SGSによる世界初のISO/IEC 5259-3認証発行 / AIガバナンスにおける「データ品質」の法的・実務的転回点 / 42001との階層構造雑感

0 はじめに

　今回は以下の続編的な位置付けも有する。いずれも1分で読める内容である。

　AIガバナンスの議論において、2025年は「実装」の年であったと言えるだろう。これまで理念や原則、あるいはハイレベルなリスクベース・アプローチの議論に終始していた界隈が、具体的な国際規格（ISO/IEC）と各国の法規制との接続（Harmonized Standards）という実務的なフェーズへ急速に移行しつつある。

　そのような中、2025年11月、検査・認証機関の最大手であるSGSが、世界初となるISO/IEC 5259-3（AIデータ品質管理）の認証をAI Clearing社に対して発行したというニュースが飛び込んできた。AI Clearing社は、建設インフラ向けのAI分析を提供する企業であり、既にISO/IEC 42001（AIマネジメントシステム：AIMS）の認証も取得している、いわば「ガバナンス優等生」のように自分には見える。

　今回は、このニュースを単なる一企業の慶事としてではなく、AI法規制における「データガバナンス」が、抽象的な努力義務から、客観的な認証可能な対象へと変質した「転換点」として捉え直し、その法的・実務的含意について、ISO 42001との関係性も踏まえつつ検討する。AIコンプライアンスの最前線にある実務家、あるいは法と技術の接点に関心を持つ者にとっては、看過できない動向であるはずだ。

1 ニュースの概要とISO/IEC 5259-3の位置づけ

　まず、事実関係を整理する。SGSは、AI Clearing社に対し、ISO/IEC 5259-3の認証を授与した。同社は既にISO/IEC 42001（AIMS）の認証を取得済みであり、今回の認証によって、AIガバナンスの「外枠（マネジメントシステム）」だけでなく、その中身である「燃料（データ）」の品質管理についても、国際規格レベルでの適合性を証明したことになる。

　ここで、ISO/IEC 5259シリーズについて詳述しておく必要がある。これは「分析および機械学習（ML）のためのデータ品質（Data quality for analytics and machine learning）」に関する一連の規格群である。一般にAIの性能はデータの質に依存すると言われるが（"Garbage In, Garbage Out"）、5259シリーズはこれを工学的かつ管理可能なプロセスとして定義しようとする試みである。

　今回認証された「Part 3（5259-3）」は、個別のデータの「質」そのものを測る（Part 2）だけでなく、組織として「高品質なデータを継続的に生み出し、維持する管理体制」が構築されているかを問うものである。これは、偶発的に良いデータセットができたことを褒めるものではなく、「明日も明後日も、一定の品質基準を満たすデータを生産できる能力（Capability）」に対する認証である点が極めて重要である。

　SGSのプレスリリースによれば、今回の監査では、「データ取得とラベリングのプロセス」「データ品質のメトリクスと管理」「データセットのトレーサビリティ（追跡可能性）と監査可能性」「MLモデル開発への統合プロセス」などが詳細にレビューされたとされる。特に「ラベリングプロセス」や「トレーサビリティ」が監査対象に含まれている点は、MLOps（Machine Learning Operations）の実務において重い意味を持つ。

2 EU AI Actと「不可能な義務」の解釈論

　AIと法の文脈において、なぜこの認証が重要なのか。それは、EU AI法（EU AI Act）等のハードローが課す厳格なデータガバナンス義務と、技術的現実との間の「解釈の橋渡し」をする役割を担うからである。

　EU AI法第10条は、高リスクAIシステム（High-Risk AI Systems）に対して「データガバナンス」に関する詳細な要件を課している。そこでは、学習・検証・テストデータセットが「適切（relevant）」で「代表性（representative）」があり、「エラーがない（free of errors）」こと等が求められている。 　

しかし、法学徒やエンジニアならば即座に疑問を抱くはずだ。数億、数十億のパラメータを持つモデル、あるいはペタバイト級の学習データにおいて、「完全にエラーがない（free of errors）」状態など、確率論的なMLの世界において存在するのか、と。

　完全無欠なデータなど存在しない以上、法が求めているのは「結果としての無欠性」ではなく、「無欠性に近づくための適切な管理プロセス」であると解釈せざるを得ない。立法者も神ではないため、不可能なことを強いているわけではなく、State of the Art（技術の最先端）に照らして合理的に期待される水準の管理を求めていると解釈するのが自然である。

　ここで、ISO/IEC 5259-3が登場する。同規格は、データの収集、前処理、ラベリング、保管といったライフサイクル全体において、組織がどのように品質を担保し、問題を検知し、改善しているかという「管理体制」を規定する。 　

　つまり、企業が規制当局に対して「我々のデータは適切である」と主張する際、これまでは「頑張って目視確認した」という主観的な説明しかできなかったものが、今後は「ISO/IEC 5259-3の認証を取得しており、国際標準に準拠したプロセスで管理されている」という客観的な証明（エビデンス）を提示できるようになる。これは、立証責任の転換や、説明責任の履行において、極めて強力な武器となる。欧州委員会が今後制定する整合規格（Harmonised Standards）において、ISO/IEC 5259シリーズが参照される、あるいはその考え方が大幅に取り入れられることは想像に難くない。

3 ISO/IEC 42001（AIMS）との「同心円」的関係とシナジー

　本件において特筆すべきは、認証を受けたAI Clearing社が、既にISO/IEC 42001（AIMS）を取得していた点である。 　

　ISO/IEC 42001は、AIシステムを開発・提供・利用する組織のための「マネジメントシステム（AIMS）」規格である。これは、組織のリスク管理、リーダーシップ、運用管理といった「ガバナンスの器」を作るものであり、ISO 9001（品質）やISO 27001（情報セキュリティ）のAI版と考えてよい。

　他方、ISO/IEC 5259-3は、その器の中に入れる「データ」という特定の要素に焦点を当てた、より深掘りした規格である。筆者はこれを「同心円」あるいは「階層構造」として理解すべきだと考える。

　SGSのプレスリリースでも言及されている通り、42001が「組織のコントロールとリスク管理プロセス」を定義するのに対し、5259-3は「AIモデルで使用されるデータの正確性、追跡可能性、適合性」を保証するものである。両者は相互補完的であり、42001という「憲法」の下に、5259-3という「個別法」が運用されるイメージに近い。 　企業法務の視点からは、まずは全社的な42001の取得を目指し、特にデータ依存度の高いプロダクトや、EU AI法上の高リスクAIに該当するシステムについては、追加的に5259-3の準拠を目指すという「二段構え」の戦略が、今後のグローバル・スタンダードになる可能性が高い。この二重構造のガバナンスは対外的な信頼性をまたらす。

4 「説明可能なAI」から「監査可能なデータ」へのパラダイムシフト

　技術的なトレンドとして、AI開発の主戦場が「モデル中心（Model-Centric）」から「データ中心（Data-Centric）」へと移行していることも、本規格の重要性を後押ししている。 　

　かつては、固定されたデータセットに対してモデルのアルゴリズムを改良することで精度向上を目指すアプローチが主流であった。しかし、現在は、むしろ入力データのノイズ除去、ラベルの整合性確保、エッジケースの網羅といった「データエンジニアリング」の質こそが、最終的なAIシステムの性能と安全性を決定づけるという認識が定着しつつある。

　大袈裟かもしれないが、ISO/IEC 5259-3は、この「データ中心AI」の思想を、エンジニアの暗黙知や職人芸から、監査可能な組織プロセスへと昇華させるものである。 　

　例えば、教師あり学習における「ラベリング（アノテーション）」の品質管理を考えてみルト、複数のアノテーターが同一の画像に異なるタグを付けた場合、AIは混乱する。5259-3に基づく管理体制では、こうしたラベリングの不一致（Disagreement）を検知し、解決するための手順、アノテーターの教育、品質基準の定義書（ガイドライン）の版管理などが体系化されていることが求められるはずである。

　また、法的責任の観点からも、「監査可能なデータ（Auditable Data）」は極めて重要である。AIが差別的な判断を下したり、ハルシネーション（幻覚）によって誤情報を拡散させたりした場合、製造物責任（PL）や不法行為責任が問われる可能性がある。その際、「我々はデータの品質管理について、国際標準に基づく十分な注意（Due Diligence）を払っていた」と主張できるか否かは、過失の認定において決定的な差を生む。 　

　ISO/IEC 5259-3は、AIのブラックボックス問題に対し、「入力データのホワイトボックス化（透明化）」によって信頼を担保するという、現実的な解を提示しているとも言える。

5 日本企業への示唆：ソフトローの限界と「認証」の壁

　ひるがえって日本の状況を鑑みるに、このニュースは日本企業にとっても対岸の火事ではない。 　

　日本政府は「AI事業者ガイドライン」等を整備し、ソフトローベースのアジャイル・ガバナンスを推進している。これは柔軟性があり、イノベーションを阻害しないという点では優れている。しかし、グローバルサプライチェーンに組み込まれている日本企業、あるいはEU市場への展開を狙うAIベンダーにとって、国際標準への準拠は事実上のパスポートとなる。

（参考）

　特に、製造業やインフラ産業（今回認証を受けたAI Clearing社もインフラ分析企業である）において、AIの判断ミスは物理的な損害に直結する。日本の現場の高品質なデータを、AI開発における競争力として転換するためには、そのデータが「ISO基準で管理されたプロセスから生まれたものである」というお墨付きを得ることが、品質保証の観点から不可欠になってくるだろう。 　

　欧州企業がISO/IEC 42001や5259-3の認証を武器に「信頼できるAI」としてマーケティング攻勢をかけてきたとき、日本企業が「社内のガイドラインでしっかりやっている」と答えるだけで対抗できるか。B2Bの調達要件としてこれらの認証が求められる未来は、そう遠くないように思われる。

　以下の点が実務的な検討課題となる。 　

　第一に、データ契約における品質保証条項の精緻化である。従来、データ提供契約においては「現状有姿（As-Is）」での提供が一般的であり、品質保証は免責されることが多かった。しかし、5259-3のような基準が普及すれば、データライセンス契約において、「ISO/IEC 5259-3に準拠した管理プロセスを経たデータであること」が表明保証（R&W）として求められる場面が増えることが予想される。 　

　第二に、M&Aや投資におけるデューデリジェンスの深化である。AI企業の価値評価において、データ資産の量だけでなく、その「管理プロセスの質」を確認する基準として、本規格が参照されることになるだろう。

6 雑感

　ISO/IEC 5259-3の世界初認証は、AIガバナンスが神学論争の時代を終え、会計監査のような厳密で退屈だが不可欠な実務の時代に入ったことを告げるものといえる。法は遅いが、規格は動いている。そしてビジネスはさらに速い。 　

 「データ品質」という、これまでエンジニアの良心や職人芸に委ねられていた領域に、ISOという規律が及び、それがSGSという第三者機関によって認証されたこと。この変化を敏感に感じ取り、自社のガバナンス体制に組み込めるか否かが、2020年代後半のAI事業の成否を分ける分水嶺となるだろう。

　AIはデータと計算資源とロジックの集合体である。その構成要素であるデータに対し、法的な規律と管理の網をかけることは、AIを社会的に受容可能なものにするための不可避のプロセスである。我々実務家は、AIの出力結果（アウトプット）だけに目を奪われるのではなく、その源流であるデータの出所がいかに管理されているか、そのパイプラインの健全性にこそ、より一層の注意を払うべき時が来ているといえよう。

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。