戸倉 ジャスミン
リスクマネジメントって、何かが起きてから対処する、みたいなイメージなんだけど、合ってる?
深見 つむぎ
ジャスミンちゃん、それはインシデント対応の側面ですね。
リスクマネジメントはもっと広く、『起きる前』から始まります。
戸倉 ジャスミン
起きる前!? むしろそっちがメイン!?
香月 リサ 先生
今日は全員真剣に聞いて。
AIリスクマネジメントは『予測・予防・対応・学習』の継続サイクルよ。
4ステップで覚えるのが試験頻出ね。
雪村 ましろ
4ステップだね、ましろメモ取るっ!
香月 リサ 先生
① リスク特定(何があり得るか列挙)、② リスク評価(発生確率×影響度で優先順位化)、③ リスク対応(軽減・回避・移転・受容)、④ モニタリング(運用後の継続監視)。
深見 つむぎ
この4ステップは ISO 31000 などのリスクマネジメント規格と整合しており、AI固有の要素を追加した形です。
戸倉 ジャスミン
軽減・回避・移転・受容って、4つの対応パターンがあるんだ。
香月 リサ 先生
そう。
軽減 (mitigate) は対策で影響を小さくする、回避 (avoid) はリスクのある活動自体をやめる、移転 (transfer) は保険や外部委託でリスクを移す、受容 (accept) は影響が小さい場合に敢えて受け入れる——この使い分けね。
雪村 ましろ
全部『対策』じゃなくて、『あえて受け入れる』もあるのぉ?
深見 つむぎ
全てに対策するとコストが爆発しますから、リスク評価に基づくトリアージが必須です。
香月 リサ 先生
国際的な枠組みとしてNIST AI RMF(2023年1月公表、米国立標準技術研究所) が広く参照されているわ。
Govern / Map / Measure / Manage の4機能で構成されるの。
深見 つむぎ
日本の AI 事業者ガイドラインもこの NIST フレームワークを参考にしている点が多いです。
戸倉 ジャスミン
起きてから走るんじゃなくて、起きる前から先回りって、スポーツと同じだね。
守備でも事前の位置取りがすべてだし。
香月 リサ 先生
その視点、まさにプロフェッショナルね。
深見 つむぎ
AI リスクはゼロにできないからこそ、『継続的に回す』意識が鍵です。
香月 リサ 先生
運用後のモデルドリフト対応も重要よ。
AIは生き物のように、時間とともに性能が変化するから、継続監視が不可欠なの。
深見 つむぎ
MLOpsの主要機能の一つがこのモデル監視で、A/B テストや影響分析と組み合わせて運用されます。
深見 つむぎ
補足すると、リスクマネジメントのサイクルは ISO 31000 (一般リスクマネジメント規格) と ISO/IEC 42001 (AI マネジメントシステム規格) の2層で実装するのが、近年の業界トレンドです。
戸倉 ジャスミン
規格をベースにしっかり体系化するの、標準化を好む日本企業には馴染むやり方だね!
香月 リサ 先生
日本企業の ISO 取得率の高さは、まさにこのアプローチとの親和性を示しているわ。
AI ガバナンスも、同じ文脈で広がっていくと予想されるの。
雪村 ましろ
ちゃんと積み上げていく感じ、ましろ好きだなぁ。
確認クイズ
AI リスクマネジメントの4ステップとして正しい順序は?
- 評価 → 特定 → 対応 → モニタリング
- 特定 → 評価 → 対応 → モニタリング
- 対応 → モニタリング → 特定 → 評価
- モニタリング → 対応 → 評価 → 特定
こたえを見る
正解: 2. 特定 → 評価 → 対応 → モニタリング
リスクマネジメントは『① 特定 (何があるか) → ② 評価 (どのくらい深刻か) → ③ 対応 (どう処置するか) → ④ モニタリング (継続監視)』の順で進めます。NIST AI RMF や ISO 31000 とも整合する汎用的なサイクルです。