【冬季集中講義】ISO/IEC 42001:2023をざっくり読む(箇条8）

おはようございます！マネジメントオフィスいまむらの今村です。

冬季休業中の集中講義「ISO42001ざっくり解説」です。今日は箇条8「運用」についてざっくり説明します。

スポンサーリンク

これまでの連載記事はこちら

8.1 運用の計画及び管理

ここではまず、AIマネジメントシステムに関連する全ての必要なプロセスを計画することを求めています。「全ての必要なプロセス」というのは、①この規格の要求事項に対して、それを実施するプロセス（作業・業務・管理）と、②組織が必要だと認めるプロセス（作業・業務・管理）のことをいいます。

例えば、箇条7.2では力量を管理する要求事項がありましたが、これに従って力量管理プロセスを明確にします。また、組織が必要と認めるプロセスとは、例えば要件定義のプロセスや、コーディングのプロセスなどがあるでしょう。

プロセスを計画した後は、そのプロセスを実際に実施しなければなりません。プロセスがうまく運用されているかどうかを確かめるために、プロセスには「基準」を定める必要があります。例えばコーディングの基準としては、コードが読みやすく理解しやすいこと（例えばPythonではPEP 8に従っていること）や、コードの再利用性が高い（モジュール化）ことなどが考えられます。これらの基準は、定期的、もしくは然るべき段階でチェックされなければなりません。

また、プロセスが計画通りに実施されたことを確認するための「文書化された情報」が要求されています。

最後に箇条8.1では、計画された変更と意図しない変更への対応も求められています。プロセスの変更が発生した場合の手順や、変更にまつわるリスクを軽減するための具体的な対応方法なども決めておき、実行する必要があります。

8.2 AIリスクアセスメント

箇条6.1.2で、それぞれのリスクがどのくらい深刻なのかを詳しく調べるプロセスを確立しました。この箇条8.2では、それを計画された間隔で、または重要な変更が提案または発生した際に実行しなさい、ということですね。

8.3 AIリスク対応

箇条6.1.3で、リスクの大きさ分析や優先順位付けにしたがって、どのようにリスクに対応するかを決めました。この箇条8.3では、決めたリスク対応策を実施して、リスクへの対応が適切におこなわれれているかどうかを確認します。

すべてのAIリスク対応の結果に関する文書化された情報（記録）を保持しなければなりません。

8.4 AIシステム影響評価

AIシステムで何らかの意思決定をしたり、評価・推薦をしたりするときに、個人や社会に大きな影響を与える可能性があります（例えば差別やプライバシーの侵害、不当な決定など）。こうした影響を箇条6.1.4で評価をしましたが、これを一度きりではなく、計画した間隔で、または重大な変更が提案された場合（（例：システムの改良、新たなデータの導入、法規制の変更が行われた時）に再評価することを求めています。

定期的、または重大な変更時に再評価が必要な理由は、AIシステムが運用中に環境や条件の変化に伴い、新たなリスクや影響が生じる可能性があるからですね。

AIシステム影響評価の結果を文書化した情報（記録）を保持しなければなりません。