セミナーで見たAI活用の事例を持ち帰っても、自社では同じように動かない。よくあることだと思います。国が公表しているガイドラインに、事例を自社に置き直すための手順が、実践例つきで書かれていました。
この記事では、総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」の別添に書かれている内容を並べ、他社の事例を自社に持ち込む場面に置き直して整理します。内容は原典のPDFで確認したものです。このガイドラインは非拘束的なソフトローとして作られており、書かれているのは義務ではなく期待される事項です。また、別添に載っている実践例は例示された企業の取組であり、そのまま従うべきものとして書かれたものではありません。最終的な進め方は自社の事業と体制に合わせてご判断ください。なお、原典に記載のない部分は、実務の提案であることを本文で明示しています。
結論：真似ではなく、自社の事業に結びつけ直す
先に結論です。事例を持ち帰って失敗するのは、やり方を写しているからでした。ガイドラインが書いているのは、自社の事業に結びつく形で理解し直すという順番です。写すのは手順ではなく、見る観点のほうになります。
「自社の事業に結びつく形で」と書かれている
別添の行動目標1-1は便益/リスクの理解です。そこにこうあります。AI の開発・提供・利用の目的を明確化したうえで、AI から得られる便益だけではなく意図しないリスクがあることについて、各主体の事業に照らして具体的に理解し、これらを経営層に報告し、経営層で共有し、適時に理解を更新する。各主体の事業に照らして具体的にという条件が入っています。実践のポイントにも自社の事業に結びつく形で、「便益」及び意図せざるものを含めた「リスク」を具体的に理解と書かれています。結びつく形でが繰り返されているわけです。他社の資料に載っている効果の数字を、そのまま自社の企画書に転記しても、ここは満たせません。
目的の定義が先に来ている
順番も示されています。実践のポイントの1つ目が事業における価値の創出、社会課題の解決等の AI の開発・提供・利用の目的を明確に定義で、2つ目が便益とリスクの理解です。目的を決めてから、便益とリスクを見る並びになっています。ここは実務の提案になりますが、事例を持ち帰ったときにやりがちなのは、逆の順番だと思います。良さそうな事例があって、それに合う目的を後から付ける。そうすると、その事例が効いた条件まで一緒に持ち込めているかを確かめる機会がなくなります。以降の節で、原典に書かれている観点を順に見ていきます。
事例を自社に置き直す順番
出典：AI事業者ガイドライン（第1.2版）別添
事例は、うまくいった話だけを見ない
事例集に載るのは、たいてい成功した話です。ただ、別添の実践例では、調べる対象が逆になっていました。しかも、探す先まで具体的に挙げられています。ここは知らないと辿りつけない情報源だと思います。規模まで書かれていました。
「過去に起きていないか」を調べている
別添の実践例に、こう書かれています。これから開発・提供・利用しようとしている AI システム・サービスと同じ又は類似の機能及び分野においてインシデントが過去に起きていないか、あるいは、過去に起きていないとしてもインシデントが起きる具体的な可能性が指摘されていないかについて調査した。調べているのは失敗のほうです。しかも過去に起きていないとしても…具体的な可能性が指摘されていないかまで含まれています。同じ実践例には結果も書かれていて、これまでの分析では、個人情報の取扱い、公平性、安全性に関するものが多いことがわかっているとあります。多い3つが名指しされているので、最初に見る場所として使えます。
データベースが3つ挙げられている
探し先も具体的です。別添のコラムに、Partnership on AI は、2020 年 11 月に The AI Incident Database（AIID）をリリースした。AIID には 2,000 以上のインシデントが URL リンク付きで掲載されており、検索用のアプリも提供されているとあります。続けてPartnership on AI 以外にも、GitHub 上で AI Incident Tracker が公開されている、そしてOECD も、OECD AI Incidents Monitor（AIM）をリリースした。AIM では、インシデントとして、世界のニュースを監視しており、ニュースインテリジェンスプラットフォームである Event Registry から提供された毎日 150,000 件を超える英語記事が掲載に向け分析されていると書かれています。2,000 以上と毎日 150,000 件を超えるという規模まで示されています。
データベースにも限界があると書かれている
同じコラムに、注意も書かれています。このようなデータベースを持続的に整備することは課題であるようだ。AIID のインシデント事例は学者らが提供した初期リストがほとんどであるという。そして公開情報になっていない各社のヒヤリ・ハットはそれ自体が重要な経験であって各社の知的財産となる場合もあることから、インシデント事例を積極的に集めて共有財産とすることは容易ではないという指摘もあると続きます。表に出ている事例は一部であるという前提です。ここは実務の提案になりますが、だからこそ自社で起きたヒヤリ・ハットを記録に残す価値があります。公開されている事例より、自社の未遂の記録のほうが当てはまります。
リスクが3つに分けて列挙されている
事例を自社に置き直すとき、何を見落としているかが分からないと確認のしようがありません。別添には、リスクが分類されたうえで具体名が並んでいました。そのままチェックリストとして使える形です。分類の3つ目が効きます。
分類の1つ目と2つ目
1つ目がAI 全般に共通するリスクです。挙げられているのはバイアスのある結果及び差別的な結果の出力、フィルターバブル・エコーチェンバー、偽情報、不適切な個人情報の取扱い、データ汚染攻撃、ブラックボックス化、機密データの漏洩、AI システム・サービスの悪用、エネルギー使用量及び環境の負荷、バイアスの再生成 等。2つ目が生成AI により顕在化したリスクで、ハルシネーション、誤情報を鵜呑みにすること、著作権等の権利及び資格との関係 等が並びます。マーケティングの場面で言えば、フィルターバブル・エコーチェンバーはレコメンドや配信の設計に直結します。効果が出ている事例ほど、この方向に寄っている可能性があります。
3つ目が見落とされやすい
3つ目が組織・管理に起因するリスクです。中身がこうです。製品又はサービスに AI が含まれていることの不認識、ガバナンスにおける AI に関する考慮不足、環境認識又は計画等が不足したことによる不適切、偏在的な AI の活用、仕事の棲み分け、人間と AI との間の関係性の整理不足 等。先頭の製品又はサービスに AI が含まれていることの不認識が効きます。外部のツールを導入して使っているうちに、どこにAIが入っているのかを把握していない状態です。技術の話ではなく、把握の話がリスクとして並んでいるのが要点だと思います。
損失の形まで書かれている
リスクが現実になったときの話も書かれています。これらのリスクに起因して、レピュテーションの低下及び法令違反を理由とした制裁金並びに損害賠償責任の負担等による損失が生じる可能性もある。3つ挙がっています。レピュテーションの低下、制裁金、損害賠償責任の負担です。マーケティングの施策では、1つ目がいちばん近いと思います。なお、別の実践例にはこれらの分類はリスクを大まかに理解するための補助的ツールにすぎないことに留意しつつという一文も添えられています。分類はあくまで入口だという書き方です。
説明で通るかどうかで、4つに分ける
ここが実務でいちばん使える部分です。やる・やらないの二択ではなく、用途を段階で分ける整理が実践例に載っていました。基準が「説明で理解を得られるか」になっているのが特徴です。やる側の都合ではありません。
4つの区分が示されている
別添の行動目標1-2の実践例に、こう書かれています。様々な AI システム・サービスを、いかなる説明をしても社会的に理解が得られる水準に達していない可能性が高い用途、積極的かつ十分に説明することで社会的に理解が得られる可能性が高い用途、必要に応じて説明することで社会的に理解が得られる可能性が高い用途、業務外利用者にリスクを与える可能性が低い用途等、リスクの大きさにしたがって区分する等して、リスクベースで社会的受容を整理している。4つ並んでいます。いかなる説明をしても届かない、積極的かつ十分に説明すれば届く、必要に応じて説明すれば届く、そもそもリスクが低い。基準が説明の量になっているのが特徴です。
真ん中の2つが、実務の勝負どころ
この区分が効くのは、真ん中の2つだと思います。ここは実務の提案になります。積極的かつ十分に説明することで理解が得られる用途は、やってよいけれど説明を用意する工数が先に必要な施策です。必要に応じて説明すれば足りる用途は、聞かれたときに答えられればよい施策になります。この2つを分けずに同じ扱いにすると、前者で説明が足りずに炎上するか、後者で過剰に手間をかけるかのどちらかになります。同じ「やる」でも、準備の量が違うということです。
やらない判断も、1つ目として置かれている
1つ目のいかなる説明をしても社会的に理解が得られる水準に達していない可能性が高い用途も重要です。説明でどうにもならない用途があると、最初に置かれています。ここは実務の提案ですが、事例を検討する会議では「どう説明するか」の話になりがちです。この区分があると、説明の話に入る前に、そもそも説明で解ける問題かを1回確かめることになります。なお、区分の並びはリスクの大きさにしたがってとされており、これは例示された企業の整理の仕方です。区分の数や基準は自社で決める部分になります。
相手の範囲は、想定より大きくなる
説明で通るかを考えるには、誰に説明するのかが決まっている必要があります。別添には、その範囲の決め方と、決めたあとの注意点が書かれていました。実務で効くのは、注意点のほうだと思います。先回りして書かれていました。
「範囲が大きくなる可能性が高い」と明記されている
別添の行動目標1-2にこうあります。ステークホルダーの特定は、提供する AI がライフサイクル全体を通じて個人、組織、地域社会、社会、地球環境に及ぼす便益、リスクを検討したうえで実施する。なお、想定したステークホルダーよりも範囲が大きくなる可能性が高い点に留意することが期待される。最初に挙げた範囲では足りない、と先回りして書かれています。可能性が高いという書き方です。マーケティングの施策で言えば、想定するのは顧客と見込み客だと思います。ただ、実際に反応するのはそれ以外の人であることが多いはずです。
挙げられている相手が広い
具体的な例も示されています。各主体に所属する者、業務外利用者、企業（business）、政府機関、研究機関、科学者/研究者、市民団体、子ども、その他の社会的弱者、集団 等。各主体に所属する者、つまり自社の社員が最初に挙がっているのが目を引きます。社外向けの施策でも、最初に反応するのは社内の人という順序です。ここは実務の感覚ですが、社内から疑問が出た施策は、社外でも同じ疑問が出ます。社内の反応を、先に出るテスト結果として扱うと無駄がありません。
見に行く先も列挙されている
調べ方も整理されています。公的文書、学術調査 等として政府及びシンクタンクが公表しているアンケート、研究論文、AI システム・サービスに対する市民団体からの意見、AI 倫理及び品質に関するセミナー並びにカンファレンス。最新のニュースとしてインシデント事例の調査、SNS・ブログ・掲示板・報道等での業務外利用者を含むステークホルダーの反応。公的なものと、生の反応の2群に分かれています。実践例では、消費者庁の検討会が公表しているアンケートを最初の手がかりにした、という具体例も挙げられていました。
海外の事例は、受け取られ方が違う
持ち帰る事例が海外のものであることも多いと思います。別添には、その扱いについての記載がありました。一文だけですが、事例を読むときの前提が変わる内容でした。使うなという話ではありませんでした。順に見ます。
国・地域ごとに異なりうる
別添の実践例に、こう書かれています。当社では、AI システム・サービスに対する社会的受容が国・地域毎に異なりうることを認識しつつも、後述する「コラム 1：インシデントの共有」で挙げられているインシデントデータベースも参考にした。異なりうることを認識しつつもという前置きです。データベースを使うな、ではなく、違いを踏まえたうえで使う、という書き方になっています。同じ施策でも、受け取られ方は国によって変わる。効果の数字は持ち帰れても、受容の前提は持ち帰れないという読み方になります。
海外のアンケートも見ている
一方で、海外の情報を見ないという話でもありません。別の実践例には当社は、国際的な展開も考えていることから、海外の業務外利用者のアンケート調査も参考にしたとあります。自社が海外に展開するなら、そちらの受容も調べる。見る範囲は、事業の範囲で決まるという整理です。さらに別の実践例では海外のウェビナーにアクセスすれば、AI 倫理及び品質の国際的な動向を把握することも可能であるとも書かれています。ここは実務の提案ですが、海外の事例を持ち帰るなら、その国での反応も一緒に持ち帰るのが最低限だと思います。
フレームワークは補助にすぎない
海外の整理の枠組みを借りる場合についても記載があります。実践例ではOECD における分類フレームワークを参照しつつ、独自のフレームワークを作成し使用しているとされています。そのうえでこれらの分類はリスクを大まかに理解するための補助的ツールにすぎないことに留意しつつ、現在、自社のフレームワークへの反映を検討していると続きます。参照しつつ、独自のものを作るという順番です。枠組みごと持ってくるのではなく、自社の言葉に置き直してから使う形になります。これは事例の扱い方と同じ構造だと思います。
上に出すときは、幹だけにする
最後が、持ち帰った事例を社内で通す段階です。別添には、経営層に上げるときの整理の仕方が書かれていました。ここも一文ですが、資料の作り方そのものが変わる指摘でした。なぜそうするのか、目的まで書かれています。
「枝葉をそぎ落として」と書かれている
別添の実践例に、こうあります。ここで得られた社会的な受容に関する情報は、AI ガバナンスの全体的な設計の際に用いられることになるため、経営層が意思決定できるように、枝葉をそぎ落として、幹となる情報を抽出することが求められる。目的が経営層が意思決定できるようにと書かれているのが要点です。網羅するためではありません。ここは実務の提案になりますが、事例を持ち帰った資料は、調べた量を示したくなって厚くなります。調べた量ではなく、決めるための材料に絞る、という整理です。
報告の仕組みも例が挙がっている
上げ方についても、別の行動目標に例が並んでいます。取締役会に対して責任を負う AI ガバナンスに関する社内組織（AI 倫理委員会、AI 倫理審査委員会等）を設置、AI ガバナンスに関する取組状況を、取締役会において報告、自社/組織にとっての AI 活用の便益/リスクを整理した資料の文書化、回覧、社内で活用しているガバナンスフレームワークへの反映 等。4つ挙げられています。3つ目の文書化、回覧がいちばん軽い形です。委員会を作る話から入ると重くなりますが、資料を文書にして回すところから始める形も、同じ並びに置かれています。
待つのではなく、取りに行く例もある
もう1つ、方針を変えた実践例が載っています。ステークホルダーの意見を間接的・受動的に把握するのではなく、直接的・積極的に把握するという方針に切り替えた。そして有識者を招いた会議体を定期的に開催している、とあります。理由も書かれていて、会議体で得られる情報は当社向けに深掘りされたものであり、かつ、広く知られていない情報であることが多いとされています。広く知られていない情報という部分が要点だと思います。公開されている事例は、競合も同じものを見ています。ここは実務の提案ですが、差がつくのは自社向けに深掘りされた情報のほうになります。
まとめ
他社のAI活用事例を自社に持ち込むとき、ガイドラインが書いているのは写すことではありませんでした。別添の行動目標1-1にはAI の開発・提供・利用の目的を明確化したうえで、AI から得られる便益だけではなく意図しないリスクがあることについて、各主体の事業に照らして具体的に理解しとあり、実践のポイントにも自社の事業に結びつく形で、「便益」及び意図せざるものを含めた「リスク」を具体的に理解と書かれています。順番は、目的を明確に定義してから、便益とリスクを見る形です。
調べるのは成功例だけではありません。実践例では同じ又は類似の機能及び分野においてインシデントが過去に起きていないか、あるいは、過去に起きていないとしてもインシデントが起きる具体的な可能性が指摘されていないかについて調査したとされ、多いものとして個人情報の取扱い、公平性、安全性が挙げられています。探し先としてThe AI Incident Database（AIID）に2,000 以上のインシデントが URL リンク付きで掲載されていること、OECD AI Incidents Monitor（AIM）が毎日 150,000 件を超える英語記事を分析していることも書かれています。リスクはAI 全般に共通するリスク、生成AI により顕在化したリスク、組織・管理に起因するリスクの3つに分けて列挙されています。
そして用途の分け方です。実践例ではいかなる説明をしても社会的に理解が得られる水準に達していない可能性が高い用途、積極的かつ十分に説明することで社会的に理解が得られる可能性が高い用途、必要に応じて説明することで社会的に理解が得られる可能性が高い用途、業務外利用者にリスクを与える可能性が低い用途の4つに区分されていました。相手の範囲については想定したステークホルダーよりも範囲が大きくなる可能性が高い点に留意することが期待されるとされ、海外の事例については社会的受容が国・地域毎に異なりうることが前置きされています。上げるときは枝葉をそぎ落として、幹となる情報を抽出する。目的を決め、失敗を調べ、説明で分け、幹だけ上げる。これが手順になります。
よくある質問（FAQ）
他社の事例をそのまま真似してはいけませんか
ガイドラインの別添には、自社の事業に結びつく形で便益とリスクを具体的に理解する、と書かれています。また、目的を明確に定義することが実践のポイントの1つ目に置かれています。手順を写すのではなく、自社の目的に照らして置き直す順番が示されています。
失敗事例はどこで調べられますか
別添のコラムには、The AI Incident Database（AIID）に2,000以上のインシデントがURLリンク付きで掲載されていること、GitHub上で AI Incident Tracker が公開されていること、OECD AI Incidents Monitor（AIM）が世界のニュースを監視していることが挙げられています。
どんなリスクを見ればよいですか
別添では、AI全般に共通するリスク、生成AIにより顕在化したリスク、組織・管理に起因するリスクの3つに分けて具体名が列挙されています。なお、これらの分類はリスクを大まかに理解するための補助的ツールにすぎない、という留意も同じ資料に書かれています。
やるかやらないかの判断が難しいです
別添の実践例には、用途を「いかなる説明をしても理解が得られる水準に達していない可能性が高い」「積極的かつ十分に説明すれば理解が得られる可能性が高い」「必要に応じて説明すれば理解が得られる可能性が高い」「リスクを与える可能性が低い」の4つに区分した例が載っています。これは例示された企業の整理です。
海外の事例は参考になりますか
別添の実践例には、社会的受容が国・地域毎に異なりうることを認識しつつもインシデントデータベースを参考にした、と書かれています。また、国際的な展開も考えていることから海外のアンケート調査も参考にした、という記載もあります。
経営層に上げる資料はどう作りますか
別添の実践例には、経営層が意思決定できるように、枝葉をそぎ落として、幹となる情報を抽出することが求められる、と書かれています。報告の仕組みの例としては、委員会の設置、取締役会での報告、資料の文書化と回覧、既存のガバナンスフレームワークへの反映が挙げられています。
原典で記載を確認する
ガイドラインは更新されます。運用を決める前に、「AI事業者ガイドライン」掲載ページ（総務省）で最新版をご確認ください。