AIガバナンスを、実際に動いているシステムの中に。
貴社が開発し、購入しているAIを棚卸しし、リスクを分類し、ポリシーを書きます。そのうえで、ポリシーが約束する統制を実際に構築します。人によるレビュー、評価（eval）、ログ、ベンダーの確認、インシデント対応手順書です。本番用AIを開発しているエンジニアが担うため、どの統制も貴社のチームが運用できるものになります。
AIガバナンス支援が残すべきもの。
AIガバナンスとは、どのAIシステムを運用しているか、それぞれに何が許されているか、誰が確認するか、問題が起きたときに何をするかを明らかにする、意思決定、統制、記録の仕組みです。多くの企業では、ベンダーの製品、コパイロット、社内チームが作ったエージェントを通じて、すでにAIが本番で動いています。しかし、その全体の一覧を持っている人はいません。Gigabitはそこから始めます。すべてのAIシステムの棚卸し、システムごとのリスク区分、そして顧客や規制当局が参照するフレームワークに照らしたギャップの一覧です。
買い手から問われることの大半は、3つのフレームワークでカバーできます。NISTのAIリスクマネジメントフレームワーク（AI RMF 1.0、2023年1月）は任意の枠組みで、作業をGovern（統治）、Map（把握）、Measure（測定）、Manage（管理）の4つの機能に整理しています。ISO/IEC 42001:2023はAIのマネジメントシステム規格で、認定を受けた機関による認証の対象になります。EU AI法（規則(EU) 2024/1689）は法律です。AIシステムの出力がEU域内で使われる場合はEU域外の企業にも適用され、禁止事項は2025年2月2日から適用されています。2026年7月の改正後、附属書IIIの用途に関する高リスク規則は2027年12月2日から適用されます（日付は2026年10月23日に確認）。Gigabitはエンジニアリング会社です。当社は統制を構築し、文書化します。各システムが法律上どう分類されるかは貴社の弁護士が判断し、ISO 42001の審査は認証機関が行います。
ガバナンス構築に含まれるもの。
ポリシーを書くのは短い作業です。本当の仕事は、毎日動いているシステムの中で、それぞれのポリシーを現実のものにすることです。
AIシステムの棚卸し
使われているすべてのモデル、エージェント、コパイロット、ベンダー製品のAI機能について、担当者、目的、扱うデータ、影響を受ける利用者、影響を与える意思決定を整理します。
リスク分類
各システムを影響度で区分し、EU AI法の分類、NIST AI RMFの機能、貴社が採用するISO/IEC 42001の管理策に対応付けます。
ポリシーと責任者
AI利用ポリシー、許容される利用のルール、新しいシステムの承認手順、システムごとの責任者を定めます。実際に読まれる短さにまとめます。
人による監督の設計
人が承認する、サンプルを確認する、システムを停止できるようにする箇所を、そのための権限と情報とともにワークフローに組み込みます。
評価と監視
合格基準を設けた評価セットでリリースを判定し、モデルやプロンプトの変更後に品質の劣化を確認し、システムの責任者に届くアラートを設定します。
ログ、ベンダー、インシデント
入力、呼び出したツール、出力の監査証跡を残し、モデル提供事業者とそのデータ利用条件をレビューし、重大度レベルを定めたAIインシデント対応手順書を整備します。
棚卸しから、実際に動く統制まで。
棚卸し
ヒアリングと、ツール、契約、コードの調査で、使われているAIシステムを洗い出します。各チームが法人カードで購入したものも含みます。
分類
各システムにリスク区分と責任者を割り当て、NIST AI RMF、ISO/IEC 42001、そして貴社の弁護士が適用対象と判断した場合はEU AI法に照らして、ギャップの一覧を作ります。
統制の構築
人によるレビュー、評価による判定、ログ、アクセス制限、ベンダーの確認を、リスクの最も高いシステムから順にシステムに組み込みます。
運用
監視、四半期ごとのレビュー、インシデント対応手順書によって、モデル、プロンプト、ベンダーが変わっても記録を最新に保ちます。
公開している料金を、仕事の内容ごとに。
ここに記載した金額は、料金ページと同じものです。プラットフォームごとに別の料金表はありません。
「〜」の付いた価格は、料金ページに記載した基本範囲に対する価格です。それを超える場合は、着手前に固定価格でお見積りします。継続的な開発のように終わりを決めにくい仕事は、エンジニア1名あたりの月額で、契約期間の縛りはありません。
AIガバナンスが向いている場合と、向いていない場合。
- 誰が責任を持つかを書き留めるより早く、各チームがAIを公開したり購入したりしてきた。
- 顧客のセキュリティ質問票、監査人、取締役から、AIをどう統制しているかを問われている。
- 質問に答えるだけでなく、実際に操作を実行するAIエージェントを運用している。
- EU向けに販売している、または医療、金融、公共分野の規制の厳しい顧客に販売している。
- EU AI法がシステムをどう分類するかについて、法的な意見が必要。それは弁護士にご相談ください。当社は弁護士と並行して作業します。
- 当社からISO 42001の認証を受けたい。認証は認定を受けた認証機関が行います。当社はその審査に向けた準備を支援します。
- 顧客データを扱わない既製のAIツールを1つか2つ使っているだけ。短い利用ポリシーがあれば十分です。
統制を組み込んだ本番稼働中のAI。
コンサルティング会社のナレッジベースにおける業務領域ごとのアクセス制御、遠隔医療プラットフォームのHIPAA対応の統制、患者向けアシスタントの臨床上のガードレールと担当者への引き継ぎです。
AI導入事例：経営コンサルティング会社が四半期1,200時間を取り戻す
従業員140名の米国の経営コンサルティング会社が、段階的なAI導入でコンサルタントの時間を四半期あたり1,200時間取り戻した事例です。効果は年間48万ドル相当、初年度のROIは129%でした。
事例を読む遠隔医療プラットフォーム開発：FHIR連携とHIPAA準拠で90日間に患者1,200人
HIPAA（米国の医療情報保護法）に準拠し、3つのEHRと連携する遠隔医療プラットフォームを開発。90日間で患者1,200人が登録し、450万ドルのシリーズA調達を支えた事例です。
事例を読む専門クリニックの生成AI患者アシスタント：受付への定型問い合わせを62%削減
皮膚科クリニックに、医療向けのガードレールを備えたRAG型の患者アシスタントを導入した事例です。8週間で、受付への定型的な問い合わせは62%、回答までの時間は68%減りました。
事例を読むAIガバナンスについてのご質問
AIガバナンス支援の費用はいくらですか？
診断はAIトランスフォーメーション・スプリントで行います。$25,000の固定価格で期間は2週間です。棚卸し、リスク区分、ギャップの一覧、最初の統制のパイロットを含みます。その後のガバナンス構築は、範囲を確認したうえで固定価格を書面でご提示します。複数のチームにまたがって統制を構築するエンジニアは1名あたり月額$3,000〜$7,500で、継続的な監視はマネージドAIオペレーションで月額$3,000〜$20,000です。エージェントやLLM機能に対する攻撃的なテストが必要な場合は、AIセキュリティ診断が$12,000〜の固定価格です。
AIガバナンスのフレームワークとは何ですか？
どのAIシステムを運用し、それをどう統制するかを決めるための枠組みです。役割と責任者、リスクの分類方法、ポリシー、リスク区分ごとに必要な統制、そして統制が実行されたことを示す記録で構成されます。多くの企業は、Govern、Map、Measure、Manageの4つの機能を持つNISTのAIリスクマネジメントフレームワークを土台にし、認証可能なマネジメントシステムが必要な場合はISO/IEC 42001を加えます。NISTは、この枠組みを生成AIに適用した生成AIプロファイル（NIST AI 600-1、2024年7月）も公開しています。
AIエージェントのガバナンスは何が違うのですか？
エージェントは行動します。ツールを呼び出し、システムに書き込み、メッセージを送ります。そのため、チャットボットには不要な統制が加わります。ツールごとに最小権限の認証情報、許可された操作の一覧、影響の大きい操作の前の担当者の承認、利用額と実行回数の上限、そしてすべてのツール呼び出しの入力と出力のログです。これにより、エージェントが何をなぜ行ったかを再現できます。
EU域外の企業でも、EU AI法に対応する必要がありますか？
対象になる可能性があります。第2条は、所在地にかかわらずEU市場にAIシステムを投入する提供者と、システムの出力がEU域内で使われる場合のEU域外の提供者と導入者に、この法律を適用しています。禁止されている行為は2025年2月2日から適用されており、2026年7月の改正で、附属書IIIの高リスク規則は2027年12月2日に、附属書Iの規則は2028年8月2日に適用が移されました（2026年10月23日に確認）。特定のシステムが対象になるか、どの分類に当たるかは、貴社の弁護士が判断する事項です。当社は、弁護士が求める棚卸し、ログ、人による監督の仕組みを構築します。
ISO 42001の認証取得を支援してもらえますか？
準備を支援します。ISO/IEC 42001:2023はAIマネジメントシステムの要求事項を定めた規格で、認証は認定を受けた認証機関が自ら審査したうえで発行します。Gigabitは、審査員が実際に確認する部分を構築します。AIの棚卸し、リスクと影響の評価、文書化したポリシーと責任者、そして評価、監視、インシデント対応などの統制が実際に運用されている証拠です。当社が認証を発行したり、審査を行ったりすることはありません。
