AIのガバナンス、リスク、コンプライアンス：購入前に確認すべきこと

AIガバナンスポリシーを策定している組織はわずか37％ですが、現在ではほぼすべてのセキュリティベンダーがAIを提供しています。このギャップにAIコンプライアンスリスクが潜んでいます。

AIベンダーのデューデリジェンスに詳細な調査が必要な理由

AIはセキュリティ運用を変革し、調査の迅速化と検出能力の強化を実現しようとしています。しかし、AIセキュリティツールの評価は、機能リストを比較するよりもはるかに複雑です。その背後では、ベンダーごとにモデル、トレーニング手法、ガバナンスの実践方法、検証プロセスが大きく異なり、そのすべてが本番環境におけるシステムの精度、信頼性、セキュリティを左右します。セキュリティリーダーにとって、AIシステムが何をするかだけでなく、どのように構築され、ガバナンスが行われているかを理解することも同じくらい重要になっています。

重要なAIガバナンスフレームワーク

ベンダーが実際にどのAIガバナンスフレームワークに基づいて運用しているかを確認してください。世界初のAIマネジメントシステム規格であるISO/IEC 42001は、自己申告ではなく外部監査を受けるものであり、準拠が自己申告となることが多いNIST AIリスクマネジメントフレームワークなどとは、この点で異なります。DarktraceはISO/IEC 42001認証を取得しています。

AIリスクとコンプライアンス評価の5つのカテゴリ

このガイドでは、AIガバナンス、リスク、コンプライアンスに関するデューデリジェンスを5つの領域に分けて構成しています。

1. ガバナンス、安全性、データ管理 — 認証、データのリングフェンシング、データポイズニングや敵対的入力に対するレジリエンス
2. データの収集とトレーニング — 来歴、バイアスの防止、PIIの非識別化
3. モデルと手法の選択 — LLM、DSLM、生成AI、エージェント型AI、複合AI
4. パフォーマンスと精度の検証 — TEVVワークフロー、モデルおよびデータドリフト
5. 解釈可能性、調整可能性、透明性 — 説明可能な出力とSOCレベルのチューニング

AIベンダーのデューデリジェンスチェックリスト

AIサービスプロバイダーに尋ねるべき17の質問に加え、その回答を読み解くためのガイダンスや、ベンダーごとに"エージェンティックAI"の意味が異なる理由を掲載しています。

ガイドをダウンロードして、AIベンダーのデューデリジェンスチェックリストの全項目をご確認ください。