データの行き先を把握する
AI がどの顧客データを参照し、どこで処理・保存され、どの第三者が関わるのかを洗い出しましょう。プロバイダーにはサブプロセッサーの一覧とデータ所在地の選択肢を確認しましょう。
通信時と保存時に保護する
- 通信時の暗号化（TLS 1.2 以降）
- 管理された鍵とローテーションによる保存時の暗号化
- プライベートネットワークと Web アプリケーションファイアウォール
- シークレットはローテーション付きの保管庫で管理
誰が何をできるかを管理する
シングルサインオン、多要素認証、ロールベースのアクセス制御を使用し、特権操作と設定変更が確実に記録されるようにしましょう。
回答をポリシーに沿わせる
規制対象の依頼には自由形式の AI と構造化フローを組み合わせ、承認済みのナレッジに基づいて回答し、会話のコンプライアンスを自動で評価しましょう。
人が関与する仕組みを保つ
AI が引き継ぐべき条件を定め、提案を人が確認するオペレーター支援から始め、通話記録を定期的に確認しましょう。
現地の規制を確認する
要件は国や業界によって異なります。たとえば個人情報保護法や、中央銀行のテクノロジーリスク管理ガイドラインなどです。リスク管理・コンプライアンス部門には早い段階から参加してもらいましょう。本ガイドは一般的な情報であり、法的助言ではありません。