このガイダンスが公開された背景には、AIが人類にもたらすベネフィットの増大に比例して、マイナスの影響に対しても懸念の声が広がっていることがあります。ガイダンスでは、AIがもたらすリスクについて言及しています。例えば次のようなものです。

• 不適切または不十分なデータによるバイアス(偏り)および信頼性の低下
• AIモデルの意思決定プロセスのブラックボックス化
• 不適切なデータ利用
• データの不正入手やAIモデルの不正操作を目的とした攻撃に対する脆弱性
• AI技術の急速な適用と変化による社会的ストレス

すでにこうした懸念は一部で現実のものとなっています。例えば、フェイスブック社は同社のSNS上に掲載する広告が「バイアスのかかったアルゴリズムにより自動選別されている可能性がある」として平等法（英国）違反の非難を受けています。

こうした事態を受け、各方面でリスクコントロールに向けた自主的な動きが加速しました。2017年にはマイクロソフト社が、透明性や公平性を担保するために、AI倫理の委員会を発足させました。2018年にはグーグル社が、研究開発および製品開発の方針を精査し、意思決定に影響を与える具体的なAIに関する原則を発表しました。また、2021年にはソニーグループが自社製品の品質管理プロセスにAI倫理の基準を導入すると発表しました。

さらに、NIST（米国国立標準技術研究所）が、AIのリスクマネジメントフレームワーク（AI RMF）策定に向けて動き出しています。COSO-ERMのAI適用ガイダンスも、まさにこうした世の中の流れを受けて発表されました。

COSOは2021年7月、COSO-ERM for Cloud Computing（COSO-ERMのクラウドコンピューティングへの適用ガイド）を公表しており、COSO-ERMの AI適用ガイダンスは、それと類似した構成になっています。具体的には、COSO-ERMが示すフレームワークである5つの要素と各要素に含まれる20の原則それぞれを「AIのリスクマネジメントに適用する際にはどこがポイントになるか」といった視点で、解説しています。なお、ERMとは全社的リスクマネジメント(Enterprise Risk Management)の略称で、COSO-ERMが示すフレームワークは下図の通りです。

従って、COSO-ERMのAI適用ガイダンスの目次構成は次のようになっています。

• はじめに
• AI革命：
  ビジネスの変革とイノベーション
• COSO-ERMフレームワーク：
  全体的なビジネス戦略及びIT戦略に沿ったAIリスクへの対応
• ガバナンス及び文化
• 戦略及び目標設定
• パフォーマンス
• レビュー及び修正
• 情報、コミュニケーション及び報告
• まとめ

出典：COSO-ERMのAI適用ガイダンスの目次を基にニュートン・コンサルティングが翻訳

COSO-ERMのAI適用ガイダンスの中身について見ていきましょう。詳細は下表の通りです。

【表1：「COSO-ERMのAI適用ガイダンス」の目次と要旨】

※「各章の要旨」は筆者が作成

このガイダンスは、組織のリスクマネジメント部門やシステム部門、AI利用部門などの方に有益です。特に以下のいずれかに該当する方に、活用を推奨します。

• これからERM構築を進めるが、AIリスクも意識する必要があると感じている
• ERM構築済みだが、AIのリスクマネジメントが弱いと感じている
• AIへの依存度はまだ高くないが、今後のために勉強しておきたい
• AIの研究や導入に向けた動きが活発化しているが、組織としてリスクマネジメントの観点での動きはできていない

もちろん、上記以外の方にも参考になる情報がありますので、部分的な利用も可能です。COSO-ERMのAI適用ガイダンスは、COSOの公式ページからダウンロードすることができます。ただし、残念ながら英語版のみですので、本稿に書いたポイントを参考にした上で、気になる箇所を参照してみることをお勧めします。