ISO/IEC 25568とは
ISO/IEC 25568とは、生成AIシステムのリスクへ対応するために、ISOとIECが共同で開発しているガイダンス文書です。リスクを見つける際の目的、ライフサイクル全体のリスク源と利害関係者、分析、対応、統制を扱います。2026年8月21日時点では委員会原案の段階で、発行済みの文書ではありません。
現在の表記：ISO/IEC CD TS 25568
英語名：Information technology, Artificial Intelligence, Guidance on addressing risks in generative AI systems
説明訳：生成AIシステムのリスク対応ガイダンス
何を対象にする標準案なのでしょうか？
対象は、生成AIの設計時だけではありません。企画、開発、提供、利用、見直しまでを通じ、どこからリスクが生じ、誰が影響を受けるかを整理する考え方です。そのうえでリスク分析、対応方法、統制へつなげます。一般的なAIリスク管理を扱うISO/IEC 23894に対し、生成AIに範囲を絞った検討材料として位置づけを確認する文書です。
ISO公式ページの表示は段階30.60で、委員会原案への意見受付が終わった状態。あわせて押さえたいのは、この文書が目指すTS（技術仕様書）が、国際規格（IS）とは別の種類の文書だという点です。技術が動いている分野や、国際規格にするだけの合意がまだ得られない段階で、先に使えるようにするための形式にあたります。番号が付いていても内容は確定しておらず、審議によって表記や記述が変わる可能性があります。
企業は今どのように備えるべきか
現段階では「準拠済み」と宣言するのではなく、自社の生成AI管理に抜けがないかを見る予告表として扱うのが安全です。利用目的、対象部署、外部モデルやデータの依存先、影響を受ける顧客・従業員、対応責任者を一つの台帳で結びます。この文書を認証規格や法的義務とみなして契約条件へ入れないよう注意してください。
公開後に再確認する担当者と時期も決めます。現在使っているISO/IEC 42001、ISO/IEC 23894、NIST AI RMFなどの管理表があれば、重複して新しい台帳を作らず、追加で必要になる項目を差分として管理する方法が現実的でしょう。
TopicAIの標準文書を生成AIに書かせない
ISO/IEC 25568に関するよくある質問
- ISO/IEC 25568のTSは何を意味しますか？
- Technical Specificationの略です。文書の種類を表すもので、企業の認証レベルを示す記号ではありません。
- ISO/IEC 25568の認証を取得する必要がありますか？
- 公開情報では生成AIリスクへのガイダンスとして開発されています。認証取得を定める完成済みの要求事項ではありません。
- 取引先の選定基準へ今すぐ使えますか？
- 公開された対象範囲は質問項目の参考になります。ただし、未発行の文書への適合を契約条件にせず、ドラフトであることを明記します。
