ISO42001:2023 4.3 適用範囲の正しい決め方、教えます(2)

おはようございます！マネジメントオフィスいまむらの今村敦剛です。

ISO42001各箇条解説シリーズ、今回は箇条4.3「AIマネジメントシステムの適用範囲の決定」を解説します。AIマネジメントシステムの適用範囲の決め方を、実務でよくあるケースを例に挙げながら解説します。

動画でも解説しています（無料・登録不要）

前回までの記事はこちら

課題と利害関係者の期待を踏まえる

規格は「課題(4.1)と利害関係者のニーズ・期待(4.2)を踏まえて適用範囲を決める」ことを求めています。箇条4.1と4.2で特定した課題や期待を無視して適用範囲を決めてしまうと、システムが現実に即したものにならず、形骸化してしまうリスクがあるからですね。

課題や期待を考慮して適用範囲を決める、というのは、具体的にはどういうことでしょうか。

例えば、外部の課題として、AI事故や政府の規制などがあったとします。内部の課題として、現在の社内体制や人材の力量といった点があるとします。そして、消費者を代表とする利害関係者のニーズとして、安全性やプライバシー保護への期待があったとしますね。これらを踏まえて、組織は、「どの部門をAIマネジメントシステムの適用範囲に含めるか」を考えることになります。AI製品やサービスを設計・開発する部門はもちろんですが、事故の未然防止や安全、プライバシー保護、政府の規制対応といった課題・ニーズを考えると、品質保証部門やコンプライアンス部門、顧客サポート部門もAIマネジメントシステムに含めなければならないでしょうね。このような感じで、AIマネジメントシステムの適用範囲は、課題や期待をベースに決まっていくことになります。

適用範囲に関する留意点

AIマネジメントシステムの適用範囲を定めるうえでの重要なポイントを5つに整理して解説しましょう。

まず1つ目。適用範囲に含めた部門では、ISO 42001のすべての要求事項を実施する必要があります。極端な例ですが、設計・開発部門だけを適用範囲にすると、苦情対応や倫理方針の策定といった、本来は他部門がやるべき活動まで、開発部門がカバーしなければならなくなります。それでは無理が生じて、マネジメントシステムが形だけになってしまうおそれがありますので、注意が必要です。

2つ目。AIを管理する活動を 社内のどこでしているかが基準、という点です。適用範囲を決めるときは、『どの製品にAIが使われているか』を見るだけでなく、AIに関するルールづくりやリスク管理など、AIを管理する活動がどこで行われているかに注目して決める必要があります。

3つ目。外部・内部の課題や利害関係者のニーズに変化があれば、適用範囲も見直す必要があります。適用範囲は一度決めたら終わりではない、ということですね。

4つ目。適用範囲外の部門であっても、まったく無関係とは言い切れません。たとえば経理部門は、AI開発に必要な予算配分やコスト管理を担っており、リスク管理に直接関与しないとしても影響を与える可能性があります。こうした部門とは、情報共有やプロセス連携の仕組みを整える必要もあるでしょう。

そして5つ目。定めた適用範囲は、文書化することが規格で求められています。

2回にわたりISO 42001箇条4.3を解説しましたがいかがだったでしょうか。今回の連載の結論を一言でいうと、AIを管理する活動のある部門を対象として適用範囲が決まる、ということですね。適用範囲が狭すぎると対応しきれないことが出てきますし、広すぎると管理の負担が大きくなります。ですので、現状の自社の実態に合った無理のない範囲を決めて、「なぜそう決めたのか」をきちんと説明できるようにしておくことが大切ですね。