NIST AI RMF（人工知能リスクマネジメントフレームワーク）の概要と、AIガバナンスへのコンプライアンスを確保するために必要なステップ。
•
•
16 最小読了時間
人工知能（AI）がさまざまな業界に普及するにつれ、AIシステムに伴うリスクもまた増加しています。バイアスのあるアルゴリズムからデータプライバシーに関する懸念にいたるまで、企業はステークホルダーとの信頼関係を維持し、この革新的な技術の可能性を最大限に引き出すために、AIリスクを先見的に管理する必要があります。幸いなことに、これらを支援するために確立されたベストプラクティスが存在します。その中でも最も重要なものの1つが、米国国立標準技術研究所（NIST）のAIリスクマネジメントフレームワーク（以下「AI RMF」）です。米国商務省の機関であるNISTは、2023年1月にAI RMFをリリースしました。これは、責任ある信頼性の高いAIを確保するための主要な標準フレームワークの1つとして急速に普及しています。
準拠は任意ですが、AIプログラムを構築する際、AI RMFを採用する組織（特に米国において）が増加していることに私たちは注目しています。本ブログでは、（1）AI RMFの概要を説明し、（2）AI RMFを採用すべきかどうかについてのガイダンスを提供し、（3）採用する場合の、導入に向けた実践的なヒントをご紹介します。
AI RMFの概要
AI RMFは、AIシステムの設計、開発、および/または使用において積極的な役割を果たす企業または個人のいずれかと定義される「AIアクター」に適用されます。したがって、貴社がAIを活用している場合、あるいは個人的にAIワークストリームに関与している場合は、コンプライアンスを確保するためにこのフレームワークの要件に準拠する必要があります。
AI RMFは、大きく「Foundational Information（基礎情報）」と「Core and Profiles（コアとプロファイル）」の2つのセクションに分けることができます。それぞれの要件は以下の通りです。
Foundational Information（基礎情報）
「Foundational Information」では、AI使用における潜在的なリスクと弊害を扱います。このガイドラインに準拠する企業は、リスクの発生時にそれを追跡および測定し、優先順位を付け、組織全体の許容可能なリスクレベルを評価するプロセスを導入する必要があります。その目的は、堅牢かつ能動的なリスク管理プロセスを導入することにより、責任あるAIの使用を確保することにあります。
Core and Profiles（コアとプロファイル）
NISTフレームワークの第2部である「Core and Profiles」は、このようなシステムをどのように実践に移すかに焦点を当てています。ここでNISTは、開発されたリスク管理システムの4つのコア機能を示しています。これらは以下の通りです。
Govern（ガバナンス）- 企業内にリスク管理の文化を醸成する
Map（マッピング）- AI使用におけるリスクおよび潜在的リスクを特定するためのプロセスを構築する
Measure（測定）- 関連するステークホルダーに対するこれらのリスクの潜在的な影響を評価する
Manage（管理）- リスクへの対応およびリスク軽減活動を採用する
最後に、AI RMFは、包括的なリスク管理プログラムの文脈において、特定のユースケースにおけるリスクを確立および評価するための「プロファイル」手法を定めています。例えば、人事チームが候補者の履歴書を選別するのを支援するAIシステムは、より広範なAIリスク管理プログラムの中で、ガバナンス、マッピング、測定、および管理を行うべき「プロファイル」を構成することになります。
NIST AI RMFを採用すべきか？
NISTのフレームワークは任意の標準であり、EU AI法のような法的拘束力のある規制とは異なりますが、準拠に向けて取り組むことには明確なメリットがあります。
AIに伴うリスクを理解する：現在、ほぼすべての企業が少なくとも一部の業務でAIを利用しています。しかし、これらの企業の多くのリスク責任者は、実際に生じている真のリスクを認識していません。RMFに準拠することで、これらが明らかになり、チームによるリスク軽減が可能になります。
AIに対する信頼を築く：このフレームワークの背後にある核心的な基本原則の1つは、ステークホルダーの間で信頼を構築する必要性です。AIに関しては、これが欠けていることがよくあります。この標準への準拠は、貴社のAI活用が責任ある信頼性の高いものであるという、権威ある組織からの第三者によるお墨付きとなります。
AIの活用を進め、生産性と利益を向上させる：多くの企業はAIがもたらす素晴らしいメリットを認識しつつも、不明確なリスクやアカウンタビリティ（説明責任）への懸念から、その活用を最大限に広げることを躊躇しています。NISTのフレームワークに準拠することで、そうした懸念を和らげ、AIの活用を促進し、企業内の生産性と利益の向上につなげることができます。
このようにNISTのフレームワークへの準拠を支持する強力な理由がある一方で、企業にとって準拠を目指すことが合理的ではない状況も存在します。
より規定の明確な他のフレームワークが存在する：NIST AI RMFは、AIリスク管理のための有用なガイドですが、要件を解釈し自社に適用するためには、組織側に多くの作業を委ねています。この分野は急速に変化しており、AI RMFの公開以降、多くの新しい規格や規制が登場しています。例えば、ISO 42001などの一部の規格はより規定が明確であり、（私たちの経験上）導入が比較的容易です。さらに、NIST AI RMFのみでは、新興のAI規制環境（EU AI法など）への適合や、業界固有のガイドライン（モデルリスク管理に関するSR 11-7や英国PRA規則など）への準拠を保証することはできません。
AIを利用していない企業：組織内でのAIの利用が、従業員がメールのブラッシュアップのためにChatGPTやClaudeなどの公開LLMをたまに使用する程度である場合、このフレームワークに準拠する価値はないかもしれません。このようなケースでは、従業員がこれらのツールとどのように関わるかを規定するAIポリシーを策定し、軽量なガバナンスフレームワークを導入する方が合理的でしょう。
今後の展望
NISTのガイドラインは常に任意の標準であり続けますが、すでに達成されている大幅な導入実績から、企業による採用は今後も拡大していくと予測されます。実際、AIソリューションを包括的に利用している大企業においては、NIST（またはISO 42001などの同様に、あるいはそれ以上に堅牢な他の標準規格）への準拠が、従業員、顧客、株主などのステークホルダーからほぼ必須の要件として求められるようになる可能性が高いと考えられます。
以下に、NIST AI RMFの導入を始めるために活用できる実践的なヒントをまとめました。
経営陣の関与を確保する：経営幹部がAIリスク管理の重要性を理解し、NIST AI RMFの採用を支持していることを確認します。経営陣の支援は、リソースの配分や組織全体での準拠を推進するために不可欠です。
AIガバナンス体制を確立する：部門横断的なAIガバナンス委員会を組織するか、フレームワークの導入を監督するための役割と責任を割り当てます。これには、IT、法務、リスク管理、倫理、および関連する事業部門の代表者が含まれる場合があります。
AIインベントリを作成する：開発中のプロジェクトを含め、組織のすべてのAIシステムとプロジェクトをカタログ化し、AIランドスケープの包括的な全体像を把握します。これにより、リスク評価の取り組みの優先順位付けが容易になります。
各AIシステムのリスクを評価する：個々のAIシステムまたはユースケースについて、データプライバシー、セキュリティ、公平性、透明性、およびNIST AI RMFに概説されているその他の主要分野を網羅する、徹底的なリスク評価を実施します。それぞれの具体的な文脈に合わせて評価をカスタマイズするために、「プロファイル」手法を活用します。
リスク軽減計画を策定する：リスク評価の結果に基づき、各AIシステムで特定されたリスクを軽減するための実行可能な計画を作成します。これには、技術的な対策（例：バイアステスト、セキュリティ管理）や組織的な対策（例：ポリシー、トレーニング）が含まれます。
既存のリスク管理プロセスと統合する：AIリスク管理を、組織の全体的なリスク管理フレームワークおよびプロセスと整合させます。これにより、一貫した統合的アプローチが確保され、セクショナリズムを防ぐことができます。
ステークホルダーを関与させる：必要に応じて、エンドユーザー、顧客、規制当局などの関連するステークホルダーを、リスク評価と軽減のプロセスに関与させます。フィードバックを求め、AIリスク管理の取り組みについて透明性を持ってコミュニケーションを図ることで、信頼関係を構築します。
継続的に監視し、再評価する：AIリスク管理は継続的なプロセスです。新たなリスクが発生していないかAIシステムを継続的に監視し、技術、ユースケース、および規制環境の進化に合わせて、定期的にリスクプロファイルを再評価します。
AI倫理研修を提供する：AIの開発や導入に関わる従業員に対し、AI倫理の原則とNIST AI RMFの要件に関する教育を行います。これにより、組織の文化に責任あるAIの実践を組み込むことができます。
AIガバナンスツールを活用する：EnzaiのようなAIガバナンスプラットフォームの利用を検討し、AIリスク管理の各側面を合理化および自動化します。これらのツールにより、NIST AI RMFやその他の標準規格に照らしたシステムの効率的な評価、リスク軽減措置の追跡、および監査証跡の作成が可能になります。
NIST AI RMFの採用は、一歩ずつ進める道のりであることを忘れないでください。まずは最優先のAIシステムから開始し、時間をかけてリスク管理の取り組みの範囲を徐々に拡大していきましょう。得られた教訓や進化するベストプラクティスに基づき、アプローチを定期的に見直し、改善してください。
EnzaiのAIガバナンス技術を活用して、貴社がNISTのAIリスクマネジメントフレームワークに準拠する方法についての詳細や、デモのご予約は、こちらをクリックしてください。
Enzaiは、組織が抽象的なポリシーから運用監視へと移行できるよう支援するために専用設計された、業界をリードするエンタープライズAIガバナンスプラットフォームです。当社のAIリスク管理プラットフォームは、自律型（エージェンティック）AIガバナンスの管理、包括的なAIインベントリの維持、およびEU AI法への準拠を確実にするために必要な専用インフラを提供します。複雑なワークフローを自動化することで、Enzaiは企業がISO 42001やNISTなどのグローバルスタンダードとの整合性を維持しながら、自信を持ってAIの導入規模を拡大できるよう支援します。
組織がAIを採用し、管理し、監視する能力を、企業レベルの信頼性で強化します。規模で運営する規制対象の組織向けに構築されています。