ai-risk-governance

AI リスクとガバナンス

使用する場面

• AI のユースケースをリスク階層と影響度で分類する
• AI の許容利用ポリシーとガバナンスフレームワークを策定する
• 発生可能性／重大度／緩和策を追跡する AI リスク登録簿を作成する
• AI の導入に向けて、モデルカード、システムカード、または DPIA を準備する
• サードパーティの LLM ベンダーを評価する（データ条件、ファインチューニング、安全性への取り組み）
• AI 製品をフレームワークに対応付ける（NIST AI RMF、ISO 42001、EU AI Act の概念）
• 製品チームとエンジニアリングチームをコンプライアンス要件に沿わせる
• 重大な影響を伴う AI の意思決定に対するヒューマン・イン・ザ・ループの監督を設計する

使用しない場面

• RAG パイプライン、エージェント、本番機能を実装する場合 → ai-engineer
• ジェイルブレイクテストや敵対的キャンペーンを実施する場合 → ai-redteam
• SOC 2／ISO の証拠自動化と技術的統制の対応付けを行う場合 → compliance-engineer
• AI の対象範囲に含まれない一般的な SOC 2 IT 統制の場合 → cybersecurity
• 商用／エンタープライズ向け AI ソリューションアーキテクチャの場合 → applied-ai-architect-commercial-enterprise
• スキルポートフォリオのガバナンスと公開ゲートの場合 → ai-skill-manager

関連スキル

必要なこと	スキル
LLM 製品の構築	ai-engineer
敵対的テスト	ai-redteam
研究とベンチマーク	ai-researcher
エンタープライズセキュリティプログラム	cybersecurity
パイプラインとデータのセキュリティ	devsecops
SOC 2／ISO の証拠と技術的統制	compliance-engineer
AI ソリューションアーキテクチャ（商用／エンタープライズ）	applied-ai-architect-commercial-enterprise
エージェントスキルのガバナンス	ai-skill-manager
セーフガードゲートウェイ、分類器、ロールアウト	ml-infrastructure-engineer-safeguards
安全性分類器の研究とベンチマーク	ml-research-engineer-safeguards
セーフガードのプライバシー研究	privacy-research-engineer-safeguards
エンタープライズセキュリティのリスク登録簿（AI 対象範囲外）	security-risk-analyst
M&A／投資に関するサイバー・デューデリジェンスと取締役会資料	cyber-diligence-governance

主なワークフロー

1. ユースケースの受付と分類

記録項目：

項目	目的
目的とユーザー	対象範囲と説明責任
データの種類	PII、特別カテゴリー、IP
自動化レベル	人間の関与ありか自律型か
誤りがあった場合の影響	安全性、法的、金銭的、評判上の影響
外部への公開範囲	顧客向けか社内向けか

リスク階層（例）：

階層	基準	統制
低	社内向け、影響が小さい、機密データなし	標準ポリシー＋ログ記録
中	顧客向け、または社内の PII を扱う	レビュー＋評価＋モニタリング
高	規制対象の分野、影響が大きい、自律的なアクション	ガバナンス委員会＋レッドチーム＋強化された監督

EU AI Act を参考にした対応付け（法的助言ではありません）については、references/risk_classification.md を参照してください。

2. リスク評価

構造化されたワークシートを使用します。

1. ハザードを特定する（バイアス、ハルシネーション、漏えい、悪用、依存）
2. 発生可能性と重大度を推定する
3. 緩和策を定義する（技術、プロセス、法務）
4. 責任者とレビュー日を割り当てる
5. 残存リスクの受容について承認を得る

ワークシートと NIST AI RMF の機能については、references/risk_assessment.md を参照してください。

3. ドキュメント成果物

成果物	作成時期
モデルカード／システムカード	本番モデルまたはベンダーモデルごと
データシート	学習／ファインチューニングデータの説明
評価の概要	デプロイ前および定期的
インシデントログ	AI 固有の被害とニアミス

モデルカードのセクションと変更ログについては、references/documentation.md を参照してください。

4. ポリシーと監督

• 許容利用ポリシー（禁止される用途、承認経路）
• 重大な影響を伴う意思決定に対する人間による監督のルール
• ポリシー違反および重大インシデントのエスカレーション
• 開発者とレビュー担当者向けのトレーニング

ガバナンス委員会の開催頻度については、references/policy_oversight.md を参照してください。

5. ベンダーおよびサードパーティモデル

確認事項：データ処理条件、サブプロセッサー、保持期間、顧客データを用いたファインチューニング、安全性への取り組み、侵害通知、終了計画。

ベンダー質問票のトピックについては、references/vendor_review.mdを参照してください。

参照資料を読み込むタイミング

• ティア分類と規制の対応付け → references/risk_classification.md
• 評価とフレームワーク → references/risk_assessment.md
• モデルカード → references/documentation.md
• ポリシーと委員会 → references/policy_oversight.md
• ベンダー → references/vendor_review.md