附属書Aと附属書B

附属書A（規定）は、AIに関わる管理目的と管理策の一覧です。9つの目的と38の管理策があります。附属書B（規定）は、その管理策の実施の手引で、ISMSでいう ISO/IEC 27002 に近い役割です。附属書C（参考）は目的とリスク源の例、附属書D（参考）は分野をまたいだ使い方です。

9つの目的

• A.2 AIに関連する方針 … AI方針、ほかの方針との整合、見直し
• A.3 内部組織 … AIの役割と責任、懸念事項の報告
• A.4 AIシステムの資源 … 資源の文書化、データ・ツール・計算・人の資源
• A.5 AIシステムの影響評価 … 手順、文書化、個人と社会への影響
• A.6 AIシステムのライフサイクル … 責任ある開発の目的と手順、要求事項から運用・監視・ログまで
• A.7 AIシステムのデータ … 取得、品質、来歴、準備
• A.8 利害関係者のための情報 … 利用者向けの文書、外部への報告、インシデントの伝達
• A.9 AIシステムの利用 … 責任ある利用の手順と目的、意図した用途
• A.10 サードパーティ及び顧客との関係 … 責任の割当て、供給者、顧客

適用宣言書

42001 にも適用宣言書があり、必要な管理策と、含めた理由・除いた理由を書きます。附属書Aの管理策がすべて要るとは限らず、組織が独自の管理策を足すこともできます。監査では、組織の役割とAIシステムの使い方に照らして、除外の理由が事実と合っているかを確かめます。

• 附属書A・B・C・Dの役割
• 9つの目的（A.2〜A.10）と38の管理策
• 42001 の適用宣言書
• 事実から管理策を探す、監査での使い方