これは何か
AI開発利用方針は、プロジェクトでAIを何のために使い、何には使わないか、AIにどの情報を渡してよいか、AIを使った結果に誰が責任を持つかを、プロジェクト全体の決まりとして定める成果物です。
120人規模のプロジェクトで、AIの使い方を一人ひとりに任せると、ある人は設計書の要約だけに使い、別の人は本番に近いデータをAIに貼り付ける、ということが起こり得ます。方針は、全員が同じ線の内側でAIを使うための土台です。方針は「考え方と線引き」を決め、細かい設定や記録は別の成果物に任せます。
- どの環境で、AIが何を操作してよいか：AI-002 AIエージェント権限表
- AIに頼んだ作業ごとの記録：AI-003 AI変更実行記録
- AIへの頼み方・確かめ方の実際：09-05 AIにコードを書かせる場合の基本
なぜ作るか
- AIを意思決定の代わりに使わない、という位置づけを全員で共有する
- AIに使ってよい作業と使わない作業の線を、個人ではなくプロジェクトとして引く
- 社外に出してはいけない情報が、AIを通じて外に出るのを防ぐ
- AIを使った成果物にも、人の責任者がいることをはっきりさせる
誰が使うか・いつ作るか
- 作る人：AIの利用に責任を持つ人が、セキュリティの担当と一緒に下書きする
- 承認する人：一般的には、プロジェクトの責任者など、プロジェクトで決めた人
- 使う人：AIを使うすべてのメンバー（ベンダーの人を含む）
- 一般的には、AIを開発に使い始める前に作り、使うAIや使い方が変わるたびに見直します
- アステリア案件のAI開発利用方針の中身・作成者・承認者は、正本に記載がありません。未確定
CASE FACTFROZEN正本に記載されたアステリア案件の事実
AIの位置づけ
- AI活用ありのプロジェクト。システムに SYS-10 AI開発エージェント、SYS-09 開発・CI/CD基盤がある
- AIは意思決定責任者ではない。人間が管理する作業実行・支援手段とする
- AIへ最終委任しないこと：投資承認、要件確定、設計承認、セキュリティ例外承認、本番移行承認、Go / No-Go、重大障害判断
- AIによる本番直接変更は禁止（正本の危機演習 CR11 の項に記載）
- P-013 木村 亮 — AIガバナンス責任者
- P-012 石井 稔 — セキュリティ責任者
AIガバナンス責任者がこの方針を作った、または承認したという記載は、正本にありません。未確定 上の7項目と本番直接変更の禁止以外に、アステリア案件でAIをどの作業に使ったか、どの情報を渡してよいとしたかも、正本に記載がありません。未確定
主な項目
- AIの位置づけ：AIは作業の手段であり、決める人ではないこと
- 使ってよい作業と使わない作業：作業の種類ごとの線引き
- AIに渡してよい情報：情報の区分ごとに、渡してよいか
- 使ってよいAI：プロジェクトとして認めたAIの仕組み。個人で契約したAIを使ってよいか
- 権限と記録：詳しくは権限表（AI-002）と実行記録（AI-003）に従うこと
- 人の責任：AIを使った成果物の責任は、使った人とそれを確かめた人にあること
- 例外と見直し：方針の外で使いたいときの申請先、方針を見直す時期
教材用サンプル成果物の読み方を学ぶための例
教材用サンプル — 作業の線引きと情報の区分
この成果物は学習用サンプルです。FROZEN正本に記載されたCASE FACTと、成果物の読み方を学ぶための教材用サンプル値を区別して表示しています。
内容はすべて教材上の架空の例で、アステリア案件の記録ではありません。ただし、「承認・確定・判断」と「本番の直接変更」の行は、上の CASE FACT を方針の形で書いたものです。
| 番号 | 作業の種類 | 使い方 | 結果に責任を持つ人 |
|---|---|---|---|
| AIUSE-EX-01 | 設計書・議事録の要約、用語の説明 | 使ってよい | 要約を使った人 |
| AIUSE-EX-02 | プログラム・テストの下書き | 条件付き（権限表と実行記録に従う） | 頼んだ人と、確かめた人 |
| AIUSE-EX-03 | 障害の記録の整理、原因の候補の列挙 | 条件付き（候補として扱う） | 調査の担当 |
| AIUSE-EX-04 | 承認・確定・判断（CASE FACT の7項目） | 使わない（判断材料の整理は可） | 決める立場の人 |
| AIUSE-EX-05 | 本番の直接変更 | 使わない | ― |
| 情報の区分 | 例（教材上の例） | 渡してよいか |
|---|---|---|
| 公開してよい情報 | 一般的な技術の説明 | 可 |
| 社内の設計情報 | 設計書、プログラム | プロジェクトが認めたAIにだけ可 |
| 業務の実データ | 顧客・社員の情報 | 不可（架空のテストデータに置き換える） |
| 接続情報 | パスワード、鍵 | 不可 |
読み方
- 作業の線引きで、自分の作業がどの行に当たるかを探す
- 渡す情報の区分を確かめる
- どの行にも当たらないときの申請先を確かめる
書き方
- 正本や上位の方針にある「AIに任せないこと」を、そのまま方針に写す
- プロジェクトの作業を種類で分け、使い方を「使ってよい・条件付き・使わない」で書く
- 条件付きの行は、条件の中身を権限表・実行記録に任せ、方針には参照だけを書く
- 情報の区分を、セキュリティの担当と一緒に決める
- 承認を受け、ベンダーの人も含めて全員に知らせる
何を書いてはいけないか
- 「適切に使うこと」のように、線の引けない書き方
- 権限の細かい設定値（権限表に書く。方針に書くと、二か所で食い違う）
- AIの判断を、承認の代わりに使ってよいと読める書き方
どこを見るか
- AIを決める人として扱っていないか
- 使わない作業に、承認・確定・判断と本番の直接変更が入っているか
- 渡してはいけない情報が、具体的な区分で書かれているか
- AIを使った結果の責任が、人に結び付いているか
- 権限と記録が、それぞれの成果物につながっているか
赤信号
- 方針はあるが、ベンダーの人に知らされていない
- 個人で契約したAIの扱いが書かれていない
- 「AIが確認済み」が、人の承認の代わりに使われている
- 使うAIが変わったのに、方針が見直されていない
よくある失敗
- 方針を作ったが、権限表・実行記録とつながらず、現場では使われない
- 使ってよい作業を書かないため、隠れて使われる
関係するUnit・成果物・危機演習
- Unit：09-05 AIにコードを書かせる場合の基本、09-06 AIにどこまで権限を渡すか、09-02 コードレビューは何を見るのか
- 成果物：AI-002 AIエージェント権限表、AI-003 AI変更実行記録、SEC-001 セキュリティ基本方針
- 危機演習：この成果物を直接の題材にする危機演習はありません
AI WORKFLOW
AIは、方針の言葉のあいまいさを探す下書きに役立ちます。
「このAI開発利用方針を読み、①使ってよいか使わないかが読み手によって分かれそうな文、②情報の区分に当てはまらない情報の例、③参照先の成果物が書かれていない箇所、を挙げてください。線引きを提案したり、方針を書き換えたりしないでください。」
REVIEW
- AIが挙げたあいまいな文を、人が読み直して確かめたか
- AIに渡した方針の下書きに、渡してはいけない情報が含まれていなかったか
- AIが、使ってよい作業を広げる方向に書き換えていないか
人間が判断すること
- どの作業にAIを使い、どの作業に使わないか
- どの情報をAIに渡してよいか
- 方針の例外を認めるか
AIの使い方の方針を決めることは、AI自身に任せません。
いつ使うか
この教材では STAGE 09｜120人で安全に開発する の文脈で扱います。 アステリア案件での正式な作成・使用時期（月）は正本に記載がないため、未確定としています。
最後の問い
この方針を読んだ開発者は、「この作業にAIを使ってよいか、どの情報を渡してよいか、結果に誰が責任を持つか」を、自分で判断できますか？