単位
1. なぜエンタープライズ AI ポリシーを採用するのか?ガバナンスとシャドウ AI の基盤 2. 企業の AI 使用ポリシーの書き方 3. KVKK の基本、一般原則、VERBIS 4. 法的根拠、通知義務および明示的な同意 5. EU AI 法とリスクのクラス 6. GDPR、自動化された意思決定、国境を越えたデータ転送 7. データの処理、保存、最小化、匿名化 8. 著作権、知的財産、AI の成果 9. サプライヤーとツールの評価: 承認された AI ツールのリスト 10. データ保護影響評価 (DPIA) とリスク管理 11. 人間による管理、透明性、偏見、倫理 12. AI ガバナンス フレームワーク: 役割、承認、監査、インシデント対応
ユニット 12 / 12

AI ガバナンス フレームワーク: 役割、承認、監査、インシデント対応

利益:

  • RACI マトリックスを使用したガバナンスの役割の定義
  • バランスのとれた承認プロセスと定期的な監査プログラムを確立する
  • 72 時間ルールによる AI およびデータ侵害のインシデント対応計画を導入する

最初の単元からここまで、私たちはポリシーを作成し、法律を学び、リスクを評価しました。今度は、これらすべてを実際に動作するシステムに接続します。ポリシーがどれほどうまく書かれていても、その背後に役割、承認フロー、監査、インシデント対応がなければ、それは文書として棚上げされたままになります。この最後の単元では、AI ガバナンスを維持する 4 つのメカニズム (役割 (RACI)、承認プロセス、定期監査、インシデント対応) を組み合わせて、フレームワークを完成させます。

役割の明確化: RACI マトリックス

ガバナンスの最初のルール: すべてのタスクには所有者が必要です。これを明確にするための古典的なツールは RACI マトリックスです。 RACI は、次の 4 つの役割の頭文字から来ています。

  • R（責任者/実行者）：実際に仕事を実行する人。
  • A (責任者): 最終的に責任を負うのは 1 人だけである必要があります。
  • C（相談先）：意見を取り入れられる方。
  • 私（情報提供者）： 情報提供しました。

クエスト

(R)製

責任ある(A)

相談しました(C)

通報済み（私）

ポリシーを書く

AI担当者

コンプライアンスマネージャー

法務、IT、人事

上級管理職

新車承認

IT/セキュリティ

コンプライアンスマネージャー

法律

ビジネスユニット

DPIAの実行

データ保護責任者

コンプライアンスマネージャー

関連チーム

上級管理職

違反への対応

セキュリティチーム

上級管理職

法律、コミュニケーション

施設全体

監査

内部監査

コンプライアンスマネージャー

単位

上級管理職

ヒント: 1 行に「A」(Accountable) を 1 つだけ入力します。 2 人が最終的に責任を負い、0 人が責任を負います。危機のときに「見ていると思った」という言葉はここから来ています。責任を単一の役割に固定するのがガバナンスの経験則です。

バランスの取れた承認プロセス

新しい AI ツールまたはその使用には承認プロセスが必要です。 2 つの罠が回避されます。緩すぎる (すべてが無料、シャドウ AI) と、厳格すぎる (すべてが何ヶ月も承認を待っており、誰も気にしません)。トレードオフは、リスクに基づいて段階的に承認されることです。

リスクレベル

例

承認パス

低い

オープンデータを含むテキストドラフト

承認は不要、ポリシー内で無料

中程度

社内データによる分析

ユニットマネージャー + 承認された車両の要件

高い

個人/個人データ、自動判定

コンプライアンス + 法的承認 + DPIA

低リスクの使用を解放すると、チームがプロセスの所有権を取得できるようになります。高リスクのものを厳格な管理下に置くことで、実際のリスクを管理できます。したがって、このプロセスは高速かつ安全です。

定期点検

ガバナンスは生きたシステムです。定期的な監視がなければ死んでしまいます。監査では、使用されている車両がまだ承認リストに載っているか、シャドウ AI の兆候があるか、保存期間が適用されているか、DPIA は最新であるか、インシデントが記録されているかをチェックします。監査の頻度はリスクによって決まります (例: 高リスクのシステムの場合は四半期ごと、一般の場合は 6 か月ごと)。

注意: 監査は「誰かを責める」ためのツールではなく、「システムを改善する」ためのツールです。懲罰を重視した監査文化により、従業員は問題を隠蔽し、シャドウ AI を助長します。目標は、問題を早期に発見して解決することです。

インシデント対応と 72 時間ルール

どんなに適切に管理されていても、データ漏洩、AI の誤った判断、機密データの誤ったツールへの侵入など、いつかはインシデントが発生します。インシデント対応計画では、何をすべきかを規定します。

  1. 検出と封じ込め: インシデントを認識し、その拡散を阻止します (アクセスの遮断など)。
  2. 評価: どのデータが、何人、どのくらい影響を受けましたか?
  3. 通知：個人データ侵害の場合、必要に応じて関係当局（KVKK理事会）および関係者に通知します。 GDPR では、侵害を知ってから 72 時間以内に当局に通知する必要があります。 KVKK はまた、「できるだけ早く」通知することを期待しています。
  4. 修正と学習: 根本原因を修正し、同様の原因を防ぐための措置を講じ、インシデントを文書化します。
注意: 72 時間の通知期間は、インシデントについて知った瞬間から始まります。 「まず社内で解決してから連絡します」というやり方では期限を過ぎてしまいます。インシデント対応計画とコミュニケーション チェーンを事前に準備しておくと、危機時の時間を節約できます。

ミニケース3個

ケース 1 — 要求されていないタスク。企業には AI ポリシーがありますが、「承認されたツールのリストを誰が更新するか」は明確ではありません。リストは 8 か月間更新されず、チームはリストにないツールを使い始めます。 RACI マトリックスがこのタスクを役割に固定していれば、ギャップは発生しません。

ケース 2 — 72 時間の欠席。従業員がミステリーショッパーのリストを間違ったツールに入力してしまいました。チームは内部でこの問題の解決を試み、3日後に法律に通報した。ちなみに告知期間は過ぎてしまいました。準備されたインシデント対応計画と明確なコミュニケーション チェーンがあれば、最初の 1 時間以内にインシデントを適切なチャネルに移動できたでしょう。

ケース 3 — シャドウ AI が監査で発見されました。ある組織は、半年ごとの定期監査中にネットワーク トラフィックから 3 つの未承認の AI ツールを検出しました。彼は罰を与える代わりに、チームと話し合い、なぜこれらのツールが必要なのかを理解し、2 つを評価して承認リストに追加しました。監査はリスクを排除し、実際のニーズを可視化します。

コピー可能なテンプレート

テンプレート 1 — RACI マトリックスの概要: 「組織の AI ガバナンスのための RACI マトリックスを草案します。タスク: ポリシー作成、ツール承認、DPIA、違反対応、監査、トレーニング。役割: AI リード、コンプライアンス マネージャー、法務、IT、人事、上級管理職。各役割に 1 つの「A」のみ。」

テンプレート 2 — 階層型承認フロー: 「リスクに応じて階層型 AI 承認プロセスを設計します。低/中/高リスクの個別の承認パス。レベルごとに使用例、承認者の役割、必要なドキュメント (DPIA など) を記述します。プロセスを高速かつ安全にします。」

テンプレート 3 — 監査チェックリスト: 「6 か月間の AI ガバナンス監査のチェックリストを準備します。承認されたツールのコンプライアンス、シャドウ AI の兆候、保存期間、DPIAcurrency、イベント ログ、トレーニング完了率。各項目に「チェック方法」方法を追加します。」

テンプレート 4 — インシデント対応フロー カード: 「AI/データ侵害に対するインシデント対応フロー カードを 1 ページで作成します。段階ごと (検出、封じ込め、評価、通知、修復)、各ステップでの責任のある役割と連絡先情報、72 時間以内の通知アラートを記載します。危機時にテーブルに座れるほどシンプルにしてください。」

弱いプロンプト / 強いプロンプト

弱点: 「AI ガバナンスのために何をすべきか?」-> モデルは一般的なリストを提供します。役割、承認経路、およびインシデント計画は、組織固有のものではなく、適用可能です。 STRONG: 「当社は 60 名の組織です。AI ガバナンスを機能させるには、(1) 5 つのタスクからなる RACI マトリックスを作成します。(2) 低/中/高リスクの段階的な承認フローを作成します。(3) 72 時間ルールを備えた 1 ページのインシデント対応カードを作成します。各タスクに 1 つの「A」を入れます。シンプルで適用可能です。」-> このモデルは、組織固有のすぐに使用できるガバナンス ツールを生成します。

よくある間違い

  • タスクを役割に固定していない。 「みんなの仕事は誰の仕事でもない」というギャップが生まれる。
  • タスクに対して複数の「A」（最終責任者）を定義します。
  • 承認プロセスが緩すぎるか厳格すぎる。リスクに応じて階層化されていない。
  • 検査を全く行わなかったり、検査を懲罰の道具にして問題を隠蔽したりする。
  • インシデント発生後のインシデント対応計画を検討します。
  • 「まず内部で修正しましょう」という理由だけで 72 時間の通知期間を逃した。
  • ガバナンスを一度確立したら、再度見直しはしない。しかし、それは生きたシステムです。

要約すれば

  • ガバナンスを機能させるには、役割 (RACI)、段階的な承認、定期的な監査、およびインシデント対応の 4 つのメカニズムがあります。
  • RACI マトリックスでは、各タスクに 1 人の最終責任者 (A) が必要です。
  • 承認プロセスはリスクに応じて段階的に行う必要があります。低リスクは無料、高リスクは厳格な管理。
  • 定期的な監査によりガバナンスが維持されます。それは罰ではなく癒しの手段として使用されます。
  • インシデント対応計画は事前に準備しておく必要があります。個人データ侵害が発生した場合に備えて、72 時間以内の通知ルールを忘れてはなりません。

アプリケーションタスク

組織の完全なガバナンス フレームワークを 1 つの文書にまとめます。まず、少なくとも 5 つのタスクからなる RACI マトリックスを確立します。各タスクに「A」が 1 つだけ含まれていることを確認してください。次に、低リスク、中リスク、高リスクの段階的な承認フローを設計し、使用例、承認ロール、および必要なドキュメントを各レベルに追加します。次に、6 か月ごとの監査チェックリストを作成します。最後に、AI/データ侵害に対する 1 ページのインシデント対応カードを作成します。 72 時間の通知アラートとコミュニケーション チェーンが含まれます。これら 4 つの部分は、モジュール全体で学習した内容を実用的なシステムに変えるためのドキュメントになります。

チェックリスト

  • [ ] RACI マトリックスを設定しました。各ミッションには「A」が 1 つだけあります。
  • [ ] リスクに応じて段階的な承認フローを設計しました。
  • [ ] 私は低リスクの使用を適度に寛大なままにしておきます。
  • [ ] 6 か月間の監査チェックリストを作成しました。
  • [ ] 私は監査を改善のためのツールとして位置づけました。
  • [ ] 1 ページのインシデント対応カードを書きました。
  • [ ] 72 時間以内の通知ルールとコミュニケーションの連鎖を含めました。

モジュール試験

1. 組織に書面による AI ポリシーがない場合に発生する、従業員による承認されていない AI の使用を指す概念は何ですか?

  • A) Shadow AI (シャドウ AI) ✔
  • B) オープンウェイト AI
  • C) マルチモーダル AI
  • D) 教師あり AI

説明: 機関の知識や承認を得ずに AI を使用することは「シャドウ AI」と呼ばれ、データ漏洩などの重大なリスクが生じます。

2. 優れた企業の AI ポリシーの基本的なアプローチは何ですか?

  • A) AIの使用を可能な限り完全に禁止する
  • B) 責任ある使用を可能にし、明確さと信頼を提供するフレームワークであること ✔
  • C) IT 部門のみが知っている技術文書であること
  • D) できるだけ長く、法律用語のみで書かれていること

説明: 優れたポリシーとは、禁止事項のリストではなく、責任ある使用を可能にするフレームワークです。完全に禁止しても使用がなくなるわけではありません。それはそれを目に見えず制御不能にするだけです。

3. エンタープライズ AI ポリシーの最も重要な部分であるデータ分類は何によって決まりますか?

  • A) AIモデルのトークン価格
  • B) 企業の年間 AI 予算
  • C) どの種類のデータをどの AI ツールに入力できるか ✔
  • D) どの従業員がどの給与を受け取ることになりますか?

説明: データ分類。どの種類のオープン データ、内部データ、機密データ、独自データをどの AI ツールに入力できるか、入力できないかについて明確なルールを規定しています。

4. KVKK の「データ最小化」(関連性、限定的、比例的) 原則は、AI の使用において何を意味しますか?

  • A) 必要なデータのみを AI に入力し、それ以上は入力しない ✔
  • B) できるだけ多くのデータを AI に入力して、より良い結果を得る
  • C) データを無期限に保存する
  • D) すべてのデータを必ず海外に転送してください

説明: データの最小化とは、目的に必要なデータのみを AI に入力し、それ以上は入力しないことを指します。可能であれば、データは匿名化またはマスクされて入力されます。

5. プロバイダーのサーバー上でデータを処理する AI ツールに個人データを含むテキストを入力する場合、KVKK の観点から何が考慮されますか?

  • A) 法的影響を伴わない通常の取引
  • B) いかなる場合においても固く禁じられる行為
  • C) データがオープンされている場合にのみ重要な操作
  • D) トランザクション、多くの場合は転送。法的根拠と保証が必要 ✔

説明: これは「処理」であり、データはプロバイダーのサーバー (多くの場合海外) で処理されるため、多くの場合「転送」になります。それには有効な法的根拠と適切な契約/保証が必要です。

6. EU AI 法の基本的なアプローチは何ですか?

  • A) すべての AI システムに同じ厳格なルールを適用する
  • B) AI システムを潜在的なリスクに応じて分類し、それに応じてルールを適用する ✔
  • C) EU全域でAIの使用を完全に禁止する
  • D) モデルのトークン価格のみを制御する

説明: EU AI 法はすべての AI をひとまとめにしていません。これは、潜在的な危害に応じてシステムを 4 つのリスク クラス (禁止、高、限定、最小) に分類し、リスクが増加するにつれてルールを強化します。

7. EU AI 法によれば、採用の決定において候補者を選別する AI システムはどのリスク クラスに該当する可能性が最も高くなりますか?

  • A) 高リスク ✔
  • B) 最小限のリスク
  • C) 限定されたリスク
  • D) リスクフリー

説明: 採用、信用、医療など、人々の生活に重大な影響を与える分野は、一般的に「高リスク」のカテゴリーに分類され、厳格な義務 (記録、人間による監視、データ品質) の対象となります。

8. EU AI法では、人々の行動や特性に基づいてスコアを付け、社会的に不利益をもたらす、国家主導の「社会スコアリング」システムはどのカテゴリに分類されますか?

  • A) 限定的なリスク
  • B) 高リスク
  • C) 禁止されている（許容できないリスク）行為 ✔
  • D) 最小限のリスク

説明: 社会的スコアリング、サブリミナル操作、および特定の生体認証監視行為は、「禁止された行為」の 1 つです。これらはリスクを軽減しても手放すことはできず、全面的に禁止されています。

9. GDPR 第 22 条は個人を何から保護しますか?

  • A) AI ツールの価格の高さに対して
  • B) 広告メールに対してのみ
  • C) 赤字加重モデルの使用に反対する
  • D) 個人に重大な影響を与え、自動的にのみ行われる決定に対する反対 ✔

説明: GDPR の第 22 条は、個人に法的または同様に重大な範囲で影響を及ぼす、自動処理 (AI を含む) のみに基づく決定から個人を保護します。人間の介入を要求し、異議を唱える権利を提供します。

10. 海外の AI プロバイダーのサーバーで個人データを処理したい場合、KVKK/GDPR の観点から何が必要ですか?

  • A) 追加の条件はありません。データは自由に転送できます
  • B) 適切な保証（誓約書/標準契約条項）または明示的な同意などの仕組み ✔
  • C) データの暗号化だけで十分
  • D) 従業員からの口頭による承認のみで十分です

説明: 国境を越えた移転には、原則として、明示的な同意または保護に対する適切な約束(誓約書、標準的な契約条項などの適切な保護措置)を含むメカニズムが必要です。データをランダムに転送することはできません。

11. ほとんどの法制度において、AI によって生成された出力が著作権で保護されるかどうかは何によって決まりますか?

  • A) コンテンツにおける人間の創造性と貢献のレベル ✔
  • B) 使用モデルのトークン価格
  • C) 出力の長さのみ
  • D) AIツールの原産国

説明: 多くの法制度では、著作権の保護には人間の創造性が必要です。人間の指示、選択、規制、独自の貢献が大きければ大きいほど、成果が維持される可能性が高くなります。

12. AI ガバナンスの枠組みの最も重要な原則である「人間による制御」とは何を指しますか?

  • A) AI がすべての意思決定を単独かつ自動的に行う
  • B) 人々は完全に AI の使用をやめる
  • C) AI はツールです。重要な決定における最終的な決定権と責任は常に個人にあります ✔
  • D) 最も高価なモデルのみを使用する

説明: 人間による制御の原則では、AI はツールであり、責任は常に人間にあることが強調されています。権限を与えられた人物が重要な決定について最終決定権を持ちます。 「AIがそう言った」は言い訳にはなりません。

13. データ保護影響評価 (DPIA) は通常、いつ実行する必要がありますか?

  • A) データ侵害が発生した後
  • B) 高リスク処理を開始する前の設計段階 ✔
  • C) 監査人が要求した場合のみ
  • D) プロジェクトの数年後、定期的に

説明: DPIA は、新しいテクノロジーを使用する、大規模または体系的なモニタリングを伴う、または個人に高いリスクをもたらす AI 処理アクティビティを開始する前の設計段階で実行する必要があります。

14. KVKK の「目的制限」と保持原則に従って、AI ツールのチャット履歴の個人データはどうすべきですか?

  • A) 永久に保存する必要があります
  • B) ルールは必要ありません。プロバイダーの問題です
  • C) 管理者の要請があった場合にのみ、毎年見直されます。
  • D) 保管および破棄ポリシーにリンクする必要があり、目的が完了したら削除または匿名化する必要があります ✔

説明: 個人データは、処理目的に必要な期間を超えて保管することはできません。 AI チャット履歴も保持および破棄ポリシーに関連付けられる必要があります。目的がなくなったら、削除するか匿名化する必要があります。

15. 特定のしきい値を超えるデータ管理者が個人データ処理活動をトゥルキエに登録するには、どのレジストリが必要ですか?

  • A) VERBIS (データ管理者レジストリ情報システム) ✔
  • B) MERSIS 貿易登録簿
  • C) EU AI 法データベース
  • D) 納税者登録簿

説明: VERBIS (データ管理者レジストリ情報システム) は、データ管理者が処理インベントリを登録する公式レジストリです。新しい AI ベースの処理アクティビティは、インベントリに反映され、必要に応じて VERBIS レコードに反映される必要があります。

前へ モジュールを完了する