ai-governance

AI ガバナンス

AI ガバナンスとは、モデルの構築前および稼働中に、AI システムの説明責任を誰が負うのか、そのシステムにどの程度のリスクを許容するのか、ライフサイクルの各段階の移行にどのような証拠を求めるのか、そして組織がその状況をどのように報告・監査するのかを決定するために、組織が用いる仕組みです。このスキルでは、エージェントがその仕組みについて推論し、運用する方法を学びます。これは方法論のスキルであり、ツールのマニュアルでも、法律上またはセキュリティ上のアドバイスでもありません。

対象範囲：このスキルが担うこと

担うこと	担わないこと
ガバナンスの原則と、それをポリシーや統制に反映する方法	規制の法的解釈の草案作成や意見表明
ガバナンスの運用モデル：評議会、スチュワード、意思決定権、RACI、連合型と集中型の比較	データプラットフォームの仕組み、パイプライン、リネージツールの内部構造
リスクフレームワーク：NIST AI RMF、ISO/IEC 42001 および 23894、モデルリスクの階層化、リスク登録簿	認証、認可、脆弱性修正の実装
構想、構築、評価、デプロイ、監視、廃止にわたるライフサイクルの各段階のゲート	CI/CD パイプラインとデプロイゲートの設定
分野横断的な 6L-G ガバナンスループ：戦略、影響、実装、受け入れ、運用、学習	著者が独自に開発したフレームワークを規制や標準の要件として扱うこと
公平性、バイアス、透明性、説明可能性、説明責任に関する統制	製品ポートフォリオやロードマップのガバナンスサイクル
学習データおよび運用データのプライバシーとデータガバナンス	資本配分、組織構造、M&A のガバナンス
GxP AI ガバナンスの適用範囲：ALCOA+、データインテグリティ、電子記録、リスクベースの保証、QMS インターフェース	法的適用性の判断、バリデーションプロトコル、SOP、品質システムの運用
LLM／エージェントの安全性：プロンプトインジェクション、露出レベル、ツールの認可、メモリ、データ送信、レッドチーミング、サプライチェーン	ホストレベルまたはアプリケーションレベルのセキュリティスキャン
規制の全体像とコンプライアンス対応付け（助言ではなくガイダンスとして）	法律文書の作成、規制当局への申請、弁護士と依頼者間の成果物
サードパーティおよびモデルのデューデリジェンス、取締役会への報告、監査	「お客様のシステムはコンプライアンスを満たしています」という権威ある見解

これは予防と運用の方法論です。エージェントにガバナンスの設計・運用に役立つフレームワーク、意思決定モデル、統制を提供するものであり、システムがコンプライアンスを満たしている、または安全であると主張するものではありません。すべての取り組みについて、運用モデル、リスク階層、各段階の移行を許可した証拠、承認された各例外の責任者を記録してください。

使用する場面

「この AI システムをどのようにガバナンスすべきか？」という問いへの回答、ガバナンスプログラムの立ち上げや成熟度向上、ユースケースのリスク階層化、運用モデルと意思決定権の設計、ガバナンスや安全性のギャップを特定するための LLM／エージェントシステムのレビュー、規制とコンプライアンス／統制計画の対応付け、ガバナンス成熟度の評価、または取締役会向け報告の準備を行うときに、このスキルを読み込んでください。

機能の承認と権限の決定

「この機能を当社の環境に導入、または引き続き利用してよいか？」という問いには、references/capability-admission-and-update.md を読み、templates/capability-admission-record.md を使用してください。「このエージェントが行動してよいか？」という問いには、以下の自律性獲得の手順を使用してください。承認の対象は、記録されたリビジョンと設定におけるコンポーネントであり、実行時の権限付与ではありません。両方の判断が必要な場合は、1 回のレビューで 2 つの記録を相互に関連付けてください。現在の証拠と既存の認可範囲を再利用し、重要な変更がある場合、または承認条件が満たされていない場合に限って、新たな決定を求めてください。

獲得した自律性

エージェントの昇格・降格のしきい値を設定するときや、獲得した自律性を見直すときは、references/earned-autonomy.md を読み、templates/earned-autonomy-decision.md を使用してください。説明責任を負う人間が、能力・環境・アクションクラスに関する判断を行えるようにしてください。エージェント自身に権限を付与させてはいけません。site-reliability-engineering は運用上の証拠を提供し、agent-production-operations は承認済みの制御計画を実行します。この5段階の自律性ラダーは、Six-Level Governance フレームワークとは別のものです。

エージェント型エンジニアリングにおける意思決定権

ソフトウェアファクトリーの意思決定のうち、どれを人間が担い、どれをエージェントが実行できるかを決めるときは、references/agentic-engineering-governance.md を読み、templates/engineering-decision-rights.md を使用してください。適用範囲を限定した付与を再利用し、技術的な準備状況、意図の受容、残存リスクの受容、本番環境に対する権限を区別してください。人間によるレビューが留保されている場合は、そのレビューに十分な証拠と対応能力があり、アクションを停止できるかを確認してください。

参考ファイル（必要に応じて、タスクごとに1つ読み込みます）

段階的な開示：現在の質問に関連する参考資料だけを読み込みます。

読み込むタイミング	参考資料
AIガバナンスとは何か、その原則、ガバナンスとコンプライアンスとリスクの違いを説明するとき	references/foundations-and-principles.md
運用モデル、評議会、スチュワード、意思決定権、RACI、成熟度、文化を設計するとき	references/governance-operating-model.md
NIST AI RMF、ISO/IEC 42001および23894、モデルリスクの階層化、固有リスクと残余リスクを適用するとき	references/risk-management-and-frameworks.md
アイデア創出、データ、構築、評価、デプロイ、監視、廃止にステージゲートを設けるとき	references/ai-lifecycle-governance.md
6段階ガバナンスフレームワーク、エビデンスループ、成熟度、ポスチャーオーバーレイを適用するとき	references/six-level-governance-framework.md
公平性指標とその限界、バイアスの発生源、トレードオフ、アルゴリズム上の公正さを扱うとき	references/fairness-bias-accountability.md
説明可能性（XAI）の手法、説明が必要となる場面、開示、監査可能性を扱うとき	references/transparency-and-explainability.md
トレーニングデータと運用データのガバナンス、所有権、リネージ、品質、同意、PET、エージェントのメモリ、目的を考慮したエグレスを扱うとき	references/privacy-and-data-governance.md
GLP、GCP、GMP、GDP、またはファーマコビジランスの文脈でAIを使用するとき。ALCOA+、データ完全性、電子記録、監査証跡、バリデーション／保証、QMSとの連携を扱うとき	references/gxp-and-data-integrity.md
信頼境界、プロンプトインジェクション、露出の段階、過剰なエージェンシー、ツールの認可、封じ込め、サプライチェーン、レッドチーミングを扱うとき	references/llm-and-agent-security.md
各法域の現行法、コンプライアンスマッピング、法執行、規制動向のスキャンを扱うとき	references/regulatory-landscape.md
ベンダー／モデルのデューデリジェンス、サプライチェーン、取締役会への報告、指標、監査を扱うとき	references/procurement-third-party-and-board-oversight.md
Skills、MCP サーバー、またはA2A機能を追加、更新、無効化、廃止するとき	references/capability-admission-and-update.md
範囲を限定したエージェント権限を付与、昇格、縮小、一時停止、取り消すとき	references/earned-autonomy.md
ソフトウェアファクトリーの意思決定権、保護対象の用語、有意義な人間による監督を割り当てるとき	references/agentic-engineering-governance.md
あらゆるアイデアの根拠となった書籍や調査メモをたどるとき。参考文献	references/source-index.md

テンプレート（記入式）

方法論を実際に使える成果物にするために、以下を使用してください。

使用する場面	テンプレート
能力の承認、設定変更、重複、終了を記録する場合	templates/capability-admission-record.md
範囲を限定した権限、証拠、反証、独立した承認を記録する場合	templates/earned-autonomy-decision.md
エンジニアリングの委任、留保する人間の判断、実施責任の引き継ぎを記録する場合	templates/engineering-decision-rights.md
ガバナンス評議会を立ち上げ、その委任事項を定める場合	templates/governance-charter.md
ユースケースを登録し、受付時に分類する場合	templates/use-case-intake-form.md
NISTに準拠したリスク評価とティア分けのワークシートを実施する場合	templates/model-risk-assessment.md
リリース済みモデルの意図された用途、データ、性能、公平性、制限事項を文書化する場合	templates/model-card.md
ベンダー／モデルのサプライチェーンに関するデューデリジェンスを実施する場合	templates/third-party-due-diligence.md
経営陣／取締役会向けのAIガバナンス報告を準備する場合	templates/board-ai-governance-report.md
SaaS／API／セルフホストの境界、エージェント型のツール、アクション、送信先、メモリ、証拠をレビューする場合	templates/agentic-governance-review.md

スクリプト

テストを備えた、フラグ駆動型で標準ライブラリのみを使用する実行可能なPython CLIです。どちらもJSON入力パスを受け取り、決定論的な出力を生成します。--json は標準出力に単一のJSONオブジェクトを出力し、--dry-run は変更を加えずにプレビューします。成功時の終了コードは0です。成熟度スコアラーは重大な状態の場合にも終了コード1を返し、どちらのスクリプトも入力エラー時に終了コード1を返します。

使用する場面	スクリプト
寸法ごとのスコア（1～5）から組織のガバナンス成熟度をスコアリングする場合。成熟度レベルとギャップを出力します	scripts/governance-maturity.py
AIユースケースをリスクティアと必要な管理策に分類する場合	scripts/use-case-risk-tier.py
成熟度スコアラーを検証する場合（単体テスト＋動作テスト）	scripts/test_governance_maturity.py
リスクティア分類器を検証する場合（単体テスト＋動作テスト）	scripts/test_use_case_risk_tier.py

評価と設定

• 評価マニフェスト： evals/evals.json には、このスキルの評価に使用する出力品質のテストケースが含まれています（運用モデルの設計、ユースケースのリスクティア分け、6L-Gとデプロイ時の状態のレビュー、エージェント型セキュリティとプライバシーのレビュー、影響評価の完了、LLMアプリのガバナンスレビュー、公平性／説明責任のレビュー、規制遵守のマッピング、取締役会向けガバナンス報告、GxP／データ完全性のガバナンス）。
• 設定： pytest.ini は、サブプロセスベースのスキルテストを正常に実行できるよう、リポジトリのルートにあるカバレッジ設定を上書きします。上書きを追加しないでください。
• エントリーポイント： この SKILL.md がルーターです。README.md は、このスキルをインストールするかどうかを評価する人向けの概要です。

使用しない場合

隣接する方法論や実装に該当する作業では、このスキルを読み込まないでください。

• 規制・法務戦略。 法律や規制の 意味 の解釈、コンプライアンス上の法的リスクの整理、法的見解の準備は、legal-strategy の領域です。このスキルは、義務を統制に対応付け、説明可能なガバナンス体制を記録しますが、法律について見解を示すものではありません。依頼が法的解釈に関する場合は legal-strategy を優先し、そこで得られた義務を統制計画に落とし込む際に、このスキルに戻ってください。
• プロダクト運用とガバナンス。 エビデンス基準を伴う、定期的なプロダクトの意思決定サイクル（インテーク、ポートフォリオ、ロードマップ、実験、ローンチ、ライフサイクルレビュー）は、このスキルではなく product-operations-and-governance の領域です。このスキルが統制するのは AI システムのリスクと説明責任 であり、プロダクトポートフォリオの意思決定サイクルではありません。
• データガバナンスの仕組み。 データカタログ、リネージパイプライン、プラットフォームのストレージ内部構造の構築は、data-architect / data-engineering の領域です。このスキルはデータガバナンスを統制のインプットとして利用しますが、データプラットフォームを運用するものではありません。
• 実装時のセキュリティ。 アプリケーションの認証、認可、入力検証、依存関係の強化を実装する作業は、secure-software-engineering の領域です。このスキルは AI ガバナンスと安全性の統制、およびリスクティアを定めますが、セキュリティの仕組みを実装するものではありません。
• 法務、財務、セキュリティに関する助言。 このスキルの内容は、法務、財務、セキュリティに関する助言ではありません。規制や標準に関する資料は、使用時点で一次情報に照らして再確認する必要があります。
• その他の単発の意思決定。 一般的なアーキテクチャ上またはプロダクト上の意思決定には、adr-authoring または product-methodology を使用してください。AI の個別機能の採用可否や権限に関する意思決定は、引き続きこのスキルの対象です。

関連スキル（振り分け）

必要な内容	振り分け先
規制および取締役会に関わる法務戦略、法的解釈	legal-strategy
データガバナンスの仕組み：カタログ、リネージ、プラットフォーム内部構造	data-architect または data-engineering
アプリケーションおよびシステムのセキュリティ統制の実装	secure-software-engineering
定期的なプロダクトの意思決定サイクルとエビデンス基準	product-operations-and-governance
単一の永続的なアーキテクチャ意思決定記録	adr-authoring