デジタルトランスフォーメーション（DX）の推進により、企業のあらゆる業務プロセスにおいて人工知能（AI）の利活用が進む一方で、AI特有の不確実性や新規性に起因するビジネス・技術面の新たなリスクが高まっています。
KPMGは、長年の内部監査支援の経験を活かし、AIの活用に潜むリスクの発見および、改善に向けた管理体制の構築を支援します。

AIの活用に伴う新たなリスク

AIによる予測や分類などのデータ処理の精度は完全ではないため、AIのリスク管理体制が不十分だと、ビジネスに悪影響をもたらす可能性があります。たとえば、AIの評価モデルに不備があり、特定の顧客、社員、取引先に対して不公平な判断を下していたことが判明した場合、取引や業務の中断、企業イメージの低下などを招く恐れがあります。特に、新規性の高いAIの利活用においては、ルールやノウハウが十分でないことが多いため、内部監査部門には、独立した立場でリスク管理体制の不備を発見し、改善策を提言することが期待されています。

AIに関する法規制・ガイドラインへの違反リスク

EU一般個人データ保護規則（GDPR）や中国個人情報保護法等の海外の個人データ保護法令では、AI等のアルゴリズムを用いた個人データの自動処理が規制されています。また、EUでは高リスクのAIを対象とする包括的な規制案も検討されています。これらの法規制は日本企業に対しても域外適用され、違反した場合には数十億～数千億円規模の罰金が課される恐れがあります。
一方、日本においても、法的拘束力はないものの海外諸国の法規制を参考にガイドラインの整備が進んでいます。そこでは、全社的なAIポリシーやAI品質管理体制の整備など、さまざまなAIリスクへの対応が求められています。

AIリスクの観点（例）	AIリスクシナリオ（例）	リスク顕在化時の影響（例）
透明性・公平性	AIによる顧客や社員・取引先等の評価モデルの不備により、被評価者に不公平な判断が行われる	顧客や社員・取引先の離反、係争や訴訟の発生、評判低下
安全性	自動運転車、産業用ロボット、医療診断機器等で利用されるAIの誤作動により、事故が発生する	人命の喪失や環境汚染の発生
プライバシー	行動履歴データを用いたAIによる個人属性推定（プロファイリング）の結果が外部に漏洩する	法令違反による行政指導、高額な罰金、評判低下
セキュリティ	AIを構成する学習データ、モデルや入力データへの攻撃によりAIの誤作動が発生する	経済的損害、情報漏洩、事故発生による安全性侵害
契約・利用規約	AIを利用したサービスの事故発生時における責任分担が、顧客やベンダーとの間で明確化されていない	顧客やベンダーとの係争や訴訟の発生
保険	AIを利用した業務やシステムでの事故発生時の損失額が、既存の保険契約内容で補填されない	経済的損失の発生
知財	自社のAIに関する秘密保持が不十分なことにより、開発委託先や第三者に無断で再利用される	自社の競争力低下

AIリスク管理体制に関する監査テーマ・対象

AIリスク管理体制の内部監査では、契約や社内規程、利用規約等に基づくビジネス面と、データやアルゴリズムの品質管理をはじめとした技術面の管理体制が対象となります。また、既存の全社的リスク管理（ERM）や委託先管理、個人データ管理などにおけるAIリスクの管理状況も対象となります。

AIリスク管理体制構築における課題

AIリスクはさまざまな観点からの管理が必要となりますが、内部監査部門内にAIの専門知識を有する人材は少ないため、独立した立場でリスク管理を担う人員の確保が難しく、特に部門間の牽制関係が機能しにくい傾向が見られます。AI導入による効果とリスク管理を、限られた人材でどのように両立するかが課題です。

監査テーマ・対象（例）	監査要点（例）	発見事項（例）
全社的なAI利活用状況の管理	AIを利用している業務やシステムが全社的に特定されているか（委託先による利用を含む）	AIを利用している業務やシステムがグループ内で網羅的に把握されていない
ERM体制におけるAIリスク管理	AIのさまざまなリスクを管理する部門や手順が全社的なリスクの調査を経て定義されているか	各部門がどのような種類のAIリスクの管理を担当するかが明確化されていない
全社的なAI利活用ポリシーの運用状況	全社的なAI利活用ポリシーやAI倫理ガイドラインが各部門のAI取扱い業務に反映されているか	全社的なAIポリシーと各部門におけるAIの運用実態が整合していない
個別のAI利用業務・システムでのリスク管理	AIを利用する各業務やシステムにおいて、リスク管理の手順が適切に整備されているか	AI利活用に伴うリスクとその管理責任や役割分担が規程等で定義されていない
AI品質管理体制	AIが利用するデータやモデルの品質リスクが定期的かつ客観的に管理されているか	AIの開発・利用担当者以外の第三者による定期的な品質管理が実施されていない
AIによる個人データ処理プロセス	AIによる個人データ処理へのデータ提供者の同意が十分な説明を実施したうえで取得されているか	個人データのAI利用に関する同意取得にあたってのデータ提供者への説明が十分でない
委託先でのAIリスク管理体制	法令や企業方針に基づくAIリスク管理義務が委託先の業務においても遵守されているか	委託先との契約に法令や企業方針に基づくAIリスク管理義務が反映されていない