NIST生成AIプロファイルは何を足したか——AI RMFをLLM時代に使う

生成AIは、従来のAIよりも利用場面が広い。文章、画像、音声、コード、検索、社内文書作成、顧客対応まで、同じ基盤モデルが複数の業務に入り込む。

NISTは2024年7月に「AI Risk Management Framework: Generative Artificial Intelligence Profile（NIST AI 600-1）」を公開した。AI RMFを生成AI向けに読み替えるためのプロファイルであり、生成AIに固有、または生成AIによって強まるリスクを扱う。

生成AIは「用途別リスク」だけでは足りない

NISTは、生成AIリスクをライフサイクル、スコープ、リスク源、時間軸など複数の軸で見る。ここが重要だ。生成AIの問題は「回答が間違う」だけではない。情報セキュリティ、知的財産、プライバシー、偏り、偽情報、環境負荷、サプライチェーンまでつながる。

管理対象はモデルだけではない

生成AIプロファイルは、ガバナンス、コンテンツ来歴、事前テスト、インシデント開示を重視している。つまり、モデル性能だけを評価しても足りない。どのデータを入れたのか、生成物をどう表示するのか、公開前に何を試験するのか、事故が起きたとき何を開示するのかまで含めて管理する必要がある。

企業にとっては、AI導入チェックリストの粒度を上げる資料になる。単に「社内でChatGPTを使ってよいか」ではなく、生成AIが関わる業務を棚卸しし、リスクごとに責任者、評価方法、停止条件、記録方法を決める方向に進むべきだ。

この記事の限界

• この記事はNIST AI 600-1の導入部とリスク整理をもとに、位置づけを要約したもの
• 個別の推奨アクションや付録のリスク対応表は、NIST本文で確認する必要がある