おはようございます！マネジメントオフィスいまむらの今村敦剛です。
ISO42001各箇条解説シリーズ、今回は箇条8.2「AIリスクアセスメント」について解説をします。AIの利活用を行うときに、どのようなリスクアセスメントをどう実施すべきか、具体例を使いながら解説します。
動画でも解説しています（無料・登録不要）
ISO42001 箇条8.2の位置づけ
まず、今日説明する箇条8.2の位置づけについて解説しましょう。
箇条8.2は箇条8「運用」に位置づけられています。箇条6.1.2で、リスクアセスメントのプロセスを決めましたが、そのプロセスを実行しなさいといっている箇条です。
ISO42001 箇条8.2の要求事項
箇条8.2の要求事項は2つです。
このうち、まずは1つめの「リスクアセスメントを実施する」から説明しましょう。この一つ目の要求事項では、箇条6.1.2で決めたリスクアセスメントプロセスを実施することを求めています。
箇条6.1.2では、「組織、個人、社会への潜在的影響」と「発生する可能性」の２つの軸で、リスクを分析・評価することを求めていましたよね。あくまでも一つの例ですが、このようなマス目を使ってリスクを分析します。
横軸が悪いことが起きた場合の影響度合い、そして縦軸がその悪い事がどのくらいの確率で起きるか、ということです。この例では、それぞれの軸を、大・中・小の三段階で表していますので、全部で９通りのケースがありえます。このように影響と可能性の観点で、評価基準に沿ってリスクレベルを決め、優先度をつける、というのが箇条6.1.2で求めていたリスクアセスメントプロセスです。箇条8.2では、まず、これを実行しなさい、と言っています。このリスクアセスメントは、「あらかじめ定めた間隔」または「重要な変更が提案された場合もしくは発生した場合」に実施することを、要求事項として明示しています。
箇条8.2の要求事項の2つ目は、リスクアセスメントに関する文書化の要求事項です。この箇条で直接的に要求しているのは「全てのリスクアセスメントを実行した結果の記録」ですね。
リスクアセスメントの結果をどのように文書化するか、というのはいろいろと方法はあると思いますが、一例をお見せします。
これは「リスク登録簿」の例です。まず1行目を見ましょう。リスクは「顧客向けAIチャットボットが誤回答し、誤解・誤購入・苦情が発生する」というものです。発生可能性は「2（中）」、影響は「3（高）」で、リスクレベルは「6（高）」と評価しています。このためこのリスクをどう扱うかという判断は「リスクの低減」としています。現在のリスクに対する取り組みは「免責文」「FAQ参照リンク」を設けている一方で、追加のリスク低減策として「生成回答に根拠を提示」「必要に応じ有人対応」「禁則ルールの追加」を設定しています。担当はCS責任者、期限は2026年1月31日、対策後の残留リスクは「中」という整理です。
このような登録簿を、定期的に、または大きな変更があるたびに更新していく、というのが、箇条8.2のリスクアセスメント結果の記録のイメージですね。
まとめ
はい、というわけで、ISO42001箇条8.2「AIリスクアセスメント」について解説をしましたがいかがだったでしょうか。
今日の解説を一言でまとめると「定期的、そして変更時にリスクアセスメントを実施し、結果を残して更新し続ける」ということでしたね。今日の要点はシンプルだったと思いますが、決めたことをしっかりやり続けることが重要ですね。