AI監査チェックリスト

AI利用規程が文書化され、全社員に周知されているか

AIガバナンスの責任者（担当部門）が明確に定められているか

AI利用のリスク分類（低・中・高）が定義されているか

年次のAIガバナンスレビューが計画されているか

AI利用に関する教育・研修プログラムが存在するか

AI APIキーが部門・プロジェクト単位で発行・管理されているか

退職者・異動者のAIアクセス権限が速やかに失効されているか

シャドーAI（未申請のAIサービス）の利用を検知する仕組みがあるか

APIキーの定期的なローテーションルールがあるか

個人情報（PII）のAI入力を禁止・制限するルールがあるか

機密情報（未公開情報・営業秘密）のAI入力禁止ルールがあるか

PII検出ツールを導入し、入力前に自動スキャンしているか

AIサービスのデータ学習オプトアウト設定を確認・適用しているか

AI利用コストをプロジェクト・部門別にリアルタイムで把握しているか

月次予算の上限アラートが設定されているか

異常コストが発生した際に即時停止できる仕組みがあるか

月次のコストレポートを経営層に提出しているか

AI利用ログ（誰が・いつ・何を・どのAIに）を記録しているか

監査ログを改ざんできない形式で保管しているか

ログ保持期間が法令・社内規程を満たしているか（最低1年推奨）

監査ログを外部SIEMやアーカイブに連携しているか

AI関連インシデント（情報漏洩・異常動作）の報告ルートが定められているか

AIエージェントの操作を緊急停止する手順が整備されているか

インシデント発生時の初動対応訓練を実施しているか

利用するAIサービスのプライバシーポリシー・規約を確認しているか

データ保管地域（国内/海外）を把握し、法令上の問題がないか確認しているか

ベンダーのセキュリティ認証（SOC2・ISO27001等）を確認しているか

複数ベンダーを横断管理し、シングルポイント障害を回避しているか