AIガバナンスの第三者認証であるISO/IEC 42001（AIマネジメントシステム）の国内取得が増えています。株式会社UPFは2026年11月4日、同認証を2026年10月30日に取得したと発表しました（登録番号JQA-AI0002）。同社は「JQAによる認証としては国内2社目」と説明しています。ただしこの「2社目」は認証機関を限定した数え方であり、国内全体の件数ではありません。認定機関ISMS-ACの公開データを数えると14組織が登録されています。発注側が取引先の認証を評価するとき、件数より先に見るべき4点を、公開データで整理します。
2026年10月30日に起きたこと
株式会社UPFが、AIマネジメントシステムの国際規格ISO/IEC 42001の認証を取得しました。 認証機関は一般財団法人日本品質保証機構（JQA）、登録番号はJQA-AI0002です。
UPFの発表によれば、登録範囲は「AI利用者として、リスクマネジメントコンサルティングサービス及び付帯するバックオフィス業務におけるAIサービスの活用」です。UPFはプライバシーマーク・ISMS・AIMSの取得支援を手がける企業で、支援実績は累計5,735社（2026年11月1日現在）としています。
注目したいのは、JQAによる1件目との役割の違いです。
| 1件目 | 2件目 | |
|---|---|---|
| 組織 | 株式会社L is B | 株式会社UPF |
| 登録日 | 2026年6月8日 | 2026年10月30日 |
| 登録範囲 | クラウド型メッセンジャーサービスにおけるAI機能の提供 | リスクマネジメントコンサルティング等におけるAIサービスの活用（AI利用者として） |
JQAの告知によれば、1件目のL is BはAI機能を提供する側として認証を取得しました。対してUPFはAIを利用する側としての取得です。ISO/IEC 42001は、AIを作る企業だけの規格ではありません。AIツールを業務で使うだけの企業も認証の対象になります。JQAは2026年1月からISO/IEC 42001の審査サービスを開始しています。
「国内2社目」はどこまでの話か
「国内2社目」は、JQAという1つの認証機関が発行した認証の中での順番です。 認証機関は複数あり、機関をまたいだ通し番号は存在しません。
AIマネジメントシステムの認定機関であるISMS-AC（情報マネジメントシステム認定センター）は、2025年7月8日にAIMS認証機関の認定を開始しました。認定基準にはISO/IEC 42006:2025が使われています。
ISMS-ACが公開しているAIMS認証機関一覧は2026年7月7日付で、掲載されているのはテュフ ラインランド ジャパン株式会社（認定番号AIR015）とＳＧＳジャパン株式会社（AIR021）の2機関です。この一覧にJQAの記載はありません。JQA自身の「マネジメントシステム審査登録規則【ISO/IEC 42001 特例】」（第19.1版・2025年9月22日発効）でも、ISO/IEC 42001の適用範囲表の「認定機関等」欄は「―」となっています。
ここから言えるのは、認証機関によって、認定機関の認定を受けた制度に基づく認証かどうかが異なるということです。どちらが優れているという話ではなく、取引先の認証書を見るときに「どの機関が、どの枠組みで出した認証か」を確認する必要があるという実務上の話です。
その結果として、ISMS-ACの公開データに載るのは認定を受けた2機関の認証だけになります。AIMS認証取得組織検索の表示は登録14件・公表14件（ページ表示日2026年10月21日）です。UPFとL is Bはこの14件には含まれていません。つまり国内の認証総数は14件ではなく、14件に認定外の認証を足した数になります。公開された一覧から国内全体の件数を数えられる状態にはなっていません。
ISO/IEC 42001が求めるもの4つ
ISO/IEC 42001は2023年12月に発行された国際規格で、ISO/IEC 27001（ISMS）などと同じ構成を取りながら、AI固有の要求を追加しています。 ISMS-ACは、他のマネジメントシステム規格と異なる点として4つを挙げています。
| 要求 | 意味するところ |
|---|---|
| 対象組織の定義 | AIシステムを開発・提供・利用する組織が対象。利用するだけの企業も含まれる |
| インパクトアセスメント | AIシステムの影響評価の実施を要求する。リスク評価とは別に、個人・社会への影響を見る |
| ライフサイクルの考慮 | AIシステムのライフサイクル全体を考慮することを要求する。導入時点だけの評価では足りない |
| データの取り扱い | 使用するデータの取り扱いを明確にすることを要求する |
ISMS-ACによれば、この規格は業種や規模の制約を設けておらず、利害関係者を6つの役割に分類して適用できる設計になっています。1つの組織が複数の役割を担うことも可能です。UPFの登録範囲にある「AI利用者として」という記載は、この役割の指定にあたります。
国内規格としては、JIS Q 42001:2025が2025年8月20日に発行されています。関連規格の整備状況は「AI認証のJIS 2本が発行｜自社が備えるのはどれか」で扱いました。AIガバナンスの認証は複数の枠組みが並行して立ち上がっており、国内では「JDLA「C認証」開始｜AIガバナンス認証で問われる4項目」で扱った制度も動いています。
14件の内訳を数えると「部門限定」が半数
ISMS-ACに登録された14件を数えると、7件が部門名や事業所名を併記した限定的な範囲での登録でした。全社一括で取得している企業のほうが少数です。
公開されている14件を当サイトで集計すると、次のようになります。
| 観点 | 内訳 |
|---|---|
| 登録件数 | 14件（登録14・公表14／ページ表示日2026年10月21日） |
| 認証機関 | ＳＧＳジャパン（AIR021）10件／テュフ ラインランド ジャパン（AIR015）4件 |
| 所在地 | 東京都10件／神奈川県・愛知県・兵庫県・熊本県が各1件 |
| 範囲を限定した登録 | 14件中7件が部門名・事業所名を併記 |
| 最も古い初回登録日 | 2025年6月16日（株式会社Godot・本店） |
範囲を限定している例には、株式会社NTTデータグループ（グローバルガバナンス本部 Technology Governance部 AI Governance室）、三菱電機株式会社（AXイノベーションセンター 基盤開発部）、KDDIアジャイル開発センター株式会社（グループイノベーション開発本部 グループイノベーション開発3部）、パーソルクロステクノロジー株式会社（クロス事業管掌 セキュリティ本部）、株式会社Elith（AI・APP開発部門）、ユニアデックス株式会社（マネージドサービス部門）が含まれます。
中小企業にとっての示唆は明確です。大手企業ですら、AIを扱う部門に範囲を絞って取得しています。全社の業務すべてをマネジメントシステムに載せる必要はありません。自社でAIを使っている業務が1つの部署に集中しているなら、その範囲で取得を検討できます。
取引先の認証を見るときの4つの確認点
「ISO/IEC 42001取得済み」という表記だけでは、何が保証されているのか分かりません。 確認すべきは次の4点です。
- 登録範囲（スコープ）：認証の対象はどの部門・どのサービスか。自社が発注する業務が範囲に入っているか。範囲外の業務には認証の効力が及びません
- 役割：AIの提供者としての認証か、利用者としての認証か。提供者としての認証が必要な取引で、利用者としての認証を示されていないか
- 認証機関と認定の枠組み：どの機関が発行したか。ISMS-ACの認定に基づく認証であればAIMS認証取得組織検索で登録番号から照会できます
- 登録日と次の審査時期：いつ取得したか。JQAの規則では定期審査は年1回、更新審査は原則3年ごととされています。取得から時間が経っている場合、維持されているかを確認します
ベンダーが示す実績表記をどう読むかという論点は、「ベンダーの「特許取得」をどう読むか｜発注前の3確認」でも扱いました。第三者が検証した事実と、企業の自己申告は分けて扱うという原則は共通です。第三者評価の階層そのものについては「AIベンダーの安全性を第三者が検証｜評価の3階層」で整理しています。
自社が取得を検討するときの前提
自社で取得を検討する場合、期間と前提条件を先に把握しておくと判断が速くなります。 JQAが公開しているよくあるご質問には、次の記載があります。
| 項目 | JQAの記載 |
|---|---|
| 期間 | 検討開始から登録証発行までおおむね1年間。準備体制によっては半年程度で認証取得に至るケースもある |
| ISMSとの関係 | ISO/IEC 27001を取得せず、ISO/IEC 42001単独での認証が可能 |
| 契約のタイミング | 登録審査（ファーストステージ審査）の4カ月前までを推奨。最短でも1カ月前には契約完了が必要 |
| 費用 | 人員数・事業所数・サービス内容に応じて算出されるため個別見積もり |
「ISMSを先に取らなければならない」という前提は不要です。一方で、インパクトアセスメントの手順・AIシステムのライフサイクル管理・データの取り扱い規程といった文書は、規格が明示的に求めている以上、着手前に整備状況を棚卸ししておく必要があります。
よくある質問
- ISO/IEC 42001の認証は国内に何件ありますか。
-
認定機関ISMS-ACの公開データでは14件です（ページ表示日2026年10月21日）。ただしこれはISMS-ACの認定を受けた2つの認証機関による認証に限られ、それ以外の機関による認証は含まれません。国内の総数を公開情報から数えることはできません。
- 中小企業でもISO/IEC 42001は取得できますか。
-
ISMS-ACによれば、この規格は業種や規模の制約を設けていません。実際にISMS-ACに登録された14件のうち7件は部門や事業所に範囲を限定した登録で、全社一括での取得ではありません。
- ISO/IEC 27001（ISMS）を先に取る必要はありますか。
-
必要ありません。JQAは「ISO/IEC 27001の認証は取得せず、ISO/IEC 42001単独での認証が可能」と回答しています。
- 取引先の認証はどこで確認できますか。
-
ISMS-ACの認定に基づく認証であれば、同センターの「AIMS認証取得組織検索」で認証登録番号から照会できます。それ以外の機関による認証は、認証機関に直接確認する必要があります。
まとめ
ISO/IEC 42001の国内認証について、2026年11月4日時点で押さえるべきは次の3点です。
- 「国内2社目」のような件数表記は、認証機関を限定した数え方である場合がある。ISMS-ACの公開データは14件で、UPFとL is Bはこの14件には含まれていません
- 14件のうち7件は部門・事業所を限定した登録。大手企業もAIを扱う部門に範囲を絞っており、全社一括で取る必要はありません
- 取引先の認証は、範囲・役割・認証機関と認定の枠組み・登録日の4点で読む。「取得済み」という表記だけでは、自社が発注する業務が対象かどうか分かりません
AIガバナンスの第三者認証は、2025年7月のISMS-AC認定開始から1年あまりで国内に広がり始めた段階です。取引先への要求事項に加えるにしても、自社で取得するにしても、まず自社がAIのどの役割（提供者か利用者か）に当たるかを決めるところから始まります。
AI導入の進め方全体は「AI導入支援｜中小企業の進め方と支援会社の選び方」、発注前に確認する具体的な基準は「AI導入支援会社の選び方｜発注前に確認する7つの基準」で解説しています。
自社がAIのどの役割に当たるのか、取引先の認証をどう評価すべきか整理したいという方は、AI導入相談フォームからお気軽にご相談ください。
出典・参考資料
- ISMS-AC（情報マネジメントシステム認定センター）： AIMS認証取得組織検索 （14件の明細は2026-11-04に取得）
- ISMS-AC： AIMS認証機関一覧 （）
- ISMS-AC： AIMS（AIマネジメントシステム）とは
- ISMS-AC： AIマネジメントシステムの認証を対象とした認定の開始について （）
- JQA（一般財団法人日本品質保証機構）： 当機構初、ISO/IEC 42001（AIマネジメントシステム）認証取得の株式会社L is Bに登録証を授与
- JQA： ISO/IEC 42001（AIマネジメントシステム）審査サービス開始のお知らせ
- JQA： マネジメントシステム審査登録規則【ISO/IEC 42001 特例】第19.1版 （）
- JQA： ISO/IEC 42001 よくあるご質問
- PR TIMES（株式会社UPF）： AIMS取得支援の株式会社UPF、JQAによる国内2社目のISO/IEC 42001（AIMS）認証を取得 （） （企業の自己発表）
