Bridging AI Risk Frameworks: Reconciling ISO/IEC 42001, the NIST AI Risk Management Framework, and the EU AI Act into a Uni ed Governance Taxonomy

大いなるAIルールブックの混乱

想像してみてください。あなたは、医師の診断を支援したり、ローンを誰に貸すべきかを決定したりできるロボットを作ろうとしています。あなたは、そのロボットが安全で公平であり、誤って誰かを傷つけることがないようにしたいと考えています。しかし、ここで問題が発生します。世界には、ロボットを作るためのルールブックが一つだけ存在するわけではないのです。代わりに、部屋の三つの異なる隅から、全く異なる指示を叫んでいる三人の非常に騒々しい司書が存在しています。一人の司書は、ヨーロッパの厳格な裁判官で、「もしあなたのロボットが『この』特定の仕事をするなら、これら100ページのルールに従わなければならない。さもなくば罰則を受ける」と言います。もう一人は、アメリカの親切なコーチで、「リスクについて考えるための柔軟なプレイブックを用意した。ただし、見た目を良くしたい場合を除いて、これを使う義務はない」と言います。そして三人目の司書は、グローバルな認証機関で、「もしあなたの会社が組織化されていることを証明する輝かしいゴールドスターが欲しいなら、この特定のチェックリストに従う必要がある」と言います。

この論文は、人工知能（AI）ガバナンスの世界に生きています。簡単に言えば、これはAIシステムが責任を持って構築され、使用されることを確実にするための研究です。この論文が混在させている3つの主要な概念は、ISO/IEC 42001（会社が適切に組織化されていることを証明するための認証に関する標準）、NIST AIリスク管理フレームワーク（チームがリスクを管理するための自発的なガイド）、そしてEU AI法（危険なAIを禁止し、ハイリスクAIに対して厳格なルールを課す実際の法律）です。誰もがこれに関心を持っているのは、今やAIが至る所に存在するからです。もし企業がこれら3つのルールブックすべてを同時に遵守しようとすれば、同じルールを3回書き直すことになり、混乱し、多額の費用を浪費することになります。大きな疑問は、「これら3つの異なるルールブックを、法の厳格さやガイドの柔軟性を失うことなく、連携させることができるのか？」ということです。

論文の核心的なアイデア：一つの地図、三つの目的地

ヴィノッド・ディマン（Vinod Dhiman）によって書かれたこの論文は、これら3つのルールブックを一つの巨大で平坦なリストに押し込もうとするのは悪いアイデアであると主張しています。それは、都市の地図、交通法のリスト、そして運転マニュアルを、一枚の紙に統合しようとするようなものです。もしそうすれば、あるルールは必ず守らなければならない「法」であり、別のルールは単なる「提案」であるという事実を見落としてしまうかもしれません。著者は、それらを平坦化するのではなく、統一AIガバナンス・タクソノミー（UAGT）を構築することを提案しています。これは、「スーパー・オーガナイザー（超整理術）」あるいは、5つの異なる層を持つレゴの組み立て説明書のようなものです。

論文では、以下のように分類しています。

1. 「スーパー・オーガナイザー」の5つの層
論文は、AIガバナンスを、互いに積み重なった5つの異なるレンズを通して見る必要があると述べています。

• 「なぜ」の層（規範的目的）： 目標は何か？（例：「差別をしない」、「安全である」）。
• 「誰が」の層（ガバナンス対象）： 誰が責任を負うのか？（例：会社全体、特定のロボット、またはロボットを使用する人間）。
• 「リスク」の層（リスク論理）： 危険をどのように測定するか？（例：それは「ブラックリスト」に入っているから危険なのか、それとも特定の状況下で実際に害を引き起こしたから危険なのか？）。
• 「どのように」の層（コントロール・アーキテクチャ）： 具体的にどのようなルールに従うのか？
• 「証拠」の層（エビデンス）： 実行したことを証明するためにどのような書類を示すのか？

論文によれば、これら3つのルールブック（ISO、NIST、EU）は、「なぜ」と「どのように」については概ね一致していますが、「誰が」と「リスク」の層において意見が分かれています。例えば、EU法は、採用活動に使用されるロボットは、それだけで「ハイリスク」であると定義します（リストに基づくルール）。しかし、米国のガイドは、「さて、この特定のロボットが実際にどれほどの害をもたらしたかを測定してみよう」と言うかもしれません。論文は、これらを無理に同一のものにすべきではないと主張しています。代わりに、UAGTは両方の答えを並べて保持します。それは、二つのポケットを持つバックパックのようなものです。一つは「法的ハイリスク」ラベル用、もう一つは「測定されたローリスク」ラベル用です。両方を持ち歩くことで、法に抵触することなく、かつ実際の状況も把握できるのです。

2. 8つの「安定した」バケット
これを現実世界で機能させるために、論文はすべてのルールを8つの安定したバケット（ガバナンス・ドメインと呼ばれる）に整理しています。これらは、たとえ法律が更新されても変わることのない、ファイルキャビネットの中の8つの異なる引き出しのようなものです。バケットは以下の通りです。

1. アカウンタビリティ（説明責任）： 誰が責任を負うのか？
2. リスクアセスメント（リスク評価）： 危険をチェックする。
3. データガバナンス： データがクリーンで公平であることを確認する。
4. 透明性： AIがどのように機能しているかを公開する。
5. ヒューマン・オーバーサイト（人間による監視）： 人間がAIを見守っていることを確認する。
6. 堅牢性とセキュリティ： AIがクラッシュしたりハッキングされたりしないようにする。
7. モニタリング（監視）： ローンチ後にAIを監視する。
8. サードパーティおよびAIモデル： 外部ツールや大規模なAIモデルを管理する。

論文は、企業がこれらのルールをこれら8つの引き出しに入れることができると示唆しています。各引き出しの中には、3つのルールブックすべてを満たすことができる「コントロール・ライブラリ」を持つことができます。例えば、「ヒューマン・オーバーサイト」の引き出しにおいて、企業は「人間が決定を確認しなければならない」という一つのルールを作成します。この単一のルールは、ISO監査人に示すことも（認証取得のため）、NISTチームに示すことも（リスク管理を示すため）、そしてEU規制当局に示すことも（法遵守を証明するため）可能です。

3. 実世界の事例
論文は、医師のX線読影を支援する医療用AIと、ローンを誰に貸すべきかを決定するクレジット・スコアリングAIという2つの例を用いて、このアイデアをテストしています。

• 医療のケースでは、このAIは医療機器であるため、EU法において「ハイリスク」に分類されます。論文は、企業がUAGTを使用して、そのAIが医師にとって安全であること（NIST）、病院の管理システムにとって安全であること（ISO）、そしてEUにおいて適法であることを証明する一連の文書をどのように作成できるかを示しています。
• クレジットのケースでは、金融決定のための「ブラックリスト」に載っているため、このAIは「ハイリスク」となります。論文は、たとえ企業の内部テストでそのAIが非常に安全であると示されたとしても、依然として厳格なEUのルールに従わなければならないことを示しています。UAGTは、「厳格な法」バージョンと「内部テスト」バージョンを、別々に、かつ整理された状態で保持するのに役立ちます。

4. この論文が「できない」こと
論文は、このシステムが「できないこと」についても非常に慎重に述べています。ISO認証を取得したことが、自動的にEU法に従っていることを意味するわけではない、という考えを明確に否定しています。それは、運転免許証（ISO）を持っていることが、特別な許可なしにトラック（EU法）を運転できることを意味しないのと同じです。論文は、差異を「マッピングして消し去る」ことはできないと述べています。もしEUがシステムをハイリスクと判断すれば、たとえ内部テストでローリスクであったとしても、それはハイリスクのままです。また、論文はこのシステムが完成した製品ではなく、あくまで「ブループリント（設計図）」または「地図」であることを注記しています。これは、巨大な実世界の実験によって検証されたものではなく、文書の分析に基づいた提案された構造です。

5. 「ブリュッセル効果」と将来の変化
論文は、EUの法律が非常に厳格であるため、世界中の企業が安全策としてEUのルールに従うことが多いこと（これは「ブリュッセル効果」と呼ばれます）に触れています。UAGTは、企業がこれを効率的に行うことを助けます。しかし、論文はルールが依然として変化していることに警告を発しています。EUは2026年に「デジタル・オムニバス」の更新を行い、一部の期限を移動させました。また、米国もガイドを更新しています。論文は、これら「8つのバケット」は変わり続けることはないものの、その中にある具体的なルールは、法律の変化に伴って更新される必要があるかもしれないと示唆しています。

まとめ
論文は、これら3つのルールブックを同一のものに強制しようとすべきではないと結論付けています。代わりに、この「統一タクソノミー」を使用して、スマートなファイリングシステムを構築すべきであると述べています。このシステムにより、企業は一つのルールセットと一つのエビデンスを用いて、厳格なEU法、柔軟な米国のガイド、そしてグローバルな認証基準を同時に満たすことができます。これは、3つの異なるルールブックがある混沌を、それらが同じものであると偽ることなく食い止める方法なのです。