調達セキュリティリスク管理
AIベンダー評価チェックリスト
契約前に、プライバシー、安全性、アクセシビリティ、終了時の移行方針の観点からAIベンダーを審査する、調達に使えるチェックリスト。
対象： 調達, IT／セキュリティ, 法務情報, プログラム責任者方針の責任者： 調達・IT・セキュリティ責任者最終更新： 2025-02-12
基本要件
- ベンダーはテナントごとのデータ分離に対応し、データを公開モデルの学習に使わないことを確認する必要があります。
- 契約には、稼働率、インシデント対応、通知期限に関するSLAを含めるべきです。
- 利用者向けインターフェースには、アクセシビリティ基準（WCAG 2.1 AA）への適合が必要です。
データの扱いと保存
- データはどこで保存・処理されますか。ホスティング地域を選べますか。
- プロンプト、出力、分析情報の標準の保存期間はどのくらいですか。要求に応じて削除できますか。
- 個人情報はどう検知・マスキングされ、テナントの境界外への流出を防ぎますか？
- データは通信中と保存時に暗号化されますか？私たちが管理できる鍵はどれですか？
モデルの動作と安全性
- どの基盤モデルや事業者を使っていますか。修正や更新はどう行いますか。
- 引用形式の回答を必須にし、高リスクの話題（法律、医療、移民）をブロックできますか？
- 偏り、ハルシネーション、プロンプトインジェクションに対し、どのような制御策がありますか。
- 安全策を回避する試みは、どのように検知され管理者へ報告されますか？
アクセス、監査、レポート
- どの認証機能（SAML、SCIM、MFA）に対応していますか。
- 役割（職員、監督者、ボランティア）ごとにアクセスを分け、異なる安全策を適用できますか？
- プロンプト、安全策の変更、データ書き出しに関する管理者向けログは利用できますか？
- 個人情報を露出させずに、コンプライアンス審査用の監査ログを書き出すにはどうしますか？
サポート、導入支援、研修
- どの導入支援（テンプレート設定、方針の調整、職員研修）が含まれますか。
- サポート依頼の優先順位と通常の応答時間はどうなっていますか？
- エスカレーション先として、氏名が明確なアカウント責任者やサクセスマネージャーがいますか？
終了方針と可搬性
- 利用終了時にプロンプト集、知識ベース、設定をどう書き出せますか？
- 契約終了後、データ削除を証明する手続きと日程はどうなっていますか。
- 書き出し、移行、データ廃棄証明に料金はかかりますか？
料金と調達上の適合性
- 料金は定額、従量、併用のどれですか？上限超過はどう扱いますか？
- ベンダーは助成金による試行、共同調達、短期トライアルに対応できますか？
- 最低契約期間はどのくらいですか。解約や更新通知に関する条項はありますか。
カスタマイズをご希望ですか。
組織の具体的な活動に合わせて文言や方針を調整できます。