ISO 42001認証でEU AI法に対応できること、できないこと

ISO 42001認証を取得しただけで、組織がEU AI法に適合するわけではありません。しかし、同認証は、EU AI法への適合を実現するうえで不可欠なAIガバナンスの基盤を確立し、独立した第三者によって検証するものです。これは非常に大きな価値を持ちます。認証は、組織がAIガバナンスの構築を目指しているだけでなく、実際に意図的かつ体系的な管理を行っていることを示す、最も明確な証拠となります。また、このガバナンス体制の構築は、最も時間を要する取り組みでもあります。すでに認証を取得している組織は、ゼロから対応を始める必要はありません。最も困難な部分をすでに整えた状態から、次の段階へ進むことができます。

本記事では、EU AI法のもとでISO 42001認証がカバーする範囲とカバーしない範囲、そして登録証が実際にどのような場面で有効な証拠となるのかを解説します。

ISO 42001の概要

2023年12月に発行されたISO 42001は、人工知能マネジメントシステム（AIMS）に関する、認証取得が可能な初の国際規格です。この規格は、組織全体のAIガバナンスを確立、実施、維持し、継続的に改善するための要求事項を定めています。また、附属書Aには、AIに関する方針、組織内部の体制、資源、影響評価、AIシステムのライフサイクル、データ、利害関係者への情報提供、AIシステムの利用、第三者との関係などを対象とする管理策が規定されています。2026年3月には、技術的要求事項を変更することなく、欧州規格EN ISO 42001:2026として採用されました。

認証取得だけでは法令への適合とならない理由

EU AI法では、欧州整合規格（harmonised European standards）が特別な位置付けを持っています。これらは、欧州委員会の要請に基づき、同法への対応を支援するために策定され、欧州連合官報に引用される規格です。こうした整合規格に適合することで、「適合性の推定」が認められます。実務上、これは立証責任の所在が逆転することを意味します。規制当局が適合性に異議を唱える場合、組織側が規格の十分性を証明するのではなく、規制当局側がその規格では要求事項を十分に満たせないことを示す必要があります。

ISO 42001は、そもそもこの目的のために策定を要請された規格ではありません。整合規格と法令の要求事項との対応関係を示す附属書ZAも含まれておらず、ISO 42001への適合によって適合性の推定が認められることはありません。

この役割を担うために策定されたのが、2026年7月にEU AI法を支援する初の欧州規格として発行されたEN 18286です。ただし、同規格はまだ欧州連合官報に引用されていないため、現時点では、いずれの規格についても適合性の推定は認められていません。

さらに、認識しておくべき重要な制限が3つあります。

EU AI法は、組織ではなくAIシステムを規制対象としています。市場に投入する個々の高リスクAIシステムについて、文書化、ログの記録、人間による監視、正確性などの要求事項を満たしていることを示す必要があります。マネジメントシステムはこうした取り組みを支援しますが、それ自体が個々のシステムに求められる対応に代わるものではありません。

禁止されている行為は、認証の有無にかかわらず禁止されています。認証を取得したシステムであっても、禁止対象となるユースケースを詳細に文書化したからといって、その利用が認められるわけではありません。

適合性評価は、認証とは別に求められる法的手続きです。ISO 42001認証を取得しても、EU AI法で求められる適合性評価を完了したことにはなりません。

主な義務要件ごとの対応範囲

以下の表では、EU AI法の主な義務要件ごとに、ISO 42001がどのように対応を支援するのか、また、別途どのような対応が必要となるのかを整理しています。EU AI法の義務要件は規則（EU）2024/1689の統合版に、ISO 42001による対応範囲は同規格の要求事項に基づいています。

ここまでの各要求事項に共通しているのは、認証がEU AI法への対応に必要な基盤を構築するという点です。具体的には、同法が組織に備わっていることを前提とするプロセス、責任体制、力量、そして対応の証拠を記録・追跡できる仕組みを整えます。そのうえでEU AI法は、こうした仕組みに基づき、個々のAIシステムに関する具体的な対応とその証拠を求めています。

認証取得を最終目標と捉える組織は、後になって対応の不足に気づくことになります。一方、認証を基盤と位置付け、個々のシステムに必要な対応を並行して進める組織は、対応する意向を示すだけでなく、実際の取り組みを裏付ける証拠を備えることができます。

ISO 42001認証が持つ証明としての価値

こうした制限があるからといって、認証が示す価値が損なわれるわけではありません。

認定を受けた認証機関が発行するISO 42001登録証は、組織のAIガバナンスが実際に機能していることを、独立した第三者が検証した証拠となります。定められた方法に基づくリスク評価、責任の明確化、必要な力量の維持、サプライヤーの管理、そしてマネジメントシステム全体の監査と改善が行われていることを示します。

これは、EU AI法の特定の条項への適合を証明するものではなく、そのように説明すべきでもありません。むしろ、実務上の重要な価値があります。認証によって、AIガバナンスの基盤そのものが整備されているかという疑問を解消できるためです。この点は、規制当局への対応、調達、顧客によるデューデリジェンス、取締役会への説明において、重要な確認事項となります。

こうした証拠の信頼性を支えるのが、認定制度です。LRQAは、ISO 42001について英国認証機関認定審議会（UKAS）の認定を受けた認証機関です。これは、LRQA自身の審査能力と公平性が、独立した第三者によって評価されていることを意味します。

施行スケジュールは変更されても、規制の方向性は変わらない

欧州委員会が2025年11月に提案したAIに関するデジタル・オムニバス法は、2026年7月27日に施行されました。これにより、生体認証、雇用・採用、信用評価、教育、重要インフラなどの分野を対象とする附属書IIIの独立型高リスクAIシステムについては、義務の適用開始が2027年12月2日まで延期されました。また、附属書Iに定める規制対象製品に組み込まれる高リスクAIについては、2028年8月2日まで延期されました。

一方、すべての義務が延期されたわけではありません。第50条の透明性に関する要求事項は2026年8月から適用されており、すでに市場に投入されているシステムに対する電子透かしの要件については、2026年12月までの短期間の延長が認められました。禁止行為に関する規定とAIリテラシーに関する義務も引き続き適用されます。さらに、今回のオムニバス法では、本人の同意のない性的な画像や児童性的虐待コンテンツをAIで生成する行為が、第5条の禁止対象に追加されました。

違反に対する制裁金も引き続き高額です。禁止行為については最大3,500万ユーロ、または全世界年間売上高の7％、その他の違反については最大1,500万ユーロ、または全世界年間売上高の3％が科される可能性があります。

適用開始時期の延期により、企業は文書化やガバナンス体制の整備に、より十分な時間とリソースを充てられるようになりました。しかし、これは対応を先送りしてよいという意味ではありません。

すでにISO 27001認証を取得している組織の場合

ISO 42001は、ISO/IEC専門業務用指針の附属書SLに定められた共通構造に基づいて策定されています。これは、ISOマネジメントシステム規格に共通する10箇条の構成と用語を定めたものです。ISO 27001も同じ構造を採用しているため、2つのマネジメントシステムを別々に運用するのではなく、単一の統合マネジメントシステムとして運用しやすくなっています。

そのため、情報セキュリティマネジメントシステムをすでに確立している組織には、文書化されたプロセス、マネジメントレビューの仕組み、内部監査プログラム、力量に関する記録など、必要な基盤の多くが整っています。LRQAの経験では、既存のマネジメントシステムを拡張してAIMSの適用範囲を組み込む方が、ゼロから構築する場合よりも短期間かつ少ないリソースで対応できます。また、統合審査を実施することで、認証の維持に伴う継続的な負担も軽減できます。

ただし、前述の表に示した個々のAIシステムに関する対応は、別途実施する必要があり、それぞれのスケジュールを設定しなければなりません。それでも、すべてをゼロから始める必要はありません。

約束だけでなく、実証できるAIガバナンスへ

2027年12月を迎える時点で、最も十分な準備が整っているのは、認証を数多く取得している組織とは限りません。組織全体と個々のAIシステムの両方のレベルで、ガバナンスが実際に機能していること、そしてその有効性が独立した第三者によって検証されていることを示せる組織です。UKAS認定を受けた認証機関によるISO 42001認証は、その証拠を積み重ねるための出発点となります。

LRQAのISO 42001サービスについて詳しく見る