ISO 42001 / C-Suite User Manual雑感

０　はじめに

　ISO/IEC 42001は、これまでも何度も取り上げてきている。情報セキュリティのISO/IEC 27001が「情報の守り方」を組織に要求したように、42001は「AIの扱い方」を組織に要求する。ここで重要なのは、AIが賢いかどうかではなく、組織が賢く振る舞えるかどうかである。AIは道具だが、道具が事故を起こすときに問われるのは、人間側の段取りと意思決定である。

　最近、ISO 42001実装のためのC-suite向けユーザーマニュアルが共有されていた。冒頭で「リーダーシップ全体で共通の理解を確立し、AIガバナンスのクロスファンクショナルな性質を強化する」と目的を置き、ISO 42001（AIマネジメントシステムの国際標準）を「複雑な要件から実行可能なガイダンスへ」移す、と宣言する（注）。さらに「AIガバナンス・ギャップはビジネスリスクである」として、規制、運用、戦略、法的責任等に跨る曝露を列挙し、ISO 42001を「責任あるAIイノベーションを可能にしつつリスクを管理する」構造化手段として位置付ける（注）。この立ち上げ方は、AI倫理の美辞麗句から、経営の実践へ一気に動き出させる力がある。

１　「マネジメントシステム」は法務の敵か味方か

　実務家は、ともすると「標準」をチェックリストと誤解する。もちろん、チェックリストはある。しかもこのマニュアルは、契約テンプレートや監査ツールまで用意する技術付録（テンプレート集）を備え、実装の摩擦係数を下げる設計になっている（注）。だが、マネジメントシステム標準の本体は「証拠を生む仕組み」である。組織として何を決め、どう監督し、何を記録し、何を改善したか。後から説明できる形にしておく。マニュアルも「透明性とドキュメンテーション」を運用原則に据え、意思決定やリスク評価の記録を求め、監査と説明責任を可能にする、とする（注）。

　ここで少し意地悪に言うと、実務が欲しいのは「正しいAI」ではなく「守れる説明」である。もっと言えば、裁判官や当局が納得する実践である。マニュアルが「ISO 42001は法的に必須ではないことが多いが、デュー・ディリジェンスを示し、法的挑戦に備えた防御可能なガバナンス枠組みを提供する」としつつ、同時に「責任を免除するものではなく、GCは高リスクシステムごとに法的曝露を評価すべきだ」と釘を刺すのは、その現実感覚ゆえである（注）。標準は免罪符ではない。しかし、免罪符ではないからこそ、標準は強力なアイテムになる。つまり、強力なアイテムとは、手続と証拠である。

２　チームスポーツとしてのガバナンス

　このマニュアルが繰り返す比喩は「AIガバナンスはチームスポーツ」である。成功要因として、月次以上のクロスファンクショナル会議を要求するだけでなく（注）、運用原則でも「単一部門がAIガバナンスを所有しない」「引継ぎ（handoffs）で壊れやすい」と明示する（注）。さらに、実務としては、リスク分類のトリアージ、月次のAIリスクレビュー、四半期のAIガバナンス・ボードといった定例会議を設計し、エスカレーション経路まで描く（注）。

　ここが法と技術の接点である。AIの失敗はモデルの中だけで完結しない。企画が走り、開発が走り、運用が走り、法務が追いかけ、監査が遅れて合流し、どこかでバトンが落ちうる。マニュアルが「失敗は戦略、実装、セキュリティ、リスク管理、法的コンプライアンスの引継ぎで起きがちであり、サイロ化ではなく能動的協働が必要だ」と述べる（注）。ガバナンスは規範の話であると同時に、コミュニケーション・デザインの話でもあるといえよう。

３　リスク許容度という社内憲法

　経営が決めるべきこととして、このマニュアルはまず「リスク許容度（risk appetite）」を挙げる。技術・法務・運用・レピュテーションに跨るAIリスクの許容水準、そして「どのユースケースを禁止するか」を、CEO・CRO・GCの共同意思決定事項とする（注）。この一文は重い。なぜならリスク許容度とは、単なるリスク管理のパラメータではなく、組織の価値観を手続に落とす行為だからである。

　リスク許容度が曖昧な組織では、二つのリスクが同時に起こる。一つは「分析麻痺」で、レビューが無限に続き、結局誰も決めないことである。もう一つは「ガバナンス債務」で、まず出してから後で直す、が常態化する。マニュアルはこの両方を典型的失敗として挙げ、時間制限のあるレビュー、明確な決定基準、リスク階層型のガバナンス等を処方する（注）。そして、運用原則として「リスク比例（risk-proportional）」を掲げ、「ワンサイズ・フィッツ・オールの官僚主義を避けよ」と言う（注）。ここでの敵はAIではなく、自己満足の仕事とも言い換えられるかもしれない。

４　リスク分類と「人間の介入」の設計

　リスク比例をやるには、まず分類がいる。マニュアルは、影響の重大性、意思決定の自律性（人間の監督があるか）、法規制、技術的複雑性、規模等の要素を挙げ、Critical/High/Moderate/Lowの階層に応じて、承認主体、モニタリング頻度、説明可能性、そして「人間の監督」を要求する（注）。ここで「人間の監督」は、倫理の綺麗事ではなく、設計要件である。どの段階で人が介入し、どのトリガーでエスカレーションし、誰が最終責任を負うのか。これを定義しない限り、「人間が見ている」はただの祈りに似たものになる。

　その意味で、AIガバナンス・ボード（CEO、CTO、CIO、CISO、CRO、GC等で構成）に高リスク案件の承認権限を与え、意思決定マトリクスで「誰が決め、誰に相談し、誰に通知するか」を定める設計は、極めて実践的である（注）。意思決定の所在が明確でなければ、説明責任は霧散する。霧散した説明責任は、だいたい最後にGCへ降ってくる。そうならないための仕組みが、先に置かれている。

５　規制は増える。だから適応を標準化する

　このマニュアルは、ISO 42001を単独の標準としてではなく、他の枠組みへの土台として捉える。ISO 42001はNIST AI RMFやEU AI Act等とも整合し得るので、GCは個別規制の義務をISO 42001の管理策へマッピングすべきだ、という（注）。さらに、地域別の規制動向の監視（monitoring）をGCの責務とし、可能なら「最も厳しい基準に合わせて統治する」戦略も提示する（注）。そして付録では、EU AI Act、GDPR、米国州法等を想定したコンプライアンス・チェックリストまで用意する（注）。

　ここで一つ注意したい。規制の増殖に対する反応として、標準を「万能のコンプライアンス装置」と誤認すると、ガバナンス・シアター（見せかけの統治）になりやすい。マニュアル自身が、リスクベースで「価値のない官僚主義」を避けよ、と明言している（注）。標準は、法令を置換するものではない。法令を読めない組織に、標準だけ渡しても事故は減らない。だが、法令を読める組織に標準を渡すと、証拠の生成と改善のループが回り始める。この差は大きい。

６　認証と監査というバッジの重さ

　経営層が最後に悩む問いの一つが「認証を取るか」である。マニュアルも、ISO 42001を外部認証まで行くのか、内部フレームワークとして使うのかをCEOの意思決定事項に置く（注）。認証は、信頼のためのシグナルとして強力である。他方で、シグナルは嘘をつくと反動が大きい。整っていないのに「ISO準拠」をうたえば、広告表示や説明義務の文脈で別の火種になる。だからこそ、内部監査の現実が重要になる。マニュアルが内部監査プロセス（計画、フィールドワーク、報告、フォローアップ）と、条項別の監査チェックリストを詳細に用意しているのは、認証が「書類の山」ではなく「証拠の束」で支えられるという理解に立つからである（注）。

　加えて、第三者ベンダのAIは「見えない穴」になりやすい。マニュアルは、ベンダAIを統治範囲に含め、監査アクセスや責任条項を契約で確保し、第三者リスク管理として評価せよ、と繰り返す（注）。そしてGCの対CRO連携として、契約のみならず保険等を用いたリスク移転（transfer）まで視野に入れる（注）。ここはAIガバナンスが、技術規範でも倫理規範でもなく、まっとうに企業法務だということを思い出させる。

７　雑感　標準は法律ではない。しかし法の予告編ではある

　C-suite向けに書かれたこのマニュアルの良さは、AIガバナンスを「技術プロジェクトではなく、経営の戦略命題」と言い切るところにある（注）。そして、どのように国家がAIの法的スタンダード・オブ・ケア（注意義務の基準）を構築しようとも、開発者・提供者・利用者が「構造化され説明可能な自己評価」を採用しなければならない、という問題設定が、冒頭の献辞（Contribution）にまで刻まれている（注）。

　法は遅い。AIは速い。よく聞く言葉である。だが、ここで面白いのは、標準がその速度差の変換器になり得る点である。標準は未来予言ではない。だが、規制が要求するであろう要素、責任分界、リスク評価、監督、記録、監査、改善を、先に組織の運動習慣にしてしまう。そういう意味で、ISO 42001は法律そのものではないが、法の予告編ではあると捉えられる。予告編を見たから本編を理解した気になるのは危険だが、予告編を見ずに本編に突入するのは、だいたいもっと危険であるといえよう。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。