ai-privacy-impact-template について
高リスク AI システムを評価するチーム向けに、GDPR の DPIA と AI Act の適合性評価を統合するテンプレートです。共通のリスク評価、軽減策、文書構成で両方の枠組みを扱います。
主な機能
- 01GDPR DPIA と AI Act 評価の統合
- 02加重リスク評価マトリクス
- 03両規則の評価要件の対応付け
- 04技術的・組織的な軽減策の提示
- 05モニタリング・記録・品質管理の網羅
活用シーン
- 01高リスク AI システムの両枠組みによる評価
- 02プライバシーと基本的権利のリスク統合
- 03コンプライアンス対策と評価文書の作成
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/ai-privacy-impact-templateを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py詳細
GDPR DPIA と AI 法適合性評価の統合テンプレート
概要
EU AI 法における高リスク AI システムは、GDPR 第 35 条に基づく DPIA と AI 法の適合性評価の両方を実施する必要があります。これらを別々に実施するのではなく、このスキルは両方のフレームワークを同時に満たす統合テンプレートを提供します。統合評価により、GDPR のプライバシーリスク分析と AI 法の安全性および基本的権利の評価の一貫性が確保され、重複が削減されるとともに、両方の規制上の側面を網羅する単一のリスクスコアリングマトリックスが用意されます。AI 法第 26 条第 9 項では、AI 法の義務を履行する際に DPIA の結果を利用することが導入者に明示的に求められています。
統合リスクスコアリングマトリックス
リスクの側面
| 側面 | 出典 | 重み |
|---|---|---|
| データ主体のプライバシーリスク | GDPR 第 35 条第 7 項（c） | 30% |
| 基本的権利への影響 | EU AI 法第 9 条第 2 項（a） | 25% |
| 精度および信頼性のリスク | EU AI 法第 15 条 | 20% |
| 透明性および説明可能性の不足 | GDPR 第 13 条第 2 項（f）＋ AI 法第 13 条 | 15% |
| 人間による監視の適切性 | GDPR 第 22 条＋ AI 法第 14 条 | 10% |
スコアリング尺度（各側面）
| スコア | レベル | 説明 |
|---|---|---|
| 1 | 最小 | リスクは無視でき、管理策は有効です |
| 2 | 低 | リスクは軽微で、標準的な管理策で十分です |
| 3 | 中 | リスクは中程度で、強化された管理策が必要です |
| 4 | 高 | リスクは重大で、集中的な軽減策が必要です |
| 5 | 致命的 | リスクは深刻であり、処理の停止が必要となる場合があります |
総合リスク分類
| 加重スコア | 分類 | 必要な対応 |
|---|---|---|
| 1.0-1.5 | 低 | 標準的な監視 |
| 1.6-2.5 | 中 | 強化された監視と定期的なレビュー |
| 2.6-3.5 | 高 | 積極的な軽減策と DPO／取締役会による監督 |
| 3.6-4.5 | 非常に高 | 第 36 条に基づく事前協議。軽減策が講じられるまで導入を保留 |
| 4.6-5.0 | 致命的 | 導入しないでください。根本的な再設計が必要です |
GDPR DPIA の要件（第 35 条第 7 項）
| 要素 | 参照 | 統合評価のセクション |
|---|---|---|
| 処理の体系的な説明 | 第 35 条第 7 項（a） | セクション 2：AI システムの説明 |
| 必要性および比例性 | 第 35 条第 7 項（b） | セクション 3：必要性の評価 |
| リスク評価 | 第 35 条第 7 項（c） | セクション 5：統合リスク登録簿 |
| 軽減策 | 第 35 条第 7 項（d） | セクション 6：軽減策 |
AI 法の適合性評価要件
高リスク AI システム（附属書 III）について、第 43 条に基づく適合性評価では、次の事項が求められます。
| 要素 | 参照 | 統合評価のセクション |
|---|---|---|
| リスク管理システム | 第 9 条 | セクション 5：統合リスク登録簿 |
| データガバナンス | 第 10 条 | セクション 2：トレーニングデータガバナンス |
| 技術文書 | 第 11 条 | 統合評価文書全体 |
| 記録管理 | 第 12 条 | セクション 7：監視およびログ記録 |
| 透明性 | 第 13 条 | セクション 4：透明性評価 |
| 人間による監視 | 第 14 条 | セクション 4：人間による監視 |
| 精度、堅牢性、サイバーセキュリティ | 第 15 条 | セクション 5：技術的リスク評価 |
| 品質管理システム | 第 17 条 | セクション 8：品質管理 |
軽減策のフレームワーク
技術的対策
| 対策 | GDPR との関連性 | AI Act との関連性 | 優先度 |
|---|---|---|---|
| 差分プライバシー | 学習データの保護 | 堅牢性（第 15 条） | 機微データでは高 |
| モデル出力の摂動 | モデル反転攻撃からの保護 | 精度とのトレードオフ（第 15 条） | 中 |
| 公平性の制約 | 差別の禁止（第 5 条第 1 項 a） | バイアスの防止（第 10 条） | 高リスクの場合は高 |
| 説明可能性ツール（SHAP/LIME） | 第 13 条第 2 項 f のロジックの説明 | 解釈可能性（第 13 条） | 高 |
| 入出力の個人識別情報（PII）フィルタリング | データ最小化（第 5 条第 1 項 c） | 精度（第 15 条） | 生成 AI では高 |
| 暗号化（保存時／転送時） | セキュリティ（第 32 条） | サイバーセキュリティ（第 15 条） | 標準 |
| アクセス制御（RBAC） | セキュリティ（第 32 条） | サイバーセキュリティ（第 15 条） | 標準 |
| 異常検知 | データ侵害の検知（第 33 条） | 堅牢性（第 15 条） | 中 |
組織的対策
| 対策 | GDPR との関連性 | AI Act との関連性 |
|---|---|---|
| AI 倫理審査委員会 | 説明責任（第 5 条第 2 項） | 品質管理（第 17 条） |
| モデルカード | 透明性（第 13～14 条） | 技術文書（第 11 条） |
| 定期的なバイアス監査 | 公平性（第 5 条第 1 項 a） | バイアスの監視（第 10 条） |
| AI に関するインシデント対応 | データ侵害の通知（第 33～34 条） | 市販後監視（第 72 条） |
| AI リスクに関するスタッフ研修 | 説明責任 | 人間による監督（第 14 条） |
| 文書化および記録管理 | 説明責任（第 5 条第 2 項） | 記録管理（第 12 条） |
執行上の関連性
- AI Act Art. 26(9)：高リスク AI の導入者は、AI Act の義務を履行する際に GDPR Art. 35 の DPIA 情報を使用する必要があります。この統合評価により、この要件を実装します。
- AI Act Art. 43：高リスク AI システムの適合性評価手順です。
- GDPR Art. 35：DPIA の要件です。この統合テンプレートは、Art. 35(7) のすべての要素を満たします。
統合ポイント
- ai-dpia：統合テンプレートは AI DPIA の方法論を拡張します
- ai-act-high-risk-docs：適合性評価文書は高リスク要件に準拠します
- ai-bias-special-category：バイアス評価の結果を統合リスク登録簿に反映します
- ai-automated-decisions：人間による監督の評価に、Art. 22 と Art. 14 の要件を統合します
コメント
Markdown 対応