01 / Inventory & Risk
AI資産とリスクの棚卸し
利用中・検討中のAI、モデル、データ、外部ベンダー、接続先、利用者を整理し、用途ごとの影響と許容できない失敗を明文化します。
- Output Example
- AIユースケース台帳、リスク登録簿、データ・モデル・ベンダー一覧
AI Governance & Security
AIガバナンスを、方針から技術統制へ
AIの利用規程を作るだけでは、モデルの誤りやエージェントの実行を止められません。意思決定の責任と、データ・評価・権限・ログの統制を同じ設計図に置きます。
- Lead
- 中村泰行 / Yasu Nakamura
- For whom
- AI責任者、CISO、CTO、プロダクト責任者、AI基盤・セキュリティ担当者。
- Coverage
- 現状評価、統制設計、実装・検証、運用への引き継ぎを、必要な範囲に絞って扱います。
- Position
- 制度認証や法的助言ではありません。標準・フレームワークを参照しながら、個別の事業目的と技術環境に合わせて統制を設計します。
Control Areas
支援で扱う六つの統制領域
02 / Decision Rights
責任分界と承認ゲート
誰が提案し、誰が評価し、誰が本番投入を承認し、事故時に誰が停止するかを定義します。AIの出力と人の判断を混同しない運用へつなげます。
- Output Example
- RACI、承認基準、例外処理、エスカレーション経路
03 / Data & Model
データ・モデル・出力の統制
権利、プライバシー、来歴、モデル選定、根拠提示、精度・バイアス・安全性の評価を、利用目的とリスクに合わせて設計します。
- Output Example
- 評価項目、テストデータ方針、モデル・ベンダー評価票、HITL設計
04 / Agent Boundaries
AIエージェントの実行境界
エージェントが読める情報、呼べるツール、実行できる操作、変更できる対象を分離し、最小権限、隔離、承認、停止条件を実装します。
- Output Example
- 権限表、ツール許可リスト、実行・変更ポリシー、承認フロー
05 / Operations
監視・ログ・インシデント対応
入力、出力、ツール実行、承認、失敗、モデル変更を追跡できる状態を作り、品質劣化や攻撃兆候を検知したときの対応手順を定めます。
- Output Example
- ログ要件、監視指標、停止・復旧手順、AIインシデント対応手順
06 / Value & Change
目標成熟度と価値検証
すべてを最高水準にするのではなく、事業目的とリスクに必要な成熟度を決め、PoCから本番へ進む条件と効果指標を揃えます。
- Output Example
- 目標状態、移行判定基準、90日ロードマップ、効果測定項目
Engagement
評価で終わらせず、運用できる境界まで設計する
- 01 / Frame
目的と許容できない失敗を定義
事業成果、利用者、影響範囲、法務・セキュリティ上の制約を整理します。
- 02 / Assess
現状と証拠を確認
文書、設定、ログ、テスト、担当者へのヒアリングから、実際に機能している統制を確認します。
- 03 / Design
目標状態と優先順位を設計
リスクと価値に必要な成熟度を決め、責任、承認、技術統制、評価方法を一つのロードマップにします。
- 04 / Verify
実装し、失敗経路を検証
権限、ガードレール、監視、停止、人への引き継ぎが、通常時と異常時の両方で働くかを確かめます。
Public Evidence