AI（人工知能）をめぐる議論は、驚くほど両極端なものになっています。「AIが人類を救う」という期待と、「AIが人類を滅ぼしかねない」という懸念。その間で、企業は今まさに何千、何万もの意思決定を行っています。AIはすでに、人材採用、資本配分、サプライチェーンの監視、データ管理、そしてますます複雑化する事業運営のあり方に影響を与えています。
企業のリーダーにとって、目の前にある問いはそれほど劇的なものではありません。しかし、はるかに実務的で重要です。
AIが、本当に企業の説明どおりに機能していると、どうすれば確認できるのでしょうか。そして、それを独立した立場から誰が検証するのでしょうか。
SF作品では、制御不能になったコンピューターや自我を持つ機械、人間に反旗を翻すロボットが繰り返し描かれてきました。一方で、ごく普通の人々が、もっともらしく説得力のある回答を示す機械を過度に信頼してしまうリスクについては、それほど描かれてきませんでした。しかし、現実にはこちらの方が、より差し迫った課題なのかもしれません。
試験・検査・認証（Testing, Inspection and Certification：TIC）業界が、人類とAIの関係をめぐる議論そのものに答えを出すことはできません。しかし、今の社会で不足しているものを提供することはできます。
それは、エビデンス（客観的な証拠）です。
そして実は、私たちはこれまでにも、同じような課題に向き合ってきました。
私たちは常に「誰かが確認する」仕組みを必要としてきた
蒸気機関に関するあらゆる問題を解決してから、ボイラーの検査を始めたわけではありません。鉄道や工場、機械が経済を大きく変革していく中で、私たちは、強力な技術には規格と専門的な検査が必要であり、何よりも、その所有者から独立した第三者が「説明されているとおりの状態であるか」を確認する必要があることを学びました。この原則は、その後のあらゆる大きな技術革新を経ても変わっていません。
AIは、その能力と進化のスピードという点ではこれまでの技術とは異なります。しかし、「何をもって信頼するのか」という根本的な問題は驚くほどよく似ています。
今後、多くの企業が「自社のAIは責任ある方法で利用され、適切に管理・統制されている」と説明するようになるでしょう。そこで問われるのは、それを誰が検証するのかということです。
より最近では、ESGでも同様のことが起きました。サステナビリティが企業経営における重要課題となるにつれ、企業はESGリスクを測定・管理するための高度な仕組みを整えてきました。そして金融をはじめとするさまざまな業界が、自らを信頼できる評価主体として位置付け、事実上市場に「お墨付き」を与える役割を担おうとしました。
しかし、ここで重要な違いが明らかになりました。どれほど高度な方法であっても、リスクを管理することと、その管理状況を独立した立場から保証することは同じではありません。 AIについても、同じことを繰り返さないよう注意する必要があります。
環境に関する主張、いわゆるグリーンクレームに厳しい目が向けられるようになったことは、AIについて考えるうえでも重要な教訓となります。
さらにAIには、もう一つの特徴があります。AIを使えば、説得力のある方針書、リスク評価、サプライヤーへの回答、コンプライアンス文書などを、わずか数秒で生成できます。もっともらしい主張を作るコストが下がるほど、それが事実であることを独立した立場から証明する価値は高まります。
AIは「保証する対象」と「保証する方法」の両方を変える
私たちの業界にとって、AIをめぐる問いは大きく二つあります。
一つ目は、AIそのものに対する保証（assurance of AI）です。企業がAIを責任ある方法で開発・導入し、適切にガバナンスしていることを、どのように独立した立場から検証するのか。
二つ目は、AIを活用した保証（assurance with AI）です。監査員、検査員、リスクの専門家自身が結論を導き出すプロセスにAIが組み込まれたとき、何が起こるのか。
後者は最終的に、保証業務の信頼性という観点から、より重要な問題になる可能性があります。
また、AIに対する保証は、適切な方針や規程が存在するかを確認するだけでは十分ではありません。サイバーセキュリティの分野で、システムの脆弱性を積極的に探るレッドチームという手法が発展してきたように、信頼できるAI保証においても、モデルに意図的に負荷をかけ、結果を検証し、その基盤となるデータのセキュリティと完全性を精査する方法が、ますます必要になるでしょう。
AIは、人間の監査員だけでは現実的に処理できない膨大な情報を分析できます。何千もの取引から異常を検出し、これまで一定の間隔でサンプルを抽出して確認していたリスクを継続的に分析することもできます。こうした可能性は積極的に活用すべきです。
医療は、その分かりやすい例です。テクノロジーによって、医療従事者が見えるもの、理解できるものは大きく変わりました。しかし、MRI装置が登場したからといって、医師の専門的判断が不要になったわけではありません。
AIは画像を読み取ることができます。しかし、診断に責任を持つのは、依然として人間です。
保証についても同じでなければなりません。監査員自身が独立して導き出していない指摘事項をAIが作成した場合、その報告書がどれほど説得力のあるものに見えても、何か根本的なものが失われています。
「ヒューマン・イン・ザ・ループ（human in the loop）」も、人間が機械の出した結果を単に承認するだけであれば、ほとんど意味を持ちません。AIは専門家の判断を強化するものであるべきで、説明責任を曖昧にするための隠れ場所になってはならないのです。
年に一度の確認から、継続的な保証へ
AIはさらに、保証が行われる「スピード」という根本的な問題にも変化を迫っています。
従来の保証は、年に一度の健康診断に似ています。ある時点でエビデンスを確認し、結論を出し、あらかじめ決められた期間を経て再び確認します。
しかし、AIのリスクはそのような時間軸では動きません。
モデルは変化します。データも変化します。用途も変化します。そして、新しいツールが組織内にほとんど一夜にして導入されることもあります。
さらに、企業が大規模言語モデル（LLM）への依存を強めるにつれて、データがどこに保存され、どのモデルを経由し、どの国や地域のルールによって管理されるのかという問題が、ますます重要になっています。
データ主権は、組織や政府が「管理」「レジリエンス」「信頼」をどのように考えるかという問題の一部であり、もはやIT部門だけの問題ではありません。
したがって、これからの保証は、年に一度の健康診断よりも、心拍モニターに近いものになるかもしれません。継続的にシグナルを捉え、インテリジェントに分析し、必要なところに専門家が介入するという形です。
これは、単にAIを使って監査報告書を速く作成することよりも、はるかに大きな可能性を秘めています。
AIは、リスク管理から「判断」を取り除くべきではありません。判断を妨げている作業を取り除くべきなのです。
「信じてください」から「証明してください」へ
独立した保証だけで、すべてを解決できるわけではありません。AIには効果的な規制も必要です。
政府は明確な期待事項と境界線を定める必要があり、産業界もそれを求めるべきです。企業が安心してイノベーションに取り組める一方で、問題が発生した際には誰が責任を負うのかが明確になるような規制が必要です。
そして、規制、規格、保証は、どれか一つを選ぶものではありません。
規制はルールを定め、規格はそのルールに対応する仕組みを組織が構築することを支援し、独立した保証は、その仕組みが実際に機能しているかを検証します。
ここで重要になるのが、ISO/IEC 42001です。
AIに関する方針や「責任あるAI」の原則を掲げること自体は、やがて特別なことではなくなるでしょう。違いを生むのは、そのガバナンスが実際に機能していることを証明できるかどうかです。
ISO/IEC 42001は、AIをガバナンスするための国際的に認められたマネジメントシステムを組織に提供するとともに、独立した評価を行うための基盤となります。
これにより、議論は、
「私たちはAIを責任ある方法で管理しています。信頼してください」
から、
「これが、そのことを示す証拠です」
へと変わります。
この違いは重要です。
AIマネジメントシステムの認証を取得したからといって、その組織が運用するすべてのAIシステムが、あらゆる意味で「安全」であると宣言できるわけではありません。何が保証され、何が保証されていないのかを、正確に示す必要があります。
私たちの業界の誰にも、AIが最終的に人類を救うのか、それとも滅ぼすのかを企業のリーダーに断言することはできません。
しかし、私たちは何世代にもわたり、もっと実務的なことに取り組んできました。
重要な主張を、検証可能なものにすることです。
AIによって説得力のある主張をほとんど手間なく作れる時代だからこそ、その役割の価値は低下するどころか、むしろ高まっています。
あなたの組織が「AIを責任ある方法で活用している」と説明するとき、それを証明する準備はできていますか？
