AI時代に法務担当者が対応すべきリスク管理、ガバナンスとは 重要事項をGartnerが解説：AI規制を前に企業法務が取り組むべき4つの重要領域

「ChatGPT」や「Bard」などの大規模言語モデルに関する規制やガバナンスが問題になる中、Gartnerは、法務顧問や法務担当者が取り組むべき4つの重要な分野を特定し発表した。

[＠IT]

　「ChatGPT」や「Bard」などの大規模言語モデル（LLM）に関する規制やガバナンスが問題になる中、Gartnerは2023年6月29日（米国時間）、法務顧問や法務担当者が取り組むべき4つの重要な分野を特定し発表した。

　Gartnerのリサーチ担当シニアプリンシパルを務めるローラ・コーン氏は「多くの地域で法律が施行されるのは2025年以降になる可能性があるが、企業の法務部門の責任者は法規制が最終的な形になる前に社内の法規制に着手する必要がある」と述べる。Gartnerが挙げる企業の法務部がAI（人工知能）の監視を確立するためのアクションは次の4点だ。

1．AIの使用に透明性を組み込む

　コーン氏は次のように指摘する。「AIの使用に関する透明性は、世界中で提案されている法案の重要な理念として浮上しつつある。組織は対話している相手がAIであることをどのように明示するかを考える必要がある」

　例えば、マーケティングコンテンツや採用プロセスでAIを使用する場合、法務担当者は自社のWebサイトのプライバシー通知や利用規約を更新して、AIの使用を反映させることができる。さらに、組織のAI使用に関する独立したオンライントラストセンターを開設する、データ収集時に組織がどのようにAIを具体的に使用しているかを説明するなどの方法もある。ベンダーがAIの使用を計画している場合は通知を義務付け、サプライヤー行動規範を法務担当者が更新することも検討すべきだという。

2．リスク管理の継続性を確保する

　「法務顧問および法務担当者は、ハイリスクなAIツールのライフサイクル全体にわたるリスク管理制御を実施するために、組織横断的な取り組みに参加する必要がある。これには、意思決定の文書化、適切な注意義務を示すこと、現在および将来の規制リスクやその他の責任を削減するためのアルゴリズムの影響評価（AIA）の導入が含まれる」（コーン氏）

　リスクの全体像を把握するために、法律に加えて法務顧問は情報セキュリティ部門やデータ管理部門、データサイエンス、プライバシー、コンプライアンスおよび関連するビジネス部門と協力することが重要だ。一般的に法務顧問は業務をコントロールする権限を有していないため、他部署との連携が求められる。

3．人間の監視と説明責任を含むガバナンスを構築する

　「LLMツールを使用する際の大きなリスクの1つは、表面的にはもっともらしく聞こえながら間違った結果を招く可能性があることだ。だからこそ、AIツールのアウトプットを人間が監視し、内部チェックする必要がある」（コーン氏）

　人間によるコントロールを設計し、実施するのを支援するために、企業は技術部門がAIの担当者となることを希望することが多いだろう。どの部門がAIイニシアチブを主導するかによるが、担当者は基本的には機能に関する深い知識を持つメンバーや、セキュリティおよびプライバシー関連部署のスタッフ、またはエンタープライズサーチと統合している場合は、デジタルワークプレースの責任者などが適任といえる。

　経営陣はプロジェクトチームが倫理的問題を管理するのを支援するために、法務、オペレーション、IT、マーケティング、外部の専門家からなるデジタル倫理諮問委員会を設置し、取締役会が調査結果を把握できるようにすることが望ましい。

4．データプライバシーリスクを防ぐ

　「AIの使用に関して規制機関や監督当局が個人のデータプライバシーを保護したいと考えていることは明らかだ。法務指導者にとって、公共の場での生体認証モニタリングなど、新たに禁止された行為を常に把握し続けることが鍵となるだろう」（コーン氏）

　法務とコンプライアンスのリーダーは、プライバシー・バイ・デザインの原則をAIへの取り組みに適用し、プライバシーリスクを管理する必要がある。例えば、プロジェクトの早い段階でプライバシーへの影響やプライバシーリスクを評価するために、あらかじめプライバシーチームのメンバーを配置するなどの措置が考えられる。

　公開済みのLLMツールを使用する組織は、従業員に対して、入力情報がLLMモデルの学習データとして使用されることを周知徹底する必要がある。すなわち、従業員が提供する情報が、企業外のユーザーに対する応答の一部となる可能性があるのだ。そのため機密情報や所有権情報を含むプロンプトに使用される情報に関しては特に注意が必要だ。従って、ガイドラインの策定、スタッフへのリスクの説明、ツールの安全な導入方法に関する指示を提供することが重要だ。