情報システム部門と法務部門からのご質問にお答えします。
AIプロジェクトでは、データ、アクセス、管理について当然の疑問が生じます。すべてのプロジェクトで、私たちは次のように対応しています。
データはどこへ送られますか。貴社が承認した場所にのみ送られ、すべてのデータの流れを文書化します。
プロジェクトごとに、すべてのデータの流れを文書化します。何を、どこへ、どのモデル提供事業者に送り、どれだけの期間保存されるのか。本番化の前に、この全体像を貴社にご承認いただきます。外部のモデルを利用する場合は、貴社のデータをモデルの学習に利用しないサービスを選定し、その旨を書面で明記します。
誰がデータにアクセスできますか。プロジェクトチームの指名されたメンバーのみです。
アクセスはプロジェクトに携わるメンバーに限定し、個別のアカウントと必要最小限の権限で運用します。可能な場合は、貴社のID管理基盤でアカウントを管理します。ご支援の終了時にアクセス権を削除します。
すべてを自社環境でホスティングできますか。はい。貴社のクラウドまたは自社インフラで運用できます。
貴社のクラウド環境、または貴社のサーバーに展開できます。外部AIサービスを利用できない場合は、貴社環境で動くオープンソースモデルを検討します。外部接続、テレメトリー、第三者サービスを確認し、合意したデータの取扱範囲を守る構成にします。
AIエージェントの動作を追跡できますか。エージェントの処理、連携先のシステム、セキュリティ要件に合わせてログと監査の仕組みを設計します。
記録する処理、詳細度、保存期間を貴社と定めます。連携先の機能に応じて、入力、判断、呼び出したシステム、結果、承認者を記録します。ログは貴社の監視ツールやセキュリティツールに連携できます。
機密保持はどのように担保されますか。秘密保持契約を必ず締結します。
機密情報のやり取りの前に、必ず秘密保持契約（NDA）を締結します。ネットワークのエンジニアを含め、プロジェクトチームの全員が同じ義務を負います。
意思決定の主導権は誰にありますか。貴社の担当者です。重要な処理には人による承認が必要です。
エージェントが単独で実行できる処理と、承認が必要な処理は、貴社が決定します。財務、法務、顧客に影響する判断は、貴社の担当者が行います。承認ルールは要件定義に含まれ、いつでも見直すことができます。
データ保護の規制にはどう対応していますか。GDPR、個人情報保護法（APPI）、PDPOを設計段階から考慮します。
適用されるデータ保護規制を考慮してシステムを設計します。欧州連合のGDPR、日本の個人情報保護法（APPI）、香港の個人資料（私隠）条例（PDPO）です。データ保護責任者や法務部門の皆さまと、委託契約、保存期間、越境移転について協議します。私たちは認証の取得を謳うものではなく、貴社のセキュリティ・コンプライアンス要件と監査に合わせて対応します。
初回のご相談に、セキュリティ担当の方もぜひご同席ください。
早い段階でご質問にお答えすることで、双方の時間を節約できます。