NIST AIリスクマネジメントフレームワーク（AI RMF）は、米国連邦機関である国立標準技術研究所（NIST）が発行した自主的なガイダンス文書です。2023年1月に公開され、組織が人工知能システムに関連するリスクを特定、評価、管理するための、構造化されたプロセスベースのアプローチを提供します。このフレームワークは、セクターや組織規模を問わず適用可能なように設計されており、規制上の義務を課すことなく、AIリスクガバナンスのための共通言語と実践のセットを提供します。これは既存の法的・規制上の義務を補完するものであり、置き換えるものではなく、他のリスクマネジメント標準と併用することを意図しています。
AI RMFは、2020年のAIに関する大統領令を受けてNISTが開始したマルチステークホルダープロセスを通じて開発されました。これは、サイバーセキュリティやエンタープライズリスクなどの既存のリスクマネジメント実践を基盤とし、AIの独自の特性（社会技術的性質、データ依存性、意図しない害の可能性など）に適応させたものです。このフレームワークは、AIリスクが純粋に技術的なものではなく、社会的、倫理的、組織的な側面も含むことを強調し、一度きりのコンプライアンス活動ではなく、積極的で継続的なリスクマネジメントアプローチを推奨しています。
中核機能
AI RMFは、Govern（統治）、Map（マッピング）、Measure（測定）、Manage（管理）の4つの中核機能を中心に構成されています。各機能は、組織がAIリスクを効果的に管理するために実施すべき活動の高レベルのカテゴリを表しています。これらの機能は厳密な線形順序で実行することを意図しておらず、むしろ反復的かつ相互に関連しており、継続的改善を可能にするフィードバックループを備えています。
Govern機能は、AIリスクマネジメントに必要な組織構造、ポリシー、プロセスを確立することに焦点を当てています。これには、リスクマネジメントの役割と責任の定義、AIリスクをより広範なエンタープライズリスクマネジメントに統合すること、AIシステムが組織の価値観や法的要件に適合することを確保することが含まれます。この機能はまた、AIライフサイクル全体を通じた透明性、説明責任、ステークホルダーエンゲージメントの必要性にも対応しています。
Map機能は、AIシステムが動作するコンテキスト（意図された目的、使用するデータ、個人やコミュニティへの潜在的な影響など）を理解することを含みます。マッピング活動には、システムの能力と限界の特定、社会技術的コンテキストの分析、仮定と潜在的な障害モードの文書化が含まれます。この機能は、システムが何をするように設計されているか、どこで問題が発生する可能性があるかを明確にすることで、リスク評価のベースラインを確立するのに役立ちます。
Measure機能は、さまざまな方法を使用してAIリスクを評価および定量化することに焦点を当てています。これには、メトリクスと評価手順の開発、さまざまな条件下でのシステムテスト、結果の分析による潜在的な害の可能性と重大性の判断が含まれます。測定には、機械学習ベンチマークでのモデルパフォーマンス評価などの技術的テストと、社会的・倫理的要素を考慮した定性的評価の両方が含まれます。このフレームワークは、定量化が難しいリスクがあることを認識し、定量的アプローチと定性的アプローチの両方の使用を推奨しています。
Manage機能は、特定されたリスクへの対応方法に関する意思決定と、その決定の実施を含みます。これには、リスクの優先順位付け、緩和戦略の選択、時間の経過に伴う戦略の有効性の監視が含まれます。管理活動には、システムの再設計、保護手段の追加、人間による監視の提供、リスクが許容できない場合のシステムの廃止が含まれる場合があります。このフレームワークは、リスクマネジメントが継続的なプロセスであり、システムの進化や新しい情報の入手に応じて定期的なレビューと適応が必要であることを強調しています。
主要原則と特性
AI RMFは、その適用を導くいくつかの主要原則に基づいています。最も重要なものの1つは、AIリスクマネジメントは社会技術的な取り組みであるべきであり、技術システムとそれが使用される社会的コンテキストとの相互作用を考慮しなければならないという原則です。この原則は、AIの害がしばしばアルゴリズムと人間の行動、制度的実践、社会規範との相互作用から生じることを認識しており、技術的な修正だけでは不十分であるとしています。
もう1つの原則は、リスクマネジメントは自主的かつ柔軟であるべきであり、組織がフレームワークを特定の状況に合わせて調整できるようにすることです。このフレームワークは特定のツールや技術を規定するものではなく、さまざまなセクター、ユースケース、成熟度レベルに適応できる一連の実践を提供します。また、組織が最低限のコンプライアンスを超えて、リスクマネジメント能力の継続的改善に努めることを奨励しています。
このフレームワークはまた、透明性とコミュニケーションの重要性を強調しています。組織はリスクマネジメント活動を文書化し、ユーザー、規制当局、影響を受けるコミュニティなどのステークホルダーとコミュニケーションを取ることが推奨されています。この透明性は信頼構築に役立ち、外部からの監視を可能にし、より良いリスク特定と緩和につながる可能性があります。
他の標準および規制との関係
AI RMFは、米国内外の既存の標準および規制を補完するように設計されています。これは、AIシステムを異なるリスク層に分類し、対応する義務を課すEU AI法のリスクベースアプローチの一般原則と整合しています。ただし、AI RMFは自主的であるのに対し、EU AI法は高リスクAIシステムに特定の要件を課す拘束力のある規制です。複数の管轄区域で事業を展開する組織は、AI RMFをリスクマネジメント実践のベースラインとして使用し、適用可能な場合はより厳格な法的要件に適合するように適応させることができます。
このフレームワークはまた、NIST顔認識ベンダーテストなどの初期のNISTの取り組みに基づいています。これは顔認識アルゴリズムの精度とバイアスを評価するものです。そのプログラムが特定の技術的パフォーマンスに焦点を当てているのに対し、AI RMFはより広い視点を取り、AIシステムの設計から展開、廃止までのライフサイクル全体に対応しています。
開発と採用
NISTは、AIリスクを管理するためのフレームワークを作成するよう機関に指示したAIに関する大統領令の発行を受けて、2020年にAI RMFの開発プロセスを開始しました。このプロセスには、一連のワークショップ、パブリックコメント期間、産業界、学界、市民社会の専門家との協議が含まれていました。フレームワークの最初のバージョンは2023年1月に公開され、より詳細なガイダンスと例を提供する付随するAI RMFプレイブックも公開されました。
公開以来、AI RMFはテクノロジー企業、医療提供者、金融機関、政府機関など、さまざまなセクターの組織によって広く採用されています。多くの組織がこれを自社のAIガバナンスプログラムを開発するための出発点として使用し、一部は既存のリスクマネジメントフレームワークに統合しています。このフレームワークはまた、AIガバナンスに関する国際的な議論に影響を与え、同様のガイダンスを開発している他の国々の参考資料として機能しています。
批判と限界
広く採用されているにもかかわらず、AI RMFは批判に直面しています。一部の批評家は、その自主的な性質が、採用、融資、刑事司法などの影響の大きいアプリケーションにおけるAIの潜在的な害に対処するには不十分であると主張しています。彼らは、必須要件がなければ、特に競合するビジネス上の圧力がある場合、組織はリスクマネジメントに十分な投資をしない可能性があると指摘しています。
また、フレームワークの一般性が実際の適用を困難にする可能性があると指摘する声もあります。これは、許容可能なリスクの具体的なメトリクスやしきい値を提供していないためです。組織はフレームワークの原則を解釈し、具体的な行動に変換するのに苦労する可能性があります。さらに、このフレームワークは、AI開発者と影響を受けるコミュニティの間の力の不均衡に十分に対処しておらず、独立した監視ではなく自己評価に過度に依存していると批判されています。
今後の方向性
NISTはAI RMFを進化させ続けており、フィードバックとAI技術の新たな発展に基づいて更新する計画があります。同機関はまた、生成AIシステム（大規模言語モデルなど）に固有のリスクに対処するAI RMF生成AIプロファイルなどの関連リソースも開発しています。このプロファイルは、誤情報、著作権侵害、モデルの幻覚などのリスクを管理するための追加ガイダンスを提供します。
AI技術が進歩し続けるにつれて、AI RMFは組織がAIガバナンスに取り組む方法を形成する上でますます重要な役割を果たす可能性があります。社会技術的リスクマネジメントと継続的改善への重点は、新しい課題に適応できる柔軟な基盤を提供し、その自主的な性質は革新と実験を可能にします。ただし、フレームワークの有効性は、組織がその原則に真摯にコミットし、運用に統合する程度に依存します。
結論
NIST AIリスクマネジメントフレームワークは、急速に進化する分野におけるAIリスク管理のための実践的なガイダンスを提供する重要な取り組みを表しています。社会技術的アプローチ、継続的改善、ステークホルダーエンゲージメントを強調することにより、責任あるAIシステムを開発しようとする組織にとって貴重なリソースを提供します。限界がないわけではありませんが、AIが社会により普及するにつれて、米国および国際的なAIガバナンスへの影響は成長する可能性が高いです。