一言まとめ
ISO/IEC 27090:2026はAIシステムへの脅威と侵害時の対応を扱い発売済み。ISO/IEC 27091はAIのプライバシー保護を扱いFDIS段階。安全とプライバシーを補完し合う。
各規格
- ISO/IEC 27090:2026：Cybersecurity — AI — Addressing security threats and compromises to AI systems。2026年10月発行（第1版）。
- ISO/IEC FDIS 27091：Cybersecurity and Privacy — AI — Privacy protection。最終国際規格草案段階。
主要パラメータ比較
| 項目 | ISO/IEC 27090:2026 | ISO/IEC FDIS 27091 |
|---|---|---|
| テーマ | AIシステムへの脅威・侵害対応 | AIにおけるプライバシー保護 |
| 状態 | 発行済み（2026-10、第1版） | FDIS最終草案段階 |
| 分野 | ICS 35.030（ITセキュリティ） | サイバーセキュリティとプライバシー |
| 価格 | 204スイスフラン | 未公表 |
| 対象 | 脅威発見・侵入・モデル改ざん | 個人データ処理とプライバシーリスク |
主な違い
- 視点：27090はAIシステムが攻撃・侵入・改ざんされた際の対応に答える。27091はAIが個人データを扱う際の保護に答える。
- 成熟度：27090は引用可能な正式国際規格。27091はFDISのため早期対応可能だが最終文を追跡必要。
- 用途：安全工学・レッドチームは27090を参照。データ保護・プライバシー影響評価は27091の方向性を参照。
選定の指針（コンプラ視点）
- AIシステム安全：27090を基線に脅威と対応手順を整備。
- データ保護・プライバシー評価：27091正式版を追跡し、FDIS枠で事前評価。
- 両者を並用し、安全とプライバシーの二線をカバー。