AI活用は“自由”から“統制”へ―ISO42001の最前線【セミナーレポート】

AIガバナンスの全体像を3つの視点から解説

CTC主催のセミナー「AI活用は"自由"から"統制"へ ～ISO42001で実現するAIガバナンス最前線～」は、2026年7月3日にウェビナー形式で開催。AI活用の拡大に伴い、ガバナンスの整備に課題を抱えている情報システム部門・推進担当者の方々が視聴されました。

セミナーは、規格の原案策定と国際規格の審査・認証を担うBSIグループジャパン株式会社の岡﨑寛至氏、AIMS（AIマネジメントシステム）の構築・認証取得を支援するビュルガーコンサルティング株式会社の斉藤龍一氏、AIMS対応に活用できるセキュリティソリューションを提供するCTCの竹田暁彦が登壇。3社による3つの視点から、ISO/IEC 42001を軸にしたAIガバナンスの全体像が示されました。

講演1：ISO/IEC 42001を活用したAIガバナンス構築（BSIグループジャパン株式会社）

AIガバナンスは、ガイドラインの個別対応と自己宣言ではなく、第三者認証による対外的な信頼確保が大切です。ISO/IEC 42001による第三者認証について、BSIグループジャパン株式会社の岡﨑寛至氏が講演しました。

BSIグループジャパン株式会社
ICT and Finance Sales
岡﨑寛至氏

国内外のAI規制動向

AI活用に関する規制は、国・地域によって性格が異なります。

日本の「AI事業者ガイドライン」は、法的拘束力や罰則を伴わない「ソフトロー」であるのに対し、EUの「AI法（EU AI Act）」はEU市場に製品・サービスを提供する域外企業にも直接適用され、違反時には世界売上高の最大7％か、3,500万ユーロの罰則が科される「ハードロー」であるという特徴があります。

米国は大統領令・州法による実務重視のアプローチとなっており、韓国では2026年1月に「AI発展と信頼基盤造成等に関する基本法（AI基本法）」が施行され、罰則規定を伴う「ハードロー」の規制を運用。中国も、生成AIサービスへの事前審査により、サービス停止や刑事罰まで科す強力な管理型の規制を運用しています。

規制の強度には差があるものの、「AIの安全性・信頼性をどう担保するか」という課題意識は各国・各地域に共通して見られます。規制の有無にかかわらず、企業はAIガバナンスへの対応を迫られているといえるでしょう。

「自己宣言」と「第三者認証」の違い

企業は、AI事業者向けのガイドラインに沿ってガバナンス構築をした際、それが50点程度でも100点満点でも、対外的には「ガイドラインに100％準拠しています」と宣言できます。しかし、第三者による担保がない場合、社外（顧客や投資家）から見た両者の評価に大差はありません。

この課題を解決するのが第三者認証です。第三者認証では、評価の主体は自社ではなく独立した外部認証機関となり、信頼の根拠は自社の主観ではなく審査を通じた客観的事実に置き換わります。誰でもできる自己宣言に比べ、第三者認証はステークホルダーへの「強力な保証」として機能する点が差別化の力となります。

なぜ今ISO/IEC 42001が重要なのか

ISO/IEC 42001は、さまざまな意味で重要性の高い第三者認証制度といえます。

SOC2やISMAPといったセキュリティ関連の第三者認証制度はすでに広く知られていますが、AIの倫理（バイアス・公平性・透明性）やAI特有のリスクの管理に特化した独立基準は、現時点ではISO/IEC 42001のほかにはありません。

ISO/IEC 42001はPDCAサイクルを回して運用されます。ガバナンスの対象範囲と運用方針を明確にし（PLAN）、実際に運用（DO）。その後振り返りを行い（CHECK）、問題点があれば是正処置を実施します（ACT）。これを繰り返すことにより、企業のAIガバナンスは継続的に改善し続けていく仕組みとなっています。

専門性の高い知識と資格で、AIガバナンスをアピールしよう

BSIでは、ISO/IEC 42001の要求事項の解説研修、管理策の解説研修、内部監査員研修、審査員研修など、幅広い研修コースを提供しています。所定の研修を受講し、試験に合格することにより、内部監査員プラクティショナーや審査員プラクティショナー、AIガバナンスプラクティショナーといった資格を取得できる仕組みも整備されており、社内でAIガバナンスの専門知識を持つ人材を育成できます。

AIガバナンスに関する専門性の高い知識と資格を得れば、高度なAIガバナンスを実践できることを社外にアピールできるでしょう。

講演2：AIMSコンサルティングおよび実務支援（ビュルガーコンサルティング株式会社）

AIMS（AIマネジメントシステム）の構築と運用は、国際基準を満たした形でAIを活用するために不可欠です。AIMS構築のコンサルティングと実務支援について、ビュルガーコンサルティング株式会社の斉藤龍一氏が講演しました。

ビュルガーコンサルティング株式会社
マネジング・コンサルタント
斉藤龍一氏

AIMS（ISO/IEC 42001）とは

AIMS（AI Management System）は、企業のトップが責任を持ってAIを統治し、PDCAで継続的に改善するISO標準のマネジメント体系を意味します。言い換えると、AIを「責任ある形」で組織的に管理・改善するための国際標準のマネジメントシステムであるといえます。

なぜ今AIMSが必要なのか

今、世界の企業にAIMSが求められている理由は、主に3つあります。

1つめは、EUの「AI法（EU AI Act）」や米国の「NIST AI RMF」、日本の「AI事業者ガイドライン」といったAI規制が世界的に急速に整備されていることです。2つめは、ハルシネーションや学習データの偏り、透明性・説明責任の不足といったAI固有のリスクが顕在化していること。そして3つめに、調達基準の構築やAI監査対応の要請、ブランド・レピュテーションなど、取引先に対する信頼の証明が求められていることが挙げられます。

AIの社会実装と規制整備が同時に進む今、企業には「信頼されるAI」の証明が不可欠となっています。AIMSは、避けては通れないテーマであるといえるでしょう。

AIMS導入のロードマップ

AIMS導入のロードマップは、「ギャップ分析」「設計」「実装」「運用」「改善」の5フェーズで構成され、「ギャップ分析」から「実装」「運用」までで約6～12ヵ月の期間がかかります。ロードマップの詳細は下記のとおりです。

なお「実装」「運用」フェーズでは、機密情報の外部送信を防ぐDLP、AI利用状況を可視化・制御するCASBといったシステムへの投資判断が必要です。

AIMSを適切に導入し、AIを「信頼できる経営資源」にしよう

ビュルガーコンサルティングでは、AIMS導入の実務負担を軽減する手段として、全18種類の文書テンプレートをご用意しています。ISO/IEC 42001の内容に合わせた日本の国家規格であるJIS Q 42001の全条項に対応し、Word・Excel形式でそのまま編集可能です。

文書テンプレートの内容は「組織・方針」「リスク管理」「運用」「評価・改善」の4カテゴリーに分類され、ゼロから文書を構築する手間を省き、認証取得までの時間を短縮できます。

AIMSは、AIを「信頼できる経営資源」に変える仕組みです。適切に導入・運用して、企業の前進に役立ててください。

講演3：AIMS対応特化！CTCお勧めソリューション（CTC）

ISO/IEC 42001の認証取得では、全部で10ある規格条項のうち「8 運用」「9 パフォーマンス評価」への対応において、適切なソリューションの導入を検討する必要があります。CTCの竹田暁彦が、お勧めのソリューションを紹介しました。

伊藤忠テクノソリューションズ株式会社
セキュリティビジネス推進部 主任
竹田暁彦

ISO/IEC 42001の条項とCTCのソリューション

前述のとおり、ISO/IEC 42001に全部で10の規格条項があり、認証取得においては「8 運用」「9 パフォーマンス評価」に対応する適切なソリューションの導入を検討する必要があります。

「8 運用」「9 パフォーマンス評価」の詳細な条項と、条項の要求の要点、各条項に対応するCTCのソリューション例は下記のとおりです。

上記の中でも、「クラウドセキュリティ」「SASE/CASB/DLP」「WAF/DDoS」「SIEM」などは既存のセキュリティであり、すでに多くの企業で導入されているセキュリティの延長線上にあるソリューションとなります。一方、「DSPM」「AI Red Team」「LLM Guardrail」「AIエージェントセキュリティ」「AI利用可視化」などはAI特化のセキュリティです。

セキュリティは、複数の機能を用いてさまざまな脅威を防ぐ「多層防御」が原則です。ISO/IEC 42001に対応するには、ぜひ意識するようにしてください。

エンタープライズAIに求められるセキュリティ機能

AIのセキュリティを考える際には、あらゆる面からリスクを考慮することが重要です。その点で、ソフトウェアセキュリティの改善に取り組む非営利団体OWASPが公開しているセキュリティリスクのリスト「OWASP Top 10 for LLM」は、とても参考になるでしょう。

リストに記載されているリスクに対し必要となる機能は、「入出力の検査・制御」「AIモデルの検査・診断」「機密データの管理」「AIエージェントの管理」の4つに大別できます。それぞれの機能を持つソリューション例は下記のとおりです。

■求められる機能とソリューション例の特徴

これらのツールの購入がハードルになる企業には、エンジニアが診断を行う「セキュリティ診断 for AI」というサービスもご提供していますので、ぜひお気軽にご検討ください。

資料ダウンロード：セキュリティ診断 for AI

ISO/IEC 42001が拓く、信頼されるAIガバナンスへの道

ISO/IEC 42001は、AIを安全かつ責任ある形で活用していることを対外的に証明するための有力な選択肢です。AI固有リスクが顕在化し、AI規制が急速に整備される中、取引先から信頼されるには、第三者認証が重要になるでしょう。

本記事でご紹介した講演の内容をヒントに、自社のAIガバナンスを見直す現実的な道筋を描いてみてはいかがでしょうか。

伊藤忠テクノソリューションズでは、ISO/IEC 42001の規格を満たすためのソリューションを多数ご用意しています。ISO/IEC 42001に対応したAIガバナンスを構築したいとお考えの方は、ぜひ資料をご確認ください。

資料ダウンロード：生成AI活用 3つの実践例に学ぶ、人材不足解消と「インクルージョン」の実現 ～人とAIの最適な役割分担が導く、次世代DXの最適解～