ISO/IEC 42001（AIマネジメントシステム）の概要と準備
この記事の結論
ISO/IEC 42001は、AIを責任をもって扱うための社内の管理の仕組み（AIマネジメントシステム）を定めた国際規格です。認証を目指すかどうかは取引先の要望や事業の内容で判断し、まずは範囲を決めて、いまの仕組みとの差を確かめるところから準備を始めます。
自社の「ガバナンスと法令」の準備度は？10問・約3分で確かめる（無料・登録不要）
AIを使ったサービスの提供や、取引先からの問い合わせをきっかけに、ISO/IEC 42001という規格名を目にする機会が増えています。この記事では、規格の構成と日本での認証の仕組み、準備の進め方を、規格票のプレビューと認定機関の公開情報にそって整理します。
この記事でわかること
- ISO/IEC 42001の目的と、規格の構成
- 日本での認証の仕組み（AIMS適合性評価制度）
- 認証を目指す場合と、参考にとどめる場合の準備の進め方
ISO/IEC 42001とは、どんな規格ですか？
ISO/IEC 42001は、AIマネジメントシステム（AIMS）の要求事項を定めた国際規格で、2023年に第1版が発行されました。日本では、技術的な内容と構成を変えずに、JIS Q 42001として2025年8月20日に制定されています。
規格は、組織がそれぞれの状況に応じて、AIマネジメントシステムを確立し、実施し、維持し、継続的に改善するための要求事項を定めています。AIを使った製品やサービスについて、利用、開発、監視、提供といった組織の役割を、責任をもって果たせるよう支援することを意図したものとされています。
ポイントは、個々のAIの性能を認定する規格ではなく、AIを扱う「会社の仕組み」を対象にした規格であることです。
規格は、どんな構成になっていますか？
規格の本文は、箇条4から箇条10に要求事項が並んでいます。
| 箇条 | 主な内容 |
|---|---|
| 4 組織の状況 | 組織と状況の理解、利害関係者の要求、AIMSの適用範囲の決定 |
| 5 リーダーシップ | 経営者の関与、AI方針、役割・責任・権限 |
| 6 計画 | リスクと機会への取り組み、AIの目標と計画、変更の計画 |
| 7 支援 | 資源、力量、認識、コミュニケーション、文書化した情報 |
| 8 運用 | 運用の計画と管理、AIのリスク評価、AIのリスク対応、AIシステムの影響評価 |
| 9 パフォーマンス評価 | 監視・測定・分析・評価、内部監査、マネジメントレビュー |
| 10 改善 | 継続的な改善、不適合と是正処置 |
本文のほかに、4つの附属書があります。
- 附属書A（規定）：参照する管理目的と管理策
- 附属書B（規定）：AIの管理策の実施の手引き
- 附属書C（参考）：組織のAIに関する目標とリスク源の例
- 附属書D（参考）：さまざまな分野でのAIMSの使い方
AIに特有の点として、箇条8に「AIのリスク評価」「AIのリスク対応」に加えて「AIシステムの影響評価」が含まれています。AIが個人や社会に与える影響を考える手順が、仕組みの中に組み込まれている点が特徴です。
ISO/IEC 42001の要求事項の流れ（箇条4〜10）
- 決める（箇条4〜6）適用範囲、AI方針と役割、リスクと機会への取り組み、AIの目標
- 支える（箇条7）資源、力量、認識、コミュニケーション、文書化した情報
- 動かす（箇条8）AIのリスク評価・リスク対応に加えて、AIシステムの影響評価
- 確かめて直す（箇条9〜10）監視・測定、内部監査、マネジメントレビュー、継続的な改善と是正処置
本文のほかに、管理目的と管理策（附属書A）、その実施の手引き（附属書B）などの附属書があります。
日本では、どのように認証を受けられますか？
日本では、情報マネジメントシステム認定センター（ISMS-AC）が「AIMS適合性評価制度」を運営しています。制度の概要は次のとおりです。
- 認証の基準は、ISO/IEC 42001:2023（JIS Q 42001:2025）です。
- ISMS-ACは、認証機関を認定します。ISMS-AC自身は組織の認証を行わないとしています。
- 認定を受けた認証機関が、組織のAIマネジメントシステムを審査し、認証します。
- AIMSの審査員を認証・登録する機関もあり、ISMS-ACはその能力を評価しています。
ISMS-ACは、AIMSのほかに、ISMS・ITSMS・BCMS・PIMSなどの制度も運営しています。審査の進め方や費用、期間は認証機関によって異なるため、複数の認証機関に問い合わせて確かめます。
認証を目指すべきか、どう判断すればよいですか？
認証を受けるかどうかは、各社の判断です。次のような点を考えて決めます。
| 認証を検討する理由の例 | 参考にとどめる理由の例 |
|---|---|
| 取引先や入札の条件で求められている | 社内の利用が中心で、外部に示す必要が小さい |
| AIを使ったサービスを提供し、信頼を示したい | まず社内の体制を整えることを優先したい |
| すでにISMSなどを運用し、仕組みを広げやすい | 審査と維持にかける人手を確保しにくい |
認証を受けない場合でも、規格の構成は、AIの管理の仕組みに何が必要かを点検する一覧として使えます。国内では、総務省・経済産業省の「AI事業者ガイドライン」（第1.2版、2026年3月31日）が、AIを開発・提供・利用する会社の取り組みを示しています。国内の指針を土台にし、規格で抜けを確かめる使い方もできます。
準備は、どう進めればよいですか？
認証を目指す場合も、参考にとどめる場合も、次の手順で進めると整理しやすくなります。
① 範囲を決める：どの事業、どのAIのサービスを対象にするかを決めます。箇条4の「適用範囲の決定」にあたる作業です。最初は対象を絞ると進めやすくなります。
② 自社の役割を確かめる：AIを使う立場か、開発する立場か、提供する立場かを整理します。役割によって、確かめるリスクや管理策が変わります。
③ いまの仕組みとの差を確かめる：箇条4〜10と附属書Aの管理策に照らして、すでにあるもの（利用ルール、委員会、リスク評価、記録など）と、足りないものを書き出します。ISMSを運用している会社は、方針・内部監査・マネジメントレビューなどの経験を生かせる場合があります。
④ AI方針と役割を決める：経営者の関与のもとでAI方針を定め、責任者と役割を決めます。AI倫理方針（AIポリシー）をすでに作っている場合は、整合を確かめます。
⑤ リスク評価と影響評価を行う：AIの使い道ごとに、リスクを評価して対応を決め、AIシステムが個人や社会に与える影響を評価します。リスクの洗い出しには、NIST AI RMFの考え方も参考になります。
⑥ 運用し、記録を残す：決めたルールと手順で運用し、規格が求める文書化した情報を残します。
⑦ 内部監査とマネジメントレビューを行う：仕組みが決めたとおりに動いているかを内部監査で確かめ、経営者が結果を見直します。改善が必要な点は是正処置につなげます。
⑧ 認証を受ける場合は、認証機関を選んで審査を受ける：審査の流れと準備の期間は、認証機関に確かめます。
準備の進め方の目安
審査の流れと準備の期間は、認証機関に確かめます。
チェックリスト
関連するひな形・ガイド・用語
ガイド
よくあるご質問
QISO/IEC 42001の認証は、取らなければいけないものですか？
AISO/IEC 42001は国際規格で、認証を受けるかどうかは各社の判断です。取引先から求められている、AIを使ったサービスを提供していて信頼を示したい、といった理由があるときに検討します。認証を受けなくても、規格の考え方を社内の仕組みづくりの参考にすることはできます。
Q日本では、どこが認証をしていますか？
A日本では、情報マネジメントシステム認定センター（ISMS-AC）がAIMS適合性評価制度を運営し、認証機関を認定しています。組織の審査と認証は、認定を受けた認証機関が行います。ISMS-AC自身は組織の認証を行わないとしています。
QISMS（ISO/IEC 27001）を取っている会社は、何を生かせますか？
AISO/IEC 42001も、方針、リスクの評価、内部監査、マネジメントレビューといったマネジメントシステムの仕組みを求めています。ISMSでこうした仕組みを運用している会社は、その経験を生かせる場合があります。一方で、AIシステムの影響評価など、AIに特有の要求事項もあるため、差を確かめて準備します。
この記事に出てくる用語
「ガバナンスと法令」のほかの記事
この柱の解説 →出典
- 日本規格協会「JIS Q 42001:2025」規格票プレビュー
- 情報マネジメントシステム認定センター（ISMS-AC）「Overview of the AIMS conformity assessment scheme」
- NIST「AI Risk Management Framework」
- 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）
最終確認日：2026-11-12