--- title: "AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001）｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/ai-risk-management-framework/ description: "AIのリスク管理は、国内のAI事業者ガイドラインを土台に、考え方の整理にはNIST AI RMF、管理の仕組みづくりにはISO/IEC 42001を参考にすると進めやすくなります。2つの枠組みの違いと、社内での進め方をまとめました。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- 定着させる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/) # AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001） 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12制度の最終確認 2026-11-12出典 6件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 AIのリスク管理は、国内のAI事業者ガイドラインを土台にし、リスクの考え方の整理にはNIST AI RMF、社内の管理の仕組みづくりにはISO/IEC 42001を参考にすると進めやすくなります。どちらも、AIの使い道の一覧とリスクの書き出しから始められます。 自社の「ガバナンスと法令」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) AIの使い道が増えると、使い道ごとにばらばらに対策を考えるだけでは、抜けや重なりが出てきます。そこで役立つのが、リスク管理の「枠組み」です。この記事では、海外でよく参照される2つの枠組み、NIST AI RMFとISO/IEC 42001の考え方を整理し、社内での進め方を説明します。 この記事でわかること - NIST AI RMFの4つの機能と、信頼できるAIの7つの特徴 - ISO/IEC 42001との違いと、使い分けの目安 - 枠組みを参考に、社内でリスク管理を進める手順 ## なぜ、リスク管理の枠組みが必要なのですか？ AIのリスクには、誤った出力、偏り、情報の漏えい、権利の侵害、セキュリティなど、さまざまな種類があります。使い道ごとに対策を考えるだけでは、次のような問題が起きやすくなります。 - 部署ごとに判断の基準がばらつく - 新しい使い道が増えたときに、確認が抜ける - 対策をしたかどうかを、後から説明しにくい 枠組みを使うと、**「何を、誰が、どの順番で確かめるか」を会社として揃えられます。**日本では、総務省・経済産業省の「AI事業者ガイドライン」（2026年3月31日に第1.2版）が、AIを開発する会社・提供する会社・利用する会社のそれぞれが取り組むことを示しています。法的な拘束力のない指針（ソフトロー）で、事業者の自主的な取り組みを支える位置づけです。海外の枠組みは、この国内の指針を補う材料として使うと位置づけやすくなります。 ## NIST AI RMFは、どんな枠組みですか？ NIST AI RMF（AIリスクマネジメントフレームワーク）は、米国の国立標準技術研究所（NIST）が2023年1月26日に1.0版を公表した枠組みです。AIの設計・開発・利用・評価に信頼性を組み込むためのもので、任意で使うことを前提にしています。業種を問わず、規模の大小にかかわらず柔軟に使えることを目指したものとされています。 ### 4つの機能 中心になるのは、次の4つの機能です。 | 機能 | 内容 | |---|---| | 統治（Govern） | リスク管理の文化をつくり、方針・手順・責任の体制を決める | | 把握（Map） | AIを使う状況を整理し、リスクと影響を洗い出せるようにする | | 測定（Measure） | 量的・質的な方法で、リスクと信頼性を評価し、監視する | | 管理（Manage） | 把握・測定したリスクに資源を割り当て、対応し、回復や連絡の計画を立てる | **「統治」はほかの3つの機能すべてにかかわる、横断的な機能とされています。**把握・測定・管理を回すための土台が統治、と考えると分かりやすくなります。 NIST AI RMFの4つの機能：統治がほかの3つを支えます - **統治（Govern）**：方針・手順・責任の体制を決める。**ほかの3つすべてにかかわる横断的な機能** - **把握（Map）**：AIを使う状況を整理し、リスクと影響を洗い出せるようにする - **測定（Measure）**：量的・質的な方法で、リスクと信頼性を評価し、監視する - **管理（Manage）**：リスクに資源を割り当てて対応し、回復や連絡の計画を立てる NIST AI RMFは、任意で使うことを前提にした枠組みです。 ### 信頼できるAIの7つの特徴 NIST AI RMFは、信頼できるAIの特徴として次の7つを挙げています。 - 妥当で信頼できる - 安全である - セキュリティが確保され、回復力がある - 説明責任を果たし、透明性がある - 説明でき、解釈できる - プライバシーに配慮している - 公平で、有害な偏りが管理されている 自社のAIの使い道を、この7つの観点で見直すと、見落としていたリスクに気づきやすくなります。 ### プロファイルと生成AIの補足文書 NIST AI RMFには「プロファイル」という考え方があります。特定の業種や用途に合わせて枠組みを当てはめたもので、いまの状態と目標の状態を比べて、差を埋める計画を立てる使い方も示されています。 2024年7月26日には、生成AI向けのプロファイル（NIST AI 600-1）が公表されました。生成AIに特有の、または生成AIで大きくなるリスクとして、作り話（事実と異なる内容をもっともらしく出すこと）、データのプライバシー、情報セキュリティ、知的財産、有害な偏り、情報の信頼性など12の項目を挙げ、対応の例を示しています。 なお、NISTのページでは、AI RMF 1.0は米国の政策（AI行動計画）の一環として改訂が進められているとしています。改訂の内容と時期は、NISTの公表を確かめてください。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「ガバナンスと法令」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## ISO/IEC 42001とは、何が違いますか？ ISO/IEC 42001は、AIマネジメントシステム（AIを責任をもって扱うための社内の管理の仕組み）の要求事項を定めた国際規格で、2023年に発行されました。日本では、技術的な内容と構成を変えずにJIS Q 42001（2025年8月20日制定）として規格化されています。 2つの違いを整理すると、次のようになります。 | 比べる点 | NIST AI RMF | ISO/IEC 42001 | |---|---|---| | 性格 | 任意で使う枠組み（考え方の整理） | 要求事項を定めた国際規格 | | 中心 | リスクの把握・測定・管理 | 方針・役割・リスク評価・内部監査・見直しを含む管理の仕組み | | 認証 | 認証の制度ではない | 認定を受けた認証機関の審査で認証を受けられる | | 向いている使い方 | リスクの洗い出しと対策の整理 | 社内の仕組みを整え、外部に示す | ISO/IEC 42001の認証は、日本では情報マネジメントシステム認定センター（ISMS-AC）が認定した認証機関が審査を行う仕組み（AIMS適合性評価制度）があります。規格の中身と準備の進め方は、「[ISO/IEC 42001（AIマネジメントシステム）の概要と準備](https://www.ai-ready.jp/guide/iso-iec-42001-guide/)」で詳しく説明しています。 国内の指針を土台に、2つの枠組みを目的で使い分けます - **土台：AI事業者ガイドライン**：AIを開発・提供・利用する会社のそれぞれが取り組むことを示す国内の指針 - **考え方の整理：NIST AI RMF**：任意で使う枠組み。リスクの洗い出しと対策の整理に向いています - **仕組みづくり：ISO/IEC 42001**：要求事項を定めた国際規格。**認証機関の審査で認証を受けられます** ## 社内では、どう進めればよいですか？ 枠組みを最初から全部取り入れる必要はありません。次の手順で、小さく始めて広げていく進め方が現実的です。 ① **責任者と体制を決める（統治）**：AIのリスク管理を誰が担うかを決めます。AI委員会のような場を設ける場合は、「[AI委員会の作り方と運営](https://www.ai-ready.jp/guide/ai-governance-committee/)」が参考になります。 ② **AIの使い道の一覧を作る（把握）**：どの部署が、どのAIを、何に使っているかを書き出します。会社が把握していない利用がないかも確かめます。 ③ **使い道ごとにリスクを書き出す（把握）**：信頼できるAIの7つの特徴や、AI事業者ガイドラインの考え方を観点にして、起こりうる問題と影響の大きさを書き出します。影響の大きい使い道から、確認を厚くします。 ④ **測り方を決める（測定）**：誤りの割合、人が直した件数、問い合わせの件数など、リスクを確かめる指標を決めます。数字で測りにくいものは、定期的な点検で確かめます。 ⑤ **対策を決め、記録する（管理）**：人による確認、使えるデータの制限、利用の停止の基準など、対策と担当を決めます。事故が起きたときの連絡と対応の手順も用意します。 ⑥ **定期的に見直す**：新しい使い道、制度の変更、事故の経験をふまえて、一覧と対策を見直します。社内の点検の進め方は、「[AIの内部点検・監査の進め方](https://www.ai-ready.jp/guide/ai-internal-audit/)」をご覧ください。 AIのリスク評価表のひな形を使うと、③〜⑤を一枚の表で整理できます。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [AIのリスク評価表](https://www.ai-ready.jp/templates/ai-risk-assessment/) ガイド - [ISO/IEC 42001（AIマネジメントシステム）の概要と準備](https://www.ai-ready.jp/guide/iso-iec-42001-guide/) - [AI事業者ガイドラインの読み方：AIを使う会社がやること](https://www.ai-ready.jp/guide/ai-business-guidelines-for-users/) - [AI委員会の作り方と運営：役割・メンバー・議題・審査の流れ](https://www.ai-ready.jp/guide/ai-governance-committee/) - [AIの内部点検・監査の進め方：社内の使い方をルールどおりか確かめる](https://www.ai-ready.jp/guide/ai-internal-audit/) - [AIを使い続けるための運用と見直し：利用状況・品質・リスクを定期的に確かめる](https://www.ai-ready.jp/guide/ai-operation-monitoring/) - [AIの不具合・事故への備えと対応：平時の準備と、起きたときの流れ](https://www.ai-ready.jp/guide/ai-incident-management/) 用語 - [NIST AI RMF](https://www.ai-ready.jp/glossary/nist-ai-rmf/) - [ISO/IEC 42001](https://www.ai-ready.jp/glossary/iso-iec-42001/) - [AIマネジメントシステム](https://www.ai-ready.jp/glossary/ai-management-system/) - [リスクベースアプローチ](https://www.ai-ready.jp/glossary/risk-based-approach/) - [AIガバナンス](https://www.ai-ready.jp/glossary/ai-governance/) ## よくあるご質問 QNIST AI RMFは、日本の会社も従う必要がありますか？ ANIST AI RMFは、米国の国立標準技術研究所（NIST）が公表した枠組みで、任意で使うことを前提にしています。日本の会社に従う義務があるものではありませんが、AIのリスクを整理する考え方として参考にできます。海外の取引先とリスク管理について話すときの共通の言葉にもなります。 QNIST AI RMFとISO/IEC 42001は、どちらを使えばよいですか？ A目的によって使い分けると整理しやすくなります。NIST AI RMFはリスクを把握し、測り、対応する考え方の整理に向いています。ISO/IEC 42001は方針・役割・内部監査などを含む管理の仕組みを定めた規格で、第三者の認証を受けることもできます。まず国内のAI事業者ガイドラインを土台にし、必要に応じて参考にする進め方が現実的です。 Q小さな会社でも、リスク管理の枠組みは使えますか？ ANIST AI RMFは、規模や業種を問わず柔軟に使えることを目指したものとされています。最初から全部を取り入れる必要はありません。AIの使い道の一覧を作り、使い道ごとにリスクと対策を書き出し、定期的に見直すところから始められます。 ## この記事に出てくる用語 - [AI事業者ガイドライン](https://www.ai-ready.jp/glossary/ai-guidelines-for-business/) - [NIST AI RMF](https://www.ai-ready.jp/glossary/nist-ai-rmf/) - [ISO/IEC 42001](https://www.ai-ready.jp/glossary/iso-iec-42001/) - [ソフトロー](https://www.ai-ready.jp/glossary/soft-law/) - [生成AI](https://www.ai-ready.jp/glossary/generative-ai/) - [AIマネジメントシステム](https://www.ai-ready.jp/glossary/ai-management-system/) - [ISMS（ISO/IEC 27001）](https://www.ai-ready.jp/glossary/isms/) - [リスクベースアプローチ](https://www.ai-ready.jp/glossary/risk-based-approach/) - [AIガバナンス](https://www.ai-ready.jp/glossary/ai-governance/) ## 「ガバナンスと法令」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/) [広げる／ガバナンスと法令AIで作った名前・ロゴと商標の確認石田誠2026-11-12](https://www.ai-ready.jp/guide/trademark-and-ai-creations/)[広げる／ガバナンスと法令AIで作る広告と景品表示法の注意嵐保憲2026-11-12](https://www.ai-ready.jp/guide/advertising-law-and-ai/)[定着させる／ガバナンスと法令AIの不具合・事故への備えと対応：平時の準備と、起きたときの流れ石田誠2026-11-12](https://www.ai-ready.jp/guide/ai-incident-management/) ## 出典 1. [NIST「AI Risk Management Framework」](https://www.nist.gov/itl/AI-risk-management-framework) 2. [NIST「Artificial Intelligence Risk Management Framework (AI RMF 1.0)」NIST AI 100-1（2023年1月）](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf) 3. [NIST「Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile」NIST AI 600-1（2024年7月）](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf) 4. [日本規格協会「JIS Q 42001:2025」規格票プレビュー](https://webdesk.jsa.or.jp/preview/pre_jis_q_42001_000_000_2025_j_ed10_ch.pdf) 5. [情報マネジメントシステム認定センター（ISMS-AC）「Overview of the AIMS conformity assessment scheme」](https://isms.jp/english/aims/about.html) 6. [総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. なぜ、リスク管理の枠組みが必要なのですか？ 2. NIST AI RMFは、どんな枠組みですか？ 3. ISO/IEC 42001とは、何が違いますか？ 4. 社内では、どう進めればよいですか？ 5. チェックリスト 6. よくあるご質問 この記事が扱う柱 主に「ガバナンスと法令」 [ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001）｜AI-Ready.jp」 https://www.ai-ready.jp/guide/ai-risk-management-framework/