AI リスクはリスクマップのどの区分に入りますか？CRO はまず何を整えるべきですか？
- まず台帳：AI システム台帳には自社開発、購入、従業員が自分で使う AI ツールまで含め、用途、データ、責任者、リスク区分を記録します。
- 既存の区分を使う：「上市上櫃公司風険管理実務守則」第 18 条は、戦略、業務、財務、情報、法令遵守、誠実性、その他の新興リスクを挙げています。AI ガバナンスは通常その他の新興リスクに置き、個々の活用は影響に応じて情報、法令遵守、業務リスクに対応させます。
- 評価方法：ISO/IEC 23894 や米国 NIST の AI リスク管理フレームワーク（統治、マップ、測定、管理）を参考にできます。
- 会社の損失だけを見ない：特定の顧客層に長期的に不利な価格設定や資格審査など、個人や集団への影響も評価します。
この守則は上場・店頭公開企業が参照するもので、公開発行会社でない企業はこの守則の対象外で、任意に参考にできます。
最初の AI 活用領域は、リスク選好を超えないようにどう選びますか？
よい出発点は、目標が明確で、使えるデータがあり、失敗の代償が許容できる領域で、例えば品質検査や設備の予知保全です。技術の新しさではなく、データの入手可能性、事業効果、リスクの制御可能性で順位を付けます。
| 方式 | 先に確認すべきリスク |
|---|---|
| 成熟した AI ソリューションを購入 | データの保管場所、ベンダーが自社データを使えるか、将来撤退できるか |
| 技術ベンダーと共同開発 | モデルとデータの権利の帰属、受入基準、稼働後の運用担当 |
| 社内能力を構築 | 人材育成、データ基盤、ガバナンスのプロセス |
AI が顧客や従業員に関する判断に影響する、個人データを扱う、または EU 市場向け製品に入る場合は、正式なガバナンスとリスク評価が必要です。導入前に KPI の基準値を設けておけば、効果を追跡できます。
AI の稼働後、CRO はどの KRI を追うべきですか？
ISO/IEC 42001 の監視要求に基づいて設計できる KRI の方向性です。閾値は会社がリスク選好に応じて定めます。
- モデルの性能：精度とドリフトが閾値を超えていないか。少数集団の誤りが全体平均に隠れないよう集団別の性能も見る
- 人による監督：影響の大きい操作の前に人の介入点があるか。人が修正・覆した割合（モデルの劣化は現場の手修正に隠れ、正式な指標は達成のままになりがち）
- 変更：購入したモデルの更新時に、使用中のバージョンを把握し、同じテストで回帰確認し、戻せない場合の代替策があるか
- インシデント：AI インシデントの件数と、調査ごとに責任者がいるか（研究開発、営業、セキュリティ間の押し付け合いを防ぐ）
これらの結果は IT 部門にとどめず、マネジメントレビューとリスク報告に回します。
モデルの購入や開発の外注で、リスクと責任をベンダーに移せますか？
すべては移せません。第三者の基盤モデルを自社製品に組み込む場合も、検索データ、プロンプト設計、ツール連携、稼働承認の責任は自社に残ります。開発を外注しても、データ、受入、稼働の判断、事故対応は発注側の責任です。従業員が個人アカウントで業務を処理することも、組織が管理すべき AI 利用です。
EU での事業で高リスク AI システムを使う場合（導入者）、EU AI 法第 26 条は、使用説明書に従って使うこと、必要な能力・研修・権限を持つ人に人による監督を割り当てること、稼働を監視し必要に応じて提供者に通知すること、管理下にあるログを少なくとも 6 か月保存することを求めます。自社ブランドを付ける、実質的に変更する、または用途を変えて高リスクにした場合は、第 25 条第 1 項により提供者とみなされます。
ベンダー契約には情報提供、データの利用、撤退の取り決めを明記します。
AI 変革の規制と責任のエクスポージャーを、影響評価にどう組み込みますか？
| 出所 | エクスポージャー |
|---|---|
| EU AI 法第 99 条 | 禁止違反は最大 3,500 万ユーロまたは全世界年間売上高の 7%、その他の義務違反は最大 1,500 万ユーロまたは 3%（いずれか高い方） |
| 損害賠償 | EU AI 法自体に民事賠償の規定はなく、欧州委員会は AI 責任指令案を撤回。AI による損害は主に新しい製造物責任指令 (EU) 2024/2853（ソフトウェアと AI を対象、2026 年 12 月 9 日以降に上市された製品に適用）と加盟国の不法行為法で扱われる |
| 台湾 | 《人工知能基本法》は 2026 年 1 月 14 日に公布・施行。企業への要求は主に各所管機関がリスクに応じて定める規範を通じて実施され、数位発展部は AI リスク分類フレームワーク 1.0 版を公表済み |
具体的な責任と適用の判断は、法律顧問に個別に評価してもらってください。
AI 変革のリスクを、取締役会やリスク管理委員会にどう報告しますか？
AI を既存の報告サイクルに組み込み、別のラインを作りません。
| 守則の条文 | AI 変革の組み込み方 |
|---|---|
| 第 13 条：取締役会がリスク管理方針を承認 | 方針の範囲に AI システムの利用と開発を加える |
| 第 14 条：リスク管理委員会がリスク選好を承認 | AI の許容度を定める（例：完全自動化してはならない判断） |
| 第 15 条：少なくとも年 1 回報告 | AI 台帳とリスク区分、KRI、インシデント、投資効果と基準値の比較 |
ESG 評価の指標 G-18 は、取締役会レベルの機能別委員会がリスク管理を監督し、少なくとも年 1 回取締役会に報告することを求め、AA 形式で、得点すると総合点に 1 点加算されます。守則と ESG 評価は上場・店頭公開企業が対象で、公開発行会社でない企業は対象外ですが、任意に参考にできます。
積穗科研は CRO の AI 変革リスクガバナンスをどう支援しますか？
- ガバナンス先行：AI システムの導入前に、AI 倫理原則、AI システム台帳の管理、AI 開発・調達のセキュリティ要件、アルゴリズム審査プロセスを含む ISO 42001 の AI 管理フレームワークを構築
- 4 つのステップ：AI 活用機会の特定とリスク評価、AI ガバナンス体制の構築、AI システムの導入と統合、監視・最適化と EU AI 法への準拠
- 効果を追跡：導入前に KPI の基準値を設定
- 期間（サービスページ記載）：AI 成熟度と変革の範囲に応じて、通常 7〜12 か月以上
- 担当：副社長・取締役クラスのコンサルタントが外注せず一貫して担当。初回の診断は無料
ほかの役割から見たこのサービス
同じ役割のほかのサービス
- CRO の ERM 導入：リスクマップ、KRI、取締役会報告はどう作るか？
- CRO から見た ISO 22301：中断シナリオ、RTO、訓練をリスク報告にどう入れるか？
- CRO の ISO 37001 導入：贈賄シナリオと海外リスク、誠実性指標をどう管理するか？
- CRO から見た営業秘密保護：流出シナリオ、合理的な秘密管理措置、KRI をどう設けるか？
- CRO から見た ISO 27001：情報リスクと全社リスクを同じ尺度でどう測るか？
- CRO から見た AI リスク：ISO 42001 と EU AI 法でまず何を決めるか？
- CRO から見た GDPR：制裁金リスク、グループ内移転、漏えいシナリオをどう評価するか？
- CRO から見た NIS2：適用の立場、制裁金、経営機関の責任をどう評価するか？
- CRO から見た EU CRA：市場参入リスク、報告義務、監督の役割をどう整理するか？
- CRO と DORA：ICT 第三者リスクとオペレーショナル・レジリエンスをリスクマップにどう載せるか