先日、シンガポールで開催されたTech業界の小規模なMeetupに参加しました。
データアナリストやAIエンジニアなど、普段あまり接点のない方々と話す中で、AIガバナンスを事業としている会社の方と知り合う機会がありました。
「企業がAIを活用していく上で、どのような資格やリファレンスモデルがあるのでしょうか」と質問したところ、出てきたキーワードの一つがISO/IEC 42001でした。
その後、少し調べてみると、これは単なるAI関連の認証規格というよりも、企業がAIを組織的に利用していくための「管理の仕組み」を考える上で、非常に興味深い国際規格だと分かりました。
ISO/IEC 42001とは何か
ISO/IEC 42001は、2023年に発行されたAI Management System（AIMS）に関する国際規格です。
ISO/IEC 27001が情報セキュリティを組織として管理する仕組みであるのに対し、ISO/IEC 42001ではAIについて、
- AIに関する方針
- AIリスクの特定・評価
- データガバナンス
- AIシステムのライフサイクル管理
- 人間による監督
- 透明性・説明可能性
- サプライヤー管理
- モニタリングと継続的改善
などを組織として管理するための仕組みが扱われています。
つまり、「AIモデルをどう作るか」だけではなく、
企業としてAIをどのように管理し、リスクをコントロールし、継続的に改善していくか
という問題を扱うものです。
“How to train AI”という言葉から考えたこと
今回のMeetupで印象に残ったもう一つの言葉が、”How to train AI”でした。
その場では詳しい文脈まで確認できなかったのですが、後から考えてみると、この一言にはいくつかの意味が考えられます。
例えば、
How to train AI properly?
AIを適切に学習させるために、何をすべきなのか。
だったのかもしれません。
あるいは、
How to train AI for company business processes?
会社の業務プロセスで活用できるAIを、どのように構築・学習させるのか。
How to train AI with company data?
企業固有のデータをどのようにAIに活用させるのか。
という話だった可能性もあります。
この違いによって、技術的な意味はかなり変わります。
ただ、AIガバナンスの観点から考えると、重要なのは「AIをどう学習させるか」だけではありません。
どのようなデータをAIに与えるのか。そのデータの品質やバイアスをどう管理するのか。個人情報や著作権上の問題はないのか。AIの挙動をどのように評価・検証するのか。AIにどこまでの業務を任せるのか。そして、その結果を誰が監督するのか。
こうした問いまで含めて考える必要があります。
そう考えると、AIガバナンスとは、単にAIを「学習させる」ための仕組みではなく、AIを企業の中で適切に導入し、利用し、管理していくための仕組みなのだと思います。
シンガポール企業でもAIガバナンスが進んでいる
今回このテーマを調べていて興味深かったのは、現在住んでいるシンガポールでも、政府がかなり早い段階からAIガバナンスに取り組んでいることです。
中心的な役割を担っているのが、MDA（Infocomm Media Development Authority）です。
シンガポールでは2019年からModel AI Governance Frameworkが策定されており、企業がAIを責任ある形で開発・導入するための実務的な考え方が整理されています。
さらに興味深いのが、AI Verifyです。
これは単なるガイドラインではなく、企業がAIシステムについて、透明性、説明可能性、公平性、アカウンタビリティ、堅牢性などの観点から検証を行うためのフレームワークです。
つまり、ガバナンスポリシーを策定するだけでなく、AIの検証や評価、監査に必要な証跡の作成といった実務面にも踏み込んでいます。
さらに、LLMやGenerative AIの評価を対象としたProject Moonshotや、2026年にはAgentic AI向けのModel AI Governance Frameworkも登場しています。
AIが単に質問に回答するだけでなく、ERPやその他の業務システムにアクセスし、実際に何らかの処理を実行するようになれば、「AIが何を回答したか」だけではなく、「AIにどの権限を与え、どこまで自律的に行動させるのか」というテーマが重要になります。
このあたりは、今後のEnterprise AIにおいて非常に重要なテーマになりそうです。
日本でもAIガバナンスが動き始めている
一方、日本でもAIガバナンスに関する取り組みが進んでいます。
経済産業省・総務省によるAI事業者ガイドラインでは、AIを適切に開発・提供・利用するための考え方が整理されています。
また、AIセーフティ・インスティテュート（AISI）では、AIの安全性評価や国内外のAI Governance Frameworkの整理が進められています。
そこでは、
- 日本のAI事業者ガイドライン
- NIST AI RMF
- EU AI Act
- ISO/IEC 42001
など、国内外のさまざまなフレームワークが関連付けられています。
EUではAI Actによる法制度化も進んでおり、AIを利用する企業にとって、AIガバナンスは「望ましい取り組み」から、徐々に事業上のコンプライアンス課題になりつつあります。
「AIがやりました」ということで、企業として取った行動の責任を免れることができるわけではありません。
AIを企業活動に組み込むのであれば、その利用方法やリスクを組織として管理する必要がある――これは当然の流れとも言えるでしょう。
こうして見ると、国によってアプローチは異なりますが、AIを企業活動に組み込むためのガバナンスというテーマ自体は、世界的に共通して重要になっているように見えます。
ERPコンサルタントとして感じたこと
私はこれまで、ERPを中心とした企業システム導入、Business Process Transformation、BPR、System Integrationなどに携わってきました。
今回、AIガバナンスについて調べていて興味深かったのは、AIガバナンスにも、
Data Governance
Risk Management
Access Control
Audit Trail
Change Management
Internal Control
Business Process
といった、企業システムの世界で長年扱われてきた考え方が数多く登場することです。
例えば、AI AgentがERP上で会計仕訳を作成したり、購買処理を判断したりするようになれば、「AIの精度」だけではなく、「そのAIを業務プロセスの中でどうコントロールするか」が重要になります。
これはAIエンジニアだけの問題ではなく、AI × Business Process × Enterprise Systemsの問題になっていくのではないでしょうか。
これから注目したい領域
ISO/IEC 42001が発行されて、まだ数年です。
一方で、シンガポール、日本、EUなど、それぞれの地域でAI Governanceに関するFrameworkや制度が急速に整備されています。
これからは、
AIを導入する
だけではなく、
AIを安全かつ説明可能な形で企業の業務に組み込む
ための仕組みが必要になってくるでしょう。
今回のTech Meetupでの出会いをきっかけに、私はしばらく、ISO/IEC 42001、AI Governance、EU AI Act、シンガポールのAI Governance、そして企業システムとの接点について、さらに知見を深めてみたいと思っています。
特に興味深いのは、これまで自分が経験してきたERPやBusiness Processの知識が、AIガバナンスという新しい領域でどのように活かせるのかという点です。
AIが企業の業務プロセスそのものに入り込んでいく中で、AIとEnterprise Systemsの間をつなぐ役割には、これから新しい可能性が生まれてくるのかもしれません。
