// AIセーフティ
ライセンス契約の判断に向けて、StrategyCoreのエンジニアがAI製品の評価を支援。
AIソフトウェア・ハードウェアの導入を検討する企業・官公庁のIT・セキュリティ担当者、提案を担う販売パートナーと、当社のエンジニアが評価項目を整理します。ライセンス契約の判断に必要な情報として、ベンダーの仕様書や試験結果をもとに、予定する構成でのデータの保存・処理、アクセス制御、AIの出力確認、障害対応を確かめます。確認済みの機能と、追加で検証すべき項目を分けてご説明します。
// 適用される基準
AIの導入で確認する法令と指針。
2026年10月に出典を確認しました。適用される条件は、扱うデータ、業務の用途、利用する地域によって異なります。
AI推進法
AI推進法は2025年9月に全面施行されました。AIの開発と利用を進めるとともに、国がリスクを調べ、事業者に指導や助言を行う枠組みです。事業者には国や自治体の施策への協力が求められます。導入する際は、製品の用途、データの扱い、安全対策を確認し、個人情報保護法、著作権法、業界のルールを実際の業務に照らして検討します。
AI事業者ガイドライン
2026年3月に更新されたAI事業者ガイドラインは、開発者、提供者、利用者が、安全性、プライバシー、セキュリティ、監督の役割を整理するための指針です。導入する業務について、検証する内容、重要な判断を確認する担当者、問題が起きた際の対応を決めます。製品の認証を示すものではありません。
EU AI Actも関係する場合
EUで利用する製品には、EU AI Actも関係する場合があります。透明性の規則は2026年8月から適用され、一部の既存の合成コンテンツ生成システムには同年12月までの経過措置があります。高リスクAIの要件は、区分に応じて2027年12月または2028年8月から適用されます。用途と提供地域を確認し、ベンダーと利用側の責任を整理します。
ISO/IEC 42001 と NIST AI RMF
ISO/IEC 42001は、責任者、リスク評価、継続的な見直しなど、組織がAIを管理する仕組みの規格です。NIST AI RMFは、AIのリスクを把握して対策を考えるための任意の枠組みです。いずれも検討の整理に役立ちますが、認証の対象範囲と、導入する業務での動作は別に確認します。組織の管理体制の認証が、AIの回答すべての正しさを保証するわけではありません。
// AI製品の評価項目
導入・提案の前に確認する六つの項目。
当社のエンジニアがベンダーの資料と試験結果を確認し、導入する組織の技術担当者や提案を担う販売パートナーと評価項目を整理します。利用する組織の規程、用途、業界基準、誤りによる業務への影響をもとに、予定する構成で検証します。
データはどこに保存され、処理・送信されますか。
当社がベンダーと、業務データ、AIへの入力、検索文書、バックアップ、ログの保存・処理場所と送信先を確認します。モデルの外部サービスや海外からのサポートも対象です。国内にとどめる情報を整理し、オンプレミス、プライベートクラウド、グローバルクラウドを比較します。サーバーの所在地だけで、個人情報の取り扱いを判断することはできません。
どの判断・操作に人の承認が必要ですか。
記録の変更や組織外へのメッセージ送信など、人が承認する操作を、利用する組織の業務責任者が決めます。ベンダーは、承認を求める画面と、承認前の実行を止める仕組みを説明します。当社のエンジニアが導入を検討する組織の担当者と、提案中の手順が実際の業務に合うかを検証します。
AIの誤出力や処理の失敗には誰が対応しますか。
ライセンス契約を検討する段階で、導入を検討する組織の運用担当者とベンダーで、誤りを検知する担当者、処理を止める権限、調査の分担を確認します。影響を受けた記録の特定・復旧方法を試し、運用で使う連絡先と復旧手順を文書に残します。
取得した文書と指示を、どのように扱いますか。
検索した文書に、利用者の依頼を無視したり、情報を開示したりする指示が含まれる場合があります。ベンダーに、文書の内容と正規の指示を分ける仕組み、AIが使える機能の制限、不正な指示への試験結果を確認します。
閲覧権限と、機密情報の出力をどう確認しますか。
検索する前に、利用者の文書の閲覧権限を適用します。個人情報、機密情報、権限のない文書が回答に出ないかを検証し、問題の調査担当者と、アクセスや出力を止める方法を決めます。出力フィルターだけでは見逃しがあるため、権限管理と組み合わせて確認します。
契約後に取得・移行できるデータやファイルは何ですか。
契約前に、取得できる業務データ、設定、プロンプト、AIモデルのファイル（LLMの重みなど）を確認します。業務データの書き出しと、モデルファイルの提供可否・利用許諾は別に確認します。形式、必要な期間、ライセンスの制限、費用を合意し、他社への移行や自社運用で利用できるかを確かめます。
// 当社の適用方針
StrategyCoreの営業・技術支援・サポートにおけるAI利用方針
StrategyCoreが営業資料や分析、技術支援でAIを利用する際の方針です。製品評価や、導入・取扱いを検討する方への説明にも適用します。担当者、確認する資料、検証と承認の方法を、契約や作業計画で明確にします。
StrategyCoreの業務
営業・技術支援・サポートでのAI利用
- お預かりしたデータを、公開APIの学習対象となる経路に流すことはございません。
- 成果物を確認する担当者と、必要な検証・承認を、案件ごとに合意します。AIを使った部分と、未確認の事項を区別します。
- AIが生成した分析や数値には出典を併記いたします。確認できない事実は記載いたしません。
- AIを用いた工程は記録し、ご要望に応じて開示します。
ベンダーとの取引
取り扱う前に確認していること
- モデルとデータがどこで処理されるか、国内に留められるかを確認します。
- 人による確認をどの判断点に組み込めるかを、製品仕様として確認します。
- 導入後に誤りを検知する手段と、利用する組織への通知経路を確認します。
- 利用中や契約終了時に取り出せるデータ、設定、AIモデルのファイルと、その権利・手順を確認します。
導入・取扱いを検討する方
製品評価と提案準備の支援
- その用途に本当にAIが必要かどうかを、最初に一緒に検討します。
- 適さない用途については、適さないと申し上げます。導入を前提とはいたしません。
- 販売パートナーには、製品の限界と、説明してはならない事項を明記した資料をお渡しいたします。
- 運用開始後に何を監視すべきかは、引き渡しの一部としてお伝えいたします。
// 長期の論点について
長期の研究と、現在の導入判断。
AI Futures Projectは、AIの発展と社会への影響についてシナリオを公表しています。「AI 2027」は将来予測、「AI 2040: Plan A」は推奨する政策と行動を描いたものです。長期計画の参考資料として、前提と結論を原文で確認できます。
個別の予測を採用するかどうかにかかわらず、現在の導入計画で確認できることがあります。対象業務での検証、人の承認が必要な操作、異常時の停止と復旧、データの移行方法を具体的に決めます。
当社は、製品の評価項目を整理し、導入と運用後の支援について、ベンダーとお客様の担当範囲を確認します。
// 設計上の含意
- 業務への影響が大きい操作には、実行前の確認を設ける。
- 人が停止できる箇所を、必ず一つ残す。
- 権限は、その処理に必要な最小限に留める。
- 導入前に、データの取得と移行の手順を決める。