AIのリスク評価の進め方。用途ごとに影響を見極める

AIのリスク評価とは、AIを使う用途ごとに、誤りや不具合が起きたときにどのくらいの影響があるか、どのくらい起きやすいかを見極め、人が確かめる範囲や記録の残し方を決めることです。総務省と経済産業省の「AI事業者ガイドライン」は、対策の程度をリスクの大きさに合わせる「リスクベースアプローチ」を示しています。すべての用途を同じ厚さで管理するのではなく、影響の大きい用途に手間をかけ、小さい用途は軽い決まりで速く使えるようにすることが、評価の目的です。

AIのリスク評価は、なぜ要るのか

AIのリスク評価が要るのは、AIの使い道が広がるほど、用途ごとに起こりうる問題の大きさが違ってくるためです。社内の議事録の下書きを生成AIで作る場合と、顧客からの問い合わせにAIが答える場合、採用の書類の選考にAIを使う場合とでは、誤りが起きたときに困る人も、困り方も異なります。

一律に「AIの使用は禁止」とすると、社員が会社の知らない道具を個人で使い始めることがあります。反対に、一律に「自由に使ってよい」とすると、影響の大きい用途で確認の手順が抜けることがあります。用途ごとに評価して決まりの厚さを変えることが、使いやすさと安全を両立させる現実的な方法と考えられます。

国の指針は、どう考えているか

総務省と経済産業省は、2026年3月31日に「AI事業者ガイドライン」の第1.2版を公表しています。ガイドラインは、対策の程度をリスクの大きさ（危害の大きさとその蓋然性）に対応させる「リスクベースアプローチ」にもとづくとしています。共通の指針として、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティ、教育・リテラシー、公正競争確保、イノベーションを挙げています。

AIを使う事業者（AI利用者）に求められる事項としては、提供者が意図した範囲での適正な利用、入力するデータやプロンプトに含まれるバイアスへの配慮、個人情報の不適切な入力とプライバシーの侵害への対策、セキュリティ対策の実施、関係者への情報の提供と説明などが挙げられています。

出典：AI事業者ガイドライン（第1.2版）（総務省・経済産業省、2026年3月31日）

ガイドラインは拘束力のない文書ですが、取引先や顧客から「AIをどう管理しているか」を問われたときの説明の土台になります。日本のAIのルールの全体は、日本のAIに関する法律とガイドラインの要点で整理しています。

評価は、何を単位にするか

評価の単位は、AIの道具ではなく用途です。同じ生成AIのサービスでも、何に使うかで影響が変わるためです。

用途を書き出すときは、次の項目を一行ずつ埋めると、後の評価がしやすくなります。

• 何の業務に使うか（例：問い合わせへの回答の下書き、社内規程の検索、見積もりの作成）
• AIの出力を、誰が、何に使うか（社内で参考にする、顧客に届ける、判断に使う）
• AIに入力する情報（公開の情報、社内の情報、顧客の情報、個人情報）
• 使っている道具と、その契約の形（会社の契約か、個人のアカウントか）
• その用途の責任者

会社で使っているAIの一覧づくりは、AIのリスク管理とガバナンスを、社内でどう始めるかでも扱っています。一覧ができていれば、その一覧に評価の欄を足していく形で進められます。

影響の大きさは、どう見極めるか

影響の大きさは、「誤った出力がそのまま使われたら、誰に、どのくらいの影響があるか」という問いで見極めます。観点の例を挙げます。

起きやすさは、AIの出力が事実と違う内容を含むこと（ハルシネーション）がその用途でどのくらい起きうるか、入力の情報が想定外の形で使われるおそれがあるか、といった点から見ます。AIに外部のシステムを操作させるAIエージェントの用途では、誤った操作のおそれも起きやすさに含めて考えます。

影響と起きやすさをそれぞれ大・中・小の3段で見て、組み合わせで用途の区分を決める方法が、始めやすい形です。細かな点数づけより、関係者が同じ物差しで話し合えることを優先します。

評価の結果を、どう決まりにするか

評価の結果は、用途の区分ごとに「人がどこまで確かめるか」「どの情報を使ってよいか」「何を記録するか」として決めます。

• 影響が小さい用途：使う人が自分で確かめれば足りる。使ってよいサービスと入力しない情報だけ守る
• 影響が中くらいの用途：外に出す前に、担当者とは別の人が内容を確かめる。確かめた人を記録に残す
• 影響が大きい用途：AIの出力は判断の材料にとどめ、決めるのは人が行う。導入の前に試験で精度を確かめ、責任者が承認する。使い始めた後も定期的に結果を見直す

人の権利や利益に関わる判断（採用、人事の評価、与信など）にAIを使う場合は、AIの出力だけで決めない形にしておくことが大切です。法令や契約上の扱いが関わる場合は、弁護士などの専門家にご確認ください。

入力してよい情報は、社内の情報の分類と取り扱いの決まりのつくり方の区分と合わせて決めると、用途が増えても判断の軸をそろえられます。AIを組み込んだシステムの守りを確かめるときに使える資料は、AIのセキュリティに関する指針の要点で説明しています。

評価は、いつ見直すか

評価は一度で終わりではなく、次のようなときに見直します。

• 用途の範囲が広がったとき（社内だけで使っていたものを顧客向けに使う など）
• 使う道具を替えたとき、道具の提供元が大きな機能の変更をしたとき
• 誤った出力による問題や、苦情が起きたとき
• 法令や国の指針が改められたとき

AI事業者ガイドラインは、AIガバナンスを、環境とリスクの分析、ゴールの設定、システムの設計、運用、評価を繰り返す営みとして示しています。リスク評価は、その最初の「分析」に当たる作業で、運用と評価の結果をもとに見直していくことで、実態に合った決まりに育っていきます。

当社のご支援

アメリア・テクノロジーのAI・DXコンサルティングでは、AIを使う候補を業務ごとに洗い出し、効果と難しさの両面から優先順位をつける中で、生成AIを社内で使うときのルール、情報の扱い、担当の決め方を整えることをご支援しています。AIを組み込んだ仕組みの点検は、システム監査の中でもお受けしています。社内のルールの状態をおおまかに確かめたい場合は、無料の生成AIの利用ルール診断をお使いください。