ISO42001:2023 5.2 知らないとヤバい！「AI方針」はなぜ必要なのか(2)

おはようございます！

ISO42001各箇条解説シリーズ、今回は箇条5.2「AI方針」です。そもそもなぜ方針を作ることが必要なのか、そして方針にはどういうことを書かないといけないのかを解説します。信頼されるAIサービスに不可欠な「会社のぶれない軸」をどう作るかが明確になります。

スポンサーリンク

動画でも解説しています（無料・登録不要）

前回の記事はこちら

規格が求める「方針」の内容

では規格は、どんな「AI方針」を作りなさいと言っているのでしょうか。規格は４つのことを求めています。

一つ目は「組織の目的に対して適切である」という点ですね。ちょっとわかりにくいのですが、要はAI方針が、会社全体の経営理念のような大きな方向性とずれないようにしなさい、ということですね。例えば、会社全体の理念は「安全・安心」なのに、AI方針が「AIでがっぽり儲けよう」というようなズレがあってはダメ、ということです。このようなズレが生じると、安全・安心を蔑ろにして儲けに走ってしまう、というようなことが起きかねませんよね。

２つ目は「AI目標の設定のための枠組みを与える」というものです。これもわかりにくいですが、より具体的で測定可能な「AI目標」を立てるためのルールとか仕組みとか考え方を、この方針の中で示しなさい、ということです。例えば、どういう目標を、いつ作って、誰が承認して、どのように評価や見直しを行うのか、というようなことですね。

３つ目は「AIに関する法や要求事項を守ると約束する」ことです。法律はもちろんですが、政府の出しているAI事業者ガイドラインや顧客との契約内容など、AIサービスを開発・利用するには様々守るべきルールがあります。それらをきちんと守ることを、方針の中でしっかり約束する、ということですね。

最後は「AIマネジメントシステムを継続的に改善すると約束する」ことです。AIを取り巻く環境というのはとても早いスピードで変わっていくので、それに合わせて、AIを管理する仕組み（すなわちAIマネジメントシステム）を常に見直し、より良くしていくことを約束する、ということです。

最低でもこの４つは確実に、方針の中に盛り込まれなければなりません。

作った方針をどう扱うか

さて、ここまでが方針に「何を書くか」という話でした。続いては、その作った方針を「どう扱うか」についてです。これに関しても、４つのことが求められています。

一つ目は文書化です。作った方針は書面にする必要があります。

２つ目は、必要ならば、社内の他の方針を参照するということです。これは先程話したような、方針間の矛盾を防ぐためでもありますが、方針間での重複や、漏れ抜けを防ぐという意味合いもあるでしょうね。

３つ目は組織内に伝達することです。作った方針も、現場第一線まで伝わらなければ意味がありませんからね。

そして最後は利害関係者が入手できるようにする、ということです。ここでいう利害関係者は主に外部……例えば顧客や株主や規制当局などが該当します。こうした外部の人や組織に、我が社の方針を理解してもらうために、方針にアクセスできるようにする、ということです。一般的にはホームページに掲載することが考えられるでしょうね。GoogleとかOpenAIも、自社の方針をホームページに掲載していますが、そういうイメージです。

はい、というわけでISO42001箇条5.2「AI方針」について解説しましたがいかがだったでしょうか。今回の最も重要なポイントとしては、AI方針とは、AIサービスの開発・利用に関して「責任ある判断のための羅針盤」である、ということです。進化が速いAIの世界で、現場が迷わず倫理的な判断を下すために絶対に必要なものなんですね。