禁止事項を並べただけのルールは、現場では守られません。責任分界とツールの棚卸しから始め、規格を物差しに現在地を測り、実務で回るルールと技術的な統制まで落とし込みます。
AI利用・AI開発・ガバナンスの3領域でリスクを整理します。責任分界とツールの棚卸しを入口に、規格ベースのアセスメント、実務で回るルール、技術的統制の導入までご支援します。
AI利用ルールが形だけになっている：学習オフと機密情報の入力禁止しか書かれておらず、現場は何を入れてよいのか判断できないまま使っている。
どこまでが自社の判断か分からない：契約・アカウント・端末・ツールの管理主体が分かれていて、誰が何を決めるのかが整理されていない。
業務ツールに後から入ったAIが盲点：顧客情報を扱うツールにAI機能が追加されているが、利用規約を見る軸がなく判断を保留している。
守れないルールではなく、 判断できる基準をつくります。
入口は棚卸しから。判断の土台をつくる：責任分界表とAIツール台帳がないまま評価やルール策定に進んでも、根拠が持てません。短期・小規模で区切れる入口をメニューの先頭に置いています。個人契約のツールのような抜け穴も、ここで表に出ます。
規格を物差しに、現在地を測る：NIST AI RMF と ISO/IEC 27001・42001 を評価のベースラインに使います。感覚で優先順位を決めるのではなく、事業への影響と起きやすさで並べ替えるため、社内の合意も取りやすくなります。
ルールで終わらせず、実装まで落とす：受託開発と脆弱性診断を本業とするチームです。ラベル運用・DLP・AI利用の検知といった技術的統制は、選定からPoC・導入まで同じ窓口で対応します。対策コストと残るリスクを並べ、決裁できる材料までお出しします。
境界線の棚卸し：契約・アカウント・端末・ツールの管理主体を洗い出し、自社で決められる範囲を確定します。
AIリスクアセスメント：規格をベースラインに現状を評価し、事業への影響と起きやすさでリスクに優先度をつけます。
実務で回るAI利用ルールの策定：情報分類の基準と、ツールごとの可否を現場が自分で判断できるところまで決めます。
技術的統制の導入支援：ラベル運用・DLP・AI利用の検知を選定し、PoCから導入まで対応します。
セキュアなAI開発・試作の支援：AI・ローコードで作りきる前提の設計基準と、レビューを挟む位置を決めます。
提供者側のセキュリティ対応：認証取得・第三者診断レポートの公開・体制づくりを、費用対効果の順に整理します。
セキュリティチェックシートの回答支援：案件ごとに増えるチェックシートへの回答を型にし、都度の対応まで引き受けます。
教育・浸透：全社研修と推進担当者向けの勉強会で、同じ判断基準で動ける状態にします。
セキュリティ顧問（CISO代行）：兼務でセキュリティを見ている体制を補い、新しいツールの導入判断をその都度ご相談いただけます。
進め方 1. お問い合わせ：気になっている点をお知らせください。ご相談は無料です。
進め方 2. ヒアリング：事業の構成、使っているAIツール、既存の規程と実際の運用を伺います。
進め方 3. 境界線の棚卸し：責任分界と資産・ツールを洗い出し、判断の土台をつくります。
進め方 4. リスクアセスメント：規格をベースラインに現状を評価し、リスクに優先度をつけます。
進め方 5. 対策の実装：ルール策定・技術的統制・開発基準づくりを、優先度の高い順に進めます。
進め方 6. 定着・継続支援：研修、チェックシート回答、新しいツールの判断まで継続してご支援します。
境界線の棚卸し（STEP 0）からです。責任分界表とAIツール台帳がないと、アセスメントもルールも根拠を持てません。短期・小規模で区切れる入口としてご用意しています。
禁止事項だけのルールは現場で運用できません。情報分類の基準と、ツールごとの可否を判断できるチェックリストまで作り、迷ったときに現場が自分で判断できる状態にします。
よくあるご相談です。誰がどこまで決めるのかを責任分界表として一枚に整理するところから始めます。相手側の方針が固まっていなくても、自社で判断できる範囲を切り出して進められます。
利用規約の学習・保存・再利用の扱いを見る軸を決め、ツールごとに可否を判定できる形にします。導入済みツールの洗い出しも、棚卸しの範囲に含みます。
目的によります。取引先から実際に求められている水準を確認したうえで、認証取得・第三者診断レポートの公開・チェックシート回答の整備のうち、費用対効果の高い順に選択肢を整理してご提案します。
可能です。事業ごとに扱う情報も開発の進め方も違うため、対象を切り出して別々にお見積りします。
株式会社世良（Sera, Inc.）／ お問い合わせ: info@sera-inc.co.jp