AIガバナンスは、社内規程や利用ガイドラインだけで完結しなくなっている。調達するAIサービス、生成物の真正性、運用ログ、データ管理、説明責任を、国際標準と接続して設計する段階に入っている。
ITU、ISO、IECは、AIの安全性・信頼性・包摂性を対象に標準化の連携を進めている。ITUはWTSA-24の発表で、AI、メタバース、量子情報技術、デジタル公共インフラを今後4年間の標準化の重点分野に置いた。AIについては、技術要件だけでなく、実装可能な標準へ原則を落とし込むことを重視している。
IT技術者にとって重要なのは、国際会議の動向そのものではない。これからのAIシステムでは、どのデータを使ったか、生成物をどう確認するか、誰が承認したか、インシデント時にどう説明するかが、設計・調達・監査の要件になることである。
ITUのAI標準化で扱われる領域
ITUは2024年10月時点で、AIに関する標準を100件以上公開し、150件以上を開発中としていた。対象は、ネットワークオーケストレーション、マルチメディア符号化、ネットワークやデータセンターの効率化に加え、気候、農業、災害対応、医療、道路安全などに広がっている。ITUの発表では、AI標準を信頼、安全、公平なイノベーションを支える基盤として位置付けている。
この流れを、ITシステムでは次のように捉えるとよい。
| 標準化の領域 | システム設計で確認すること |
|---|---|
| AIの性能・安全性 | 評価方法、利用条件、失敗時の扱い |
| データと相互運用性 | データ形式、来歴、接続先、移行可能性 |
| ネットワーク・インフラ | 可用性、レイテンシ、電力効率、監視 |
| 生成コンテンツの真正性 | 来歴、透かし、検証、表示方法 |
| 人権・社会技術的側面 | 差別、不利益、説明、異議申立て、利用者支援 |
| 人材・組織 | 利用者教育、レビュー体制、責任分界 |
標準は、特定のモデルを選ぶためだけのものではない。AIを含むシステム全体の要件を、共通の言葉で定義するために使う。
ISO・IEC・ITUの三者連携で重要な点
ITU、ISO、IECは、AI標準の重複や空白を減らし、相互に利用できる標準群を作るための連携を進めている。ITUは2024年に、三者がAI標準データベースの開発に協力し、AIとマルチメディア真正性の標準協働を主導すると発表した。ITUの発表
2025年12月の国際AI標準サミットでは、三者は「ソウル声明」を発表した。日本規格協会の紹介記事によると、声明では社会技術的側面、人権との相互作用、AIの設計・導入・ガバナンスへの標準適用、官民連携による能力開発が挙げられている。
ここで注意したいのは、声明や協働枠組みが、直ちに個別企業への法的義務になるわけではないことだ。一方で、各国の規制、顧客の調達要件、監査基準、業界ガイドラインに標準の考え方が取り込まれる可能性は高い。
技術部門は「規格が確定したら対応する」のではなく、標準化で議論されている論点を要件管理へ先に反映させるべきである。
生成コンテンツの真正性はプロダクト要件になる
三者連携の中でも、AIとマルチメディアの真正性は実装との距離が近い。ITUは、ウォーターマークとディープフェイク検出を含む「AI and Multimedia Authenticity Standards Collaboration」を挙げている。日本規格協会のAI for Goodに関する紹介でも、AIガバナンスや偽情報への対応と合わせて連携が紹介されている。
真正性は、検出モデルを一つ導入すれば解決する問題ではない。生成、編集、配信、利用者への表示、通報、訂正までをつなぐ設計が必要になる。
生成時: 生成AIの利用有無、モデル、設定、入力の権限を記録する
↓
保存時: 生成物ID、作成者、編集履歴、来歴情報を保管する
↓
配信時: AI生成または編集済みであることを適切に表示する
↓
検証時: 透かし・来歴・署名・外部検証情報を確認できるようにする
↓
問題発生時: 通報、非公開化、訂正、再発防止を実行する
透かし、来歴情報、検出技術にはそれぞれ限界がある。透かしがないから人間作成とは限らず、検出器の判定だけで違法・不正と断定することもできない。
そのため、実装の目的は「AI生成物を完全に見抜くこと」ではなく、コンテンツの扱いを判断できる証跡を増やし、誤判定や異議申立てに対応できるようにすることになる。
AIガバナンスをシステム要件に変換する
国際標準の議論を読んでも、開発チームの作業が増えるだけでは意味がない。要件、設計、運用、調達の項目に変換する必要がある。
| ガバナンス上の論点 | システム要件への変換例 |
|---|---|
| 説明可能性 | 回答、判定、モデル選定の根拠とバージョンを記録する |
| 追跡可能性 | 入力データ、プロンプト、モデル、ツール実行、出力を関連付ける |
| 人間の監督 | 高リスク操作には承認、停止、差し戻しを設ける |
| 公平性 | 対象集団ごとに評価し、偏りの監視項目を定義する |
| プライバシー | データ分類、最小権限、保存期間、削除手順を設計する |
| 生成物の真正性 | 来歴、表示、通報、訂正のフローを実装する |
| 相互運用性 | 特定ベンダーの形式に閉じず、ログ・データの移行方法を確保する |
この表を、AI利用の設計レビューにそのまま使ってもよい。重要なのは、原則を「気をつける」という注意書きで終わらせず、ログ、権限、データ形式、画面、承認フローに反映することだ。
調達時に確認する項目
AIサービスを外部から調達する場合、モデルの精度と価格だけでは比較できない。標準化の動向を踏まえるなら、次の質問をベンダーへ投げるべきである。
- モデル、システムプロンプト、主要な安全設定の変更をどこまで通知するか
- 入力・出力・ツール実行・承認操作のログを取得できるか
- データの保存場所、保存期間、学習利用の有無を管理できるか
- 生成コンテンツの来歴やAI利用表示を扱えるか
- 透かしや検出結果を、どの程度の根拠で提示するか
- 高リスクな操作を人間承認に戻せるか
- 外部監査やインシデント調査に必要な証跡をエクスポートできるか
- APIやログ形式を、将来の移行に耐える形で提供しているか
回答を契約・調達条件・受入テストに結び付けなければ、確認票だけ作っても統制にはならない。
開発チームが今から始めること
国際標準のすべてを読み込む必要はない。まずは、自社のAIシステムを一つ選び、次の順序で確認する。
- AIが行う判断と、AIが実行できる操作を分ける
- 入力データ、モデル、ツール、出力、承認を一つの操作記録として追えるようにする
- 生成コンテンツを外部公開する場合は、来歴・表示・通報・訂正の設計を決める
- 高リスクな用途では、人間レビューと停止条件を設ける
- 調達先の説明と、自社のログ・権限・データ管理が矛盾していないか確認する
- 評価結果とインシデントを、要件と運用ルールへ戻す
例えば、社内RAGであれば、引用精度だけでなく、古い規程を参照しないか、アクセス権のない文書を検索しないか、回答の根拠を監査できるかを評価する。生成AIを使った顧客向けコンテンツなら、生成履歴、承認、公開後の訂正手順までを設計対象にする。
日本企業にとっての意味
ITU・ISO・IECの連携は、海外の標準化機関だけの話ではない。日本企業が海外市場の顧客、取引先、クラウドベンダーとAIシステムを接続するほど、説明、データ管理、真正性、監査に関する共通の要件が必要になる。
標準化への直接参加は、一部の専門部門だけが担う仕事かもしれない。しかし、開発・インフラ・セキュリティ・法務・調達が同じ要件を使えるようにすることは、すべてのIT組織に必要である。
AIガバナンスを国際標準に合わせる目的は、書類を増やすことではない。AIを使った判断や生成物について、必要なときに止め、調べ、説明し、訂正できるシステムを作ることだ。
作成日: 2026-07-18