AI特有のリスク

AIには、ふつうの情報システムにはないリスクがあります。学習したデータの偏りによる不公平な判断（バイアス）、もっともらしい誤り、判断の理由を説明しにくいこと、学習後に入力の傾向が変わって性能が落ちること、個人の情報の扱いなどです。附属書C（参考）は、AIに関わる組織の目的とリスク源の例を挙げていて、リスクを洗い出すときの手がかりになります。

AIリスクアセスメント（6.1.2）

AIリスクアセスメントは、ISMSのリスクアセスメントと同じく、リスクを見つけ、分析し、評価する活動です。方法は組織が決めます。評価の結果をもとに、6.1.3 でリスク対応を選びます。

AIシステム影響評価（6.1.4・8.4）

AIシステム影響評価は、AIシステムを開発・提供・利用することで、個人、集団、社会にどんな影響が出うるかを評価する、正式で文書化された手順です。組織にとっての損得ではなく、AIの判断を受ける人や社会の側から考えるのがポイントです。
- 個人・集団への影響 … 不公平な扱い、機会の喪失、プライバシーの侵害など
- 社会への影響 … 誤った情報の広がり、公共のサービスへの影響など

監査での見方

影響評価が、決めた手順どおりに、決めた時期（新しい機能を出す前、大きな変更のときなど）に行われ、結果が記録され、リスクアセスメントや対応に生かされているかを確かめます。

• AI特有のリスクと、附属書Cのリスク源
• AIリスクアセスメントの進め方
• AIシステム影響評価と、個人・集団・社会への影響
• 影響評価を監査で確かめる方法