設問1
表4中の【 a 】，【 b 】に入れる承認区分の組合せはどれか。解答群のうち，最も適切なものを選べ。
解答群
| a | b | |
|---|---|---|
| ア | A | A |
| イ | A | B |
| ウ | B | A |
| エ | B | B |
| オ | B | 承認しない |
| カ | 承認しない | A |
科目B対策へ戻る
生成AIの安全導入規程の運用点検と内部監査指摘への是正処置
オリジナル1問3答目安 18分
オリジナル問題です(IPA の問題ではありません)。AI が作成し、技術・規格の主張は一次情報で確認しています。本番とは出題の癖が違うことがあります。
D社は，住宅設備機器を製造・販売する従業員約900名の会社である。D社は，業務の効率化のために生成AIを利用したサービス（以下，AIサービスという）の業務利用を始めることにし，2026年4月に“AI安全導入規程”（以下，規程という）を制定した。規程の運用は情報セキュリティ推進室（以下，推進室という）が担当しており，推進室のEさんは情報処理安全確保支援士である。
〔規程の概要〕
規程の抜粋を表1に，AIサービスの評価基準と承認区分を表2に，情報区分を表3に示す。
表1 規程（抜粋）
| 条 | 内容 |
|---|---|
| 第3条（利用できるAIサービス） | 業務で利用できるのは，推進室が表2の評価基準で評価し，承認区分A又はBとして承認済み一覧に登録したAIサービスだけとする。部門は，承認済み一覧にないAIサービスを利用したい場合，推進室に評価を申請する。 |
| 第4条（入力してよい情報） | 承認区分AのAIサービスには情報区分1及び2の情報を，承認区分BのAIサービスには情報区分1の情報だけを入力できる。情報区分3の情報は，どのAIサービスにも入力してはならない。ただし，個人データについては，情報セキュリティ委員会が，利用目的の達成に必要な範囲内であること及び提供者が入力データを機械学習に利用しないことを確認して個別に承認した業務に限り，承認区分AのAIサービスに入力できる。 |
| 第5条（出力の確認） | AIサービスの出力を，社外に出す文書，顧客への回答又はプログラムのコードに用いる場合，利用者は出力の事実関係・数値・権利関係を確認し，上長の確認を受けてから用いる。 |
| 第6条（利用記録と点検） | 推進室は，各AIサービスの管理機能で取得した利用ログ及びプロキシサーバのログを月次で点検し，承認済み一覧にないAIサービスへのアクセスを検知した場合は，利用者に注意する。各部門は，四半期ごとに利用状況を自己点検し，推進室に報告する。 |
| 第7条（監査と是正） | 内部監査室は，年1回，規程の運用状況を監査する。指摘を受けた部門及び推進室は，指摘された事象への対処（以下，修正という）だけでなく，その原因を取り除いて再発を防ぐ処置（以下，是正処置という）を行い，その有効性を確認する。 |
表2 評価基準と承認区分
| 評価項目 | 内容 |
|---|---|
| (1) | 入力データを提供者が機械学習に利用しないことを，契約又はD社が管理する設定によって確保できる。 |
| (2) | 入力データ及び出力データの保存期間と削除方法が明示されている。 |
| (3) | データの保存地域と準拠法が明示されている。 |
| (4) | 社内IDによるシングルサインオンで認証でき，推進室が退職者などのアカウントを一括して停止できる。 |
| (5) | 利用者ごとの利用日時を，管理機能で記録し出力できる。 |
| 承認区分 | 条件 |
|---|---|
| A | (1)〜(5)を全て満たす。 |
| B | (1)を満たし，(2)〜(5)に満たさない項目がある。 |
| 承認しない | (1)を満たさない。 |
表3 情報区分
| 情報区分 | 例 |
|---|---|
| 1（公開情報） | 公開済みの製品カタログ，プレスリリース |
| 2（社内限り） | 社内規程，社内会議の議事録（個人データを含まないもの） |
| 3（秘密） | 顧客・従業員の個人データ，未発表製品の設計情報，秘密保持契約に基づき取引先から預かった情報 |
〔AIサービスの評価〕
Eさんは，各部門から利用の要望があったAIサービスを評価した。評価結果を表4に示す。
表4 AIサービスの評価結果
| AIサービス | 用途 | 評価メモ | 承認区分 |
|---|---|---|---|
| P | 文章作成・要約・コード生成（法人向けチャット） | (1)〜(5)を全て満たすことを確認した。 | A |
| Q | 会議メモからの議事録作成 | 契約書に，入力データを機械学習に利用しない旨の条項がある。保存期間は90日で，管理画面から削除できる。保存地域は国内，準拠法は日本法と明示されている。シングルサインオンは上位プランだけで提供されており，D社は標準プラン（利用者ごとにメールアドレスとパスワードで登録し，推進室が一括して停止する機能はない）で契約する。管理機能で利用者ごとの利用日時を出力できる。 | 【 a 】 |
| R | 文書の翻訳（個人向け無料版） | 利用規約に，入力データをサービスの改善に利用する場合があると記載されており，利用者側で変更できる設定はない。 | 承認しない |
| S | 画像生成 | 既定の設定では入力データを機械学習に利用するが，管理者が組織全体で“学習に利用しない”に設定でき，設定後は利用者が変更できない。D社は契約時にこの設定を行う。保存期間・削除方法，保存地域・準拠法は利用規約に明示されている。D社が契約するプランで社内IDによるシングルサインオンを利用でき，推進室が社内IDを停止すれば一括して利用できなくなる。管理機能で利用者ごとの利用日時を出力できる。 | 【 b 】 |
〔自己点検〕
2026年7月の自己点検で，各部門から表5の利用事例が報告された。
表5 自己点検で報告された利用事例（抜粋）
| 項番 | 部門 | 利用事例 |
|---|---|---|
| ① | 総務部 | 社内規程をPに入力して，社内向けFAQの案を作成した。担当者が規程の原文と照合して誤りを直し，社内ポータルに掲載した。 |
| ② | 営業部 | 顧客からの問合せメール（顧客管理システムに登録している顧客の氏名と電話番号を含む）をそのままPに入力して回答案を作成し，課長の確認を受けてから顧客に回答した。この業務について，情報セキュリティ委員会の承認は受けていない。 |
| ③ | 設計部 | 社内会議で担当者が取ったメモをQに入力して，議事録を作成した。会議で未発表製品は話題にならず，メモ及び議事録に個人データは含まれていなかった。 |
| ④ | 広報部 | 公開済みの製品カタログの写真と説明文をSに入力して，SNS投稿用の画像を作成した。出力の事実関係・数値・権利関係を広報担当者が確認し，広報部長の確認を受けてから投稿した。 |
| ⑤ | 情報システム部 | Pが生成した集計用プログラムのコードを，担当者がテスト環境で動作確認し，そのまま本番の社内システムに反映した。上長の確認は受けていない。 |
〔内部監査〕
2026年9月，内部監査室は規程の運用状況を監査し，表6の指摘を行った。
表6 監査指摘（抜粋）
| 項目 | 内容 |
|---|---|
| 指摘事項 | プロキシサーバのログで，海外営業課からRへのアクセスが毎月検知されている（6月31件，7月38件，8月44件）。推進室はその都度，利用者に電子メールで注意し，記録を残しているが，件数は減っていない。 |
| ヒアリング結果 | 海外営業課では，取引先から届くPDF形式の英文仕様書を，図表の配置を保ったまま翻訳する必要がある。承認済みのP，Q，Sにはこの機能がない。課員は，第3条の評価申請の手続を知らなかった。Rに入力された仕様書には，秘密保持契約に基づき取引先から預かったものも含まれていた。 |
| 修正 | 推進室と海外営業課は，Rに入力した仕様書の範囲を調査し，取引先への報告の要否を法務部と検討している。 |
| 是正処置 | 【 c 】 |
設問2
表5中の利用事例①〜⑤のうち，規程に違反しているものだけを全て挙げた組合せはどれか。解答群のうち，最も適切なものを選べ。
解答群
設問3
表6中の【 c 】に入れる是正処置はどれか。解答群のうち，最も適切なものを選べ。
解答群
正解 0 / 解答 0(全3設問)