世界のAI規制：ISO 42001の位置づけ

人工知能（AI）規制の現状について尋ねれば、大陸ごとに異なる答えが返ってきます。欧州連合（EU）には、施行日程が定められた包括的なAI法があります。韓国では、すでにAIに関する法律が施行されています。米国には連邦レベルのAI法はありませんが、州ごとに異なる法律が入り組み、規制環境は急速に変化しています。英国では、AI法ではなく、規制原則と規制当局を中心としたアプローチが取られています。アジアの多くの国・地域では、ガイドラインや行政規則、AIの振興を優先する法律によって規制が行われています。

こうした状況から、グローバルなAIガバナンスは、市場ごとにそれぞれの規制に沿って構築する必要があると考えるのも自然でしょう。しかし実際には、各国・地域の規制には、報道の見出しから受ける印象以上に多くの共通点があります。規制当局によって大きく異なるのは、要求内容そのものよりも、規制の仕組みです。法制度の違いを除けば、どの規制にも次のような共通の要求事項が見られます。

• AIリスクを特定し、対応するための、明確で再現可能な方法

• AIがどこで利用されているかについての透明性と、それを裏付ける文書

• 責任者の明確化と、実効性のある人間による監督

• AIの構築に使用されるデータのガバナンス

• インシデントの報告・対応のための手順

• AIを外部から調達する場合や提供する場合の責任の明確化

AIマネジメントシステムに関する初の認証可能な国際規格であるISO 42001は、これらの要求事項を明文化しています。各国・地域の規制は異なっても、その前提となるガバナンスは共通しています。

法域ごとに個別のコンプライアンスプログラムを運用するよりも、認証可能な規格に基づいてガバナンスを一度構築し、必要な部分を各法域に合わせて調整する方が、より現実的な方法です。そのため本記事では、国・地域別ではなく、規制の仕組みに着目して全体像を見ていきます。

法的拘束力のあるAI規制と適用時期

現在、2つの包括的なAI規制が法的拘束力をもって適用されています。

その中でも最も整備が進んでいるのがEU AI法です。禁止事項とAIリテラシーに関する義務はすでに適用されており、透明性に関する義務も2026年8月2日から適用されています。デジタル・オムニバスを受け、高リスクAIに関する主な義務は2027年12月2日から、規制対象製品に組み込まれた高リスクAIについては2028年8月2日から適用されます。禁止行為に対する制裁金は、全世界年間売上高の最大7%に達します。

EU AI法の下でISO 42001認証が何に役立ち、何を満たすものではないのかについては、本記事の関連記事で各義務に沿って詳しく解説しています。要するに、認証自体が法令への適合を意味するわけではありませんが、適合性を示すためのガバナンスの基盤となります。

もう一つは韓国のAI規制です。AI基本法とその施行令は、2026年1月22日に施行されました。同法は、高影響AIおよび生成AIに対し、リスク評価、影響評価、透明性の確保、AI生成コンテンツの表示などを義務付けています。韓国市場に影響を及ぼすシステムには国外からも適用され、一定規模以上の外国事業者には韓国国内の代理人を指定することが求められます。

韓国の科学技術情報通信部（MSIT）は、少なくとも1年間の猶予期間を設けており、重大な被害が発生した場合を除き、事実確認のための調査や過料の賦課は原則として見送られます。ただし、法律上の義務自体はすでに適用されています。

変化し続けるAI規制

米国には、包括的な連邦AI法がありません。連邦政府による行政措置が政策の方向性を示しており、2025年12月の大統領令第14365号では、州のAI法に対する連邦法の優先適用を推進しています。ただし、その法的効力については裁判所の判断に委ねられています。民間企業に対する法的拘束力のある義務の大半は州法で定められており、州レベルの規制も絶えず変化しています。

2024年、コロラド州は米国で初めて包括的なAI法を制定しました。しかし、施行が2度延期された後、実際に施行されることなく2026年5月に廃止され、新たな法律に置き換えられました。適用範囲がより限定された新法は、2027年1月1日から適用される予定です。テキサス州の責任ある人工知能ガバナンス法（TRAIGA）は、当初の法案から大幅に適用範囲を縮小した形で2026年1月に施行されました。カリフォルニア州でも、最先端AIの開発事業者に対する透明性要件から、2027年にかけて段階的に適用される自動意思決定に関する規則まで、複数の規制が設けられています。今後も規制の変更が続くことを最も明確に示しているのは、法案の数です。2026年3月までに、45州で計1,561件のAI関連法案が提出されました。

こうした状況は、規制が明確になるまで対応を待つ理由にはなりません。むしろ、1回の立法会期の間に変更される可能性もある個別の法律の文言に合わせて、コンプライアンス体制を構築する方法を見直す必要があります。長期的に価値があるのは、法律がどのように変わっても共通して求められるエビデンス（AIの一覧、リスク評価と影響評価、情報開示の管理、人間による監督）を示すことができ、法律の制定や廃止に応じて必要な部分を調整できるガバナンス体制です。

米国で指針となるのは、米国国立標準技術研究所（NIST）のAIリスクマネジメントフレームワーク（AI RMF）です。これは米国の多くのリスク管理チームがすでに活用している任意の手法です。認証の対象となるものではありませんが、ISO 42001との整合性は高く、NISTは両者の対応関係を示す対照表を公開しています。実務上、このフレームワークはリスク管理業務を体系化し、ISO 42001はその取り組みを独立した第三者による検証を受けたものにします。

原則、ガイドライン、行政規則による規制

英国では、単一のAI法ではなく、既存の規制当局を通じて分野横断的な原則を適用する、原則ベースのアプローチが取られています。日本の2025年のAI関連法はAIの活用促進を重視しており、義務の大部分には罰則が伴いません。シンガポールでは、AIガバナンスのモデルフレームワークと任意のテストツールが提供されています。中国では、生成AIに関する表示義務など、行政規則を通じた規制が行われています。また、どの市場でも、金融サービス、医療、雇用などの分野を所管する規制当局が、AIに特化した法律の制定を待たずに、既存の権限をAIにも適用しています。

法的拘束力のない規制であっても、エビデンスは求められます。原則に基づいて規制を行う当局も、法律に基づく場合と同じように、まず「AIをどのように管理しているのかを示してください」と求めます。

規制当局としての顧客

多くの組織にとって、最初にエビデンスの提示を求めてくるのは政府ではなく、顧客です。企業間の調達では、AIガバナンスに関する契約条項やデューデリジェンスの質問票が、法律の整備を上回る速さで広がっています。その内容は市場が異なっても多くの点で共通しており、猶予期間もありません。取締役会や保険会社も、それぞれの立場から同様の質問をしています。

現在、調達は世界規模で影響力を持つ一つの規制の仕組みとなっています。そして、認定された認証が特に大きな役割を果たす場面でもあります。独立した第三者によって検証された一つのエビデンスとして、質問票の多くの項目に対応できるためです。

共通する要求事項とISO 42001認証で示せること

以下の表では、前述の各規制に共通して見られる要求事項と、それぞれに対してISO 42001に基づくマネジメントシステムがどのように対応するかを示しています。ISO 42001に関する記述は、すべて同規格自体を参照しています。

右列に示したのは組織の管理体制であり、法令への適合を意味するものではありません。この違いについては関連記事で詳しく解説していますが、欧州に限らず、すべての国・地域に共通する点です。

どの市場でも共通する、ISO 42001認証で示せることと示せないこと

認証を取得しただけで、組織が前述のいずれかの規制に適合していることにはならず、認証を法令適合の証明として示してはなりません。認定を受けた認証機関によるISO 42001認証が提供するのは、ガバナンスの基盤が存在し、機能していることを独立した第三者が検証したエビデンスです。具体的には、定められた手法に基づくリスク評価、責任の割り当て、力量の維持、サプライヤーの管理、マネジメントシステム全体の監査と改善が含まれます。

規制当局への対応、調達、顧客によるデューデリジェンス、取締役会に対する保証のいずれにおいても、これにより「方針として表明されている内容を裏付ける実態があるのか」という、議論の中心になりがちな疑問を解消できます。

準備時期の考え方は、どの国・地域でも同じです。異なるのは日付だけです。認証取得には通常6～12か月を要し、審査を受ける前にマネジメントシステムを構築しておく必要があります。

欧州では2027年12月、韓国では調査や過料に関する猶予期間が終了するのは早くても2027年1月です。米国では、最初に自社に適用される法律の施行日、あるいは、それ以上に可能性が高いのは、次に顧客から質問票が届く時期です。

自社に該当する日付から逆算すると、準備を始める時期は今に近いことがわかります。日程を見れば、そのことは明らかです

国・地域を越えて活用できるエビデンス

一つのマネジメントシステム、一つの監査証跡、一つの認証。各国・地域の規制が求める基本的な要件は非常に似ているため、こうして整備したエビデンスは、ブリュッセルでも、ソウルでも、米国の州司法長官による調査でも、サプライヤーに関する質問票でも、同様に活用できます。LRQAは、ISO 42001についてUKASの認定を受けた認証機関です。これは、LRQAの力量と公平性が独立した第三者によって評価されていることを意味します。

LRQAの「 LRQA ISO 42001認証準備パック 」では、認証取得に必要なプロセス、組織に求められる事項、準備の進め方について説明しています。

AIガバナンス認証についてのご相談は、LRQAのISO 42001担当チームまでお問い合わせください。

ISO 42001サービスの詳細はこちら