AI ガバナンス：監査・利用ポリシー・リスク管理

本レッスン（コース最終回）では、AI機能を 組織として責任を持って運用する ためのガバナンス設計を学びます。

AI ガバナンスの3層

戦略層：AI 利用ポリシーの策定

# AI 利用ポリシーの構成

# ◯◯株式会社 AI 利用ポリシー v1.0

## 1. 基本方針
当社は AI 技術を業務効率化と顧客価値向上のために活用する。
ただし、以下の原則に従う：
- 透明性：AI 利用を顧客・従業員に明示
- 公平性：差別・偏見を生まない
- プライバシー：個人情報の適切な保護
- 人間中心：重要な意思決定は人間が行う
- 継続改善：定期的なリスク評価と改善

## 2. 適用範囲
- 全従業員
- 委託先・パートナー
- 当社が提供するサービスでの AI 利用

## 3. 禁止される利用
- 違法・不正の支援
- 差別的な意思決定（採用・昇進・融資等）
- 個人情報の不適切な処理
- 著作権侵害
- 詐欺的なコンテンツ生成

## 4. 必須の手続き
- 高リスクAI（後述）導入前のリスク評価
- 顧客向けAI 機能のオプトアウト提供
- AI 生成コンテンツの開示

## 5. 違反時の対応
- 内部調査
- 影響を受けた当事者への通知
- 規制当局への報告（必要時）
- 再発防止策の実施

戦略層：高リスク領域の特定

EU AI Act に照らした高リスク用途。

運用層：AI 監査ログ

# 監査が必要なイベントの記録

CREATE TABLE ai_audit_log (
    id UUID PRIMARY KEY,
    timestamp TIMESTAMP NOT NULL,
    event_type TEXT,  -- 'user_query', 'tool_call', 'decision', 'override' 等
    user_id TEXT,
    feature TEXT,
    model TEXT,
    input_summary TEXT,    -- PII マスキング済み
    output_summary TEXT,   -- PII マスキング済み
    decision_outcome TEXT, -- AI が下した判定（あれば）
    human_override BOOLEAN, -- 人間が判定を覆したか
    risk_level TEXT,       -- low/medium/high
    metadata JSONB
);

# 保持期間
- 通常ログ: 1年
- 高リスク領域: 5年（規制対応）
- 個人特定可能ログ: 必要最小期間（GDPR対応）

運用層：定期監査の実施

# 月次監査チェックリスト

## 利用統計
□ AI 機能ごとの利用件数
□ ユーザー単位のヘビーユース傾向
□ 異常パターン（急増・急減）

## 品質
□ ユーザー満足度（NPS、フィードバック）
□ エラー率の推移
□ ハルシネーション報告件数

## セキュリティ
□ APIキー漏洩のスキャン結果
□ プロンプトインジェクション攻撃検知数
□ PII 流出リスクのチェック

## 公平性
□ 特定グループへの偏った応答がないか（サンプリング検証）
□ 拒否された質問のパターン分析（過剰拒否含む）

## コンプライアンス
□ 利用ポリシー違反の有無
□ オプトアウト要請の処理状況
□ データ削除要請の処理状況

## ベンダー側
□ Anthropic のサービス変更通知の確認
□ 利用規約改定の影響評価

透明性の確保

# ユーザーへの透明性

## チャットボット
- 「これは AI による応答です」と明示
- 「人間オペレーターと話す」オプションを提供
- AI の判断材料を可能な範囲で開示

## コンテンツ生成
- AI 生成コンテンツに識別マーク
- 生成日時・モデルの記録

## 自動意思決定
- AI による決定であることを明示
- 異議申し立て窓口の提供
- 人間レビュー権の付与

リスク評価フレームワーク

# 新規 AI 機能導入前のリスク評価

# 1. 影響評価
- 影響を受ける人数・属性
- 経済的影響の規模
- 不可逆性（やり直しが効くか）

# 2. リスク特定
- 公平性リスク（バイアス）
- プライバシーリスク（PII）
- セキュリティリスク（インジェクション等）
- 法務リスク（規制遵守）
- 評判リスク（ブランドイメージ）

# 3. 軽減策
- 各リスクへの具体的対策
- 残存リスクの評価
- 受容可否の判断

# 4. 承認プロセス
- 低リスク：プロダクトオーナー承認
- 中リスク：CTO 承認
- 高リスク：経営会議承認 + 法務確認

規制対応：主要規制の要点

従業員教育

# 必須トレーニング項目

## 全従業員（年1回）
- AI 利用ポリシーの理解
- 禁止行為と推奨行為
- インシデント報告の仕方

## AI 機能を扱う部署（半年1回）
- リスク評価の実践
- 監査ログの読み方
- 障害対応プロセス

## 開発・運用チーム（四半期1回）
- 最新の脆弱性とセキュリティ
- ベンダー側の変更点
- ガードレール強化のレビュー

外部監査・第三者検証

# 第三者検証が必要なケース

- 上場企業の AI ガバナンス開示
- 公的セクター向けサービス
- 高リスクユースケース（医療・金融・教育）
- 規制当局からの要請時

# 主要な認証
- ISO/IEC 42001（AI マネジメントシステム）
- SOC 2（セキュリティ・可用性）
- 監査法人による財務・ガバナンス監査

業界事例の参照

このレッスンのまとめ

「ポリシー策定 → リスク評価 → 監査ログ → 透明性確保 → 教育 → 外部監査」の体制で、AI を 責任を持って 運用できます。本コース「Claudeを本番運用するためのインフラ・モニタリング・ガバナンス」はこれで修了です。

本コース修了後

あなたは AI 機能の 本番運用に必要な全要素 を学びました：

• コスト最適化（プロンプトキャッシュ・モデル選定）
• レイテンシ削減（ストリーミング・並列）
• 監視・観測（メトリクス・トレース・ログ）
• セキュリティ（APIキー・PII・インジェクション）
• SLA・障害対応（フォールバック・サーキットブレーカ）
• ガバナンス（ポリシー・監査・規制対応）

これらを組み合わせて、AI機能を 24時間365日、安全・安定・経済的 に運用できる組織を作ってください。