AI管理とは何ですか？

人工知能システムは、従来のソフトウェアとは異なる動作をします。従来のソフトウェア・プログラムは、明示的な指示に従って決定論的なアウトプットを生成します。つまり、同じ条件下で同じインプットを従来のプログラムに提供すると、常に同じアウトプットが得られます。AI駆動のシステムは機械学習アルゴリズムによって駆動される確率的な出力を生成します。入力や状況が同じであっても、その出力は変動することがあります。

そのダイナミックなロジックは他に類を見ないほど強力ですが、それに伴う予測不能性は潜在的なリスクをもたらします。例えば、組織は、偏ったアウトプットや有害なアウトプットに起因する評判のリスクに直面しています。チェックされていない、あるいは気づかれていないAIハルシネーションは、単にユーザーを困らせたり混乱させたりするものから、重大な結果をもたらすミッションクリティカルなシナリオにおける不正確さに至るまで、独自の広範なリスク群をもたらします。AIによる敵対的攻撃や侵害されたデータセットは、サイバーセキュリティーリスクをもたらす可能性があります。急速に変化する環境においてAI規制を遵守しない場合、財務的および法的リスクが伴います。

AIMSは、これらのリスクを予測し、考慮するように設計されています。より具体的な言葉で言えば、AIMSは、組織がAIベースのツールや製品を使用する際に関連するあらゆるワークフローに、健全なAIガバナンスを埋め込むための方針とプロトコルとして理解することができます。これには、標準化された事前対応型のリスクアセスメント、報告体制、定期的な監査、モデルのアウトプットと性能のリアルタイム監視などの対策が含まれます。

適切に実行されたAI管理システムは、リスクを軽減するだけでなく、運用効率を最適化し、効果的なAI導入には賛同が不可欠な開発者、エンドユーザー、その他の利害関係者との間の信頼を構築します。

包括的な人工知能管理システムは、以下に対応する必要があります。

公平性とバイアスの問題の影響を受ける可能性のあるのは誰で、どのような影響を受けるのか。ご利用のAIプロジェクトが意図せず差別につながる可能性はありますか？規制要件はさておき、データ・プライバシーに関する倫理的責任と、システムの機能と制限を正確に伝えるための倫理的責任はどのようなものですか。このような倫理的問題に関して徹底的な透明性を確保することで、利害関係者の信頼を維持し、後々の意思決定を改善することができます。

AIアプリケーションの開発やデプロイに内在する脅威は、具体的にどのようなものですか。例えば、医療や法律の分野でAIツールを使用する場合は、規制上の影響を考慮しなければなりません。カスタマー・サービスの場面でAIの失敗は、評判の低下を招くリスクがあります。これらの脅威を軽減することがAIMSの主な目的の1つであることを考慮すると、ユースケースに伴う特定のAIリスクを特定することは、プロセスの最初の、そして最も重要なステップの1つである可能性があります。

適切なデータガバナンスは、AIモデルの学習に使用されるデータ（およびAIモデルによって生成されるデータ）の継続的な品質とセキュリティーを維持するために不可欠です。規制フレームワークへの準拠が求められる分野では、特に重要です。例えば、ユーザーがGDPRに基づく「忘れられる権利」を主張した場合、システムはその個人のデータを簡単に見つけて削除できるようにしなければなりません。医療分野で運用されるシステムは、HIPAA要件に準拠して機密情報を保護する必要があります。

これらの考慮事項に対処するためのプロトコルとポリシーは、AIシステムの開発や初期デプロイメントだけでなく、その継続的な保守にも組み込まれていなければなりません。モデル・ドリフトや時間の経過とともに出現する可能性のあるその他の懸念によってもたらされるリスクを特定し、抑制するには、適切なAIライフサイクル管理が必要です。

AIMSが達成すべき目標を維持するための最も重要な手段の1つは、AIシステムの健全性を長期にわたって積極的に調査するストラテジーです。定期監査の具体的な構造と頻度は、AI管理の最も重要な運用上の考慮事項の1つです。

このすべてを制定し、監督するのは誰の仕事でしょうか？AI管理ストラテジーを、紙の上では美しく聞こえるものから、組織内のAIイノベーションを積極的に保護するものへと移行するには、個々の役割と責任を明確に定義することが必要です。

AI開発プロセスの早い段階でこれらの原則とプロセスを確立すると、その後の意思決定の最適化と合理化に役立ちます。

効果的なAI管理を実施する方法は数多くあり、組織によっては、AI管理イニシアチブに対して完全にオーダーメイドのアプローチを追求することを選択する場合があります。しかし、ISO 42001、NIST AIリスクマネジメントフレームワーク、欧州AI規制法が規定する理念など、確立されたフレームワークを遵守する（あるいは少なくともそこからヒントを得る）ことで、多くの企業は十分な恩恵を受けることができるでしょう。

ISO 42001（ISO/IEC 42001:2023の略）は、AIMSの確立、実施、維持、そして継続的な改善のための世界初の国際標準です。2023年に策定されたISO 42001の目標は、「テクノロジーが急速に進化しているとしても、AIを責任を持って効果的に使用するために必要な包括的な指針」を組織に提供することです。組織は正式なISO 42001認証を取得できます。これには、ISO 42001で規定されたAIの実践への準拠を評価するためのシステムとプロセスの第三者による監査が含まれます。

具体的には、ISO 42001では、Plan-Do-Check-Act方法論を使用してAIの健全な組織ガバナンスのための管理システム規格（MSS）を規定しています。

Planの段階では、AIMSがAIシステムの交戦ルールを定義します。

• コンテキストと範囲：AIツールが何をするのか、何をしないのかを正確に定義します。例えば、カスタマー・サポートのチャットボットがサポートの問い合わせに回答したり、問題を人間にエスカレーションしたりできるように指定することもできますが、返金を直接承認することはできません。

• リスク評価：その状況と範囲がもたらす具体的な脅威を明確にします。例えば、カスタマー・サポート・チャットボットは会社の方針に関するハルシネーションを起こし、混乱や期待の誤りを引き起こす可能性があります。IBMのAIリスク・アトラスは、その手始めに役立ちます。

• 目標設定：「成功」となるための具体的なメトリクスを定義します。これは通常、AIツールを導入して解決しようとしている問題によって異なります。例えば、AIプロジェクトの目標が、より複雑なクエリーのために従業員の業務負担を解放することである場合、成功とは、さらに人間の介入を必要とせずに一定割合のケースが解決されることだと定義できます。

Doの段階では、前の段階で定義した原則と目標が、実際のAI開発ワークフローで運用化されます。

• データ・ガバナンス・ポリシーでは、潜在的な脅威を考慮する必要があります。

• 既知のリスクから身を守るために、ガードレールと冗長性を確保する必要があります。

• 可能な限り、システムの性能評価を自動化することで、成功を客観的に測定し、その後システムを改善するために必要な作業を最小限に抑えることができます。

AIシステムは積極的に監視する必要があります。システムの説明可能性を高めるため、システムが行うすべての動作を記録する必要があります。AIシステムの特定の結果が何らかの形で問題または不十分である場合、プロセスのエラーが発生した場所を正確に特定することではじめて改善することができます。

定期的な監査により、チームがAIMSプロトコルに従っているか、またそれを名目上だけでなく有意義に実行していることを確認する必要があります。

インシデントが発生した場合、作業を停止し、必要な改善を行うためのシステムが整っています。監査の結果、不十分な安全対策、予期せぬ問題、新たなセキュリティー脆弱性が判明した場合は、それらに対処するための新しい対策を講じます。

米国国立標準技術研究所（NIST）は、米国商務省内に設置された機関です。NISTのAIリスク管理フレームワーク（AI RMF）は、AIの責任ある利用のための適応可能なプレイブックであり、以下を含む豊富なサポート資料が補完されています。

• AI RMFプレイブックは、AI RMF本体に示された成果を達成するための推奨行動を提示するものです。

• AI RMFロードマップは、「知識、実践、または指針のギャップを埋める手助け」を目的とし、AI RMF自体とNISTが公的・民間セクターの組織がそれを実施するのを支援する能力を強化する方法を特定することを目的としています。

• AI RMFクロスウォークは、ISO 42001を含む（ただしこれに限定されない）さまざまなAI管理フレームワークの概念や用語に、組織が既存の慣行をマッピングできるように設計されています。

• 官公庁・自治体、業界、学界におけるユースケース。

AI RMFプレイブックは、ガバナンス、マッピング、測定、管理の手法を採用しています。

「AIリスク委員会」が設立されました。この委員会は組織の「リスク許容度」を定義し、AIの故障に対する責任者を明記したAIリスク・ポリシー文書を作成し、経営幹部が署名できるようにします。

ディスカバリーフェーズでは、AIツールとその使用方法の両方に関連する特定のリスクを特定します。このプロセスは最終的に、特定されたすべての脅威を箇条書きにしたリスクプロファイルを生み出します。

マッピングされた各脅威は、企業または顧客にどのような影響を与える可能性があるかという観点から定量化されています。これには通常、レッド・チーミングとストレス・チーミングが含まれ、システムの正確性と信頼性の「スコアカード」として機能するTEVVレポート（テスト、評価、検証、妥当性確認）が作成されます。

対策フェーズで発見された問題と潜在的な脆弱性は対処され、考慮されます。

ISO 42001およびNIST AI RMFは任意的な枠組みであるのに対し、欧州AI規制法の規定はEU市場内でAIシステムの開発およびデプロイに関わるすべての組織にとって義務的な規定です。

EU AI規則の規定には以下が含まれます。

• モデルの訓練、テスト、評価のために必須の技術文書。

• 関連するAIモデルの機能と制限に関する情報を、それを使用するすべての下流プロバイダーに提供すること。

• EU著作権指令への準拠

• トレーニング・データの公開サマリー

特定のAIモデルがトレーニング中に1,025 FLOP（浮動小数点演算）を超えると、システミック・リスクがあると見なされ、追加の安全対策の対象になります。

EUは、企業がAI規制法を遵守するのに役立つツールとリソースを提供しています。これには、どの規定がビジネスに適用されるかを指定する対話式のコンプライアンス・チェッカー、中小企業（SMES）向けの中小企業向けガイド、特定の記事で集約しています。