Sitaram Srivatsavaiは、CRM、iOS、ウェブプラットフォームを跨ぐ18年以上の経験を持つCRMエンジニアリングのリーダーです。グローバルチームを率いて大規模なエンタープライズソフトウェアを提供し、アーキテクチャレビュー、自動化の近代化、信頼性、規制遵守、スケーラブルなパフォーマンスの確保に焦点を当てています。
組織がAIポリシーを持っていないことが問題ではありません。問題は、ポリシーが実際に何もしないことです。整然とフォーマットされたPDFとデプロイされたモデルの中で、意図が蒸発します。チームは即興で対応します。例外が蓄積します。ガバナンスはシステムから交渉へと変化します。規制された業界であるヘルスケアやライフサイエンスでは、このギャップは恥ずかしいことだけではありません。運用上のリスクです。解決策は、さらに多くの文書化ではありません。ガバナンスをソフトウェアとして扱うことです。ガバナンスギャップはすでに測定可能ですAIの採用は急速に進んでいますが、ガバナンスインフラストラクチャはそれに追いついていません。2025年9月のアーンスト・アンド・ヤングの調査によると、企業の10%のみがAIシステムを監査する準備が整っています。一方で、新しいポネモン研究所の調査によると、92%の組織が、ジェネレーティブAIが従業員が情報にアクセスして共有する方法を変えたと述べています。しかし、18%のみがAIガバナンスをインサイダーリスクプログラムに完全に統合しています。パターンは一貫しています。AIはすでに日常の仕事に埋め込まれています。監視はまだ追いついています。ガバナンスが文書形式のままである限り、そのギャップは悪化します。出荷可能なガバナンス概念は単純です。ガバナンス要件がビルドに失敗することができない場合、生産を保護することはできません。実際のガバナンスには入力、出力、適用ポイント、観測可能な結果があります。継続的に実行されます。四半期ごとではありません。重要なのは、作業を行うことによって副産物として証拠を生成し、後から別のコンプライアンスの儀式として追加されないことです。運用モデルは次のとおりです。ポリシー → コントロール → 証拠 → メトリックポリシーは意図を定義します。コントロールは行動を適用します。証拠は実行を証明します。メトリックは結果を検証します。これは新しい考え方ではありません。セキュリティとコンプライアンスシステムがすでに動作している方法です。変化は、同じロジックをAIに適用することです。コントロールは提案ではありません。証拠は文書化ではありません。コントロールが証拠を生成するために手動の努力を必要とする場合、それはコントロールではありません。それは希望です。リスク階層、リスク演劇ではないすべてのAIシステムが同じレベルの注意を必要とします。低リスクの内部ツールを、臨床的意思決定支援モデルと同じ厳格さで扱うと、組織は停止したり、不必要にさらされたりします。NIST AIリスク管理フレームワーク（2023年リリース）は、AIリスクについて考えるための基礎となる構造を提供します。4つの機能にわたるAIリスクをマッピングします。Govern、Map、Measure、Manage。機能的なエンタープライズガバナンスモデルは、このロジックを実用的リスク階層で構築します。 階層 スコープ コントロール 最小限 内部ツール、機密データなし 登録、軽量チェック 限定 ユーザー向け、中程度のリスク 文書化、プロンプトレビュー、セキュリティテスト 高 規制または高影響の意思決定 正式なリスク評価、監査ログ、厳格な変更管理 禁止 受け入れられないユースケース 設計およびデプロイ時にブロック これにより、エンジニアリングチームは、ガバナンスプロセスからほとんど得られないものを得ることができます。明確さです。「何をするべきか？」ではなく、「どの階層か、それが何を引き起こすか？」良いガバナンスは曖昧さを除去します。優れたガバナンスは議論を除去します。ポリシーとしてのコード：アドバイザリから実行可能文書に書かれたポリシーはアドバイザリです。パイプラインにエンコードされたポリシーは適用可能です。インフラストラクチャがデプロイ前に検証されるのと同じように、AIシステムは自動チェックによってゲートされます。チェックは、ユースケースが登録されているか、必要な文書化が存在するか、評価結果が定義されたしきい値を満たしているか、機密データへのアクセスが最小特権に従っているかを確認します。これらのチェックはCI/CDで実行されます。委員会を待つ必要はありません。誰かの記憶や善意に依存しません。Open Policy Agent...
