AI導入前にデータ・承認・復旧基準を定めるべき理由

モデルを選ぶ前に任せる業務を決める必要があります

AIを導入する際、どのモデルを使うかの比較から始めがちです。回答が正確か、速度はどうか、コストはどの程度かを確認する必要があるためです。しかし、モデルを選定してもなお疑問は残ります。どのデータにアクセスさせるのか、どのような結果を人間が確認するのか、誤って実行された際に誰が対応するのか、という点です。

私は、この問いに答えることこそがガイドラインの作成だと考えています。抽象的な原則を長く書き連ねるのではなく、実務において誰が何を行うのかを定めることです。モデル性能の比較と並行して着手すべきであり、顧客や市民に影響を及ぼす実行に接続する前には基準が不可欠です。

本稿を準備するにあたり、公共部門のAI関連文書を発行順に確認しました。その中で特に目を引いたのは、単なる技術紹介にとどまらず、企画・予算・契約・構築・運用を網羅した最近のガイドでした。AIの導入を、単一の製品を購入することよりも広範な取り組みとして捉えていることが読み取れます。

公共部門のガイドが扱うサービス開発の全工程

韓国の行政安全部は2026年6月10日、『公共部門AI導入・活用ガイド』を配布しました。公共機関が政府共通基盤を利用してサービスを開発するプロセスを、企画、予算、契約、構築、運用の5段階に整理した資料です。

ここでは、技術と運用が切り離されていません。例えば、RAGを優先的に活用する戦略が盛り込まれています。RAGとは、AIが機関の文書などを事前に検索し、その内容を根拠として回答させる手法です。モデルが記憶した情報だけに依存するリスクを減らせるものの、文書自体が古かったり検索や回答に誤りがあったりすれば、依然としてエラーは発生します。

共通基盤の利用は、各機関が類似した機器やシステムを重複して構築する負担とも直結しています。どのようなサービスを作るかだけでなく、既存の基盤をいかに活用し、誰が運用するのかまで定めなければならないのです。

行政安全部は、このガイドが8月28日に施行される改正法の共通基盤優先利用条項に対応するために策定されたと説明しています。行政安全部のガイド配布資料。

ここで私が感じ取った変化は、文書の量ではありません。AIを実際の行政実務に組み込むために必要な予算や契約、運用の責任を具体的に扱い始めたという点です。ガイドが複数回公表されたという理由だけで、これまでの公共AIの成果の大部分が文書にすぎなかったと判断することはできません。

公共機関のサービス一覧で明確にすべき利用実態

8月28日より、「データ基盤行政の活性化に関する法律」は「人工知能およびデータ基盤行政の活性化に関する法律」に改称され、施行されました。公共機関によるAI活用に関して、複数の条項が追加されています。

第27条は行政安全部長官と科学技術情報通信部長官に共通基盤の構築・運用を義務づけ、公共機関の長にはAI導入時にこれを優先的に利用するよう努める義務を課しています。第30条は、機関が提供するAIサービスの類型・目的・データなどの現状を管理し、行政安全部長官に提出することを求めています。行政安全部長官はその一覧を毎年公表しなければなりません。

第31条は、行政安全部長官が公共機関に適用する倫理基準を制定・公表することを定めています。機関の長はこれに沿った施策や教育などを策定するよう努める必要があります。このように、義務の主体や内容は条項ごとに異なります。

一覧の提出だけが唯一の義務ではありません。同法には、教育や学習用データの品質確保に関する条項も存在します。新設された公共分野の影響評価条項は、附則により施行時期がさらに後となります。法律名が変更された日にすべての新設条項が一斉に適用されると考えてはなりません。法律の改正文と附則。

私は、この中でサービス一覧の管理こそが実務の出発点になり得ると考えています。どこにAIを使っているのかを把握して初めて、担当者や使用データ、リスクを確認できるからです。ただし、一覧を提出したからといって、実際の利用状況が自動的に正確に保たれるわけではありません。サービスが変更された際に更新を行う担当者と手続きが必要です。

高影響AIの該当性確認にも求められるサービスの説明

民間企業においても、サービスの用途や動作方式を事前に整理しなければならない場面があります。AI基本法に基づく高影響AIへの該当性を確認する手続きです。

事業者は事前に該当性を検討し、必要に応じて科学技術情報通信部に確認を申請できます。すべての企業がAIを試験導入するたびに政府の事前許可を得なければならないという意味ではありません。

施行令第25条では、確認申請時に製品・サービスの概要、開発および学習に使用したデータの概要、システムの活用プロセスと結果を確認できる資料、その他の参考書類を提出するよう定めています。基本的な回答期間は30日であり、複雑性などを考慮して1回に限り最大30日間延長できます。結果に異議がある場合、回答を受領した日から10日以内に再確認を申請する手続きも設けられています。

どのモデルを使用しているかという情報だけでは、これらの資料を作成することは困難です。同じモデルであっても、誰に対してどのような目的で提供し、いかなる判断を委ねるかによって検討すべき内容が異なるためです。確認手続きを進める間にも、サービス設計やデータ整備といった準備を並行して進められます。AI基本法サポートデスクの法令・施行令案内。

担当者の明示と記録保管は適用対象の確認から

AI基本法第34条は、高影響AIまたはそれを利用した製品・サービスを提供する事業者に対し、リスク管理、説明方針、利用者保護、人間による管理・監督、措置内容を確認できる文書の作成・保管などの責務を課しています。

施行令第27条は、これらに関連する主要な内容を事務所・事業所またはウェブサイト等に掲示することを求めています。リスク管理方針、説明方針、利用者保護方針とともに、当該高影響AIを管理・監督する責任者の氏名および連絡先が含まれます。営業秘密に関する例外規定も存在します。

私は担当者の氏名と連絡先という項目で少し立ち止まりました。どのモデルを採用したか以上に、運用の過程で誰が管理・監督しているのかを利用者が確認できなければならない、という要求だと受け止められたからです。ただし、AIを使用するすべての民間企業に対し、担当者の氏名を必ずウェブサイト上で公開するよう求める規定ではありません。自社や自社サービスが適用対象となる責務であるかどうかから確認する必要があります。

同条文は、措置を履行した根拠を文書として5年間保管するよう定めています。これもまた、すべての入力と出力、個人情報が含まれる対話ログの全体を無条件に5年間保存せよという意味に拡大解釈すべきではありません。どのような措置を証明するための記録が必要なのか、個人情報や営業秘密をどのように管理するのかを併せて定める必要があります。

また別途、第31条第1項は、高影響AIや生成AIを利用した製品・サービスを提供しようとする人工知能事業者に対し、AIベースで運用されている旨を利用者へ事前に告知することを義務づけています。高影響AIの管理責務と生成AIの告知義務は、適用範囲が同一ではありません。第31条の事前告知義務。

猶予期間であっても運用記録を残しておくべき理由

AI基本法および施行令は2026年1月に施行され、政府は初期の適応を促すため、最低1年以上の過料猶予期間を設けると案内しました。コンサルティングや費用支援などを通じて義務の履行を後押しする方針も含まれています。政府の2026年制度変更案内（AI基本法の項目）。

猶予期間を個別の義務の施行日と同一視してはなりません。義務の適用と制裁の運用方針は切り離して確認する必要があります。法令上で別途施行が猶予されている条項であるかどうかも個別に確かめる必要があります。

実務的には、過料の有無だけを気にするよりも、現時点でどのような判断を下し、いかなる措置を講じたのかを記録に残しておくことが有益です。数カ月後にサービスが変更されたり担当者が交代したりした際、当時の決定根拠を記憶だけに頼って復元することは困難だからです。

優れたガイドラインは実務上の疑問に答える

私がガイドラインにおいて確認するのは、許容範囲、決定権限、評価基準、インシデント対応です。例えば、以下のような項目を定めておくことができます。

問い	定めておくべき内容
どのような業務を任せるか	下書き作成までか、顧客対応や実際の実行までか
どのようなデータを使うか	アクセス可能な資料と外部送信・保管条件
誰が確認するか	承認担当者と確認なしで実行可能な範囲
何をもって成功と判断するか	成功基準、エラー・例外基準、点検方法
何を記録するか	決定と実行を確認できる記録、アクセス権限、保管期間
不具合発生時はどうするか	中断方法、手動対応、復旧手順と連絡先

この表は、私が提案する運用基準です。各項目を埋めたからといって、法的義務をすべて満たしたことにはなりません。逆に、法令が特定の手法を直接求めていなくても、業務リスクに応じて必要な統制を追加で設けることもできます。

NIST（米国立標準技術研究所）のAIリスクマネジメントフレームワーク（AI RMF）も、組織の責任体制、利用コンテキストの把握、測定とリスク管理を一体として扱っています。自発的に活用する枠組みであるため、韓国の法令と同等の内容が法制化されたかのように対応づけるのではなく、自組織の運用を点検するための参考資料として活用するのが適切です。NIST AI RMFの紹介。

小さな実験と基準の見直しを並行して進める

公共機関の調達・監査手続きを民間組織にそのまま適用する必要はありません。公開データをもとに内部向けの下書きを作成する実験と、顧客のアカウントや決済を変更するサービスとでは、準備の水準も自ずと異なります。

低リスクな業務であれば、暫定的な基準をもとに小さく始め、実際の不具合を見ながら修正していくことができます。その際にも、データの範囲や成果物の活用先、問題発生時に処理を停止する担当者程度は明確にしておくべきです。最初からあらゆるリスクを想定した分厚い文書を作ろうとすると、試行錯誤から学ぶ機会を失いかねません。

基準には、実際に行動できる内容を盛り込む必要があります。「責任を持って利用する」とだけ記述するのではなく、いかなる状況で自動実行を停止し、誰に報告するのかを具体的に定めます。数値基準を設けるのであれば、なぜその水準なのか、いかなる期間や件数を基準に算出するのかも併せて決定すべきです。

モデルを選定した経験や評価資料もまた、組織に残る資産となります。私がガイドラインを強調するのは、モデル選びが無意味だからではなく、選定したモデルを実務においていかに運用するかまで決定しなければならないからです。モデルが変われば、権限や検証方法も再点検する必要があります。

今週の導入議論では、行動、データ、承認、復旧の4項目から書き出してみてはいかがでしょうか。この4項目だけで完璧な規定になるわけではありませんが、誰が次の意思決定を下すべきかを明確にできます。これほど具体的な文書があってこそ、ガイドラインが実際の実行に資するものになると考えています。

💬 組織のAI導入において、まだ決め切れていないことはありますか？ 任せる業務でしょうか、データの範囲でしょうか、それとも承認や復旧の責任体制でしょうか。皆さんのご経験をお聞かせください。

参考資料と関連リンク

• 行政安全部、公共部門AI導入・活用ガイド配布、2026年6月10日
• 人工知能およびデータ基盤行政の活性化に関する法律 改正文・附則
• AI基本法サポートデスクの法律・施行令資料
• 人工知能基本法 第31条 事前告知義務
• NIST AIリスクマネジメントフレームワークの紹介

あわせて読みたいバックナンバー

• AIエージェントに安心して任せるために必要な条件
• Metaが障害対応を人に委ねる理由

著者 アン・グァンソプ（Oswarld） は世宗大学校 兼任教授、INLEVEL9 戦略コンサルタントです。経歴、研究、著書、最近の活動は著者紹介で更新しています。 最近の活動 · 2026年7月：HEMA-2: A Consolidation-Aware Tri-Memory Architecture with Multi-Channel Scheduling for Lifelong Conversational AI。