一般社団法人マネジメントシステム品質協会
JRCA承認研修機関

ISO/IEC 42001:2023（JIS Q 42001:2025）
情報技術－人工知能－マネジメントシステム
Information technology-Artificial intelligence-Management system

人工知能（AI）は，情報技術を利活用する全ての分野での応用が急速に進んでおり，経済を活性化する 主要な要素と期待されている。この動向の帰結として，今後数年の間に特定の用途で社会的な問題を引き 起こす可能性がある。 この規格は，組織がAI システムに関する組織の役割（例えば，AI を活用する製品又はサービスの利用， 開発，監視又は提供）を，責任をもって果たせるように支援することを意図するものである。
　AI は，次の ような具体的な考慮すべき事項を提起する可能性がある。 － AI を用いる自動意思決定は，不透明かつ説明不可能な方法で下されることがあることから，従来のIT システムに対してのマネジメントを超えるAI 特有のマネジメントを行わなければならない場合があ る。
－ システムを設計するために人がロジックをコーディングするのではなく，データ分析，洞察及び機械 学習（ML）を利用することは，AI システムを適用する機会を増加させるとともに，そのようなシス テムを開発し，正しく動作することを証明し，展開する方法を変える。
－ 継続的に学習を行うAI システムは，利用中にその挙動が変動する。挙動の変動を伴いつつも責任あ る利用を継続していくことを確実にするために，特別な配慮が必要となる。

　この規格は，それぞれの組織がもつ状況の下でAI マネジメントシステムを確立し，実施し，維持し，継 続的に改善していくための要求事項を提供する。組織には，AI に特有である特徴に焦点を当てて要求事項 を適用することが期待される。継続的に学習して改善する能力をもち，一方で，透明性又は説明可能性が 欠如するといったAI に特有の特徴に起因して，従来の作業実施方法では更なる懸念事項が生じた場合に は，別の安全対策が必要になる場合がある。既存のマネジメント構造を拡張するためにAI マネジメント システムを展開することは，組織にとって戦略的な意思決定となる。
AI マネジメントシステムを確立し，実施するに当たっては，組織のニーズ及び目的，プロセス，規模及 び構造，並びに様々な利害関係者の期待が影響する。AI マネジメントシステムの確立及び実施に影響する 別の要因は，AI の多くのユースケース，及びガバナンスの仕組みとイノベーションとの間で適切なバランスをとる必要性である。
　
組織は，リスクベースのアプローチを利用してこの規格に定める要求事項を適用 することを選択し，組織が想定する範囲内の特定のAI ユースケース，サービス又は製品に対して，適切な レベルの管理策が適用可能なようにする。これら全ての影響要因は変化することから，随時見直すことが 期待される。（JIS Q 42001序文より）

 
近年、AIの開発が活発に行われており、企業などが業務効率化にAIを活用するだけでなく、一般にも、AIシステムとして日常生活の様々な場面で利用されるなど、AIは私達の生活にも急速に普及しつつあります。そのような状況の中、安全・安心なAIシステムを適切に開発・提供・利用することが重要であるという考えのもと、よりどころとなるマネジメントシステムのニーズが高まっていました。

一方で、情報セキュリティマネジメントシステム（ISMS）などに代表されるマネジメントシステムの有用性については、B2B取引や政府の調達要件としてその認証取得が条件とされるなど、一定の認知を得ています。
AIシステムについても同様の考え方が適用できることから、AIマネジメントシステムの国際標準化の検討・開発が進められ、2023年12月に「ISO/IEC 42001 情報技術－人工知能－マネジメントシステム」として発行されました。

ISO/IEC 27701:2019（JIS Q 27701:2024）
セキュリティ技術－ プライバシー情報マネジメントのための JIS Q 27001 及びJIS Q 27002 の拡張－ 要求事項及び指針
Security techniques-Extension to JIS Q 27001 and JIS Q 27002 for privacy information management-Requirements and guidelines

ほぼ全ての組織が，個人識別可能情報（Personally Identifiable Information，PII）（以下，PII という。）を 処理している。さらに，PII の処理に関して組織が他の組織と協力する必要のある状況が増加するのと同 様，処理するPII の量及び種類が増加している。PII の取扱いにおけるプライバシーの保護が，社会的に必 要とされ，世界中で専門の法令が話題に挙がっている。 JIS Q 27001 で定義している情報セキュリティマネジメントシステム（information security management system，ISMS）（以下，ISMS という。）は，新しいマネジメントシステムを開発する必要なしに，分野固有 の要求事項を追加できるように設計されている。分野固有のものを含むISO マネジメントシステム規格は， 個別に，又は組み合せたマネジメントシステムとして実施できるように設計されている。 PII 保護の要求事項及び手引は，組織の状況に応じて，特に国内の法令が存在する場合に変化する。JIS Q 27001 では，この状況を理解し，考慮に入れる必要がある。この規格は，次の全てのものに対する対応 付けを含んでいる。 － ISO/IEC 29100 で定義されているプライバシーの枠組み及び原則 － ISO/IEC 27018 － ISO/IEC 29151 － EU 一般データ保護規則（EU General Data Protection Regulation） ただし，これらは，地域の法令を考慮に入れて解釈することが必要になる場合がある。 この規格は，PII 管理者（共同PII 管理者である者を含む。），及びPII 処理者（委託先などのPII 処理者 を使っている者，及びPII 処理者の委託先などとしてPII を処理する者を含む。）が用いることが可能である。
　この規格の要求事項に適合する組織は，自らがPII の処理をどのように行うかについて証拠書類を作成 することになる。このような証拠は，PII の処理が相互に関連している場合に相手方との合意を促進するた めに使用することが可能である。これは，その他の利害関係者との関係にも役立つ。この規格をJIS Q 27001 と組み合わせて使用することで，必要に応じて，この証拠の独立した検証を行うことが可能である。
（JIS Q 27701 序文より）

 
ISMS-PIMS認証とは

ISMS-PIMS認証は、JIS Q 27001:2014 (ISO/IEC 27001:2013) に適合したISMS（情報セキュリティマネジメントシステム）認証を前提とし、ISO/IEC 27701:2019に基づくプライバシー情報マネジメントシステムの要求事項に適合していることを認証する制度です。
したがって、ISMS-PIMS認証を取得するには、ISMS認証を既に取得している必要があります。 ※ISMS認証を取得していない場合、ISMS認証とISMS-PIMS認証の審査を同時に受けることも可能です。

ISMS-PIMS認証の基準

ISMS-PIMS認証の認証基準は、

• 「ISO/IEC 27701:2019 プライバシー情報マネジメントのためのISO/IEC 27001 及び ISO/IEC 27002 の拡張 -要求事項及び指針-」

• ISO/IEC 27001:2013 情報セキュリティマネジメントシステム -要求事項-

• ISO/IEC 27002:2013 情報セキュリティ管理策の実践のための規範