Q18.AI導入前のプライバシー影響評価（DPIA／PIA）は、いつ誰が実施しますか？
回答
新規の大規模個人データ処理、プロファイリング、センシティブデータ、体系的な監視に該当しそうなときに、法務・DPO・情シス・業務が共同で実施します。軽微な効率化ツールでも、スケール時に見直します。
GDPRではDPIAが義務付けられる場合があり、日本でも個人情報保護委員会のガイドラインに沿ったリスク評価が推奨されます。AIでは、目的・データカテゴリ・送信先・保持・自動化の程度・代替手段を文書化し、リスクと緩和策（匿名化、ローカル実行、人の関与）を記録します。PoC段階で「データが少ないから不要」とスキップすると、本番で手戻りします。テンプレートを用意し、プロジェクトゲート（本番Go）の必須提出物にすると運用が安定します。
- ●トリガー: 新データ、新用途、新ベンダー、越境、大量処理
- ●参加者: 法務・情シス・業務オーナー・必要ならDPO
- ●成果物: リスク・対策・残リスク・承認記録