一言まとめ
ISO/IEC 23894:2023（情報技術—人工知能—リスクマネジメントの指針）は2023年2月6日に発行され、ISO/IEC JTC 1/SC 42が策定。AIを開発・生産・展開・利用する組織がAI関連リスクを管理するための指針で、ISO 31000:2018と併用する設計です。
規格概要
| 項目 | 内容 |
|---|---|
| 規格番号 | ISO/IEC 23894:2023 |
| 名称 | 情報技術—人工知能—リスクマネジメントの指針（Information technology — Artificial intelligence — Guidance on risk management） |
| 発行機関 | ISO（国際標準化機構）とIEC（国際電気標準会議）、ISO/IEC JTC 1/SC 42人工知能分科委員会が策定 |
| 状態 | 国際規格、現行（First edition） |
| 発行日 | 2023年2月6日 |
| 版／ページ数 | Edition 1.0、全26ページ |
適用範囲
本規格は、人工知能（AI）を利用する製品・システム・サービスを開発、生産、展開、利用するあらゆる組織に対し、AIに特有のリスクを管理する方法の指針を提供し、組織のAI関連活動・機能へのリスクマネジメント統合を支援します。序文は、ISO 31000:2018（リスクマネジメント—指針）と併用する設計であると明記し、条項構成はISO 31000:2018を反映しAI固有の副条項を追加。引用規格はISO 31000:2018、ISO Guide 73:2009（リスクマネジメント—用語）、ISO/IEC 22989:2022（AI概念と用語）です。適用は組織とその状況に応じてカスタマイズできます。
主要条項の要点
| 条項 | 内容 | 影響対象 |
|---|---|---|
| 第4章 原則 | ISO 31000:2018第4章を基盤にAI固有の考慮を加えたリスクマネジメント原則を規定 | リスクマネジメントを実施する全ての組織 |
| 第5章 枠組み | 5.2 リーダーシップとコミットメント、5.3 設計、5.4 統合（組織とその状況の理解、コミットメント明確化、役割と責任の割当、資源配分、コミュニケーションと協議の確立）、5.6 実施、5.7 評価と継続的改善 | 経営層とAIガバナンス部門 |
| 6.3 範囲・状況・基準 | リスクマネジメントの範囲、外部・内部状況、リスク基準の定義 | リスク管理部門 |
| 6.4 リスクアセスメント | 6.4.2 識別、6.4.3 分析、6.4.4 評価 | AIを開発・展開・利用するチーム |
| 6.5 リスク処理 | 処理オプションの選択、処理計画の作成・実施 | リスクオーナーと事業部門 |
| 6.6/6.7 モニタリング・レビュー、記録・報告 | 継続的な監視・レビュー、リスクの記録と報告 | コンプライアンス・監査・運用部門 |
| 附属書A/B/C（参考） | A：AI関連の目標、B：AI関連のリスク源、C：リスクマネジメントプロセスとAIシステムライフサイクルのマッピング例 | リスク分析担当者 |
コンプライアンス推奨事項
- AIリスクマネジメントを既存のISO 31000:2018体系に統合し、第5章に基づく枠組みを構築して経営層のコミットメントを得てください。
- 第6.4条に従いAIシステムのライフサイクル全体でリスクの識別・分析・評価を実施し、附属書Cのマッピング例を参考にしてください。
- 第6.5条に従い処理オプション（回避・低減・移転・受容など）を選択し、文書化した処理計画を策定してください。
- 第6.6条の継続モニタリング・レビュー体制を構築し、第6.7条に従いリスク情報を記録・報告してトレーサビリティを確保してください。
- 用語はISO/IEC 22989:2022とISO Guide 73:2009に合わせ、組織内外で定義を統一してください。