2024年9月23日、米国司法省（DOJ）は、企業コンプライアンスプログラムの評価に関する検察官向けガイダンスを改定しました。DOJの高官であるニコール・M・アージェンティエリ氏は、テキサス州で開催された「Society of Corporate Compliance and Ethics 第23回年次コンプライアンス＆エシックス・インスティテュート」での講演の中で、この改定ガイダンスを発表しました。今回のガイダンスには、企業がAIをどのように使用し、そのリスクをどのように管理しているかについての検討事項が新たに盛り込まれています。

本ガイダンスの目的は何ですか？

DOJは、企業のコンプライアンスプログラムが、a）適切に設計されているか、b）真摯に適用されているか、c）実際に機能しているか、をDOJの検察官が評価できるようにすることを目的に、企業コンプライアンスプログラムの評価（ECCP）に関するガイダンスを公開しています。

ECCPはDOJの検察官向けに作成されたものであり、文書内の検討事項に法的拘束力はありませんが、ECCPは何年にもわたって一般に公開されており、その間、企業の経営幹部やコンプライアンスチームにとって有用な手引きとして機能してきました。

改定されたECCPは多くの新しいトピックに触れていますが、最も重要な改定は、AI、新興テクノロジー、コンプライアンスプログラムにおけるデータ分析の役割、および内部告発者保護の分野にあります。

改定されたガイダンスでは、AIの使用についてどのように述べられていますか？

ECCPは検察官に対し、企業のAI使用に関して、特に以下の要因を評価するよう指導しています。 

·  企業はAI使用に関するリスク管理プログラムを整備しているか？

·  AIシステムにリスクレベルが割り当てられているか？

·  企業はAI使用から特定したリスクに効果的な方法で対処しているか？

·  企業はAIシステムが意図したとおりに機能しているか監視しているか？

·  高リスクシステムは、人間による適切な監視下にあるか？

·  従業員はAIシステムを使用するための適切なトレーニングを受けているか？

·  企業のコンプライアンスプログラムは、データ分析とテクノロジーを適切に活用して、効果的に機能しているか？

·  企業はベンダーリスクに効果的な方法で対処しているか？

·  企業はコンプライアンスプログラムに適切なリソースを投入しているか？

·  AIコンプライアンスプログラムは適切に文書化されているか？

より広い文脈における背景は何ですか？

この改定ガイダンスは、企業のAI使用に対するDOJの継続的な関心を示しています。サンフランシスコでの3月の演説において、リサ・モナコ司法副長官は、既存の法律にAIの例外は存在しないことを強調し、AIの悪用に対して「より厳しい判決」を求める意向を表明するとともに、ECCPの改定を予告していました。

今年初め、DOJは「Justice AI Initiative」も立ち上げました。これは「市民社会、業界、学術界、法執行機関にわたる関係者」による一連の会合であり、AIがDOJの取り組みとどのように交差していくかについて情報を共有することを目的としています。

アージェンティエリ氏による改定ECCPに関する発言は、DOJの改定内容にさらなる具体性を与え、生成AIが企業に及ぼし得る影響について深い理解を示しました。一例として、同氏は「検察官は、AIによって作成された虚偽の承認や文書など、新しいテクノロジーによって可能になった犯罪手口に対して、企業が脆弱であるかどうかを検討する」と述べました。

Enzaiがお手伝いします

EnzaiのAI GRCプラットフォームは、EU AI法、コロラド州AI法、NIST AI RMF、ISO/IEC 42001などの新しい規制、基準、フレームワーク、およびベストプラクティスに準拠したAIの導入を支援します。詳細については、こちらからお問い合わせください。

Enzaiは、組織が抽象的なポリシーから実践的な運用監視へと移行できるよう支援するために特別に構築された、最先端のエンタープライズ向けAIガバナンスプラットフォームです。当社のAIリスク管理プラットフォームは、エージェント型AIガバナンスの管理、包括的なAIインベントリの維持、およびEU AI法への準拠を確実にするために必要な専門インフラを提供します。複雑なワークフローを自動化することで、Enzaiは企業がISO 42001やNISTなどのグローバル基準との整合性を維持しながら、確信を持ってAIの導入を拡大できるようにします。