AIのリスク評価表

ガイド「AI事業者ガイドラインの読み方：AIを使う会社がやること」で説明している、リスクに応じた対策を考えるための表です。影響と起こりやすさを1〜3で選ぶと、評価点（1〜9）と区分（高・中・低）が数式で表示されます。対策の後の値も同じように評価し、残るリスクを確かめます。

使い方

① AIを使う業務を書き出します。 部署・業務・使うAI（ツール・サービス）・扱う情報を1行ずつ書きます。同じ業務でもリスクが複数あれば行を分けます。

② 扱う情報の区分を選びます。 「入力してよい／条件付き／入力しない」から選びます。区分は社内の「入力してはいけない情報の一覧」に合わせます。

③ 起こりうるリスクを書きます。 「誰に、どのような影響が出るか」がわかるように具体的に書き、リスクの種類を選びます。

④ 影響と起こりやすさを選びます。 1〜3で選ぶと、評価点と区分が表示されます。

⑤ 対策と担当を決めます。 区分が「高」「中」のものから、対策・担当・対策の状況を書きます。

⑥ 対策の後に残るリスクを確かめます。 対策の後の影響と起こりやすさを選び、残る区分を確かめます。「高」が残る場合は、使い方や範囲を見直します。

⑦ 見直し日を決めます。 最後に見直した日と次の見直し日を書きます。「集計」で、見直し日を過ぎた件数がわかります。

中身（見出し）

影響と起こりやすさは、次の目安で選びます。

• 影響 3（大）： お客様・取引先・社外に損害や迷惑が及ぶ、法令や契約に反するおそれがある、事業の判断を誤る
• 影響 2（中）： 社内の手戻りや業務の遅れが生じる、社内で見えてはいけない人に情報が見える
• 影響 1（小）： 担当者が気づいて直せる範囲で、社外への影響がない
• 起こりやすさ 3（高）： いまのやり方では、くり返し起こりうる
• 起こりやすさ 2（中）： 条件がそろうと起こりうる
• 起こりやすさ 1（低）： 仕組みや手順で防いでおり、起こることはまれ

区分は、評価点が6〜9なら「高」（使う前に対策を決める）、3〜4なら「中」（対策を決めてから使う）、1〜2なら「低」（記録して使い、定期の見直しで確かめる）と表示されます。

リスクの種類は、情報の漏えい・誤った出力・権利の侵害・偏り・差別・セキュリティ・説明・表示の不足・業務の停止・その他から選びます。観点は、総務省・経済産業省の「AI事業者ガイドライン」の共通の指針（人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性、アカウンタビリティなど）も参考にできます。

記入例

架空の会社「株式会社〇〇」の例です。

使うときの注意

• 自社の業務と規程に合わせて直してください。 影響と起こりやすさの目安、区分の境目は一例です。会社の既存のリスク管理の基準がある場合は、それに合わせてください。
• 人に関わる判断や個人情報を扱う業務は、慎重に評価してください。 採用・評価・与信など人に関わる判断にAIを使う場合や、個人情報・取引先の情報を扱う場合は、法令や契約の確認が必要になることがあります。弁護士などの専門家に確かめていただくと安心です。
• ほかのひな形と合わせて使えます。 扱う情報の区分は「入力してはいけない情報の一覧（入力してはいけない情報の一覧）」、使う業務の洗い出しは「業務の棚卸し表（業務の棚卸し表）」が使えます。
• 公的な資料の最新版を確かめてください。 「AI事業者ガイドライン」などの資料は更新されることがあります。見直しのときに最新版を確かめてください。
• このひな形は参考のための資料で、監査・評価・認証に代わるものではありません。