AI Trust Board(AITB)が社内プロジェクト評価で実際に使っている「3軸評価フレームワーク」を解説する。技術的実現性(Technology)・顧客価値(Business Value)・信頼性(Trust)の3つを、PoC前に同時に問うことで後工程の手戻りを減らす。本記事ではフレームワークの設計意図、各軸のチェックリスト、実際の評価会での使いかた、そしてよくある「Trust 軸でひっかかるパターン」とその救済策まで踏み込む。
1. なぜ「3軸」を同時に問う必要があるのか
AI プロジェクトの失敗は、ほとんどがいずれか 1 軸への偏りから生まれる:
- 技術だけを評価して走り出した結果、出来上がったプロトタイプにビジネス価値がなく、PoC で終わる
- ビジネスだけを評価して始めた結果、Trust 側の問題(同意・透明性・データ流出)で炎上し、撤退を余儀なくされる
- Trust だけを過剰に問うと、リスクを取る決断ができず、何も実装されないまま競合に先を越される
つまり 3 つの軸は トレードオフではなく、すべてを満たすべき必要条件である。AITB はこれを「PoC 前に・同時に・短時間で」評価することを基本としている。
なぜ PoC 後ではなく PoC 前か——プロトタイプができてしまうと「もったいない」「すでに投資した」が判断を歪ませる。アーキテクチャを決める前に方向を整えるほうが、コストも痛みも小さい。
2. Technology 軸 — 技術的実現性
「動くか」だけでなく、「今のアーキテクチャ選択で 1 年後も持つか」を問う。
| 観点 | 具体的な問い |
|---|---|
| 実現性 | 同種の事例(社内外)の有無、プロトタイプの動作確認 |
| アーキテクチャ | モデル選定(プロプライエタリ vs OSS / オンプレ vs クラウド)の根拠 |
| RAG/エージェント設計 | データソースの構造化、コンテキスト窓設計、ツール構成 |
| セキュリティリスク | プロンプトインジェクション、スコープクリープ、データ漏洩経路の評価 |
| 既存スタックとの統合 | WAF / IAM / SIEM 等との接続点が設計されているか |
よくあるアンチパターン:
- 「最新のモデルを使えばなんとかなる」── アーキテクチャを決めずにモデル選定から入る
- 「PoC は OpenAI、本番は社内 LLM」── 切替コストを過小評価
- 「ガードレールは後で入れる」── 後付けは構造的に困難
3. Business Value 軸 — 顧客価値・事業継続性
「便利そう」で止めず、「誰の、どの痛みを、いくらで解くか」まで踏み込む。
| 観点 | 具体的な問い |
|---|---|
| 顧客課題の特定 | ペルソナ、現在の代替手段(人手・既存ツール)、痛みの強さ |
| 収益モデル | 価格、ユニットエコノミクス、LLM コストとの収支構造 |
| 差別化 | 競合プロダクトとの違い、模倣困難性 |
| シナジー | 自社グループ内の他プロダクト・データとの掛け合わせ |
| 撤退条件 | KPI が満たされない場合の停止基準があらかじめ合意されているか |
よくあるアンチパターン:
- 「使えば便利」── 誰の何を解くかが曖昧、KPI が定量化されていない
- 「LLM コストは下がるはず」── 推論コストが固定費を圧迫する設計になっている
- 「無料の競合がある」が論点に入っていない
4. Trust 軸 — 信頼性・説明責任
最も難しく、最も差がつく軸。「説明できるか」と「再現できるか」 が中心。
| 観点 | 具体的な問い |
|---|---|
| データ取扱い | 収集・保存・利用・廃棄の各フェーズで同意・利用目的が説明可能か |
| 個人データ | 改正個情法・GDPR 等への対応設計、本人関与(開示・利用停止等の請求)への対応、プロファイリングへの異議・自動化された意思決定(GDPR 第21条・第22条) |
| 法規制 | EU AI Act の Risk 区分判定、業界規制(金融・医療等)への適合 |
| 透明性 | 出力の根拠提示、ハルシネーション対策、システムであることの明示 |
| 説明責任 | 監査ログ、インシデント時の影響範囲特定、社外コミュニケーション準備 |
| 社会的受容 | 当該領域での AI 利用が社会的に許容されるか(保険査定・採用等は要注意) |
よくあるアンチパターン:
- 「同意は取ってあります」── 同意文に当該利用目的が含まれていない
- 「精度は十分」── 失敗時の救済プロセスが設計されていない
- 「オンプレなら大丈夫」── データ流出のリスクは下がるが説明責任は減らない
5. 評価会での使いかた
AITB の評価会は 30 分 が標準。次の流れで進める。
[5分] 企画オーナーから 3 分プレゼン(目的・対象・概略)
[10分] 3 軸チェックリストに沿って AITB メンバーが質問
[10分] 軸ごとに「Go / Hold / Reshape」を判定
[5分] オーナーが次のアクションを言語化(議事録化)
判定の語彙は以下の 3 つに統一している:
- Go:3 軸ともに合格水準。次フェーズへ進む
- Hold:致命的な穴があり、特定論点が解消するまで停止
- Reshape:軸の一部を組み替えれば前進できる。代替案を提示
「No」を出すのではなく 代替案を一緒に作る ことを基本姿勢としているため、Reshape の頻度が最も高い。
6. 実際の評価分布(2026 年 Q1 観測)
AITB が直近 3 ヶ月(2026 年 4 月の正式設置に先立つ先行レビュー期間を含む)でレビューした案件を 3 軸ごとに見ると:
| 結果 | 比率 |
|---|---|
| 3 軸とも Go | 約 25% |
| Technology / Business Value はクリア、Trust で詰まる | 約 55% |
| Business Value で詰まる | 約 15% |
| Technology で詰まる | 約 5% |
圧倒的多数が Trust でひっかかる。とくに:
- 「お客さんの問い合わせデータを RAG の学習に使いたい」 → 利用目的の説明が困難
- 「社内データで学習した LLM を顧客にも使ってほしい」 → データソースとアウトプットの責任範囲が曖昧
- 「便利だから個人情報を投入」 → 同意の射程外
これらは技術的には実装可能で、ビジネス的にも価値がある。だからこそ Trust 軸で潰すのではなく、「説明できる設計に組み替える」 ことが AITB の本領発揮ポイントになる。
7. 救済の典型パターン
Trust で詰まったとき、よく取る Reshape の方向:
| 詰まりかた | Reshape の典型 |
|---|---|
| 同意取得が広すぎる/狭すぎる | 利用目的を分割し、用途別に同意を再設計 |
| 個人データを、利用目的の範囲内かや提供先での学習利用の有無を確認しないまま LLM に渡している | 匿名化エンジン(PII プレースホルダー化)+復元レイヤーで分離 |
| ハルシネーションの責任が曖昧 | 出力に根拠リンクを必ず添える、確信度の閾値で人間承認に切替 |
| 監査ログが残っていない | アクセス・出力・決定の 3 点を構造化保存、保管期間を明示 |
| 社会的受容性が読めない | 影響範囲を限定した試験運用、外部有識者レビューの設置 |
8. 持ち帰って使えるテンプレート
社内で 3 軸評価を始めたい場合、最小構成は次のシートで足りる:
■ プロジェクト名:
■ オーナー:
■ ターゲット利用開始時期:
■ Technology
- 実現性の根拠:
- 採用アーキテクチャ:
- セキュリティリスクと対策:
→ Go / Hold / Reshape:
■ Business Value
- 顧客課題と KPI:
- 収益・コスト構造:
- 差別化ポイント:
→ Go / Hold / Reshape:
■ Trust
- データ取扱いの設計:
- 規制適合性:
- 説明責任の体制:
→ Go / Hold / Reshape:
■ 総合判定 / 次のアクション:
このシートを 30 分で埋めることを目標にすると、評価の解像度が一気に上がる。
このフレームワークの公開バージョンは フレームワーク解説ページ にあります。具体案件への適用支援や、社内評価会の立ち上げについては 無料相談 よりご依頼ください。
本記事の事実関係は、AITRの編集・ファクトチェック方針に基づき、一次情報を優先して出典と照合しています(最終確認日:2026.10.01)。誤りにお気づきの場合はお問い合わせよりご連絡ください。
- 個人情報保護委員会「GDPR 仮日本語訳(条文)」(英語原文併記)
- 個人情報の保護に関する法律についてのガイドライン(通則編)
- 個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」(令和8年7月)
- OWASP Gen AI Security Project — LLM01:2025 Prompt Injection
- European Commission — AI Act (Regulatory framework for AI)
- 個人情報保護委員会「生成 AI サービスの利用に関する注意喚起等」(令和5年6月2日、別添1)
- 2026.10.01ファクトチェックにより、事実関係の記述 2 件を訂正・削除しました。