ガバナンスのためのAIシステムインベントリの構築方法：エンタープライズ向け完全ガイド

AIシステム・インベントリ（AIシステム・レジストリとも呼ばれます）とは、組織全体で利用されているすべてのAIシステム、モデル、エージェントを対象とした、包括的かつ一元化されたカタログです。業務上の目的、所有責任、リスクレベルを追跡し、あらゆるエンタープライズ・ガバナンス・プログラムの基盤となります。完全なAIインベントリの構築は現在、EU AI Act、ISO 42001、NIST AI RMF、ならびに財務省による新たな金融サービスAIリスク管理フレームワークへのコンプライアンスに向けた、厳格な前提条件となっています。

多くの組織は、一見単純な問いに答えられません。現在、事業全体で稼働しているAIシステムはいくつあるのか、という問いです。信頼できる回答を示せないこと、そして包括的なAIインベントリが存在しないことは、単なる事務上の不足ではありません。コンプライアンス上の責任、リスク管理における盲点、そして世界各地の規制フレームワークが任意のガイダンスから拘束力のある義務へ移行する中で、ますます持続不可能な状態なのです。

2024年8月に施行され、2027年まで段階的に義務が適用されるEU AI Actは、高リスクAIシステムの導入者に対し、それらをEUデータベースに登録すること（Article 71）と、対象範囲内のすべてのシステムを完全に把握していることを前提とする文書を維持することを求めています。[1] AIマネジメントシステムに関する国際規格であるISO/IEC 42001は、認証の前提条件として、組織に対しAIシステムの適用範囲とコンテキストを文書化することを求めており、体系的なカタログ化を実務上の必須要件にしています。[2] NIST AI Risk Management Frameworkは、Map機能においてAIシステムの識別と分類を基盤活動として扱い、それが下流のすべてのリスク測定および管理の起点となります。[3] 財務省のFinancial Services AI Risk Management Frameworkは2026年2月に公表され、AIインベントリを独自の管理目的（GV-1.6）として定義し、シャドーITの発見からポートフォリオレベルのリスク分析までを包含する6つのサブオブジェクティブを備えています。[4] 包括的なAIインベントリがなければ、これらいずれのフレームワークにも構造上準拠することは不可能です。

しかし、企業内のあらゆるAIシステムをカタログ化する作業は、見た目以上に複雑です。このガイドでは、何を記録すべきか、中央ガバナンスから見えない可能性のあるシステムをどのように発見するか、そしてインベントリの正確性を長期的にどのように維持するかを含め、ゼロからAIインベントリを構築するための体系的なアプローチをご紹介します。

AIインベントリがガバナンスの基盤である理由

規制上の義務を別にしても、完全なAIシステム・インベントリは、事実上あらゆる下流のガバナンス活動の前提条件です。存在が把握されていないシステムに対して、リスク評価を実施することはできません。調達部門が記録していないAIツールに対して、バイアス監査を行うこともできません。ITが可視化できていないAI駆動プロセスを、インシデント対応計画に織り込むこともできません。

インベントリなしで運用することの実務上の影響は、すでに明らかです。EU AI Actの対象となる組織は、高リスクシステムについて欧州データベースへの登録義務を負います。[1] ISO 42001の認証取得を目指す組織は、組織全体にわたってAIシステムを識別・管理する体系的なプロセスを実証しなければなりません。[2] イングランド銀行、FCA、欧州中央銀行を含む金融規制当局は、企業がアルゴリズムまたはAIベースのツールによってどの判断が影響を受けているかを正確に把握していることを前提とした監督上の期待を示し始めています。[5] そして2026年2月時点で、米国の金融機関は財務省FS AI RMFの質問票への対応準備を整えておく必要があり、これは基礎レベルのAIインベントリなしには完了できません。[4]

この課題は、AI導入のスピードによってさらに難しくなっています。McKinseyの2024年AIグローバル調査によれば、組織の72%が少なくとも1つの業務機能でAIを導入しており、導入率は前年比でほぼ倍増し、その多くが中央統制のないまま部門単位で進んでいました。[6] Enzaiのようなプラットフォームは、エンタープライズ規模で生きたAIインベントリを維持する複雑性に対処するために特化して登場しており、ディスカバリー、リスク分類、継続監視を単一のガバナンス層で連携します。

AIインベントリはコンプライアンスのチェックボックスではありません。あらゆるガバナンス活動が依存する、唯一の成果物なのです。

2026年版AIインベントリで記録すべき項目：更新要件

多くの組織が最後にインベントリ仕様を見直してから、2つの点が変化しました。規制のハードルが上がり、インベントリ化の対象となるシステムが進化したのです。2024年にEU AI Act対応を前提として設計されたインベントリは、2026年の要件を満たすには明らかに不十分です。

2026年の規制環境

EU AI Act - 高リスク義務は2026年8月2日から適用。Article 9～15に基づく高リスクシステムの要件一式、Article 43に基づく適合性評価、Article 50に基づく透明性義務、ならびにArticle 71に基づくEUデータベース登録は、2026年8月2日に発効します。[7] 2025年11月に提案されたDigital Omnibusでは、Annex IIIの期限を2027年12月まで延長する案が示されましたが、この提案は現在も三者協議（トリローグ）で協議中であり、結果は不確定です。8月を前提に計画し、延長はベースラインではなく、あくまで代替案として扱ってください。インベントリ上の意味は明確です。Annex IIIのカテゴリに該当する可能性のあるすべてのシステムは、識別可能であり、分類済みであり、登録可能な状態でなければなりません。

財務省 Financial Services AI Risk Management Framework - 2026年2月19日公表。米国財務省は2026年2月19日、Financial Services AI Risk Management Framework (FS AI RMF)をAI Lexiconとともに公表し、NIST AI RMFを金融機関向けに230の管理目的へと適用しました。[4] AIインベントリの構築は独自の管理目的であり、GV-1.6として、シャドーITの発見からポートフォリオレベルのリスク分析までを網羅する6つのサブオブジェクティブを含みます。このフレームワークは現在は任意ですが、監査人の期待を急速に形成すると見込まれています。金融サービス組織にとって、インベントリは今やFS AI RMFの質問票に対応するための基盤でなければなりません。

Colorado AI Actおよび各州法の並行的動向。当初は2026年2月1日に施行され、現在は改正案が審議中のColorado AI Actは、高リスクAIシステムの開発者および導入者に対し、結果に重大な影響を与える意思決定におけるアルゴリズム差別を回避するため、合理的な注意義務を尽くすことを求めています。[8] Colorado対応を支えるインベントリには、意思決定への影響、影響を受ける集団、そして重要な意思決定フラグを記録する必要があります。これらの項目は、従来のAIインベントリには常に含まれているわけではありません。

ISO/IEC 42001およびNIST AI RMF。継続的な任意フレームワークです。ISO 42001の認証には、AIシステムを識別・管理する体系的なプロセスを実証することが求められます。NIST AI RMFは、Map機能において識別と分類を基盤活動として位置づけています。[2][3]

2026年に新たに記録すべき項目

2026年に特に追加される項目と考慮事項は次のとおりです。

• エージェンティック・システムのフラグ。システムが自律型エージェントかどうか、自律性レベル（EnzaiのAgentic AI Governance Guideを参照）、およびそのシステムが動作する制約付きアクション空間。

• 基盤モデル依存。サードパーティの基盤モデル上に構築されたシステムについては、モデル提供元、モデルバージョン、バージョン固定ポリシー、ならびに提供元が更新を行った際の再検証トリガー。

• EU AI Actのリスク分類項目。Annex IIIカテゴリ（該当する場合）、高リスク分類の根拠、適合性評価ルート、EUデータベース登録状況、市場投入後モニタリング計画の参照先。EnzaiのEU AI Act Compliance Guideで、義務の全体像を確認できます。

• FS AI RMFへのマッピング（金融サービス）。関連する管理目的、特にGV-1.6のサブマッピングに対する指定。これには、外部向け露出、機微データまたは規制対象データの利用、顧客または市場への影響、重要性が含まれます。

• シャドー・エージェントの発見フラグ。正式な調達プロセス外で導入された自律型エージェントを特定するための個別追跡。多くの場合、SaaSプラットフォームに組み込まれているか、データサイエンスチームによって非公式に構築されています。

• 重大変更のトリガー。既存システムへの変更がEU AI Act Article 3(23)に基づく「重大な変更」に該当し、再評価を引き起こす条件の定義。

これらは、以下に続く項目フレームワークへの追加要素です。すでに下記の基本項目をカバーしているインベントリを持つ組織は、すべてをゼロから作り直すのではなく、2026年特有のデータを追加するための重点的な拡張作業を計画すべきです。

ディスカバリーの課題

AIシステムのカタログ化がなぜ難しいのかを理解することは、インベントリそのものの構築に取り掛かる前に不可欠です。AIは可視性の観点で従来のソフトウェアのようには振る舞いません。既存ツールに埋め込まれ、サードパーティAPI経由で動作し、調達部門を一度も通らない個々の従業員の判断を通じて拡散していきます。

シャドーAI - 最も重要な発見上の課題はシャドーAIです。正式な承認なしに従業員やチームが導入したシステムを指します。マーケティング担当者が個人のクレジットカードでAI搭載のコピーライティングツールを契約するケース、営業チームがAI会議文字起こしサービスを利用するケース、財務チームがブラウザ拡張機能を通じて大規模言語モデルを試すケース。これらはいずれも、いかなるガバナンス・フレームワークの外で組織データを処理するAIシステムを意味します。

SaaSプラットフォームに組み込まれたAI - 主要なエンタープライズ・ソフトウェアベンダーは、既存製品にAI機能を驚異的な速度で組み込んでいます。予測リードスコアリングを導入したCRMプラットフォーム、履歴書スクリーニングを追加したHRシステム、自動応答生成を実装したカスタマーサポートツール。これらはAIシステムですが、多くの場合、新規調達ではなく機能アップデートとして提供されるため、従来のソフトウェア監査では見えにくくなります。

ベンダーおよびサードパーティのAI - 組織がサービス提供にAIを用いるベンダーを利用する場合、EU AI Actのような規制フレームワークの下で、その組織自体が当該AIシステムの導入者になる可能性があります。候補者選考にAIを使うバックグラウンドチェック事業者、申請のトリアージにAIを使う保険請求処理の外部委託先、ルート最適化にAIを使う物流パートナー。いずれも、システムの存在を把握することから始まるガバナンス義務を生みます。

社内構築AI - データサイエンスチーム、イノベーションラボ、ソフトウェアエンジニアリング部門は、正式なリリース管理プロセスを通らないAIモデルを構築・導入している場合があります。Jupyter Notebookから本番化されたもの、部門サーバー上で稼働する機械学習モデル、概念実証から業務上の重要システムへと誰にも正式承認されないまま発展した自動意思決定スクリプトなどです。

ディスカバリーの課題は、根本的には可視性の問題です。従来のIT資産管理はAIを前提に設計されておらず、ほとんどの組織が依拠しているツールとプロセスでは、自社のAI資産の大半を見逃してしまいます。

AIインベントリに記録すべき内容

有用なAIインベントリは、包括性と実用性のバランスを取る必要があります。少なすぎれば、リスク評価やコンプライアンスに耐えられない不十分なインベントリになります。多すぎれば、保守負荷が増し、インベントリが陳腐化します。以下のテンプレート・フレームワークは、規制要件、業界標準、そして実務上のガバナンス要件が求める項目を網羅しています。

基本識別項目

所有責任と説明責任

リスクとコンプライアンスの分類

技術的および運用上の詳細

エージェンティック特有の項目（該当する場合）

ライフサイクルとステータス

すべてのシステムについて、初回の対応ですべての項目が埋まるわけではありません。実務的なアプローチは、受付時に必須とする項目（システム名、オーナー、導入形態、リスク分類）と、最初のガバナンスレビューサイクルまで繰り延べ可能な項目を定義することです。EnzaiのAIインベントリ・スキーマはこの段階的アプローチを実装しており、必須の受付項目と段階的な拡張項目を区別することで、チームが何も入力しないまま進めてしまうことや、200のシステムそれぞれに対して22項目のフォームに圧倒されてしまうことを防ぎます。目的は、すべての項目を完璧に埋められるまでインベントリを遅らせることではなく、まず構造を確立し、不足を体系的に埋めていくことです。

ディスカバリーの方法

何を記録すべきかが明確になったら、次の問いは、組織内で稼働しているすべてのAIシステムをどうやって見つけるか、です。単一の方法だけで完全なカバレッジを実現することはできません。効果的なディスカバリープログラムは、複数のアプローチを組み合わせて運用します。

自動スキャンと技術的ディスカバリー - ネットワークトラフィック分析により、OpenAI、Google、Anthropic、AWSなどの主要クラウドAIエンドポイントを含む、既知のAIサービス提供事業者へのAPI呼び出しを特定できます。DNSログ、プロキシサーバー記録、クラウドアクセスセキュリティブローカー（CASB）ツールは、正式に承認されていないAIサービスへの接続を検出できます。ソフトウェア構成解析により、社内開発アプリケーション内のAIライブラリやフレームワークを特定できます。

Enzaiのようなプラットフォームを利用する組織は、自動ディスカバリー機能をガバナンスワークフローに直接統合し、必要な手作業を削減するとともに、新たに検出されたシステムを即座に分類・レビュー対象としてフラグ付けできます。

調達およびベンダー監査 - 調達記録、ソフトウェアライセンス契約、ベンダー契約を体系的に見直すことで、正式なチャネルを通じて取得されたAIシステムを洗い出せます。多くのベンダーが従来はAI非対応だった製品にAI機能を追加しているため、既存契約の遡及レビューも含めるべきです。調達チームには、AIまたは機械学習機能を含む新規導入を必ずフラグ付けするよう周知しておく必要があります。

従業員アンケートと自己申告 - 事業部門への直接的な働きかけは、シャドーAIを発見する最も有効な方法の1つです。AI、機械学習、自然言語処理、自動意思決定を含むツール、サービス、モデルの利用有無を各チームに尋ねる構造化アンケートは、技術的スキャンでは検出できないシステムを確実に明らかにします。アンケートは、統制ではなくガバナンス支援を目的とする建設的な文脈で実施し、率直な申告を促すことが重要です。

ベンダー向け質問票 - 既存のサードパーティ関係に対して、サービス提供にAIを使用しているか、使用している場合はどのような種類で何を目的としているかを尋ねるターゲット型の質問票は、組み込み型AIおよびサードパーティAIの特定に有効です。特に、アウトソーシングされた業務プロセスでは、ベンダーがクライアントに明示通知することなくAIを導入している場合があるため、重要です。

ネットワークおよびAPIトラフィック分析 - 既知のAIエンドポイントをスキャンするだけでなく、APIトラフィックパターンの詳細分析によって、目立たない経路で通信するAIシステムを発見できる場合があります。ML推論特有のレイテンシ特性を持つ外部エンドポイントへの構造化JSONペイロード送信など、モデル推論呼び出しと整合するパターンを監視することで、他の方法では見逃されるシステムを可視化できます。

最も堅牢なディスカバリープログラムは、これらの方法を並行して実施し、定期的に繰り返します。一度の一斉調査で大半のシステムは把握できますが、新しいAIツールの導入速度に追随するには、継続的なディスカバリーが必要です。

インベントリ運用プロセスの構築

AIインベントリは、それを支えるプロセスとガバナンス構造があって初めて持続可能です。明確な責任分担、部門横断の関与、定義されたワークフローがなければ、どれほど丁寧に作った初期カタログでも数か月で劣化してしまいます。

責任の明確化 - 企業資産としてのAIインベントリは、単一の機能部門が所有しなければなりません。多くの組織では、これは3つの役割のいずれかに割り当てられます。Chief AI Officer（該当職が存在する場合）、Chief Information Security Officer、またはChief Compliance Officerです。重要なのは、すべての事業部門から開示を求められる十分な権限と、エンジニアリングチームと分類・リスク評価について対話できる十分な技術的信頼性を、そのオーナーが備えていることです。

部門横断の関与 - インベントリ運用には、複数の機能部門の積極的な参加が必要です。

• ITおよびエンジニアリング - 技術的ディスカバリー機能を提供し、社内構築のAIシステム、インフラの詳細、統合ポイントを特定できます。

• 調達 - 新規AI導入をフラグ付けし、既存のベンダー関係を遡及的にレビューします。

• 法務およびコンプライアンス - EU AI Actのリスク区分、FS AI RMFの管理目的、データ保護義務など、規制要件に照らしてシステムを分類します。

• 事業部門リーダー - 各チームで利用されているAIツールを特定し、システムごとのビジネスオーナーを任命します。

• データ保護／プライバシー - 個人データ処理を評価し、GDPRおよび同等フレームワークとの整合性を確保します。

• 内部監査 - 定期的にインベントリの完全性と正確性を検証します。

受付ワークフローの定義 - 調達、社内開発、またはスキャンによって発見された新しいAIシステムは、すべて標準化された受付ワークフローを通過させるべきです。このワークフローには、初期登録（基本識別項目の入力）、暫定的なリスク分類、ビジネスオーナーとテクニカルオーナーの割り当て、そして本格的なガバナンスレビューのスケジューリングを含めるべきです。受付プロセスは、それを回避する動機を生まない程度に軽量でありながら、いかなるシステムも基本的なガバナンス文書なしに本番環境へ入らない程度に厳格である必要があります。

ガバナンスの頻度設定 - インベントリは、少なくとも四半期ごとに正式レビューを行うべきです。各レビューでは、完全性（前回サイクル以降に新しいシステムが追加されたか）、正確性（既存システムの詳細は依然として正しいか）、コンプライアンス姿勢（承認されたリスクパラメータ外で運用されているシステムはないか）を評価します。

明確な責任のないプロセスは、単なる願望にすぎません。責任分担、部門横断の合意、明確な頻度を備えたプロセスこそが、ガバナンス・プログラムです。

時間経過に伴うインベントリの維持

初期構築は、この課題の比較的容易な半分にすぎません。正確で生きたインベントリを維持するには、トリガー、自動化、そしてより広範な組織変更管理との統合が必要です。

インベントリ更新のトリガー - 次のいずれかのイベントが発生した場合、インベントリを更新すべきです。

• 新しいAIシステムが調達、構築、または導入されたとき

• 既存システムが実質的に変更されたとき（新しいデータソース、変更された意思決定範囲、モデル再学習、基盤モデルのバージョン変更）

• システムが廃止または停止されたとき

• 既存製品へのAI機能追加について、ベンダーが組織に通知したとき

• 規制変更により既存システムのリスク分類が変わったとき

• AIシステムに関するインシデントが報告されたとき

• 組織再編により、システムのビジネスオーナーが変更されたとき

継続的ディスカバリー - 技術的ディスカバリー手法は、定期的な作業ではなく継続的に実行すべきです。AI APIトラフィックの自動スキャン、新たなAI SaaSツールに対するCASBアラート、新規リリース内のAIコンポーネントを検出するためのソフトウェア展開パイプラインとの統合は、システムが組織に入ってからインベントリに反映されるまでの遅延を縮小するうえで重要です。

変更管理との統合 - AIインベントリは、既存の変更管理およびITサービス管理プロセスに組み込むべきです。変更諮問委員会には、標準評価項目としてAIインベントリへの影響を含めるべきです。ソフトウェア展開プロセスには、AIコンポーネントの有無を確認するチェックを組み込むべきです。ベンダー管理ワークフローには、AIに関する開示を標準的な契約上およびレビュー上の要件として含めるべきです。

版管理と監査証跡 - インベントリエントリへのすべての変更は、タイムスタンプ、変更者の識別情報、更新理由とともに記録される必要があります。この監査証跡は、単なる好事例ではありません。複数の規制フレームワークで明示的に求められており、監査人や監督当局によって期待されます。

維持管理の段階で、ほとんどのAIインベントリは失敗します。成功する組織は、インベントリを年1回見直す静的文書ではなく、業務ワークフローに統合された生きたシステムとして扱っています。

よくある落とし穴

十分なリソースを持つ組織であっても、AIインベントリの構築と維持では予測可能な失敗パターンに直面します。こうしたパターンを事前に認識しておくことで、持続的な成果を得られる可能性は大きく高まります。

AIを狭く定義しすぎること。インベントリを「機械学習モデル」に限定する組織は、ルールベースの自動意思決定システム、認知要素を備えたロボティック・プロセス・オートメーション、エージェンティック・エージェント、そして事業全体で非公式に利用される生成AIツールを見落とします。インベントリ目的でAIシステムを何とみなすかの定義は、意図的に広く、EU AI Act Article 3(1)のような規制上の定義に整合させるべきです。[1]

インベントリをITプロジェクトとして扱うこと。インベントリがIT部門だけで所有されると、事業部門側のAI導入は体系的に過少報告されます。逆に、コンプライアンス部門だけで所有されると、技術的詳細が乏しく、信頼性も低くなります。部門横断の所有は、任意ではありません。

初回で完璧を求めること。すべてのシステムについてすべての項目を埋めてからインベントリを公開しようとする組織は、永遠に公開できません。現実的なアプローチは、初期構築では不完全な記録を受け入れ、その後のレビューサイクルで不足を埋める体系的なプログラムを実装することです。

ベンダーAIを見落とすこと。組織に最も大きな影響を与えるAIシステムは、しばしば第三者が運用しているものです。バックグラウンドスクリーニング事業者のAI、信用スコアリング機関のモデル、クラウドプラットフォームの自動セキュリティツールなどです。これらは、可視性が低い分、社内構築システム以上に、同等あるいはそれ以上のガバナンス対応を必要とします。

エージェンティック・システムを見逃すこと。多くの従来型インベントリは、静的AI、つまり人間が判断やコンテンツ生成に利用する予測モデルを対象として構築されてきました。複数ステップのワークフローを自律的に実行するエージェンティック・システムには、追加の項目（自律性レベル、アクション一覧、エスカレーション条件、監査証跡の保存場所）と、追加のガバナンス規律が必要です。静的モデルと分けてエージェンティック・システムを可視化しないインベントリでは、適切なガバナンスを支援できません。詳細なフレームワークについては、EnzaiのAgentic AI Governance Guideをご参照ください。

インベントリを行動につなげないこと。インベントリがスプレッドシートとして存在し、年1回レビューされるだけで、リスク評価、インシデント管理、規制報告プロセスと切り離されている場合、ガバナンス価値はほとんどありません。インベントリは、AIガバナンス・プログラムの補遺ではなく、その運用基盤でなければなりません。

保守負荷を過小評価すること。多くの組織におけるAI導入の速度を考えると、今日完成したインベントリも、継続的な保守プロセスがなければ3～6か月以内に大幅に不完全になります。組織は、初期構築だけでなく、インベントリ保守のための継続的な工数も予算化すべきです。

ガバナンス価値を生むAIインベントリと、単に棚ざらしになるAIインベントリの違いは、初期カタログの高度さではありません。それを最新の状態に保ち、意思決定と結び付け続けるプロセスの厳格さです。

実務上の示唆

規制の方向性は明確です。EU AI Act、ISO 42001、NIST AI RMF、財務省FS AI RMF、そして拡大し続ける業界別の監督上期待はすべて、同じ基盤要件に収束しています。すなわち、組織は自社がどのAIを保有し、それがどこで稼働し、誰が責任を負い、どのようなリスクをもたらすのかを把握しなければなりません。この能力を構築するコストは、遅れれば遅れるほど増大します。なぜなら、あらゆる企業におけるAIシステムの量は、過去分を後追いでカタログ化できる能力よりも速く増加するからです。

不完全な初回対応であっても今すぐ着手する組織は、規制期限に追い込まれてから動く組織よりも、はるかに有利な立場に立てます。このガイドで示したテンプレート・フレームワーク、ディスカバリー方法、プロセス構造は、具体的な出発点となります。

監査可能な記録システムを維持するうえで、適切なAIシステム・インベントリツール を選定することは極めて重要です。AIガバナンス、リスク、コンプライアンス向けに特化して設計されたプラットフォーム上でAIインベントリを運用化したい組織に対して、Enzaiはディスカバリー、分類、継続保守のための体系的なアプローチを提供します。実際の動作を確認するには、デモを予約してください。

Enzaiは、組織が抽象的なポリシーから運用レベルの統制へと移行することを支援するために特別に設計された、業界をリードするエンタープライズAIガバナンス・プラットフォームです。当社のAIリスク管理プラットフォームは、エージェンティックAIガバナンスの管理、包括的なAIインベントリの維持、そしてEU AI Actコンプライアンスの確保に必要な専門インフラを提供します。複雑なワークフローを自動化することで、Enzaiは、 ISO 42001 やNISTのようなグローバル標準との整合性を維持しながら、企業が自信を持ってAI導入を拡大できるよう支援します。

参考文献

1. 人工知能に関する調和規則を定める規則（EU）2024/1689（Artificial Intelligence Act）。欧州連合官報、2024年8月。

2. ISO/IEC 42001:2023 - 情報技術 - 人工知能 - マネジメントシステム。国際標準化機構、2023年12月。

3. 人工知能リスク管理フレームワーク（AI RMF 1.0）、NIST AI 100-1。米国国立標準技術研究所、2023年1月。

4. 米国財務省、「金融セクターにおけるAI利用を導くための2つの新しいリソースを公表」、2026年2月19日。Financial Services AI Risk Management FrameworkおよびAI Lexiconを含む。AIインベントリは管理目的GV-1.6です。

5. イングランド銀行、FCA、PRA、PSR、「人工知能と機械学習」、DP5/22、2022年10月；PRA Supervisory Statement SS1/23、2023年。

6. McKinsey & Company、「2024年初頭におけるAIの現状：生成AIの導入が急増し、価値創出が始まる」、2024年5月。

7. 規則（EU）2024/1689、Articles 113-114（発効日および適用開始日）。欧州委員会によるAIに関するDigital Omnibusの2025年11月提案は、三者協議を条件としてAnnex IIIの期限を延長する可能性があります。

8. Colorado SB 24-205、人工知能に関する消費者保護について、2024年5月署名。当初の施行日は2026年2月1日で、現在は立法改正案が審議中です。