AI利用ポリシー

AIを組み込んだシステムの処理の流れの中に、人間による確認・判断・修正の工程を組み込む設計。AIの出力を人間が承認してから実行する、確信度の低い判定だけを人間に回す、人間が修正した結果を学習に戻すといった形がある。誤判定による重大な影響を防ぎ、責任の所在を明確にするために用いられる。

生成AIなどのAIサービスで、利用者が入力したデータをモデルの学習や改善に利用することについて、利用者が拒否（オプトアウト）できる条件や手段を定めた方針。既定で学習に使うか、設定や申請で除外できるか、法人向けの契約では使わないかなどはサービスによって異なるため、業務で使う前に確認し、機密情報や個人情報を入力しない運用と組み合わせる。

AIシステムを企画・開発・導入する際に、公平性、透明性、プライバシー、安全性、人権などへの影響を事前に評価し、リスクを低減する対策を決める取組み。チェックリストや影響評価の様式を使って関係者が評価し、運用を始めた後も定期的に見直す。UNESCOは、人工知能の倫理に関する勧告を実践する手段として、倫理的影響評価（EIA）の手法を示している。

組織が把握・許可していない生成AIなどのAIサービスを、従業員が業務で使うこと。シャドーITのAI版で、外部の無料サービスに機密情報や個人情報を入力して漏えいさせる、出力の誤りや権利侵害に気付けないといったリスクがある。一律に禁止するより、許可するサービスと使い方をAI利用ポリシーで示し、安全な代替手段を用意することが有効とされる。

生成AIがコードを生成する際に実在しないパッケージ名を提案してしまう現象（パッケージハルシネーション）を悪用する攻撃。攻撃者は、AIが提案しがちな架空のパッケージ名でマルウェアを仕込んだパッケージを公開リポジトリに登録し、AIの提案をそのまま使った開発者にインストールさせる。タイポスクワッティングになぞらえた造語で、依存パッケージの実在と信頼性を確認することが対策となる。

機械学習モデルの用途、学習データ、評価の方法と結果、性能の限界、想定していない使い方、倫理面の配慮事項などを記載した文書。モデルを使う人が適切な使い方とリスクを判断できるようにするもので、2019年にGoogleの研究者らが提唱した。AIの透明性と説明責任を確保する手段として、モデルを公開・提供するときに添付される。