一般財団法人日本情報経済社会推進協会
セキュリティマネジメント推進室　室長　郡司　哲也

• 「IT-Report2024 Winter」全文はこちらから

近年、ディープラーニングの技術を活用したさまざまなAIサービスが登場し、それらが一般にも広く利用されるようになったことで、AI技術は私達の生活やビジネスにとって身近なものとなりました。企業はコールセンターの代わりにAIを活用したチャットボットを採用するようになり、写真共有SNSは画像生成AIを用いたさまざまな作品で溢れ、学生はレポート作成にAIをフル活用、といった具合です。一方で、新たなテクノロジーが発明され、それが社会に浸透する際の常として、さまざまな課題も浮き彫りになってきています。特に、生成系AIと呼ばれる技術では、AIが学習し、利用者が望むアウトプットを出力するために入力する情報に「適切ではない情報」が含まれてしまうことで、意図せずして権利侵害を起こしてしまうようなケースも生じています。

また、ロシアによるウクライナ侵攻での情報戦においては、ゼレンスキー大統領が自国民に投降を促す発言をするディープフェイク動画などがニュースになったことも記憶に新しいところです。

このようなさまざまな事象で浮き彫りとなった最も大きな課題は、AIを利用することの是非ではなく、AIを利用する私達が、まだ適切な倫理観やリテラシーを備えていないことかもしれません。要は「使う側の問題」ということです。たとえば、インターネットで何か調べ物をするとします。既に私達は、検索結果の中には真実と思われる情報と真実ではない情報が混在していることを知っていますし、検索結果としてブラウザに表示される画像や動画の中には、著作権侵害の可能性がある内容が含まれていることも知っています。私達は、ある程度の時間をかけて経験し、学習し、道具の使い手としての情報リテラシーを向上させてきたのです。

しかしAIに関しては、予想を上回るスピードで社会に浸透している現実があり、リテラシーの醸成が追いついていない、というのが実情ではないでしょうか。その状況は国際的にも同様に認識されているようで、各国ではAI利用に関する規制が始まっています。欧州では、法規制により安全にAIを活用し、市場の活性化も促進するという目的のもとで、2024年8月に「欧州AI規則」が発効、2030年までに段階的に施行されることになり¹、日本でも、2024年4月に経済産業省と総務省が「AI事業者ガイドライン」を公表²し、メディアでも大きく取り上げられました。ビジネスにおいてAIを活用する際には、これらの規制やガイドラインに対して注視することが大事になるでしょう。

AIをビジネスで活用していく上では、AIを活用する上でのリスク（学習データの品質等）に適切に対応していることを示し、信用を得ることが大事です。そして、それらの事実を取引先やステークホルダーに対してどう示すのかもポイントになります。そのときに有効となるのが、第三者による証明であり、代表的なものが製品の品質管理のリスクに対してQMS認証（ISO 9001に基づく品質マネジメントシステム）、情報保護のリスクに対してISMS認証（ISO/IEC 27001に基づく情報セキュリティマネジメントシステム）のような、リスクマネジメントに関する認証の取得です。

AIを取り扱う上でのリスクに関しても、情報セキュリティマネジメントシステムと同様のアプローチによる適切な管理が有効なのではないかという考え方に基づき、2023年12月にISO/IEC 42001（AIマネジメントシステム：Artificial Intelligence Management System）が発行³されました。

ISO/IEC 42001の登場は、AIシステムを提供するベンダーやそれらのAIシステムを活用してAIサービスを提供するサービス提供者には朗報かもしれません。ISO/IEC 42001では、AIシステムの開発者、提供者、利用者等の役割を定義し、それぞれの役割でAIを利用する組織について、AI活用に関するリスクに対応するためのマネジメントシステムを構築するために「しなければならないこと」や「すべきこと」を定義しています。つまり、ISO/IEC 42001に基づくAIマネジメントシステムを構築・運用している組織が認証を取得することで、その組織はAIに関するリスクに適切に対応しているということをアピールすることができ、取引先や消費者も安心してその組織が提供するAIを活用した製品やサービスを利用することができるようになります。

2024年10月現在、日本国内ではISO/IEC 42001認証はごく一部で認知されているにすぎませんが、国際規格に基づくものであることから、ISO/IEC27001に基づくISMS認証のように、将来的に広く普及する可能性を秘めています。ISO/IEC 42001認証は、急速に社会に浸透しつつあるAI技術について、それを利用する企業や組織に対するベンチマークの一つになり得るでしょう。

なお、JIPDECの関連団体であるISMS-AC（情報マネジメントシステム認定センター）では、ISMS認証をはじめとする情報マネジメントシステム認証を行う認証機関を認定していますが、今後新たな認定制度としてISO/IEC 42001認証を行う認証機関の認定を開始する予定です。認証機関に対する認定は、複数の異なる認証機関が同一の規格のもとで適切な認証活動を行うことを担保する重要な制度です。認定に基づいたISO/IEC 42001認証について、今後の普及に大いに期待しています。

• 1　 Artificial intelligence act（Council of the EU and the European Council）別ウインドウで開く
• 2　「AI事業者ガイドライン（第1.0版）」を取りまとめました（経済産業省）別ウインドウで開く
• 3　 AIマネジメントシステムの国際規格が発行されました（経済産業省）別ウインドウで開く