AI利用ルールと統制設計

AIを使う目的と業務上の必要性を明らかにし、顧客情報、従業員情報、機密情報など、扱うデータの種類を洗い出します。用途ごとに「入力できる情報」「入力を避ける情報」「加工や匿名化を検討する情報」を整理します。

部署ごとの使い方を確認し、全社共通の原則と、特定業務だけに適用する条件を分けます。利用者の範囲や管理者の役割も、この段階で合わせて確認します。

AIの出力を誰が確認し、誰が業務上の判断や顧客への確定回答を担うのかを明確にします。分類や要約のような補助と、承認・対外回答のような責任を伴う判断は、同じものとして扱わないことが重要です。

情報不足、判断不能、重大な内容、出力への疑義がある場合の差し戻し先やエスカレーション先も決めます。例外を通常処理に押し込まず、人が引き取る経路を用意します。

用途に応じて、利用の承認、出力の修正や承認、例外対応をどのように記録するか検討します。記録の項目や保存の考え方は、社内規程や業務上の必要性を踏まえて決めます。

利用者へ入力上の注意や確認方法を伝え、利用ツール・対象業務・データ条件が変わったときに誰が再確認するかを定めます。ルールの変更を周知する方法も運用の一部です。

ルールと現場の手順が合っているか、修正や差し戻しがどこで起きるか、想定外の情報が入力されていないかを確認します。利用状況や問題の記録から、確認条件や教育内容の見直しにつなげます。

用途拡大、データの変更、サービス条件の変更があった場合は、従来の承認をそのまま適用せず、必要な関係者と再評価する条件をあらかじめ置いておきます。