1週間で3つのAIガバナンス規格が登場。それぞれが何を変えるのか。

2026年10月14日から16日にかけて、あらゆるAIガバナンスプログラムが問われることになる3つの規格が登場しました。それぞれ役割が異なり、法の下で正式な役割を持つのはそのうち1つだけです。

ISO/IEC 27090:2026は、AIシステムに対するセキュリティ脅威と侵害に関するガイダンスです。従来のコントロールでは見落とされる攻撃 — データおよびモデルのポイズニング、回避攻撃、メンバーシップ推論、モデル反転、一見通常のクエリによるモデル抽出、プロンプトおよび出力インジェクション — と、その緩和策（脅威モデリング、レッドチーミング、ロギングとモニタリング、サプライチェーンセキュリティ、モデル利用の制限）を扱います。ISO/IEC 27001を基盤とし、ISO/IEC 42001を補完します。認証の対象ではありません。

EN 18286:2026は、EU AI Actに基づく最初の整合規格です。その参照は2026年10月14日に官報に掲載されたため、本規格に従うことで、本規格が対象とする第17条の品質マネジメントシステム要求事項への適合性が推定されます。ただし、この推定は見た目より限定的です。対象は本規格の附属書ZAに列挙された項目であり、第17条第2項から第4項は含まれず、認証でもありません。ISO/IEC 42001は本規格と重なり合いますが、ISO/IEC 42001は整合規格ではありません。

IEEE 2863-2026は、AIの組織的ガバナンスに関する推奨プラクティスです。統治機関が検討し優先付けすべき原則、それを実践に移すためのプロセス、原則間の緊張関係を解消するためのケーススタディを示しています。要求事項ではなくガイダンスであり、AIの監督に新たに取り組む取締役会にとって有用な枠組みです。

AI Gov Mapでは、3つの規格すべてがカタログに追加され、同じ22のコントロールに対応付けられています。そのため、ISO/IEC 42001やEU AI Actのためにすでにエビデンスを示しているコントロールが、新しい規格のどこで有効かがわかります。高リスクAIに関する義務が2027年12月に始まるのであれば、今から計画の軸に据えるべきはEN 18286です。

NexGuide.AI発行 · 2026年10月 · 法的助言ではありません。