なぜ取引先がAIの利用を確認するのか
完成品メーカーやTier1が、サプライヤーのAI利用を確認する理由は、大きく3つあります。
- 品質保証：サプライヤーが検査をAIに切り替えた場合、出荷品の品質がどう保証されているかを確認したい
- 情報管理：自社が渡した図面や仕様書が、サプライヤーの生成AIに入力されていないかを確認したい
- 規制対応：EU向けの製品を作る完成品メーカーは、AI Act、機械規則、CRAへの対応のため、部品やソフトウェアのサプライヤーにも情報を求める
1と2は、規制とは関係なく、品質協定と秘密保持契約の延長として確認されます。3は、EU AI Actの製品組込み型の高リスク義務（AI Omnibus後は2028年8月2日から）やCRA（主要義務は2027年12月11日から）の適用が近づくにつれて増えると考えられます。現時点で取引先から確認を受けていなくても、上の3つの理由から、今後は確認が増えるという前提で準備しておくのが合理的です。
準備する6つの書類
| # | 書類 | 中身 | 既存の仕組みとの関係 |
|---|---|---|---|
| 1 | AI利用台帳 | 使っているAIの一覧。用途、担当、データ、判定の使い方、リスク区分 | AIガバナンスの台帳をそのまま使う |
| 2 | 品質への影響評価と検証記録 | 品質判定に使うAIの評価方法、見逃し率・過検出率、合格ライン、抜き取り確認の記録 | 検査工程の工程能力の記録と同じ扱い |
| 3 | 変更管理の記録 | モデルの版の更新、閾値の変更、品番追加の履歴と承認 | 工程変更の変更管理に組み込む |
| 4 | データ管理規程・生成AI利用ルール | 顧客情報の入力禁止、利用可能なツール、ログの管理 | 情報セキュリティ規程の一部 |
| 5 | AIベンダーの管理記録 | ベンダーの評価、契約上のデータの扱い、保管国 | 購買先の評価・管理 |
| 6 | 製品組込みAIの技術情報 | 製品に組み込んだAIの機能、安全機能との関係、SBOM | EU向け製品の技術文書 |
1の台帳は、すべての確認の起点です。作り方は製造業のAIガバナンス体制で扱っています。4の生成AIルールは生成AIの社内利用ルールの作り方を参照してください。
よく聞かれる質問と答え方
取引先の質問票や監査でよく聞かれる質問と、それに答えるための書類の対応を整理しておきます。
| 質問 | 答えに使う書類 | 答え方のポイント |
|---|---|---|
| 当社向け製品の検査にAIを使っているか | 1、2 | 使っている工程、AIの判定の使い方（最終判定か補助か）、人の確認範囲 |
| AIの検査精度はどう保証しているか | 2、3 | 評価データ、指標、合格ライン、運用中の監視と抜き取り |
| 検査方法をAIに変えたときに届け出たか | 3 | 変更管理の記録と、顧客への変更申請の記録 |
| 当社の図面を生成AIに入力していないか | 4、5 | 入力禁止のルール、ツールの設定（学習利用の停止）、ログの管理 |
| 使っているAIサービスのデータはどこに保管されるか | 5 | 保管国、運営主体、契約上のデータの扱い |
| 納入品にAIが組み込まれているか | 6 | 機能、安全機能との関係、更新の方法 |
監査の現場で答えに詰まりやすいのは、「このロットはどのモデルで判定したか」という質問です。モデルの版と閾値をMESのロット実績に記録していれば、対象ロットを指定されたときに判定の条件をすぐに示せます。記録がなければ、導入時の評価結果しか示せず、運用中に管理されていることを説明できません。
準備の進め方
- AI利用台帳を作り、品質判定に関わるAIと、顧客情報を扱う可能性のあるAIに印を付ける
- 品質判定に関わるAIについて、評価と監視の記録を、検査工程の品質記録と同じ様式で整える
- 生成AIの利用ルールに、顧客情報の扱いを明記し、ツールの設定を確認する
- 取引先との品質協定で、検査方法の変更が届出の対象になっているかを確認する
- よく聞かれる質問への標準回答を作り、営業と品質保証で共有する
EU向けの製品を作る取引先が多い場合は、EU AI Actと日本の製造業とEUサイバーレジリエンス法（CRA）の要求も確認しておくと、取引先の求めを先回りして理解できます。
よくある質問
取引先の質問票にAIの項目がまだありません。今準備する必要はありますか
質問票に項目がなくても、品質監査で検査工程を見られたときに、AIの評価と変更管理を説明できる必要があります。台帳と評価記録は、取引先の要求とは関係なく自社の品質管理として必要なものなので、先に整えておくのが合理的です。
ISO/IEC 42001の認証があれば監査に対応できますか
認証は管理の仕組みがあることの証明として役立ちますが、個別のAIの評価記録や変更管理記録の提示は別に求められます。認証の要否はISO/IEC 42001とはで扱っています。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
