AI RMFの4機能を工場の業務に置き換える
NIST（米国国立標準技術研究所）は2023年1月26日に「AI Risk Management Framework（AI RMF）1.0」を公開しました。法的な拘束力のない任意の枠組みで、AIのリスク管理をGovern（統治）、Map（把握）、Measure（測定）、Manage（対処）の4つの機能で整理しています。2024年7月には、生成AI特有のリスクを扱う補足文書「Generative AI Profile」（NIST AI 600-1）が公開されました。
4つの機能は抽象的に書かれているので、そのままでは工場で使いにくいです。製造業の業務に置き換えると、次のようになります。
| 機能 | AI RMFの趣旨 | 工場での成果物 |
|---|---|---|
| Govern | リスク管理の文化・方針・責任を組織に根付かせる | AI利用方針、AI台帳、承認ルール、責任者の任命 |
| Map | AIが使われる文脈を把握し、リスクを特定する | 用途ごとのリスク評価シート（影響の大きさと発生しやすさ） |
| Measure | リスクを定量・定性的に評価し、追跡する | 評価指標と合格ライン、監視ダッシュボード、定期レビュー記録 |
| Manage | 優先度に従ってリスクに対処し、対応を記録する | 是正の手順、停止基準、インシデントの記録と再発防止 |
例1：外観検査AIに当てはめる
外観検査AIは、工場で最も多いAIの用途です。4機能に沿って整理すると、品質保証の既存の仕組みとほとんど重なることがわかります。
- Map：見逃しによる流出が最大のリスク。影響の大きさは製品の重要度（保安部品か否か）で決まる。学習データの品番・期間・撮像条件を記録する
- Measure：本番ラインの画像で見逃し率と過検出率を測り、合格ラインを品質保証部門と決める。運用中は日次の過検出率、抜き取りでの見逃し、判定スコアの分布の変化を監視する
- Manage：監視指標が基準を超えたら、人の全数検査に戻し、原因（照明・材料・品番追加）を調べて再学習する。対応を記録する
- Govern：判定の閾値とモデルの版を変更する権限を決め、変更管理の手続きに載せる
監視に使う数字の多くは、MESと検査装置のデータからすでに取れます。日次の過検出件数、抜き取り検査の結果、品番ごとの判定件数をMESのロット実績と結び付けて集計すれば、新しい仕組みを作らずにMeasureの大部分を回せます。AI RMFの成果物を一から作るより、既存の品質データの集計にAIの指標を加えるほうが、工場では長続きします。
Measureで使うドリフト監視の具体的な方法はAIモデルのドリフト監視で扱っています。
例2：生成AI（社内文書RAG）に当てはめる
Generative AI Profileは、生成AI特有のリスクとして12項目を挙げています。作話（Confabulation、事実と異なる内容をもっともらしく出力すること）、情報セキュリティ、知的財産、バリューチェーンとコンポーネントの統合などです。製造業の社内文書RAGでは、次のように置き換えられます。
| Generative AI Profileのリスク | 製造業での具体例 | Measure・Manageの例 |
|---|---|---|
| 作話 | 規格値やトルク値を誤って回答する | 数値を含む質問のテストセットで誤回答率を測る。数値は原文の表示を必須にする |
| 情報セキュリティ | プロンプトインジェクション、権限外の文書の参照 | 文書の権限を検索時に適用。入力・出力のログを監視 |
| 知的財産 | 他社の規格書や顧客の図面を取り込んで回答する | 取り込む文書の権利を確認し、台帳に記録 |
| バリューチェーン | 利用しているLLMの提供元の仕様変更 | モデルの版を記録し、変更時に再評価 |
作話の評価方法は生成AIのハルシネーションを業務で評価するで、ガードレールの設計は製造現場の生成AIガードレールで扱っています。
最初の3か月で作るもの
| 期間 | 機能 | 作るもの |
|---|---|---|
| 1か月目 | Govern | AI台帳（用途・担当・データ・影響の大きさ）、責任者の任命 |
| 1か月目 | Map | 影響の大きいAIの上位3〜5件についてリスク評価シート |
| 2か月目 | Measure | その3〜5件の評価指標と合格ライン、監視の方法 |
| 3か月目 | Manage | 停止・是正の基準と手順、インシデントの記録様式 |
| 3か月目 | Govern | 新しいAIを導入するときの承認フロー |
よくある質問
日本企業がNISTの枠組みを使う意味はありますか
法的な義務はありませんが、米国の顧客や米国拠点との取引では共通言語として通じやすく、内容も具体的です。日本のAI事業者ガイドラインとも考え方は近いため、社内の仕組みを作るときの参考書として使えます。
Generative AI Profileは生成AIを使うだけの企業にも関係しますか
関係します。生成AIを開発する企業だけでなく、利用する組織が考えるべきリスクも整理されています。社内で生成AIを使う場合のリスク評価の項目として使えます。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
