ISO/CD TS 25280-1とは

ISO/CD TS 25280-1とは、AIを利用する業務環境で、AIが生成した記録とAIに関連する記録をどう管理するかを扱う技術仕様書の委員会原案です。あらゆる種類の組織を対象に、AIを使う業務での記録管理の原則と検討事項を示します。「CD TS」は発行済み技術仕様書ではなく、委員会で照会中の原案です。

どの記録を対象にする？

ISOの公開要約に並ぶのは、AI-generated recordsとAI-associated recordsの2つ。前者はAIが生成した記録、後者はAIに関連する記録のこと。出力文書だけを保存すれば終わりではなく、AIと業務の関係をどの記録で説明できるかが検討対象になります。

実務では、AIの入力、出力、人の修正、承認、運用ログのうち、どれを業務上の記録として管理するかが棚卸しの対象です。全てを無期限に残すのではなく、法令、契約、業務リスクに照らして、対象、責任者、保存期間、閲覧権、削除条件を決めます。

2026年9月時点ではどの段階？

ISO公式ページでは、2026年3月31日にプロジェクトが承認され、9月8日に作業原案の承認と委員会原案の登録、9月9日に原案照会が始まったと記録されています。9月15日時点の表示は30.20「委員会原案の照会開始」。

これは担当委員会内で原案への意見を集め、合意形成を進める段階です。番号に「TS」とあっても、現在は発行済みのTechnical Specification（技術仕様書）ではありません。組織の義務や認証条件として確定扱いせず、公式ステージと版を継続的に確認します。正式発行後は、委員会原案との差分確認も欠かせません。

「生成した記録」と「関連する記録」の違い

公開要約は、2つの語がそれぞれどこまでを指すかまでは示していません。そのうえで読み方の一例を挙げると、AIが作った提案書や要約は「AI生成記録」、その結果に至った業務の条件や承認の記録は「AI関連記録」の候補になり得ます。どこまでを正式な業務記録とするかは、出力の種類よりも、後から意思決定を説明するのに必要かで考えると整理しやすいでしょう。

例えば、外部へ出した最終文書だけでは、誰がAIの提案を確認し、どこを変えたかが分からない場合があります。反対に、検証不要の一時処理まですべて長期保存すると、漏えいする情報と管理費が増えます。説明に必要な記録は残し、目的を終えた情報はルールに沿って削除する設計が必要でしょう。

この分類は、情報システム部門だけでは決めにくい横断作業。業務責任者は説明に必要な記録、法務やコンプライアンスは保存義務、セキュリティは保持リスクを確認します。記録管理は保存システムだけの問題ではなく、業務の責任分担の問題です。

企業は何から備える？

最初に、AIが関わる業務を一つ選び、業務の結果を説明するために現在残している記録を確認します。次に、記録の作成時点、改ざんの防止、閲覧できる人、保存終了時の削除方法に穴がないかを見ます。規格案の最終文言を先回りして作るのではなく、現状の説明可能性を高める作業です。

一律保存にすると、個人情報や機密情報の保持期間が不必要に長くなる危険もあります。「残すほど安全」ではなく、説明・法令・業務継続に必要な期間と、保持による漏えいリスクを両方見るのが判断の軸でしょう。

ISO/CD TS 25280-1に関するよくある質問

小規模な組織も対象ですか？

ISOの公開要約では、あらゆる種類の組織に適用できると注記されています。規模についての明記はありません。ただし、策定中の委員会原案なので、正式な適用条件は発行版で再確認します。

AIの入力やログは全て保存すべきですか？

一律に全件・無期限で保存するとは限りません。業務の説明、法令、契約、内部監査に必要かを判断し、対象、責任者、保存期間、閲覧権、削除条件を決めます。個人情報や機密情報を長く保持するリスクも考慮します。

この規格案はAIの正確さも評価しますか？

公開されたPart 1の要約が対象にするのは、AI対応環境での記録管理です。AIモデルの正確さや優劣を比較する性能評価規格とは説明されていません。品質評価と記録管理は別の管理項目として整理します。