイルへのパス
--template	いいえ	空の AI システムテンプレートを生成して標準出力に出力します
--format <fmt>	いいえ	出力形式：json（デフォルト）または markdown
--output <file>	いいえ	評価レポートを指定したファイルパスにエクスポートします

評価側面： 公平性（バイアス、差別、公平性）、透明性（説明可能性、解釈可能性）、安全性（信頼性、堅牢性、危害の防止）、プライバシー（データ保護、同意、最小化）、セキュリティ（敵対的攻撃への耐性、アクセス制御）、説明責任（ガバナンス、責任、監査可能性）。

出力： 側面ごとのリスクスコア（低／中／高／重大）、利害関係者への影響のマッピング、リスク対応の選択肢（回避／軽減／移転／受容）、規制要件との対応付け（EU AI Act のリスク区分、ISO 42001 Annex A の管理策）、残留リスクの算出、Markdown または JSON 形式のレポート。