AIリスク評価とは？個別用途を始める前に確認することと、対策判断の進め方
業務でAIを使う案は、用途、入力する情報、出力を使う人によって、確認したい点が変わります。便利かどうかだけで、同じように扱えるわけではありません。
この記事では、「AIリスク評価」を会社で使ってよいかを一律に決める表や、どの部署でも共通の合格基準としては扱いません。個別の用途と社内の状況を離れて、利用の可否を決めることもできません。
この記事では、AIリスク評価を、個別用途を始める前にリスクを洗い出し、対策や確認の必要性を判断する工程として整理します。NISTの枠組みの紹介と、本記事が提案する整理例は分けて扱います。
NISTの枠組みと、本記事が提案する整理例を分けて読めます！
この記事の監修者
AIリスキル株式会社 代表取締役
AIツールギャラリーを運営するAIリスキル株式会社の代表取締役。企業・自治体向けの生成AI研修とAI導入支援を手がけています。
実績: 大阪・関西万博 公式プログラム「AI HEROES COLLECTION」司会進行 / 神戸市デジタル人材育成エコシステム構築事業の運営 / MBS「せやねん!」「よんチャンTV」に生成AIの専門家として出演 / Felo日本初コアアンバサダー / Genspark第1期公式アンバサダー / Skywork公式アンバサダー / AKOOL公式パートナー など
AIリスク評価とは何か
本記事ではAIリスク評価を、AIを特定の業務で使い始める前に、何が起こり得るかを整理し、対策や社内確認が必要かを考える工程として扱います。対象はAIそのものだけでなく、用途、入力、出力、その結果を受け取る人まで含みます。
NIST AI RMF 1.0は、リスクを事象の発生可能性と、その結果の大きさを組み合わせて捉えています。影響は利用文脈によって変わるため、AIの名前だけで同じリスクだと決めない考え方です。
ここでいう評価は、AIの出力を採点する技術テストだけではありません。業務での使い方を決める前に、確認が必要な論点を見える形にする作業です。
評価はいつ何のために行うのか
AIリスク評価は、個別用途を始める前に行うと、用途そのものを変える、対策を追加する、関係者へ確認する、といった選択につなげやすくなります。開始後の監視や改善を置き換える工程ではありません。
たとえば、社内資料の要約と、顧客へ出す案内文の作成では、同じ文章生成AIでも出力の使われ方が異なります。評価では、用途の違いを先に分けて考えます。
評価で得たいのは、利用開始の許可ではありません。何を確認し、誰に相談し、どの対策を検討するかを判断するための材料です。
最初に何を見ればよいのか
最初に見る観点は、用途によって変わります。本記事では、リスク名を固定したチェックリストではなく、次の問いで用途をほどく整理例を提案します。
用途と期待する結果は何か
AIに何を任せ、出力を下書き、社内判断、対外発信のどこで使うのかを言葉にします。期待する結果と、誤った場合に業務で起こり得ることを並べると、確認すべき点が具体化しやすくなります。
扱う情報と出力はどこへ行くのか
入力する情報の種類、AIから出た内容を誰が見るか、どこへ転記・共有するかを整理します。利用サービスの設定やデータの扱いはサービスごとに異なるため、一般論で補わず公式資料を確認します。
影響を受ける相手と社内の確認先は誰か
出力をもとに判断する人、案内を受ける人、影響を受ける可能性がある相手を考えます。同時に、社内の利用規程や、確認を受け持つ部署・担当者があるかを早めに確認します。
この4観点は、本記事の整理例です。すべての用途で同じ深さまで確認することや、この順番で進めることを求めるものではありません。
対策の要否はどう判断するのか
洗い出した論点は、合格か不合格かだけで扱いません。本記事では、用途を見送る・変える、対策を検討する、追加で確認する、という次の検討先に分ける方法を提案します。
用途を見送るか変えるかを検討する
期待する結果を確かめられない、影響を受ける相手への説明が難しい、必要な情報を扱えないといった論点が残る場合は、用途や出力の使い方を変える選択があります。判断を急がず、AIを使わない方法も比較対象に残します。
対策や追加確認を検討する
人が出力を確認する、入力する情報を制限する、利用できるサービスを社内で定める、といった対応が候補になることがあります。どの対応が必要かは用途と社内の条件によるため、対策を置けば安全になるとは扱いません。
人の確認を処理の途中に置く設計を深掘りしたい場合は、Human-in-the-loopの記事で、承認・修正・却下をどこに置くかを確認できます。これは評価工程そのものではなく、評価後に選べる制御の一つです。
NIST AI RMFの4機能はどう参考にするのか
NIST AI RMFは、AIリスクを扱う活動をGOVERN、MAP、MEASURE、MANAGEの4機能で整理しています。GOVERNは、他の3機能にまたがるものとして位置付けられています。
MAPでは利用文脈とリスク、MEASUREでは評価・分析・追跡、MANAGEでは優先付けと対応を扱います。これはNISTが示す枠組みの説明です。
NISTは、これらの行動をチェックリストでも、必ずしも順番どおりに実施する手順でもないと説明しています。NISTの4機能は、利用文脈に応じて考えるための参照枠として読めます。
本記事では、NISTの4機能を社内手順として採用することは提案しません。個別用途の開始前には、用途、扱う情報、影響を受ける相手、社内の確認先を話題にする整理例を提案します。
この整理例も固定テンプレートではありません。答えられない問いを関係者へ持ち帰り、対策や追加確認の必要性を判断するための起点です。
会社で使ってよいかは何を確認するのか
個別用途を会社で使ってよいかは、本記事では判定しません。利用できる情報、社内のルール、利用サービスの条件、用途による影響が分からないまま、一般論で決めることはできないためです。
確認先としては、社内のAI利用規程や情報の扱いに関するルール、用途を所管する部署、利用サービスの公式資料が考えられます。必要に応じて、情報セキュリティ、法務、個人情報、調達などの担当者へ論点を共有します。
経済産業省のAI事業者ガイドラインの公式ページは、第1.2版のほか、チェックリストとワークシートを掲載しています。これらを読んだだけで個別用途の可否が決まるとは扱わず、用途と社内の確認先に照らして使います。
似た用語とはどう違うのか
AIリスク評価は、原則、体制、制御のすべてを一語で表すものではありません。本記事では、個別用途を始める前の評価工程として、関連する用語と次のように分けます。
| 用語 | この記事で分ける役割 | 深掘り先 |
|---|---|---|
| AIリスク評価 | 個別用途の開始前に、リスクと対策・確認の必要性を整理する工程 | 本記事 |
| AIガバナンス | 責任者、意思決定、運用の仕組みを整えること | AIガバナンスの記事 |
| 責任あるAI | AIの開発・提供で何を目指すかを考える原則群 | 責任あるAIの記事 |
| Human-in-the-loop | AIの処理に人の承認・修正・却下を挟む制御 | Human-in-the-loopの記事 |
AIリスク評価で見つけた論点は、全社の役割分担が必要ならAIガバナンスへ、人の確認が必要ならHuman-in-the-loopへつながることがあります。どの工程が必要かは、用途ごとに改めて考えます。
評価の後は何を決めるのか
AIリスク評価では、個別用途を始める前に、用途、扱う情報、影響、確認先を整理します。その結果をもとに、用途を変えるか、対策を検討するか、追加で確認するかを関係者と決めます。
NIST AI RMFの4機能は、AIリスクを考える参照枠の一つです。本記事の整理例と同じものではなく、固定した順番や安全の合格基準としても扱いません。
個別用途の確認を社内で進めたい企業の方へ
評価で残った確認事項を、業務の設計やAI利用のルールにどうつなぐかを整理したい場合は、お問い合わせはこちらからご相談ください。
この記事の出典はどこか
- NIST AI RMF Playbook（National Institute of Standards and Technology、2026-09-16確認）
- AI RMF Core（National Institute of Standards and Technology、AI RMF 1.0の抜粋、2026-09-16確認）
- NIST AI RMF Playbook FAQs（National Institute of Standards and Technology、2025-03-18更新、2026-09-16確認）
- Framing Risk（National Institute of Standards and Technology、AI RMF 1.0の抜粋、2026-09-16確認）
- AI事業者ガイドライン（経済産業省、第1.2版掲載ページ、2026-04-01更新、2026-09-16確認）
この記事は役に立ちましたか？
感想は、今後の記事改善に活用します。
関連記事
SOP（標準作業手順書）とは？AI導入で手順を人とAIに渡せる形にする方法
SOP（標準作業手順書）を、AI導入で業務の手順を人とAIへ渡せる形に整える視点から解説します。業務棚卸し、AIワークフロー、承認フローとの違いと、社内で確認する点を整理します。
文書検索AIとは？社内文書を探して答えを得る仕組み｜RAG・エンタープライズサーチとの違いと導入前の確認項目
本記事では、文書検索AIを、社内文書を探して必要な情報や答えを得る利用目的を指す呼び方として扱います。RAG、エンタープライズサーチ、ナレッジベースとの役割の違いと、会社で使う前の確認項目を整理します。
業務棚卸しとは？AI導入で試す候補業務を比較できる形にする作業
業務棚卸しとは、AI導入でどの業務から試すかを決める前に、候補業務を比較できる形で書き出す作業です。記録する項目と、会社での確認の扱いを解説します。
情報漏えいとは？生成AIを業務で使う前に知っておきたい初動と確認点
情報漏えいとは、業務で守るべき情報が意図しない相手に見える、渡る、または利用できる状態になることです。生成AIの利用で確認したい場面、疑いがあるときの初動、個人データの制度上の扱いとの違いを整理します。
次のAIツール選びへ
気になるツールを並べて、料金や特徴の違いを確認できます。