AI利用のリスク評価 — 稟議に添える1枚の作り方

4つの分類で書く

リスクを網羅しようとすると終わらない。実務では、以下の4分類で各2〜3行書けば、審査する側が判断できる。

入力するデータは社内の技術文書に限定し、顧客の個人データは入力しない。提供元の利用規約で、API経由の入力が学習に使われないことを確認済み（規約の該当箇所を添付）。入力前のマスキング処理は本件の範囲では不要と判断（個人情報を含む文書を対象外としたため）。

重要なのは「対象外とした」という線引きを書くことである。全部のリスクを技術で抑えるのではなく、範囲を狭めることで抑えた、と説明するほうが通りやすい。

書き方の例：可用性

本ツールが停止した場合、該当業務は従来の手順（手作業）に戻る。切り替えに必要な工数は半日程度で、業務停止には至らない。提供元がサービスを終了した場合、同等の機能を持つ代替として〇〇が存在する。

可用性は軽視されやすいが、審査する側が気にする項目である。「止まったらどうするか」に答えがあるかどうかで、印象が変わる。

書かないほうがよいこと

• 「AIの判断には限界があるため慎重に運用します」（具体性がない）
• 「セキュリティ対策は万全です」（根拠がない断定）
• 「業界標準のため問題ありません」（他社がやっていることは根拠にならない）
• 数値の根拠がない効果試算（削減時間を実測前に書かない）

更新の前提を書く

1枚に「本評価は〇年〇月時点。提供元の規約変更時、または年1回見直す」と書く。評価が古くなったときに誰も気づかない状態を避けられる。見直しの担当者も書いておく。

規制業種の場合

金融・医療・公共では、上の4分類に加えて業種の要件が入る。所管のガイドラインを確認し、該当する条項への対応を別項目として書く。この部分は汎用のテンプレートでは埋められない。

よくある質問

Q. 1枚で足りますか。

A. 新規のツールを1つ導入する稟議なら足ります。全社のAI利用方針を定める場合は、方針の文書と運用の設計が別に必要です。