おはようございます！マネジメントオフィスいまむらの今村敦剛です。
ISO42001各箇条解説シリーズ、箇条8.1「運用の計画策定及び管理」について解説をします。AIマネジメントシステムの日々の運用を問題なく行うには、何をしなければならないのかを、具体的に解説します。
動画でも解説しています（無料・登録不要）
ISO42001 箇条8.1の位置づけ
まず、今日説明する箇条8.1の位置づけについて解説しましょう。箇条8.1は箇条8「運用」に位置づけられています。
箇条4.4で、AIマネジメントシステム全体の設計・枠組みを定めました。上記の図がその全体像ですが、箇条8.1ではその一つ一つのプロセスを、日々の運用レベルで具体的に計画し、コントロールしなさいと言っています。
ここで言うプロセスには、AIを使った製品・サービスを開発するための個別の具体的な作業プロセス（設計やデータ収集、検証）なども含みます。
ISO42001 箇条8.1の要求事項
箇条8.1の要求事項は6つあります。
一つずつ見ていきましょう。
プロセスを基準通りに計画・実施・管理
まずは1つ目の、プロセスを基準通りに計画・実施・管理するという要求事項です。
この要求事項は「プロセス」についての要求事項ですが、ここでいうプロセスには、大きく分けると2つの種類があります。
ベースにあるのは、要求事項を満たすために必要なプロセスです。ここでの要求事項とは、この規格の要求事項だけでなく、顧客要求や法令・規制で求められていることも含みます。システム設計やデータ収集、データ前処理といった、AI製品・サービスの開発にかかる本来のプロセスも、その代表例としてここに含まれます。
そしてその上に、箇条6で決めた取り組みを実施するためのプロセスがあります。要は、自社のリスク・機会やシステム影響評価の結果、目標に対処するためのプロセスのことです。これらは、多くの場合、本来の開発・運用プロセスの中に組み込まれる形で運用されます。たとえば、AIが差別的で偏ったアウトプットをするかもしれないというリスクがあるならば、データ収集プロセスに「差別的なデータを含まないかチェックする仕組み」などが乗っかる、といったイメージです。
箇条8.1では、これらの個々のプロセスについて、運用基準（何を・どこで・誰が・どのように・どの程度やるか）を定め、その基準に従って実行・管理することを求めています。
6.1.3で決めたAIMS運用の管理策を実施
続いて2つ目の要求事項、「6.1.3で決めたAIMS運用の管理策を実施する」です。箇条6.1.3では、「リスク対応計画」として、このような計画表を作りました。
ここでは、リスクを許容レベルまで下げるための管理策を決めました。管理策には、ISO 42001附属書Aに示されている管理策のほか、専門家の助言などに基づく独自の管理策も含まれていましたよね。そして、その管理策をどう実施するかについて、具体的な手順や期限、担当者なども決めたと思います。箇条8.1では、こうして決めた管理策と、その実施計画を実際に実行することを求めています。
管理策の有効性を監視し、不十分なら是正を検討
続いて３つ目の要求事項、「管理策の有効性を監視し、不十分なら是正を検討する」です。先ほど決めた管理策を実施し、想定していた結果――たとえばリスクが許容レベルまで下がったか、設定した目標や基準通りに運用できたかなどを確認します。そして、思ったような効果が出ていなければ、是正処置として、管理策の見直しや追加の対策を検討し、必要に応じて実施していく、ということです。
プロセスの実施に必要な範囲で文書化
４つ目の要求事項は、「プロセスの実施に必要な範囲で文書化をする」です。ここでいう文書には、要件定義書、仕様書、設計書、障害対応の手順書などの事前に決めておく文書のほか、テストレポート、インシデント記録、ログなどの実施した証拠となる記録があります。これらをまとめて、ここでは「文書化された情報」と考えてください。箇条8.1が言っているのは、プロセスが計画どおり・基準どおりに実施されたと確信できる程度に、こうした文書や記録を整えて運用しなさいということです。では「どこまで文書化すれば十分なのか？」というと難しいのですが、一般的には、作業が複雑であったり、担当者の力量が強く求められたりするようなリスクの高いプロセスほど、文書化の必要性が高くなる、という考え方でよいと思います。
変更を管理し、悪影響があれば低減
５つ目の要求事項は、「変更を管理し、悪影響があれば低減する」です。ここでいう変更には、生成AIの新モデルのリリース、学習データの追加・更新、インフラ構成の見直し、運用手順の変更など、AIMSの運用に関わるさまざまな変更が含まれます。箇条8.1では、まずあらかじめ計画している変更については、その影響を事前に評価し、必要な承認やテストを経てから実施することを求めています。
一方で、AIモデルの振る舞いの変化や、上流システムの仕様変更など、組織としては計画していなかった「意図しない変更」が生じることもあります。 そのような場合には、その変更の結果をレビューし、ユーザーへの影響やリスクが大きくならないように、必要な是正や追加対策をとって悪影響を低減しなさいということを言っています。
AI関連の外部提供プロセス・製品・サービスを管理
６つ目の要求事項は、「AI関連の外部提供プロセス・製品・サービスを管理する」です。ここでいう外部提供とは、クラウド上のAIサービスやモデルAPI、外部ベンダーによるデータ収集・アノテーション、運用監視のアウトソーシングなど、AIMSやAIシステムのライフサイクルに関わる仕事を、社外の組織に任せている部分を指します。箇条8.1が言っているのは、そうした外部のプロセスやサービスについても、契約やSLA、仕様書、手順書、評価・監視の仕組みなどを通じて、期待どおりに運用されるようにきちんとコントロールしなさいということです。外部ベンダーをどの程度コントロールするかは、委託する業務が、AIの安全性・公平性などにどれだけ影響するかというリスクに応じて決めていく必要があるでしょう。
まとめ
ISO42001箇条8.1「運用の計画策定及び管理」を解説しましたがいかがだったでしょうか。今日のポイントを一言でまとめると、「AIMSの日々の運用は、きちんと決めたプロセスに沿って管理しながら行うべきだ」ということでしたね。言い換えれば、「とりあえず作って、あとはテストに任せればいい」という開発のしかたではなく、計画段階からプロセスを決めて、リスクをコントロールしながら開発していきましょう、ということでもあります。これはAIMSに限らず、どんな仕事でも基本になる考え方ですよね。