AIシステムの影響評価がJISになった｜JIS Q 42005・42006制定と、取引先に聞かれる前の準備

2026年8月20日に何が公示されたか

経済産業省は2026年8月20日、日本産業規格（JIS）の制定・改正を公示しました。この月の制定は11件、改正は38件です。公示リストのうち、AIに直接関係するのは次の2件です。

同じ公示では、情報分野の規格としてJIS X 0134-3（システム及びソフトウェアアシュアランス－システムインテグリティレベル）とJIS X 0164-6（ITアセットマネジメント－HWIDタグ）も制定されています。なお、この月の紹介案件として経済産業省が取り上げているのは環境マネジメントシステムのJIS Q 14001改正であり、AI関連2件は公示リスト上での確認になります。

日本規格協会が公表している産業標準案の審議資料では、Q42005はISO/IEC 42005を基にしたもので、国際規格との対応の程度はIDT（一致）と記載されています。Q42006はISO/IEC 42006を基にしたものです。日本規格協会の規格詳細によれば、Q42006はJIS Q 17021-1（マネジメントシステムの審査及び認証を行う機関に対する要求事項）に対する追加の要求事項を定めるもので、引用規格にはJIS Q 42001が含まれます。

この2件が並んだことの意味

規格が2件同時に出たことには、実務上の含意があります。

JIS Q 42005は、AIシステムのインパクトアセスメントを行う組織のための手引です。対象は利用する側に限られず、開発や提供を行う組織も含まれ得ます。一方のJIS Q 42006は、AIマネジメントシステムを審査・認証する機関が満たすべき条件を定めた規格です。前者は評価を行う組織向け、後者は認証する側向けであり、Q42006がQ42005の評価結果を認証するという関係ではありません。認証の対象として中心になるのは、AIマネジメントシステムの要求事項を定めたJIS Q 42001です。

この2つが揃うということは、評価の進め方と、認証を提供する側の要件の双方に、国内の共通言語が用意されたということです。AIの管理について説明する際の参照先としては、これまでもISO/IEC 42005、JIS Q 42001、AI事業者ガイドラインがありました。今回加わったのは、ISO/IEC 42005と一致する国内の規格です。国内で参照しやすい形が整ったことで、取引先の調達票、入札の仕様書、親会社やグループ本社の内部監査などで、この規格が参照される可能性が生じます。ただし、実際にどこまで広がるかは現時点では分かりません。

「認証を取るべきか」は今日の問いではない

規格ができたと聞くと、経営者の関心は「認証を取る必要があるのか」に向かいます。しかし、中堅企業にとって今日の問いはそこではありません。

認証の取得は、費用も期間もかかります。取引上の要求が具体化していない段階で先行投資する理由は、多くの会社にありません。一方で、取引先から「AIの影響評価はされていますか」と聞かれたときに備えておく価値は、参照できる規格ができたことで高まりました。このときに困るのは、認証がないことではなく、何も説明できないことです。

つまり、今日決めるべきは次の3点です。

1. 自社のどのAI利用について、聞かれる可能性があるか
2. 聞かれたときに、何を出すか
3. その書面を、誰がいつ作るか

聞かれたときに出す「最小1枚」の構成

影響評価という言葉から、大部の文書を想像する必要はありません。相手が知りたいのは、あなたの会社がAIの影響を把握しているかどうかです。次の項目が埋まっていれば、最初の質問には答えられます。

この8項目は、AIを本格導入していない会社でも埋められます。逆に、すでに複数の部門でAIを使っている会社ほど、「対象」の欄で手が止まります。どこで何が使われているか分からないからです。その場合は、影響評価の前に利用実態の把握が先になります。

議論が長引きやすい「停止の条件」

上の表のうち、社内の議論が長引きやすいのが停止の条件です。決めた瞬間に責任者が確定するためです。

停止条件を書くときは、次の3つを分けてください。

即時に止める事象：個人情報が意図せず外部へ送信された、AIの出力に基づいて誤った請求や発注が行われた、といった実害が発生した場合です。この場合、判断を待たずに止める権限を現場に与えるかどうかが論点になります。

判断して止める事象：出力の誤りが増えた、社外から指摘を受けた、モデルやサービスの仕様が変更された、といった場合です。誰が何日以内に判断するかを決めます。

止めずに監視を強める事象：利用量が急増した、これまで使っていなかった部門が使い始めた、といった場合です。

この3段階を紙に落とすだけで、AIの導入判断は具体化します。逆にここが空欄のまま全社展開すると、問題が起きたときに現場が止められず、経営に情報が上がるのが遅れます。

AI事業者ガイドラインとの使い分け

日本には、総務省と経済産業省がまとめたAI事業者ガイドラインがすでにあります。今回の規格制定によって、それが不要になるわけではありません。役割が違います。

• ガイドライン：AIに関わる主体が何を心がけるべきかという、幅広い指針
• JIS Q 42001：AIのマネジメントシステムに求められる要求事項
• JIS Q 42005：個別のAIシステムについて影響を分析し、文書化するための手引
• JIS Q 42006：AIマネジメントシステムの審査・認証を提供する機関側の要求事項

中堅企業が最初に手を付けるのは、実務上はJIS Q 42005が扱う領域、つまり「うちのこのAIは誰に何の影響を与えるか」の整理です。組織全体の管理の仕組みを先に作ろうとすると、着手前に息切れします。

AIの適用範囲と着手順を決めるところからであればAI導入可否アセスメントで扱います。すでに開発が動いていて、発注内容にガバナンスの要求を書き込む段階ならAI開発・生成AI活用の発注前相談、AIを組み込むシステムの企画そのものはAI関連サービスの範囲です。

今後1年で起きそうなこと

規格化のあとに何が起きるかは、現時点では分かりません。ここで示すのは、過去の情報セキュリティ関連規格の広がり方から想定できる筋道であり、今回そうなるという予測ではありません。

1. 大手企業・公共の調達票に、AIの管理状況を問う項目が追加される
2. 業界団体が、会員向けの推奨事項として参照する
3. 認証機関の体制が整い、認証取得の事例が出始める
4. 取引条件として、認証または同等の説明が求められ始める

この流れが起きるとは限りません。ただし、1の段階が来たときに答えられる材料がないと、商談の途中で確認待ちが発生します。調達票やチェックシートの回答に時間がかかることは、セキュリティ分野でも起きています。

影響評価を「誰が書くか」で決まる質

なお、ここで示す1枚は、社内の棚卸しと最初の回答に使うためのものです。JIS Q 42005に沿った評価を実施したことや、規格に適合していることを示すものではありません。規格が扱う評価プロセスや文書化の範囲はこれより広く、本格的に取り組む場合は規格本文の項目に沿って設計してください。

この種の文書は、担当を間違えると使えないものになります。実務でよくある3パターンを挙げます。

パターン1：情報システム部門だけで書く 技術的には正確ですが、「影響を受ける人」の欄が薄くなります。顧客がどう困るか、従業員の評価にどう影響するかは、業務側でないと書けません。結果として、取引先から具体的な質問が来たときに答えられません。

パターン2：外部のコンサルタントに一式で依頼する 体裁は整います。ただし、知識の引き継ぎを契約に含めていないと、社内に理解が残らず、更新のたびに外部へ依頼することになります。実際の運用が文書と乖離していても気づきにくくなる点にも注意してください。

パターン3：業務部門が主、情報システム部門が補助 業務部門が「何のために使い、誰に影響するか」を書き、情報システム部門が「どのデータが、どこへ流れ、どう記録されるか」を補う形です。作成に時間はかかりますが、内容と実態のずれは小さくなります。

最初の1件を作るときは、対象を絞ってください。全社のAI利用を一度に評価しようとすると、着手できません。影響が最も大きい1業務を選び、そこで1枚を完成させてから横展開するほうが早く進みます。

更新のタイミングを先に決める

影響評価は、一度書いて終わりにすると陳腐化します。次のいずれかが起きたら見直す、という条件を決めておいてください。

このうち4番目が見落とされます。自社が何も変えていなくても、使っているサービスの側が変わることがあります。契約している事業者からの通知を誰が受け取り、誰が影響を判断するかを決めておいてください。

取引先の調達票が来たときの初動

実際に取引先から質問票が届いた場合、次の順で対応すると短時間で済みます。

1. 回答期限と、回答が必要な範囲を確認する：全社について聞かれているのか、その取引に関わる業務についてかで、作業量が変わります。
2. 既存の回答資料を探す：情報セキュリティの質問票に、すでに関連する回答をしている場合があります。整合を取る必要があるため、先に確認します。
3. 答えられる項目と、答えられない項目を分ける：全項目を埋めようとして時間を使うより、答えられない項目を明示して、いつまでに整備するかを添えるほうが誠実です。
4. 社内の承認を通す：外部へ出す文書である以上、内容の責任者を決めます。
5. 回答の控えを残す：次の取引先からも同じ質問が来ます。

3番の「答えられない項目を明示する」は、実務上有効です。取引先が見ているのは完璧さではなく、把握しているかどうかと、改善する意思があるかどうかである場合が多いためです。

費用をかけずに始められる範囲

規格対応というと費用を想像しますが、最初の段階で必要な支出はほとんどありません。

• 影響評価の1枚を作る：社内の時間のみ
• AI利用の一覧を作る：社内の時間のみ
• 停止条件を決める：社内の時間のみ
• 記録の保存先を決める：既存の共有環境で足りる場合が多い

費用が発生し始めるのは、規格本文の入手、外部の助言、そして認証の取得を検討する段階からです。順序としては、社内でできる範囲を終えてから外部の支援を検討するほうが、依頼内容が具体的になり結果的に安く済みます。

FAQ

Q1. 制定されたJISはいつから効力を持ちますか

JISは強制的な規制ではなく、任意に用いる国家規格です。法令や契約で参照された場合に、その範囲で効力を持ちます。したがって「いつから守らなければならないか」は、自社が結ぶ契約や、適用される制度の側で決まります。

Q2. 規格の本文はどこで読めますか

規格票の購入は日本規格協会などで有償です。一方、日本産業標準調査会（JISC）の検索からは、規格の内容をPDFで閲覧できます。まず何をすべきかを知りたい段階であれば、本文の入手より先に、自社のAI利用の一覧を作るほうが実務は進みます。

Q3. 生成AIをチャットで使っているだけでも影響評価が必要ですか

JISは任意の国家規格であり、対応そのものが一律に義務づけられるわけではありません。そのうえで、どこから手を付けるかの優先度は、用途と入力するデータで決まります。社内の文章作成の下書きに使うだけの場合と、顧客への回答や与信・採用の判断材料に使う場合では、影響の重さが違います。まずは用途別に分けて、重いものから整理してください。

Q4. 認証を取れば取引先への説明は不要になりますか

認証は説明の材料になりますが、個別のAIについて何をどう評価したかを聞かれる可能性は残ります。どこまでの記録が必要かは、法令、契約、認証の範囲、自社の方針によって決まります。認証を取得したから記録が不要になる、という関係ではありません。

Q5. 中小企業でも対応する必要がありますか

規格そのものは任意であり、企業規模で対応義務が生じるものではありません。聞かれる可能性という観点では、取引の相手と用途が影響します。大手や公共と取引がある、あるいは個人情報を扱うAIを使っている場合は、規模にかかわらず質問を受けることがあります。社内限定で影響範囲が閉じている用途であれば、優先度は下がります。

参考情報

• 経済産業省 日本産業規格（JIS）を制定・改正しました（2026年8月分）
• 経済産業省 2026年8月20日公示ＪＩＳリスト（資料1・PDF）
• 日本産業標準調査会（JISC）
• JIS Q 42005:2026 規格詳細（日本規格協会）
• JIS Q 42006:2026 規格詳細（日本規格協会）
• 日本規格協会
• GXO AI導入可否アセスメント
• GXO AI開発・生成AI活用 発注前相談

規格番号と名称は、2026年8月20日付の経済産業省の公示リスト（資料1）に記載された表記に基づきます。国際規格との対応関係は日本規格協会の産業標準案作成テーマの審議資料に基づく記載です。規格の適用範囲や具体的な要求事項は規格本文で確認してください。認証を取得できるか、個別の契約で適合と扱われるかについては、この記事では結論を示していません。