3行でいうと

  • ISO/IEC 42001は、AIを開発・提供・利用する組織が、AIを管理する仕組み（方針、手順、体制）を整えて回し続けるための規格です。特定のAI製品の性能や安全を認めるものではなく、組織の仕組みを見ます。
  • 認証をするのはISOではなく、外部の認証機関です。日本では、認証機関を認定するISMS-ACが2026年1月14日に、AIMSの認証機関を初めて2社認定しました。審査の種類、有効期間、費用、期間は、僕らが読んだ公式ページには書かれていません。
  • 規格の本文は有料で、僕らは読んでいません。そのため、準備の順序は、公式の概要から読み取れる論点（役割、リスクと影響の評価、ライフサイクル、データ、附属書Aの管理策）に沿った僕らの見立てです。

この記事では、まだ認証の手続きを行って確かめていません。この記事は、公式の概要ページを読んでまとめたものです。規格の本文は読んでいないので、条項の中身は書いていません。認証の費用や期間の数字も、公式ページに書かれていなかったため、書きません。情報は2026年10月16日に確認しました。

先に結論

前提：42001は何の規格か

ISOの概要ページによると、ISO/IEC 42001:2023は、2023年12月に発行された第1版（51ページ）で、AIマネジメントシステム（AIMS）を確立し、実施し、維持し、継続的に改善するための要求事項を定めます。ページは、これを世界初のAIマネジメントシステム規格と呼んでいます。

マネジメントシステムは、方針と目的を決め、それを達成するプロセスを回す、組織の仕組みの全体です。ISOのFAQは、AIMSを、AIを責任をもって開発・提供・利用するための方針と目的、その達成のためのプロセスを確立する、組織の相互に関連した要素の集まり、と説明しています。計画（Plan）、実行（Do）、点検（Check）、改善（Act）の循環を使い、特定のAIの応用ではなく、方針と手順に焦点を当てる、とされています。

対象は、AIを使った製品やサービスを開発、提供、利用する、あらゆる規模・業種の組織で、公的機関、企業、非営利団体を含みます。FAQは、すべてのAIシステムに適用できるか、という問いに「はい」と答えています。

ここで、僕らが確認できなかったことがあります。ISOの42001のページには、認証についての記述がありません。ページが書いているのは規格の説明で、認証の話は、次に見るISOの認証ページと、日本の認定機関のページにあります。

規格の特徴：ISMS-ACが挙げる4つの違い

日本の認定機関ISMS-ACの「AIMSとは」のページは、42001の構成は、ISO/IEC 27001（情報セキュリティ）などのマネジメントシステム規格と同様で、共通の要求事項にAI特有の対応が加わる、と説明しています。他の規格との主な違いは、次の4つです。僕らの見立てを右の列に添えます。

ISMS-ACの説明 準備での意味（見立て）
対象が、AIシステムを開発、提供、利用する組織 自社がどの立場かを決める。複数の立場を兼ねてもよい
AIシステムの影響評価（インパクトアセスメント）の実施を求める セキュリティの評価とは別に、人や社会への影響を調べる作業が要る
AIのシステムライフサイクルを考慮する 導入時だけでなく、運用・変更・廃止までの管理を考える
データの取り扱いを明確にする どのデータを、どの目的で、どう扱うかの記録が要る

ページはさらに、関係者を6つの役割に分類し、1つの組織が複数の役割を担ってよいこと、どの役割に当たるかの判断にはISO/IEC 22989（JIS X 22989）の用語と概念の理解が必要なことを書いています。また、リスクベースのやり方をとり、リスク対策の目安になる管理策を附属書Aに示す、組織が行ったリスク評価と対策を管理策と照らして、足りているかを確かめられる、と説明しています。個別の管理策の内容は、このページにはなく、僕らも読めていません。

関連する規格として、ISOはISO/IEC 23894（AIのリスク管理の手引き）を挙げています。さらに、2025年5月発行のISO/IEC 42005は、AIシステムの影響評価の手引きで、42001を補う位置づけです。個人、集団、社会への影響を、ライフサイクルを通して特定、評価、文書化する、と書かれています。

認証のしくみ：ISOは認証しない

ISOの認証ページは、ISO自身は認証をせず、証明書も発行しない、と書いています。認証は、外部の認証機関が行います。認証は独立した機関による書面の保証で、認定は、その認証機関が国際規格に従って運営されていることを、認定機関が正式に認めることです。

日本の42001の制度は、ISMS-ACの説明では、3つの機関でできています。

機関 役割 現状（ISMS-ACのページ）
認証機関 組織のAIMSを基準に照らして審査し、認証する 2026年1月14日時点で2社を認定
要員認証機関 要員（審査員など）の認証にかかわる機関（役割の細かい説明は、読んだ記録にありません） ISMS-ACが認定したものは、現時点でない。審査員の教育と力量評価は各認証機関が行う
認定機関（ISMS-AC） 認証機関を認定する 組織への認証登録はしない

認証機関に求める追加の要求事項は、ISO/IEC 42006:2025（2025年7月発行）が定めています。ISOの概要ページによると、42006は、42001に基づく審査と認証を行う機関に向けた規格です。認証機関の一般要求であるISO/IEC 17021-1を補うもので、置き換えるものではありません。

日本の認証の基準は、JIS Q 42001:2025で、対応する国際規格は42001:2023です。ISMS-ACによると、日本産業標準調査会（JISC）が制定した国内規格で、国際規格との整合性は厳密に保たれています。認証を考える日本の組織にとっては、このJISが基準の文書になります。

初認定の2社は、ISMS-ACのお知らせによると、SGSジャパン株式会社とテュフ ラインランド ジャパン株式会社です。これは2026年1月14日時点の情報で、その後の追加は確認していません。

認証機関を選ぶとき（ISOの案内）

ISOの認証ページは、認証機関を選ぶときの注意を書いています。複数の機関を比べること、関連する国際規格（CASCOの規格）を使っているか、認定を受けているかを確かめることです。認定は必須ではなく、認定がないからといって信用できないとは限らない、とも書かれています。取得した証明書は、IAF CertSearchなどで確かめられます。

書かれていないこと

ISMS-ACの制度概要のページには、審査の種類（初回、継続、更新など）、有効期間、手順、費用、期間についての記載がありませんでした。ISMS-ACのFAQにも、AIMSに関する質問は載っていませんでした。これらは、認証機関に直接尋ねる事項だと思われますが、この記事では確認していません。

準備で何を用意するか（見立て）

ここからは僕らの見立てです。規格本文を読んでいないので、条項の順ではなく、公式の概要から読み取れる論点を、準備に向く順に並べます。実際の要求事項は、規格または認証機関に確かめてください。

順 用意するもの 根拠
1 適用範囲と、自社の立場（開発、提供、利用）の整理 ISMS-ACの説明（対象と6つの役割）
2 使っているAIシステムの一覧（台帳）。名前、目的、使うデータ、誰が責任者か 見立て。ライフサイクルとデータの扱いを求める点から
3 AIのリスク評価と、影響評価の方法と記録 ISMS-ACの説明（影響評価、リスクベース）。手引きは23894と42005
4 附属書Aの管理策との照合表 ISMS-ACの説明（管理策との比較）。中身は未読
5 方針、役割と責任、手順の文書 マネジメントシステムの一般的な構成。規格本文は未読
6 運用の記録と、定期の見直し（PDCA） ISOの説明（計画・実行・点検・改善）
7 認証機関への相談（審査の種類、期間、費用、範囲） 公式ページに記載がないため

台帳づくりでは、権限の与え方や、モデル・プラグインの出所の確認が論点になります。これらは別の記事で扱っています。NISTの枠組みとの違いも、別の記事で扱っています。

ISMS（ISO/IEC 27001）をすでに持っている組織については、ISMS-ACの説明は、構成が同様であることを書いているだけで、審査の統合や免除については書いていません。そこは認証機関に尋ねる事項です。

日本の動き（ISMS-ACと関連ページの日付）

読んだページに書かれていた日付です。

日付 出来事 出所
2023年12月 ISO/IEC 42001:2023 発行 ISO
2025年5月 ISO/IEC 42005:2025（影響評価の手引き）発行 ISO
2025年7月7日 ISO/IEC 42006:2025（認証機関への要求事項）発行 ISO
2025年7月8日 ISMS-AC、AIMSの認証を対象とした認定を開始 ISMS-AC
2025年8月20日 JIS Q 42001:2025 発行 ISMS-AC
2026年1月14日 AIMS認証機関を初めて認定（2社） ISMS-AC
2026年6月24日 ISMS-ACが、APAC AIMS MRAの署名機関として承認されたと発表（承認は6月21日付） ISMS-AC

6月のお知らせによると、承認は、ISO/IEC 42006に基づく認定へMRAの適用範囲を広げる申請に対するものです。ISMS-ACのAIMS認証の認定活動が、認定機関の要求事項であるISO/IEC 17011に適合していると認められた、と書かれています。同じAIMSのMRAに先に承認されていたのは、インドのNABCBとシンガポールのSACで、ISMS-ACは3番目です。MRAの詳しい定義は、このお知らせの本文にはありませんでした。

ISOの概要ページで読んだ規格の一覧
規格 内容（ISOのページの説明） 発行
ISO/IEC 42001:2023 AIマネジメントシステムの要求事項 2023年12月、51ページ
ISO/IEC 42005:2025 AIシステムの影響評価の手引き。42001、38507（AIガバナンス）、23894を補う 2025年5月
ISO/IEC 42006:2025 42001に基づく審査・認証を行う機関への要求事項。17021-1を補い、17065のスキームでも使える 2025年7月、31ページ
ISO/IEC 22989 AIの用語と概念 （42001のFAQに記載）
ISO/IEC 23053 機械学習を使ったAIシステムの枠組み （同上）
ISO/IEC 23894 AIのリスク管理の手引き （同上）

42001は、ISO/IEC JTC 1/SC 42の規格として表示されていました。

気をつけること

出典

更新履歴