AIを業務に入れた会社が次に聞かれるのは、「そのAIは大丈夫だと、誰が確かめたのか」だ。取引先のセキュリティ調査票、経営会議、監査役の質問。どれも、作った人の説明ではなく、作った人とは別の人が確かめた結果を求めている。それがAI監査だ。
ここでいうAI監査は、AIを使う仕組みが決めたとおりに動き、リスクが管理されているかを、独立した立場から確かめることを指す。監査の作業にAIを使う話とは別物だ。拠りどころになる枠組み、監査する観点、進め方の順にまとめた。
AI監査とは何を確かめるのか
AI監査で確かめることは、大きく3つの層に分かれる。
- 会社としての仕組み。方針、責任者、リスクの評価の手順、教育が決まっていて、そのとおりに回っているか
- 個々のAIシステム。出力の誤り、偏り、情報の漏えい、攻撃への強さが、使い方に見合う水準か
- 運用の記録。誰が、何に、どう使い、問題が起きたときに何をしたかが残っているか
普通の内部監査やシステム監査と違うのは、2の層だ。AIの出力は同じ入力でも変わりうるし、モデルやデータの更新で振る舞いが変わる。仕様書と突き合わせるだけでは確かめきれない。
AI事業者ガイドラインは、総務省と経済産業省がまとめた手引きで、最新は2026年3月31日に公表された第1.2版だ。本編は、リスクの大きさに応じて対策の程度を変えるリスクベースアプローチを重視している。別添は、行動目標の1つとして、AIマネジメントシステムの設計及び運用から独立した専門性のある者に、仕組みが適切に設計され運用されているかを評価してもらうことを挙げている。これがAI監査の考え方の出発点になる。ガイドラインそのものの要点はAI事業者ガイドラインとはで書いた。
拠りどころになる枠組み
AI監査には、1つに決まった基準がない。何を見るかで、拠りどころを選ぶ。主なものを表にした。
| 枠組み | 出した組織 | 公開 | AI監査での使いどころ |
|---|---|---|---|
| AI事業者ガイドライン 第1.2版 | 総務省・経済産業省 | 2026年3月31日 | 日本での全体の手引き。独立した評価と、内部監査・外部監査の注意点 |
| ISO/IEC 42001 | ISO・IEC | 2023年12月18日 | AIマネジメントシステムの要求事項。認証の審査の基準 |
| ISO/IEC 42006 | ISO・IEC | 2025年7月 | 42001の審査と認証を行う機関への要求事項 |
| ISO/IEC 23894 | ISO・IEC | 2023年2月6日 | AIのリスクマネジメントの手引き |
| AI RMF 1.0 | 米国のNIST | 2023年1月26日 | GOVERN・MAP・MEASURE・MANAGEの4つの機能でリスク管理を整理 |
| NIST AI 600-1 | 米国のNIST | 2024年7月26日 | 生成AIに絞ったAI RMFのプロファイル |
| AIセーフティに関する評価観点ガイド 第1.20版 | AISI | 2026年7月7日 | AIシステムの安全性を評価する観点の一覧 |
| AI Auditing Framework | IIA（内部監査人協会） | 2024年9月13日の掲載 | 内部監査の部門がAIを監査するときの枠組み |
AI事業者ガイドラインの別添は、脚注で、マネジメントの標準としてISO/IEC 42001を、監査する組織の基準としてISO/IEC 42006を参照すると有用だとしている。日本で始めるなら、ガイドラインで全体を押さえ、認証を考える段階で42001に寄せる順になる。42001の中身はISO 42001とはで詳しく書いた。
NISTのAI RMFは、独立したレビューは試験の効果を高め、内部の偏りや利害の衝突を減らしうると書いている。NIST AI 600-1も、生成AIのシステムについて、見つかったリスクに見合った強さの独立した評価で監督を強める方針を推奨している。日米どちらの枠組みも、作った人とは別の人が確かめることを求めている点で同じだ。
AIシステムを監査する観点
2の層、個々のAIシステムを見るときは、AISIの評価観点ガイドが使いやすい。第1.20版は、AIセーフティの重要要素を、人間中心、安全性、公平性、プライバシー保護、セキュリティ確保、透明性の6つとし、評価の観点を11に分けている。第1.20版では、AIエージェントのシステムに特有の観点として「観測と制御」が加わった。
11の観点を、監査で確かめる問いに置き換えると次のようになる。問いの言い回しは私が付けたものだ。
| 評価の観点 | 監査で確かめる問いの例 |
|---|---|
| 有害情報の出力制御 | 業務に使えない出力を止める仕組みがあり、試した記録があるか |
| 偽誤情報の出力・誘導の防止 | 誤った答えを人が見抜ける表示や、確認の手順があるか |
| 公平性と包摂性 | 人を評価・選別する用途で、属性による偏りを確かめたか |
| ハイリスク利用・目的外利用への対処 | 決めた用途の外で使われていないかを見ているか |
| プライバシー保護 | 入力してよい個人情報の範囲が決まり、守られているか |
| セキュリティ確保 | 外部からの指示の紛れ込みや、権限の悪用を試したか |
| 説明可能性 | 出力の根拠を、利用者や監査する人がたどれるか |
| ロバスト性 | 想定外の入力で、振る舞いが大きく崩れないか |
| データ品質 | 学習や検索に使うデータの出どころと更新の手順があるか |
| 検証可能性 | 入力、出力、設定の記録が残り、後から再現できるか |
| 観測と制御 | AIエージェントの自律的な動きを見張り、止められるか |
ガイドは、第三者による評価は客観性や信頼性を確保するうえで補完的な役割を果たすとしつつ、評価は一度だけでなく繰り返し行うものとしている。監査は、一回の合格ではなく、続けて確かめる仕組みとして設計する。セキュリティの観点を深く見るときの項目はOWASP Top 10 for LLMにまとめた。
AI監査の進め方
私の見方では、初めてのAI監査は次の順で進めると手が止まりにくい。各段の中身は、上の枠組みから必要なところを選んで当てはめる。
| 順番 | やること | 出てくるもの |
|---|---|---|
| 1 | 社内で使っているAIを洗い出す。社員が個人で使っているものも含める | AIの利用の一覧 |
| 2 | 一覧の1つずつについて、何に使い、誤ったときに何が起きるかで、リスクの大きさを分ける | リスクの大きさで分けた一覧 |
| 3 | どの基準で、どの範囲を見るかを決める | 監査の基準と範囲 |
| 4 | リスクの大きいものから、仕組み、個々のシステム、運用の記録の3つの層を確かめる | 指摘事項 |
| 5 | 指摘を直す人と期限を決め、直ったことを確かめる | 是正の記録 |
| 6 | モデルや用途が変わったときと、決めた周期で、2から繰り返す | 次の監査の計画 |
2で全部を同じ重さで見ないことが大事だ。AI事業者ガイドラインのリスクベースアプローチは、リスクの大きさを、危害の大きさとその起きやすさで把握し、対策の程度をそれに合わせるという考え方だ。社内の文書の要約と、融資や採用の判断に使うAIを、同じ深さで監査する必要はない。
内部監査か、外部監査か
AI事業者ガイドラインの別添は、評価を担う者の例として、社内では内部監査部門や、監査の対象の業務に関わっていないAI開発者を加えた自己監査を、社外では外部監査主体などを挙げている。どちらにも注意点が書かれている。
内部監査部門について、別添は、AIに詳しくないことを理由に評価が表面的なものにならないよう配慮するよう書いている。例として、指摘が見えやすい運用のプロセスに偏り、設計・開発のプロセスへの指摘が少ないことを挙げている。外部監査を使う場合も、外部監査主体等に任せるのではなく、自社でもステークホルダーとの対話などを進めることが重要だとし、どの基準で、どの範囲の評価と報告が要るかを明確にしたうえで社外の担い手を選ぶよう書いている。
私の見方では、最初の1回は、内部監査部門とAIを作っている人が一緒に、上の表の1と2を進めるのがよい。そのうえで、リスクの大きいシステムや、取引先に結果を示す必要があるものから、外部の評価を足していく。外部に頼むときは、3で決めた基準と範囲を先に渡す。そうしないと、何を確かめた結果なのかが説明できない報告書が残る。
AIガバナンス全体の中でのAI監査の位置はAIガバナンスとはで説明した。AIを業務の現場に組み込み、記録の残る形で運用する職種はFDEとは？Forward Deployed Engineerの意味と仕事内容で書いている。社内で使われているAIを洗い出し、リスクと設定を点検する診断は、AI利用セキュリティ診断で紹介している。