Q10.セキュリティレビューは、AI導入のどのタイミングで何を確認しますか？

初期は、処理するデータ分類と外部送信の有無、認証方式（SSO、MFA）、テナント分離を確認します。開発中は、APIキーの保管、最小権限、学習への再利用オプトアウト、出力のマスキングを点検します。本番前は、負荷時の情報漏えい、エージェントのツール呼び出し範囲、監査ログの改ざん耐性をレビューします。生成AI特有のリスクとして、間接プロンプトインジェクション（社内PDFに埋め込まれた指示）や、過剰なツール権限による横展開があります。情シス・セキュリティ・法務のチェックリストをテンプレート化すると繰り返しが速くなります。

• ●選定時: データ residency、サブプロセッサ、契約条項
• ●設計時: RBAC、秘密情報のマスキング、保持期間
• ●本番前: ペネトレーション・レッドチーム（必要に応じて）