取引先からAIの管理体制について問われる機会が増えています。「そのAIは何を学習しているのか」「出力を誰が確認しているのか」「事故が起きたとき誰が責任を負うのか」。契約前のチェックリストにAI関連の項目が並ぶようになりました。
こうした問いにまとめて答える枠組みが、ISO/IEC 42001です。2023年12月18日に発行された、AIマネジメントシステム（AIMS）の国際規格になります。日本語版はJIS Q 42001:2025として制定されています。
何を要求する規格か
ISO/IEC 42001は、AIを開発・提供・利用する組織が、AIを管理する仕組みを構築し、運用し、改善し続けることを求めます。AIの精度を保証する規格ではなく、AIを管理する体制があることを示す規格です。
要求事項は4章から10章に置かれています。4章が適用範囲の決定、5章がリーダーシップ、6章以降が計画・支援・運用・評価・改善というPDCAの流れです。この構造は、ISO/IEC 27001（情報セキュリティ）やISO 9001（品質）と共通しています。すでに他のマネジメントシステム規格を運用している組織であれば、内部監査やマネジメントレビューの仕組みを共用できます。
附属書Aには、組織が選択・実施すべき管理策が一覧で示されています。AIの利用方針、役割と責任、AIシステムのライフサイクル管理、データの管理、利害関係者への情報提供といった項目が並びます。ISO/IEC 27001の附属書Aと同じ位置づけの構成です。
日本の制度との関係
日本では2025年6月4日にAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）が公布され、同年9月1日に全面施行されました。内閣総理大臣を本部長とする人工知能戦略本部が設置され、AI基本計画が2025年12月23日に閣議決定されています。
この法律には、事業者に対する罰則規定がありません。AIの研究開発と活用を推進しながらリスクにも対応するという枠組みで、悪質な事業者には指導・助言で対応する構成です。個別の規律は、既存の著作権法や個人情報保護法などを組み合わせて働きます。
経済産業省と総務省の「AI事業者ガイドライン」も、法的拘束力を持つものではありません。罰則がなく、拘束力もない。この状態で「うちはAIを適切に管理しています」と取引先に説明しようとすると、根拠になる外部の物差しがありません。
ISO/IEC 42001が使われるのは、この空白を埋める場面です。国内法が要求していない段階で、国際規格に準拠していることを示せる。調達側から見れば、自社で監査するより認証を確認するほうが早い。
労務・給与業務に当てはめると何が要るか
給与計算や社会保険の手続きにAIを使う場合、規格の要求は具体的な作業に落ちます。
AI利用の棚卸し。 どの業務で、どのAIを、誰が、どのデータを使って動かしているかを台帳にします。部門が個別に導入したツールや、担当者が個人契約で使っている生成AIも対象です。管理対象を把握していない状態では、他の管理策が機能しません。
データの取り扱い範囲の明示。 給与データには個人情報が含まれます。どのデータをAIに渡し、どのデータを渡さないか。渡したデータが学習に使われるのか使われないのか。この2点を、サービスごとに確認して記録します。
人による確認点の設定。 AIの出力をそのまま従業員に届く数字にしない、という工程設計です。どの段階で人が確認し、何を根拠に承認したかを残します。当社が給与計算の検証工程で特許を出願しているのも、この「機械が異常を挙げ、人が根拠を確認する」という構造そのものです。
インシデント対応の手順。 AIの出力に誤りがあった場合の検知、影響範囲の特定、是正、記録。給与の誤支給は労働債権に関わるため、事後の是正手順が定まっていることが要求されます。
定期的な見直し。 AIのモデルは更新され、法令も変わります。一度作った基準が翌年も妥当とは限りません。見直しの周期と担当を決めておきます。
認証を取る前にできること
認証の取得には準備期間と費用がかかります。ただし、上に挙げた項目は認証を取らなくても着手できます。
特に効果が出るのはAI利用の棚卸しです。台帳を作ろうとすると、把握していなかったツールが出てきます。「この部署はこのサービスに顧客データを入れていた」という発見が、最初の1回でほぼ必ず起こります。これは規格対応のためというより、事故を1件減らすための作業です。
当社グループでも、AI利用の台帳整備とISO/IEC 42001の取得準備を進めています。整備の過程で分かったのは、台帳が「規格のための書類」ではなく「今どのAIに何を任せているかを説明できる資料」として機能するということでした。取引先からの問い合わせに、その場で答えられるようになります。
まとめ
ISO/IEC 42001は、AIの正しさを保証する規格ではなく、AIを管理する仕組みがあることを示す規格です。日本のAI推進法に罰則がなく、ガイドラインに拘束力がない現状では、対外的に体制を説明する物差しとして使えます。
労務・給与の領域で求められるのは、AI利用の棚卸し、データの取り扱い範囲の明示、人による確認点の設定、インシデント対応、定期的な見直しの5つ。認証の取得を決める前に、棚卸しから始めるのが現実的です。
AIの出力を人がどう確認するかという設計については「AIの精度が不安」を解消するガードレール設計入門、法令改正を継続的に追う仕組みについては法改正対応をAIエージェントに任せる時代がやってきたをあわせてご覧ください。
お問い合わせ： WorkRulesアーキテクチャーズ株式会社
AIエージェント特化型｜BPO契約企業180社超｜SRPⅡ認証取得｜特許出願済み10件
