サイト内検索

My Photo
December 2024
Sun Mon Tue Wed Thu Fri Sat
1 2 3 4 5 6 7
8 9 10 11 12 13 14
15 16 17 18 19 20 21
22 23 24 25 26 27 28
29 30 31        

Recent Trackbacks

連載 (ITmedia)

ウェブページ

リンク

2024.11.08

オランダ データ保護局 意見募集 職場や教育における感情認識のための特定のAIシステムの禁止 (2024.10.31)

こんにちは、丸山満彦です。

オランダのデータ保護局が「職場や教育機関における感情認識のための特定のAIシステムの禁止」に関する意見募集をしていますね...

AI法の適用を見据えて、徐々にこのようなガイドが整備されていくのでしょうかね...

AI法の第5条で禁止されるAIが８つ定義されています...

A：特定の操作型AIシステム（サブリミナル技術の利用等）
B：特定の搾取的AIシステム（個人や集団の弱みに漬け込む利用等）
C：ソーシャル・スコアを用いて作動する特定のAIシステム
D：個人による犯罪の可能性を予測する特定のAIシステム
E：顔画像の非標的スクレイピング
F：職場や教育における感情認識のための特定のAIシステム
G：生体認証による人物分類のための特定のAIシステム
H：法執行目的の公共の場における遠隔リアルタイム生体認証のための特定のAIシステム

このうち、

A：特定の操作型AIシステム（サブリミナル技術の利用等）
B：特定の搾取的AIシステム（個人や集団の弱みに漬け込む利用等）

についてのガイド案がすでに公開されていますが、

今回は、

F：職場や教育における感情認識のための特定のAIシステム

です。

 

● Autoriteit Persoonsgegevens

・2024.10.31 Call for input on prohibition on AI systems for emotion recognition in the areas of workplace or education institutions

・[PDF] 

20241108-00955

 

 

AI systems for emotion recognition in the areas of workplace or education institutions  職場や教育機構における感情認識のためのAIシステム
Prohibition in EU Regulation 2024/1689 (AI Act)  EU規則2024/1689（AI法）における禁止事項
Summary 概要
The European AI Act (2024/1689) has been in force since 1 August 2024 and regulates the use of artificial intelligence (AI) in the European Union (EU). The AI Act has a risk-based approach. As a result, certain AI systems posing an unacceptable risk are prohibited from 2 February 2025. 欧州AI法（2024/1689）は2024年8月1日から施行されており、欧州連合（EU）における人工知能（AI）の利用を規制している。AI法はリスクベースのアプローチを採用している。その結果、許容できないリスクをもたらす特定のAIシステムは2025年2月2日から禁止される。
It is up to the supervisors of the AI Act to explain how the prohibitions will be interpreted for the purpose of supervision. In order to prepare for this in the Netherlands, the Autoriteit Persoonsgegevens (AP) asks interested parties (citizens, governments, businesses and other organisations) and their representatives for needs, information and insights. We can use all input to consider the necessary further clarification of the prohibited AI systems. AI法の監督当局は、この禁止事項が監督上どのように解釈されるかを説明しなければならない。オランダでこれに備えるため、Autoriteit Persoonsgegevens（AP）は関係者（市民、政府、企業、その他の組織）やその代表者にニーズ、情報、洞察を求めている。私たちは、禁止されているAIシステムの必要なさらなる明確化を検討するために、すべての意見を利用することができる。
On 27 September 2024, the AP published the first call for input on the first two prohibitions of the AI Act. In this second call for input, we address the sixth prohibition: AI systems for emotion recognition in the areas of workplace or education institutions (prohibition F). Later on, we will ask for input on other prohibitions. This document outlines specific criteria for these prohibited AI systems while requesting (additional) input through a set of questions. Contributions can be submitted until 17 December 2024. 2024年9月27日、APはAI法の最初の2つの禁止事項に関する最初の意見募集を発表した。今回の2回目の意見募集では、第6の禁止事項を取り上げる： 職場や教育機構における感情認識のためのAIシステム（禁止事項F）である。後日、他の禁止事項についても意見を求める予定である。この文書では、これらの禁止されるAIシステムの具体的な規準の概要を示すとともに、一連の質問を通じて（追加の）意見を求める。意見は2024年12月17日まで提出できる。
The AP makes this call for input based on its role as a coordinating supervisor of algorithms and AI. For the purpose of this new task, the Department for the Coordination of Algorithmic Oversight (DCA) was established within the AP. This call for input also aligns with the preparatory work being done in support of future supervision of AI systems prohibited under the AI Act. The Dutch government is currently working on the formal designation of national supervisory authorities for the AI Act. APは、アルゴリズムとAIの調整監督者としての役割に基づき、この意見募集を行う。この新しい任務のために、AP内にアルゴリズム監督調整部（DCA）が設立された。この意見募集は、AI法で禁止されているAIシステムの将来の監督を支援するために行われている準備作業とも一致している。オランダ政府は現在、AI法の国内監督当局の正式認可に向けて作業を進めている。
I. Background I. 背景
1. The European AI Act (2024/1689) has been in force since 1 August 2024. This Regulation sets out rules for the provision and use of artificial intelligence (AI) in the EU. The premise of the AI Act is that while there are numerous beneficial applications of AI, the technology also entails risks that have to be managed. The legislation follows a risk-based approach. More restrictive rules will apply to those AI systems that pose a greater risk. Some systems entail such an unacceptable risk that their placing on the market or use is completely prohibited. This is, for example, the case with AI systems that are used for emotion recognition in the areas of workplace or education institutions. The prohibitions are set out in Article 5 of the AI Act. 1. 欧州AI法（2024/1689）は2024年8月1日より施行されている。この規則は、EUにおける人工知能（AI）の提供と利用に関する規則を定めたものである。AI法の前提は、AIには多くの有益な用途がある一方で、管理すべきリスクも伴うということである。この法律は、リスクベースのアプローチに従っている。より大きなリスクをもたらすAIシステムには、より厳しい規則が適用される。なかには、上市や使用が完全に禁止されるほどの許容できないリスクを伴うシステムもある。例えば、職場や教育機構の分野で感情認識に使用されるAIシステムがそうである。禁止事項はAI法第5条に定められている。
2. This call for input provides a preliminary basis for further clarification of the prohibitions in the AI Act. To get there, this call for input aims to gather generic information and insights on, among other things, the functioning of AI technologies and the application possibilities that are relevant to the clarification of the prohibitions. 2. この意見募集は、AI法の禁止事項をさらに明確にするための予備的根拠を提供するものである。そのために、この意見募集は、特に禁止事項の明確化に関連するAI技術の機能や応用の可能性に関する一般的な情報や見識を収集することを目的としている。
Prohibited AI applications as from February 2025 2025年2月から禁止されるAIアプリケーション
3. The prohibitions in the AI Act will become applicable soon. As from 2 February 2025, the prohibited AI systems listed in Article 5 may no longer be put on the European market or used. As from 2 August 2025, market surveillance authorities should be designated for prohibited AI systems, and sanctions may be imposed for violations of the prohibitions. Before this time, violation of one of the prohibitions could already lead to civil liability. 3. AI法の禁止事項が間もなく適用される。2025年2月2日以降、第5条に記載された禁止されたAIシステムは、もはや欧州市場に投入されたり、使用されたりすることはできない。2025年8月2日以降、禁止されたAIシステムについては市場監視当局が認可される必要があり、禁止事項に違反した場合には制裁が課される可能性がある。それ以前は、禁止事項のいずれかに違反した場合、すでに民事責任を問われる可能性がある。
Supervision in the Netherlands on compliance with the prohibitions オランダにおける禁止事項の遵守に関する監督
4. The Dutch government is currently working on legislation designating which supervisory authority will be responsible for overseeing compliance with the prohibitions. In the Netherlands, the AP (through its Department for the Coordination of Algorithmic Oversight) and the Dutch Authority Digital Infrastructure (RDI) provide advice on the supervisory framework for the purpose of the AI Act. They do so in cooperation and coordination with other supervisors. In a second interim advice, published in May 2024, the Dutch supervisors proposed to make the AP primarily responsible for the supervision of prohibited AI. Following these recommendations, the AP will closely cooperate with other relevant supervisors for the supervision of prohibited AI systems. 4. オランダ政府は現在、禁止事項の遵守を監督する責任を負う監督当局を指定する法制化に取り組んでいる。オランダでは、AP（アルゴリズム監督調整局を通じて）とオランダ認可デジタル・インフラ（RDI）がAI法の目的のために監督枠組みに関する助言を提供している。これらは、他の監督当局との協力・協調の下で行われている。2024年5月に公表された2回目の中間助言において、オランダの監督当局は、禁止されたAIの監督をAPが主に担当することを提案した。これらの勧告に従い、APは禁止されたAIシステムの監督について他の関連監督当局と緊密に協力する。
5. Because the prohibitions in this call concern AI systems that also fall under other Union laws, this call has been coordinated within the AI and Algorithm Group of the Dutch Cooperation Platform of Digital Supervisory authorities. This is in the spirit of the requirement in Article 70(8) of the AI Act to consult relevant national competent authorities responsible for other Union law that covers AI systems. 5. この要請における禁止事項は、他の連邦法にも該当するAIシステムに関するものであるため、この要請は、デジタル監督当局のオランダ協力プラットフォームのAI・アルゴリズムグループ内で調整されている。これは、AI法第70条8項が要求する、AIシステムを対象とする他の連邦法を担当する関連国の管轄当局と協議するという精神に則ったものである。
II. About this call for input II. この意見募集について
Purpose: why do we ask for input 目的：なぜ意見を求めるのか
6. It is up to the supervisors of the AI Act to explain how the prohibitions will be interpreted for the purpose of supervision. In preparation for this, the AP is asking for information and insights from stakeholders (citizens, governments, companies and other organisations) and their representatives. All responses can be used for further explanation of the prohibited AI. Within the AP, the Department for the Coordination of Algorithmic Oversight is charged with this task. 6. AI法の監督当局が、監督目的で禁止事項がどのように解釈されるかを説明する次第である。その準備のため、APは利害関係者（市民、政府、企業、その他の組織）およびその代表者からの情報と洞察を求めている。すべての回答は、禁止されているAIのさらなる説明に利用することができる。AP内では、アルゴリズム監督調整部がこの任務を担っている。
7. This call for input discusses the prohibition outlined in Article 5, paragraph 1 subparagraph f of the AI Act. In addition to this call for input, the AP already published a first call on 27 September 2024 on two other prohibitions, namely the prohibition on manipulative and deceptive AI systems and the prohibition on exploitative AI systems. 7. この意見募集では、AI法第5条第1項f号に概説される禁止事項について議論する。この意見募集に加え、APはすでに2024年9月27日に、他の2つの禁止事項、すなわち、操作的で欺瞞的なAIシステムの禁止と搾取的なAIシステムの禁止に関する最初の意見募集を発表している。
8. The legislative text and the recitals serve as the foundations for this call for input. Given the scope and possible impact of this prohibition, a call for input is issued for this prohibition. Please refer to the annex to this document for an overview of all prohibitions in subparagraphs (a) to (g) of Article 5, paragraph 1 of the AI Act. 8. 立法文書とリサイタルは、この意見募集の基礎となるものである。この禁止事項の範囲と起こりうる影響を考慮し、この禁止事項に関する意見募集を行う。AI法第5条第1項第(a)号から第(g)号までのすべての禁止事項の概要については、本書の附属書を参照のこと。
9. This call for input highlights specific aspects of this prohibition. The focus is on those specific criteria that determine whether or not an AI system is within the scope of this prohibition. Each criterion is briefly explained based on the legislator’s recitals of the AI Act. In some cases, we provide an interpretation of our own. This is explicitly mentioned. We then pose several questions, the answers to which will contribute to a better understanding of the prohibition. 9. 本意見募集は、この禁止事項の特定の側面に焦点を当てたものである。AIシステムが本禁止の範囲に含まれるか否かを判断する具体的な規準に焦点を当てる。各基準は、AI法の立法者の説明に基づいて簡潔に説明されている。場合によっては、独自の解釈を提供することもある。これについては明確に言及する。その後、いくつかの質問を投げかけ、その回答は禁止事項のより良い理解に資するものである。
Process: this is how you send your input to us プロセス：これは、あなたが私たちに意見を送る方法である
10. You decide which questions you answer. You can also provide us with other relevant input in addition to the questions asked. Please send your input by email to [email protected] by 17 December 2024. Please mention the topic “Call for input DCA-2024-02 AI systems for emotion recognition in the areas of workplace or education institutions”, and your name and/or your organisation in your email. If desirable, you can provide us with your contact details so that we can reach you when we have further questions. When we have received your input, we will send a confirmation by email. 10. どの質問に答えるかはあなたが決める。また、質問以外にも関連する意見をプロバイダに提供することができる。2024年12月17日までに、[email protected]。その際、「Call for input DCA-2024-02 AI systems for emotion recognition in areas of workplace or education institutions」（職場や教育機関における感情認識のためのAIシステム）というトピックと、あなたの氏名または所属する組織を明記してください。また、ご希望であれば、ご連絡先をご記入いただければ、ご質問の際にご連絡を差し上げることができる。入力が確認されたら、Eメールにて確認のご連絡を差し上げる。
Follow-up: what do we do with your input? フォローアップ：あなたの意見をどうするか？
11. After the closure of this call for input, the AP will publish a summary and appreciation of the input on AI systems for emotion recognition in the areas of workplace or education institutions. In this summary, we will refer in generic terms to the input received (e.g., “several sectoral representative organisations have indicated’, “a developer of AI systems points out that”, “organisations advocating for fundamental rights note that”). If preferred and indicated by you, we may explicitly name your organisation or group. Through our summarised and evaluative response, we can also share the acquired insights with other (European) AI supervisory authorities. For instance, the summary and appreciation of the contribution may be utilised in the drafting of guidelines on the prohibitions. At a European level, the AI Office - part of the European Commission- can collaborate with the market surveillance authorities to develop such guidelines. 11. 本意見募集の終了後、APは、職場や教育機構の分野における感情認識AIシステムに関する意見の要約と評価を公表する。この要約では、寄せられた意見について一般的な用語で言及する（例えば、「いくつかの分野の代表者組織からの指摘」、「AIシステムの開発者からの指摘」、「基本的権利を擁護する組織からの指摘」など）。ご希望があれば、またご指摘があれば、あなたの組織や団体名を明示することもある。また、要約・評価した回答を通じて、得られた知見を他の（欧州の）AI監督当局と共有することもできる。例えば、禁止事項に関するガイドラインのドラフトを作成する際に、寄稿の要約と評価を活用することができる。欧州レベルでは、欧州委員会の一部であるAI事務局は、市場監視当局と協力して、そのようなガイドラインを作成することができる。
12. We will only use your input for our task to obtain information and insights about the prohibitions in the AI Act. We will delete your personal data after publication of our summary and evaluation of the input, unless you have given permission for further use. For more information about how we process personal data, please see: The AP and privacy. 12. 当社は、AI法の禁止事項に関する情報や見識を得るという当社の任務のためにのみ、あなたの意見を使用する。ご意見の要約と評価を公表した後、それ以上の使用についてご本人の許可がない限り、個人データを削除する。当社がどのように個人データを処理するかについての詳細は、以下を参照のこと： APとプライバシー。
More calls for input インプットのさらなる募集
13. Following this call, there will be more calls for input on other parts of the AI Act, including other prohibitions. The AP has previously called for input for manipulative, misleading and exploitative AI systems. In the short term, the AP wants to publish a call for input on prohibition C: AI systems for social scoring. 13. 今回の呼びかけに続き、他の禁止事項を含むAI法の他の部分についても意見募集を行う予定である。APはこれまでにも、操作的、誤解を招く、搾取的なAIシステムについての意見を求めてきた。短期的には、APは禁止事項C「ソーシャル・スコアリングのためのAIシステム」に関する意見募集を公表したいと考えている。
III. Definition of the prohibition on AI systems for emotion recognition in the areas of workplace or education institutions III. 職場や教育機構における感情認識AIシステム禁止の定義
General scope of prohibited AI systems 禁止されるAIシステムの一般的範囲
14. The AI Act (and its prohibitions) apply to ‘AI systems’. Thus, in order to determine whether the Regulation applies, an important question is whether the product falls within the definition of an AI system: 14. AI法（およびその禁止事項）は「AIシステム」に適用される。したがって、本規則が適用されるかどうかを判断するためには、その製品がAIシステムの定義に該当するかどうかが重要な問題となる：
“A machine-based system that is designed to operate with varying levels of autonomy and that may exhibit adaptiveness after deployment, and that, for explicit or implicit objectives, infers, from the input it receives, how to generate outputs such as predictions, content, recommendations, or decisions that can influence physical or virtual environments.” 「様々なレベルの自律性で動作するように設計され、展開後に適応性を示す可能性があり、明示的または暗黙的な目的のために、物理的または仮想的環境に影響を与えることができる予測、コンテンツ、推奨、決定などの出力を生成する方法を、受け取った入力から推測する機械ベースのシステム」。
15. The prohibitions are addressed to providers (e.g. developers), deployers, importers, distributors and other operators. These operators shall not place on the market, put into service or use the prohibited AI systems. Therefore, it is important for the above operators to ensure that they do not place on the market or use a prohibited AI system. To do so, they will have to verify whether the AI system in question falls under the prohibitions in Article 5. 15. この禁止事項は、プロバイダ（開発者など）、展開事業者、輸入事業者、頒布事業者、その他の事業者を対象としている。これらの事業者は、禁止されているAIシステムを上市、サービス開始、使用してはならない。したがって、上記の事業者は、禁止されているAIシステムを上市したり、使用したりしないようにすることが重要である。そのためには、当該AIシステムが第5条の禁止事項に該当するか否かを確認する必要がある。
Content of the prohibition 禁止事項の内容
16. This call for input focuses on the prohibition set out in subparagraph (f) of Article 5, paragraph 1. The AI Act prohibits AI systems used to infer emotions from a natural person in the areas of workplace or education institutions based on biometric data (hereinafter: emotion recognition systems). In the remainder of this call for input, we will refer to this prohibition as ‘prohibition F’. The Regulation defines this prohibition as follows: 16. 今回の意見募集では、第5条第1項(f)号の禁止事項に焦点を当てる。AI法は、職場や教育機関などの分野において、生体データに基づいて自然人の感情を推測するAIシステム（以下、感情認識システム）を禁止している。本意見募集では、この禁止事項を「禁止事項F」と呼ぶ。規則では、この禁止事項を以下のように定義している：
Article 5, paragraph 1, subparagraph f (‘prohibition F’): 第5条第1項f号（「禁止F」）：
“The placing on the market, the putting into service for this specific purpose, or the use of AI systems to infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons;” 「職場および教育機構の分野における自然人の感情を推測するためのAIシステムの上市、この特定目的のための使用、または使用は、医療上または安全上の理由からAIシステムの使用が意図され、または上市される場合を除く」
17. The AI Act contains a definition of the concept of an ‘emotion recognition system’, which includes not only the inference but also the identification of emotions and intentions. It is therefore assumed that the prohibition involves both the inference and the identification of emotions and intentions based on biometric data. The AI Act defines an ‘emotion recognition system’ as follows: 17。AI法には、「感情認識システム」という概念の定義があり、そこには、推論だけでなく、感情や意思の識別も含まれている。したがって、生体データに基づく感情や意思の推論と識別の両方が禁止に含まれると考えられる。AI法は「感情認識システム」を以下のように定義している：
“An AI system intended to identify or infer the emotions or intentions of natural persons based on their biometric data.” 「生体データに基づいて、自然人の感情または意図を識別または推論することを目的とするAIシステム」。
18. It is important to note that AI systems for emotion recognition that are not put into use in the areas of workplace or educational institutions qualify as ‘high risk’. If AI systems intended to be used for emotion recognition qualify as high-risk under Annex III, paragraph 1, subparagraph c, the requirements applicable to these systems will have to be complied with. In addition, users of a system for emotion recognition are subject to specific transparency obligations. These are defined in Article 50(3) of the AI Act. 18. 注意すべきは、職場や教育機関の分野で使用されない感情認識のためのAIシステムは、「ハイリスク」と認定されることである。感情認識に使用されることを意図したAIシステムが附属書III第1項cのハイリスクに該当する場合、これらのシステムに適用される要件に従わなければならない。さらに、感情認識システムの利用者は、特定の透明性義務を負う。これらはAI法第50条第3項に定義されている。
19. Finally, the AI Act is without prejudice to the GDPR. Obligations of providers and deployers of AI systems in their role as controllers or processors stemming from Union or national law on the protection of personal data continue to apply in the design, development or use of AI systems. 19. 最後に、AI法はGDPRを妨げるものではない。AIシステムのプロバイダおよび展開者は、個人データ保護に関する連邦法または国内法に由来する管理者または処理者としての役割を果たす義務が、AIシステムの設計、開発、使用において引き続き適用される。
IV. Criteria and questions regarding the prohibition IV. 禁止に関する規準と質問
20. In order to structure this call for input, separate criteria of the prohibition have been set out in more detail in the next section. These criteria are highlighted because they are important conditions for determining whether or not AI systems are covered by prohibition F. A brief explanation is provided for each criterion, based on the explanation provided by the legislator in the explanatory recitals to the AI Act. In some cases, explanations are based on the AP's own interpretation; this is clearly indicated. This is followed by some accompanying questions that you can use when giving your input. 20. この意見募集を構成するために、禁止事項の個別の規準が次のセクションで詳細に示されている。これらの規準は、AIシステムが禁止事項Fの対象となるか否かを判断するための重要な条件であるため、強調されている。各規準については、AI法の説明の中で立法者が提供した説明に基づき、簡単な説明がなされている。場合によっては、AP独自の解釈に基づく説明もあるが、これは明確に示されている。続いて、意見を述べる際に利用できる付随的な質問をいくつか示す。
Criterion 1: inference and identification of emotions and intentions 規準1：感情や意図の推論と特定
21. The prohibition applies where emotions or intentions of natural persons are inferred. It follows from the definition of an ‘emotion recognition system’ that, in addition to inference, it includes the identification of emotions and intentions. The AP therefore assumes that both the inference and the identification of emotions and intentions are covered by the prohibition. 21. 禁止事項は、自然人の感情や意図が推測される場合に適用される。感情認識システム」の定義から、推論に加え、感情や意図の特定も含まれる。したがってAPは、感情や意図の推論と識別の両方が禁止事項の対象であるとする。
Questions related to criterion 1 規準1に関する質問
1. Can you describe AI systems used to infer or identify emotions or intentions? 1. 感情や意図を推論または特定するために使用されるAIシステムについて説明できるか。
2. Is it clear to you when a system is aiming to infer or identify emotions or intentions? If not, what part asks for more clarity? Can you elaborate on this? 2. システムが感情や意図を推論したり識別したりすることを目的としている場合、それがどのような場合であるかは明らかか。そうでない場合、どの部分がより明確であることを求めているか？詳しく説明してくれる？
Criterion 2: emotions or intentions 規準2：感情または意図
22. The prohibition applies to the emotions or intentions of natural persons. The recitals describe emotions or intentions such as happiness, sadness, anger, surprise, disgust, embarrassment, excitement, shame, contempt, satisfaction and amusement. The prohibition does not include the detection of readily apparent expressions, gestures or movements, unless they are used to identify or infer emotions. These expressions can be basic facial expressions, such as a frown or smile. Such expressions can also be gestures such as the movement of hands, arms or head, or characteristics of a person's voice, such as a raised voice or whispering tone. 22. 禁止は自然人の感情または意図に適用される。朗読では、喜び、悲しみ、怒り、驚き、嫌悪、恥ずかしさ、興奮、恥、軽蔑、満足、娯楽などの感情や意図が述べられている。この禁止には、感情を識別または推論するために使用されるのでない限り、容易に見て取れる表情、身振り、動作の検知は含まれない。これらの表情は、しかめっ面や微笑みといった基本的な顔の表情でありうる。このような表情は、手、腕、頭の動きのようなジェスチャーや、高めの声やささやき声のような人の声の特徴であることもある。
23. The prohibition shall not apply to physical states such as pain or fatigue. This could include systems used to detect the state of fatigue of professional pilots or professional drivers in order to prevent accidents. AI systems that detect such states are outside the scope of the prohibition. 23. この禁止は、痛みや疲労といった身体的状態には適用されない。これには、事故を防ぐためにプロのパイロットやプロのドライバーの疲労状態を検知するためのシステムも含まれる。このような状態を検知するAIシステムは、禁止の範囲外である。
Questions related to criterion 2 規準2に関する質問
3. Can you give examples of other types of emotions or intentions that can be inferred or identified with the use of AI systems? 3. AIシステムの使用によって推測または識別できる他の種類の感情または意図の例を挙げることができるか。
4. Can you describe situations in which AI systems can be used to infer or identify physical states? In that case, are emotions or intentions also inferred or identified? Is the difference between emotions and intentions on the one hand and physical states on the other hand sufficiently clear to you? 4. AIシステムを使用して物理的状態を推測または特定できる状況を説明できるか。その場合、感情や意図も推論されたり識別されたりするのか？一方の感情や意図と他方の物理的状態の違いは、あなたにとって十分に明確か？
5. Can you describe AI systems used to detect readily apparent expressions, gestures or movements? Do you know of situations where the detection of expressions, gestures or movements can be used to identify or infer emotions or intentions? 5. すぐにわかる表情、ジェスチャー、動きを検知するために使われるAIシステムについて説明できるか？表情、ジェスチャー、動きの検知が、感情や意図の識別や推論に利用できる状況を知っているか？
6. Is it clear to you when an AI system infers or identifies emotions or intentions or other states? What questions or need for clarification do you have in the context of this prohibition? 6. AIシステムが感情や意図、あるいはその他の状態を推論したり識別したりするのは、どのような場合か明確か。この禁止事項に関して、どのような疑問や明確化の必要性があるか。
Criterion 3: on the basis of biometric data 規準3：生体データに基づいて
24. The prohibition applies to AI systems that use human biometric data to identify or infer emotions. Biometric data is defined in the AI Act “as personal data resulting from specific technical processing relating to the physical, physiological or behavioural characteristics of a natural person, such as facial images or dactyloscopic data”. However, as stated in the recitals, the concept of biometric data in the AI Act must be interpreted “in the light of” the concept of biometric data in the GDPR. Importantly, biometric data as defined in the AI Act (among others) enables the recognition of emotions of natural persons. 24. この禁止は、人間の生体データを使用して感情を識別または推論するAIシステムに適用される。生体データは、AI法では「顔画像やダクティロスコピックデータなど、自然人の身体的、生理的、行動的特徴に関連する特定の技術仕様から生じる個人データ」と定義されている。しかし、説明文にあるように、AI法における生体データの概念は、GDPRにおける生体データの概念に「照らして」解釈されなければならない。重要なことは、AI法に定義されている生体データ（とりわけ）は、自然人の感情の認識を可能にするということである。
Questions related to criterion 3 規準3に関連する質問
7. What kind of biometric data can be used in these AI systems intended to infer or detect emotions? 7.感情を推測または検出することを意図したこれらのAIシステムでは、どのような生体データを使用できるのか？
8. In your opinion, how does biometric data form the basis for inferring or identifying emotions in practice? Can you indicate how this process works and illustrate this with (imaginary) examples? 8. 生体データは、実際にどのように感情を推測または識別するための基礎となるのか。このプロセスがどのように機能するかを示し、（想像上の）例で説明できるか。
Criterion 4: the areas of workplace or education institutions 規準4：職場または教育機構の領域
25. Prohibition F states that an AI system for emotion recognition must infer emotions of natural persons in the areas of workplace and education institutions. An AI system for emotion recognition in situations related to the workplace and education is also covered by this prohibition. Here, too, there are the same unfair power relations and AI systems for emotion recognition can, taking into account the far-reaching nature of these types of systems, lead to detrimental or unfavourable treatment of certain people or whole groups thereof. It can be assumed that the application of emotion recognition in, for example, home working environments, or in online or distance learning, therefore also falls within the scope of the prohibition. This also applies to the application of emotion recognition for recruitment and selection or application for education. 25. 禁止事項Fでは、感情認識AIシステムは、職場や教育機関の領域において、自然人の感情を推論しなければならないとされている。職場や教育に関連する場面での感情認識AIシステムも、この禁止事項の対象となる。ここでも、同じように不公正な力関係が存在し、感情認識のためのAIシステムは、この種のシステムの広範な性質を考慮すると、特定の人々やその集団全体に不利益や不利な取り扱いをもたらす可能性がある。したがって、たとえば在宅勤務環境やオンライン学習、遠隔学習における感情認識の適用も、禁止事項の範囲に含まれると考えられる。これは、採用選考や教育への応募のための感情認識の適用にも適用される。
Questions related to criterion 4 規準4に関連する質問
9. Can you describe AI systems used for emotion recognition in, or related to, areas of workplace? 9. 職場の領域で、または職場に関連する領域で、感情認識に使用される AI システムを説明できるか。
10. Can you describe AI systems used for emotion recognition in, or related to, education institutions? 10. 教育機関において、または教育機関に関連して、感情認識に用いられるAIシステムについて説明できるか。
11. What questions or need for clarification do you still have in the context of this prohibition regarding criterion 4? 11. 本禁止事項のうち、基準4に関して、まだ不明な点や明確化すべき点があるか。
Scope of the prohibition 禁止事項の範囲
26. Finally, it is important to emphasise the scope of prohibition F. The prohibition should not apply to the placing on the market, putting into service or use of AI systems intended to be used for medical or safety reasons. The recitals of the AI Act stress that these are AI systems used strictly for medical or safety reasons. For example, a system intended for therapeutical use. 26. 最後に、禁止事項Fの範囲について強調しておきたい。この禁止事項は、医療または安全のために使用されることを意図したAIシステムの上市、使用開始、使用には適用されるべきではない。AI法のリサイタルは、医療または安全上の理由で厳密に使用されるAIシステムであることを強調している。例えば、治療目的のシステムなどである。
Questions related to criterion 5 規準5に関連する質問
12. Can you describe an AI system for emotion recognition deployed in the areas of workplace or in education institutions for medical reasons? 12. 医療上の理由から、職場や教育機構で展開される感情認識AIシステムについて説明できるか。
13. How can AI systems for emotion recognition be deployed in the areas of workplace or in education institutions for safety reasons? Can you think of any examples? 13. 職場や教育機関において、安全面を考慮した感情認識AIシステムはどのように展開できるか。また、そのような事例を思いつくか。
14. What further questions or clarifications do you have about the scope of this prohibition? 14. この禁止事項の範囲について、さらに質問や説明があれば教えてほしい。
27. In conclusion, it is stressed that this document does not cover all aspects of the prohibition. Therefore, interested parties are expressly invited to provide relevant input, also outside the questions asked, for further clarification of prohibition F. 27. 結論として、この文書は禁止事項のすべての側面を網羅しているわけではないことを強調する。したがって、利害関係者は、禁止事項Fのさらなる明確化のため、質問以外の関連する意見を提供するよう明示的に要請される。
Concluding questions 締めくくりの質問
15. Apart from the questions posed, is there any relevant input that you would like to provide for the further clarification of prohibition F? 15. 提示された質問以外に、禁止事項Fの更なる明確化のために提供したい関連するインプットはあるか？
16. Do you think it is desirable that we explicitly mention your organisation or group in our public response and appreciation to this call for input, e.g. so that we can discuss examples and considerations that you provide? 16. この意見募集に対する私たちの公的な回答および謝辞の中で、あなたの組織または団体について明示的に言及することが望ましいと思われるか。
Annex: overview of prohibitions from Article 5, paragraph 1 of the AI Act 2024/1689 附属書：AI法2024/1689第5条第1項による禁止事項の概要
Prohibition A: Certain manipulative AI systems 禁止事項A： ある種の操作的なAIシステム
AI systems that deploy subliminal techniques beyond a person’s consciousness or purposefully manipulative or deceptive techniques, with the objective, or the effect of materially distorting the behaviour of a person or a group of persons by appreciably impairing their ability to make an informed decision, thereby causing them to take a decision that they would not have otherwise taken in a manner that causes or is reasonably likely to cause that person, another person or group of persons significant harm. 人の意識を超えたサブリミナル的な技法、または意図的に操作的もしくは欺瞞的な技法を展開するAIシステムであって、その目的または効果が、十分な情報に基づいた意思決定を行う能力を著しく損なうことによって、人または人の集団の行動を実質的に歪め、それによって、その人、他の人または人の集団に重大な危害をもたらす、またはもたらす可能性が合理的に高い方法で、他の方法では行わなかったであろう意思決定を行わせるもの。
Prohibition B: Certain exploitative AI systems 禁止事項B：特定の搾取的AIシステム
AI systems that exploit any of the vulnerabilities of a natural person or a specific group of persons due to their age, disability or a specific social or economic situation, with the objective, or the effect, of materially distorting the behaviour of that person or a person belonging to that group in a manner that causes or is reasonably likely to cause that person or another person significant harm. 自然人または特定の集団の年齢、障害または特定の社会的もしくは経済的状況に起因する脆弱性を悪用するAIシステムであって、その人またはその集団に属する人の行動を、その人またはその集団に属する人に重大な危害をもたらすか、またはもたらす可能性が合理的に高い方法で、実質的に歪めることを目的とし、またはその効果を有するもの。
Prohibition C: Certain AI systems for social scoring 禁止事項C：社会的スコアリングのための特定のAIシステム
AI systems for the evaluation or classification of natural persons or groups of persons over a certain period of time based on their social behaviour or known, inferred or predicted personal or personality characteristics, with the social score leading to either or both of the following: 自然人または集団の社会的行動または既知、推論もしくは予測される個人的もしくは人格的特性に基づいて、一定期間にわたって評価または分類するためのAIシステムであって、社会的スコアが以下のいずれかまたは両方につながるもの：
• detrimental or unfavourable treatment of certain natural persons or groups of persons in social contexts that are unrelated to the contexts in which the data was originally generated or collected; •  データが元々生成または収集された文脈とは無関係な社会的文脈において、特定の自然人または集団が不利益または不利な扱いを受けること；
• detrimental or unfavourable treatment of certain natural persons or groups of persons that is unjustified or disproportionate to their social behaviour or its gravity. •  社会的行動またはその重大性に不当または不釣り合いな,特定の自然人または集団に対する不利益または不利な取り扱い。
Prohibition D: Certain AI systems for predictive policing 禁止事項D：予測的取り締まりのための特定のAIシステム
AI systems for making risk assessments of natural persons in order to assess or predict the risk of a natural person committing a criminal offence, based solely on the profiling of a natural person or on assessing their personality traits and characteristics; this prohibition shall not apply to AI systems used to support the human assessment of the involvement of a person in a criminal activity, which is already based on objective and verifiable facts directly linked to a criminal activity. 自然人が犯罪を犯すリスクを評価または予測するために、自然人のプロファイリングまたは人格的特徴および特性の評価のみに基づいて、自然人のリスクアセスメントを行うためのAIシステム。この禁止は、犯罪活動に直接関連する客観的かつ検証可能な事実に既に基づいている、犯罪活動への人の関与に関する人間の評価を支援するために使用されるAIシステムには適用されない。
Prohibition E: Untargeted scraping of facial images 禁止事項E．顔画像の非対象スクレイピング
AI systems that create or expand facial recognition databases through the untargeted scraping of facial images from the internet or CCTV footage. インターネットやCCTV映像から顔画像を非対象にスクレイピングすることにより、顔認識データベースを作成または拡張するAIシステム。
Prohibition F: Certain AI systems for emotion recognition in the workplace or in education 禁止事項F：職場や教育機関における感情認識のための特定のAIシステム
AI systems that infer emotions of a natural person in the areas of workplace and education institutions, except where the use of the AI system is intended to be put in place or into the market for medical or safety reasons. 職場や教育機構の分野における自然人の感情を推論するAIシステム。ただし、医療上または安全上の理由からAIシステムの導入または市場投入が意図されている場合を除く。
Prohibition G: Certain AI systems for biometric categorisation of persons 禁止事項G：人物の生体データ分類のための特定のAIシステム
AI systems for biometric categorisation that categorise individually natural persons based on their biometric data to deduce or infer their race, political opinions, trade union membership, religious or philosophical beliefs, sex life or sexual orientation; this prohibition does not cover any labelling or filtering of lawfully acquired biometric datasets, such as images, based on biometric data or categorising of biometric data in the area of law enforcement. 人種、政治的意見、労働組合員、宗教的または哲学的信条、性生活または性的指向を推測または推論するために、生体データに基づいて個々の自然人を分類する生体データ分類のためのAIシステム。この禁止は、合法的に取得された生体データセット（画像など）を生体データに基づいてラベリングまたはフィルタリングしたり、法執行の分野で生体データを分類したりすることは対象としない。
Prohibition H: Certain AI systems for real-time remote biometric identification in publicly accessible spaces for purpose of law enforcement 禁止事項H：法執行を目的とした、一般にアクセス可能な空間におけるリアルタイムの遠隔バイオメトリッ ク識別のための特定のAIシステム
AI-systems used for of ‘real-time’ remote biometric identification systems in publicly accessible spaces for the purpose of law enforcement, unless and in so far as such use is strictly necessary for one of the following objectives: 法執行を目的とした、一般にアクセス可能な空間における「リアルタイムの」遠隔バイオメトリッ ク識別システムのために使用されるAIシステムは、そのような使用が以下のいずれかの目的の ために厳密に必要である場合を除く：
• the targeted search for specific victims of abduction, trafficking in human beings or sexual exploitation of human beings, as well as the search for missing persons; • 誘拐,人身売買,性的搾取の特定の被害者,および行方不明者の捜索。
• the prevention of a specific, substantial and imminent threat to the life or physical safety of natural persons or a genuine and present or genuine and foreseeable threat of a terrorist attack; • 自然人の生命または身体の安全に対する特定の、実質的かつ差し迫った脅威、または真正かつ現在の、または真正かつ予見可能なテロ攻撃の脅威の防止；
• the localisation or identification of a person suspected of having committed a criminal offence, for the purpose of conducting a criminal investigation or prosecution or executing a criminal penalty for offences referred to in Annex II and punishable in the Member State concerned by a custodial sentence or a detention order for a maximum period of at least four years. • 附属書IIに規定され,かつ,当該加盟国において少なくとも4年の拘禁刑または拘禁令によって処罰される犯罪について,犯罪捜査または訴追を行い,または刑事罰を執行する目的で,犯罪を犯したと疑われる者を特定または識別すること。
Point (h) of the first subparagraph is without prejudice to Article 9 of Regulation (EU) 2016/679 for the processing of biometric data for purposes other than law enforcement. 第1号の(h)点は、法執行以外の目的での生体データの処理に関する規則(EU)2016/679の第9条を損なうものではない。

 

 

 

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.10.30 オランダ 会計検査院 政府はAIのリスクアセスメントをほとんど実施していない...

・2024.10.18 オランダ AI利用ガイド (2024.10.16)

・2024.09.29 オランダ データ保護局 意見募集 「操作的欺瞞的、搾取的なAIシステム」

・2024.09.05 オランダ データ保護局 顔認識のための違法なデータ収集でClearviewに3,050万ユーロ（48.5億円）

・2024.08.28 オランダ データ保護局 ドライバーデータの米国への転送を理由にUberに2億9000万ユーロ（467億円）の罰金

・2024.08.12 オランダ データ保護局が注意喚起：AIチャットボットの使用はデータ漏洩につながる可能性がある

・2024.08.11 オランダ AI影響アセスメント (2023.03.02)

・2024.08.05 欧州AI法が施行された... (2024.08.01)

 

 

2024.11.08 00:39 in 情報セキュリティ / サイバーセキュリティ, in リンク, in 個人情報保護 / プライバシー, in フォレンジック, in 内部統制 / リスクマネジメント, in ロボット, in 危機管理 / 事業継続, in パブコメ, in IoT, in AI/Deep Learning, in 安全保障 | | Comments (0)

2024.11.05

米国 ODNI FBI CISA ロシアによる選挙介入工作に関する共同声明

こんにちは、丸山満彦です。

大統領選挙も目前...トランプ、ハリスとの争いは両者拮抗し、どちらになるんだろう...という感じですが、故に、外国勢力による干渉は気になりますよね...

国家情報長官室（ODNI）、連邦捜査局（FBI）、サイバーセキュリティ・インフラ保護庁（CISA）は、ロシアの選挙への干渉について声明をだしていますね...(^^)

● ODNI

・2024.11.01 Joint ODNI, FBI, and CISA Statement on Russian Election Influence Efforts

Joint ODNI, FBI, and CISA Statement on Russian Election Influence Efforts ロシアによる選挙介入工作に関する ODNI、FBI、CISA の共同声明
WASHINGTON, D.C. - Today, the Office of the Director of National Intelligence (ODNI), the Federal Bureau of Investigation (FBI), and the Cybersecurity and Infrastructure Security Agency (CISA) released the following statement: ワシントンD.C. - 本日、国家情報長官室（ODNI）、連邦捜査局（FBI）、サイバーセキュリティ・インフラ保護庁（CISA）は以下の声明を発表した。
“The IC assesses that Russian influence actors manufactured a recent video that falsely depicted individuals claiming to be from Haiti and voting illegally in multiple counties in Georgia. This judgment is based on information available to the IC and prior activities of other Russian influence actors, including videos and other disinformation activities. The Georgia Secretary of State has already refuted the video’s claims as false. 「情報コミュニティ（IC）は、ロシアの工作員が、ジョージア州の複数の郡でハイチ出身を名乗り不正に投票していると虚偽の内容を述べている個人を描写した最近の動画を制作したと評価している。この判断は、ICが入手した情報および他のロシアの影響工作活動家による過去の活動（動画やその他の偽情報活動を含む）に基づいている。ジョージア州務長官はすでに、この動画の主張を虚偽であると反論している。
Russian influence actors also manufactured a video falsely accusing an individual associated with the Democratic presidential ticket of taking a bribe from a U.S. entertainer. ロシアの影響工作活動家は、米国人エンターテイナーから賄賂を受け取ったとして、民主党の大統領候補と関連のある人物を偽って非難する動画も作成している。
This Russian activity is part of Moscow’s broader effort to raise unfounded questions about the integrity of the US election and stoke divisions among Americans, as detailed in prior ODNI election updates. In the lead up to election day and in the weeks and months after, the IC expects Russia to create and release additional media content that seeks to undermine trust in the integrity of the election and divide Americans.” このロシアの活動は、米国の選挙の信頼性について根拠のない疑問を提起し、米国内の分裂を煽るという、モスクワのより広範な取り組みの一環である。これは、ODNIの選挙に関するこれまでの最新情報で詳しく説明されている。ICは、選挙当日とその数週間後、数か月後にかけて、ロシアが選挙の信頼性を損ない、米国内の分裂を煽ることを目的とした新たなメディアコンテンツを作成し、公開するものと予想している。

 

1_20241104223601

2024.11.05 00:00 in リンク, in フォレンジック, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in IoT, in AI/Deep Learning | | Comments (0)

2024.09.22

中国 AI安全ガバナンスフレームワーク(V1.0) (2024.09.09)

こんにちは、丸山満彦です。

中国が、AI安全ガバナンスフレームワーク(V1.0)を公表していますね。。。中国語版と英語版を策定していますね...

中国もAIの開発に力を入れていますが、同時にその標準にも力をいれていますね...

 

● 中央网络安全和信息化委员会办公室 (Cyberspace Administration of China: CAC)

・2024.09.09 《人工智能安全治理框架》1.0版发布

 

《人工智能安全治理框架》1.0版发布 「人工知能セキュリティガバナンスフレームワーク」バージョン1.0がリリースされた
9月9日，在2024年国家网络安全宣传周主论坛上，全国网络安全标准化技术委员会（以下简称“网安标委”）发布《人工智能安全治理框架》1.0版。 9月9日、2024年国家サイバーセキュリティ意識向上週間のメインフォーラムにおいて、国家サイバーセキュリティ標準化技術委員会(以下、「サイバーセキュリティ標準化委員会」と略す)は、「人工知能セキュリティガバナンスフレームワーク」のバージョン1.0をリリースした。
贯彻落实《全球人工智能治理倡议》，网安标委研究制定了《人工智能安全治理框架》（以下简称《框架》）。《框架》以鼓励人工智能创新发展为第一要务，以有效防范化解人工智能安全风险为出发点和落脚点，提出了包容审慎、确保安全，风险导向、敏捷治理，技管结合、协同应对，开放合作、共治共享等人工智能安全治理的原则。《框架》按照风险管理的理念，紧密结合人工智能技术特性，分析人工智能风险来源和表现形式，针对模型算法安全、数据安全和系统安全等内生安全风险和网络域、现实域、认知域、伦理域等应用安全风险，提出相应技术应对和综合防治措施，以及人工智能安全开发应用指引。 国家ネットワークセキュリティ標準化技術委員会(以下「ネットワークセキュリティ標準化委員会」)は、グローバル人工知能ガバナンスイニシアティブを実施するために、「人工知能セキュリティガバナンスフレームワーク」(以下「フレームワーク」)を研究・策定した。フレームワークの第一の優先事項は、人工知能の革新的な発展を促すことであり、その出発点と最終目標は、人工知能のセキュリティリスクを効果的に防止・解決することである。同フレームワークは、包括的かつ慎重なガバナンスの原則を提案し、安全性を確保し、リスク志向で機敏なガバナンスを行い、技術的および管理的なアプローチを組み合わせ、協調的に対応し、共同ガバナンスと共有のためのオープンな協力を提案している。 このフレームワークは、リスク管理の概念に則り、人工知能の技術的特性と密接に連携しながら、人工知能のリスクの発生源と現れ方を分析している。モデルアルゴリズムのセキュリティ、データセキュリティ、システムセキュリティなどの内在的なセキュリティリスク、およびサイバー、物理、認知、倫理の各領域におけるアプリケーションのセキュリティリスクに対応する技術的対応策と包括的な予防・管理措置を提案している。また、人工知能の安全な開発と応用に関するガイドラインも提供している。
网安标委秘书处主要负责人表示，《框架》1.0版的发布，对推动社会各方积极参与、协同推进人工智能安全治理具有重要促进作用，为培育安全、可靠、公平、透明的人工智能技术研发和应用生态，促进人工智能的健康发展和规范应用，提供了基础性、框架性技术指南。同时，也有助于在全球范围推动人工智能安全治理国际合作，推动形成具有广泛共识的全球人工智能治理体系，确保人工智能技术造福于人类。 ネットワークセキュリティ標準化委員会事務局の主要担当者は、フレームワークのバージョン1.0のリリースは、社会の各当事者の積極的な参加とAIセキュリティガバナンスの協調的な推進を促進する上で重要な役割を果たし、安全で信頼性が高く、公平かつ透明性の高いAI技術の研究開発と応用のためのエコシステムを育成し、AIの健全な発展と規範的な応用を促進するための基本的な枠組み技術ガイドラインを提供すると述べた。また、AIセキュリティガバナンスに関する国際協力のグローバルな推進にも役立ち、幅広い合意に基づくグローバルなAIガバナンスシステムの形成を促進し、AI技術が人類に恩恵をもたらすことを確実にする。

 

・[PDF] 人工智能安全治理框架

20240921-32507

 

 

・[PDF] AI Safety Governance Framework (V1.0)

20240921-32341

 

 

目次...

1. Principles for AI safety governance 1. AI安全ガバナンスの原則
2. Framework for AI safety governance 2. AI安全ガバナンスの枠組み
3. Classification of AI safety risks 3. AIの安全リスクの分類
3.1 AI's inherent safety risks 3.1 AIに内在する安全リスク
3.2 Safety risks in AI applications 3.2 AIの応用における安全リスク
4. Technological measures to address risks 4. リスクに対処するための技術的対策
4.1 Addressing AI’s inherent safety risks 4.1 AIに内在する安全リスクへの対応
4.2 Addressing safety risks in AI applications 4.2 AIアプリケーションにおける安全リスクへの対応
5. Comprehensive governance measures 5. 包括的なガバナンス対策
6. Safety guidelines for AI development and application 6. AIの開発と応用における安全ガイドライン
6.1 Safety guidelines for model algorithm developers 6.1 モデルアルゴリズム開発者向け安全ガイドライン
6.2 Safety guidelines for AI service providers 6.2 AIサービスプロバイダのための安全ガイドライン
6.3 Safety guidelines for users in key areas 6.3 重点分野における利用者向け安全ガイドライン
6.4 Safety guidelines for general users 6.4 一般ユーザー向け安全ガイドライン

 

 

 

 

AI Safety Governance Framework (V1.0) AI安全ガバナンスフレームワーク(V1.0)
Artificial Intelligence (AI), a new area of human development, presents significant opportunities to the world while posing various risks and challenges. Upholding a people-centered approach and adhering to the principle of developing AI for good, this framework has been formulated to implement the Global AI Governance Initiative and promote consensus and coordinated efforts on AI safety governance among governments, international organizations, companies, research institutes, civil organizations, and individuals, aiming to effectively prevent and defuse AI safety risks. 人類の新たな発展分野である人工知能(AI)は、世界に大きな機会をもたらす一方で、さまざまなリスクや課題も提起している。本フレームワークは、人間中心のアプローチを堅持し、AIを善のために発展させるという原則に則り、グローバルAIガバナンスイニシアティブを実施し、政府、国際機構、企業、研究機構、市民機構、個人間のAI安全ガバナンスに関するコンセンサスと協調的な取り組みを促進し、AIの安全リスクを効果的に防止・緩和することを目的として策定された。
1. Principles for AI safety governance 1. AI安全ガバナンスの原則
• Commit to a vision of common, comprehensive, cooperative, and sustainable security while putting equal emphasis on development and security • 開発と安全の両方に等しく重点を置きつつ、共通、包括的、協調的、持続可能なセキュリティというビジョンを追求する
• Prioritize the innovative development of AI • AIの革新的な発展を優先する
• Take effectively preventing and defusing AI safety risks as the starting point and ultimate goal  • AIの安全リスクの有効な防止と緩和を起点とし、究極の目標とする
• Establish governance mechanisms that engage all stakeholders, integrate technology and management, and ensure coordinated efforts and collaboration among them • すべてのステークホルダーを巻き込み、技術と管理を統合し、それらの協調と協力を確保するガバナンスメカニズムを構築する
• Ensure that all parties involved fully shoulder their responsibilities for AI safety • 関係するすべての当事者がAIの安全に対する責任を完全に担うことを確保する
• Create a whole-process, all-element governance chain • すべてのプロセス、すべての要素のガバナンスチェーンを構築する ガバナンスの連鎖を構築する
• Foster a safe, reliable, equitable, and transparent AI for the technical research, development, and application • 技術研究、開発、応用における安全で信頼性が高く、公平で透明性の高いAIを促進する
• Promote the healthy development and regulated application of AI • AIの健全な発展と規範的な応用を促進する
• Effectively safeguard national sovereignty, security and development interests • 国家の主権、安全、発展利益を効果的に保護する
• Protect the legitimate rights and interests of citizens, legal persons and other organizations • 国民、法人、その他の組織の正当な権利と利益を防御する
• Guarantee that AI technology benefits humanity • AI技術が人類に恩恵をもたらすことを保証する
1.1 Be inclusive and prudent to ensure safety 1.1 包括的かつ慎重に安全性を確保する
We encourage development and innovation and take an inclusive approach to AI research, development, and application. We make every effort to ensure AI safety, and will take timely measures to address any risks that threaten national security, harm the public interest, or infringe upon the legitimate rights and interests of individuals. AIの研究、開発、応用において、開発とイノベーションを奨励し、包括的なアプローチを取る。AIの安全性を確保するためにあらゆる努力を払い、国家安全保障を脅かし、公益を損ない、個人の正当な権利と利益を侵害するリスクに対しては、適時に対策を講じる。
1.2 Identify risks with agile governance 1.2 機敏なガバナンスによるリスクの識別
By closely tracking trends in AI research, development, and application, we identify AI safety risks from two perspectives: the technology itself and its application. We propose tailored preventive measures to mitigate these risks. We follow the evolution of safety risks, swiftly adjusting our governance measures as needed. We are committed to improving the governance mechanisms and methods while promptly responding to issues warranting government oversight.  AIの研究、開発、応用に関する動向を注視し、技術そのものとその応用の2つの観点からAIの安全リスクを識別する。 これらのリスクを低減するための個別にカスタマイズされた予防策を提案する。 安全リスクの進化を追跡し、必要に応じてガバナンス対策を迅速に調整する。 ガバナンスの仕組みと手法の改善に努めるとともに、政府の監督が必要な問題には迅速に対応する。
1.3 Integrate technology and management for coordinated response 1.3 技術とマネジメントを統合し、協調的な対応を実現する
We adopt a comprehensive safety governance approach that integrates technology and management to prevent and address various safety risks throughout the entire process of AI research, development, and application. Within the AI research, development, and application chain, it is essential to ensure that all relevant parties, including model and algorithm researchers and developers, service providers, and users, assume their respective responsibilities for AI safety. This approach well leverages the roles of governance mechanisms involving government oversight, industry selfregulation, and public scrutiny. AIの研究、開発、応用の全プロセスにおいて、さまざまな安全リスクを防止し、対処するために、技術とマネジメントを統合した包括的な安全ガバナンスのアプローチを採用する。AIの研究、開発、応用の連鎖において、モデルやアルゴリズムの研究者や開発者、サービス・プロバイダー、ユーザーなど、すべての関係者がAIの安全性に対してそれぞれの責任を担うことが不可欠である。このアプローチは、政府の監督、業界の自主規制、および公的監視を含むガバナンスメカニズムの役割を十分に活用する。
1.4 Promote openness and cooperation for joint governance and shared benefits 1.4 共同ガバナンスと利益共有のための開放性と協調の促進
We promote international cooperation on AI safety governance, with the best practices shared worldwide. We advocate establishing open platforms and advance efforts to build broad consensus on a global AI governance system through dialogue and cooperation across various disciplines, fields, regions, and nations. 我々は、AIの安全性ガバナンスに関する国際協力を推進し、ベストプラクティスを世界中で共有する。我々は、オープンなプラットフォームの構築を提唱し、さまざまな分野、領域、地域、国々における対話と協力を通じて、グローバルなAIガバナンスシステムに関する幅広い合意形成に向けた取り組みを推進する。
2. Framework for AI safety governance 2. AI安全ガバナンスの枠組み
Based on the notion of risk management, this framework outlines control measures to address different types of AI safety risks through technological and managerial strategies. As AI research, development, and application rapidly evolves, leading to changes in the forms, impacts, and our perception of safety risks, it is necessary to continuously update control measures, and invite all stakeholders to refine the governance framework. リスクマネジメントの考え方に基づき、この枠組みでは、技術的および経営的な戦略を通じて、さまざまなAI安全リスクに対処するための管理対策の概要を示している。AIの研究、開発、応用が急速に進展し、安全リスクの形態、影響、および我々の安全リスクに対する認識が変化するにつれ、管理対策を継続的に更新し、すべてのステークホルダーを招いてガバナンスの枠組みを改善していく必要がある。
2.1 Safety and security risks 2.1 安全・セキュリティリスク
By examining the characteristics of AI technology and its application scenarios across various industries and fields, we pinpoint safety and security risks and potential dangers that are inherently linked to the technology itself and its application. AI技術の特性と、さまざまな産業・分野における適用シナリオを検討し、技術そのものやその適用に内在する安全・セキュリティリスクや潜在的な危険性を特定する。
2.2 Technical countermeasures 2.2 技術的対策
Regarding models and algorithms, training data, computing facilities, products and services, and application scenarios, we propose targeted technical measures to improve the safety, fairness, reliability, and robustness of AI products and applications. These measures include secure software development, data quality improvement, construction and operations security enhancement, and conducting evaluation, monitoring, and reinforcement activities. モデルやアルゴリズム、学習データ、計算設備、製品・サービス、適用シナリオなどについて、AI製品やアプリケーションの安全性、公平性、信頼性、堅牢性を向上させるための技術的対策を提案する。これらの対策には、セキュアなソフトウェア開発、データ品質の改善、構築と運用におけるセキュリティ強化、評価、監視、強化活動の実施などが含まれる。
2.3 Comprehensive governance measures 2.3 包括的なガバナンス対策
In accordance with the principle of coordinated efforts and joint governance, we clarify the measures that all stakeholders, including technology research institutions, product and service providers, users, government agencies, industry associations, and social organizations, should take to identify, prevent, and respond to AI safety risks.  協調と共同ガバナンスの原則に従い、技術研究機関、製品およびサービスプロバイダ、ユーザー、政府機関、業界団体、社会組織など、すべてのステークホルダーがAIの安全リスクを識別、防止、対応するために取るべき対策を明確にする。
2.4 Safety guidelines for AI development and application 2.4 AIの開発と応用における安全ガイドライン
We propose several safety guidelines for AI model and algorithm developers, AI service providers, users in key areas, and general users, to develop and apply AI technology.  AIモデルおよびアルゴリズムの開発者、AIサービスプロバイダ、主要分野の利用者、一般利用者がAI技術を開発・応用するにあたり、いくつかの安全ガイドラインを提案する。
3. Classification of AI safety risks 3. AIの安全リスクの分類
Safety risks exist at every stage throughout the AI chain, from system design to research and development (R&D), training, testing, deployment, utilization, and maintenance. These risks stem from inherent technical flaws as well as misuse, abuse, and malicious use of AI. 安全リスクは、システム設計から研究開発(R&D)、訓練、テスト、展開、利用、保守に至るまで、AIのチェーンのすべてのステージに存在する。これらのリスクは、AIに内在する技術的な欠陥や、AIの誤用、乱用、悪用に起因する。
3.1 AI's inherent safety risks 3.1 AIに内在する安全リスク
3.1.1 Risks from models and algorithms 3.1.1 モデルとアルゴリズムに起因するリスク
(a) Risks of explainability  (a) 説明可能性のリスク
AI algorithms, represented by deep learning, have complex internal workings. Their black-box or grey-box inference process results in unpredictable and untraceable outputs, making it challenging to quickly rectify them or trace their origins for accountability should any anomalies arise. ディープラーニングに代表されるAIアルゴリズムは、複雑な内部構造を持つ。ブラックボックスまたはグレイボックスの推論プロセスは、予測不可能で追跡不可能な出力を生み出すため、異常が発生した場合に迅速に修正したり、説明責任を果たすために原因を追跡したりすることが困難になる。
(b) Risks of bias and discrimination (b) バイアスおよび差別のリスク
During the algorithm design and training process, personal biases may be introduced, either intentionally or unintentionally. Additionally, poor-quality datasets can lead to biased or discriminatory outcomes in the algorithm's design and outputs, including discriminatory content regarding ethnicity, religion, nationality and region. アルゴリズムの設計およびトレーニングの過程において、意図的または非意図的に個人のバイアスが導入される可能性がある。さらに、品質の低いデータセットは、アルゴリズムの設計および出力において、人種、宗教、国籍、地域に関する識別的なコンテンツを含む、バイアスまたは差別的な結果につながる可能性がある。
(c) Risks of robustness (c) 頑健性のリスク
As deep neural networks are normally non-linear and large in size, AI systems are susceptible to complex and changing operational environments or malicious interference and inductions, possibly leading to various problems like reduced performance and decision-making errors. ディープニューラルネットワークは通常、非線形かつ規模が大きいため、AIシステムは複雑かつ変化する運用環境や悪意のある干渉や誘導の影響を受けやすく、パフォーマンスの低下や意思決定エラーなどのさまざまな問題につながる可能性がある。
(d) Risks of stealing and tampering (d) 盗用や改ざんのリスク
Core algorithm information, including parameters, structures, and functions, faces risks of inversion attacks, stealing, modification, and even backdoor injection, which can lead to infringement of intellectual property rights (IPR) and leakage of business secrets. It can also lead to unreliable inference, wrong decision output and even operational failures. パラメータ、構造、機能などのコアアルゴリズム情報は、逆アタック、盗用、改ざん、さらにはバックドアの挿入のリスクにさらされており、知的財産権(IPR)の侵害や企業秘密の漏洩につながる可能性がある。また、信頼性の低い推論、誤った判断結果、さらには運用上の障害につながる可能性もある。
(e) Risks of unreliable output (e) 信頼性の低い出力のリスク
Generative AI can cause hallucinations, meaning that an AI model generates untruthful or unreasonable content, but presents it as if it were a fact, leading to biased and misleading information. 生成的AIは幻覚を引き起こす可能性があり、つまりAIモデルが真実ではない、または非合理的なコンテンツを生成し、あたかもそれが事実であるかのように提示することで、偏った誤解を招く情報につながる。
(f) Risks of adversarial attack (f) 敵対的攻撃のリスク
Attackers can craft well-designed adversarial examples to subtly mislead, influence and even manipulate AI models, causing incorrect outputs and potentially leading to operational failures. 攻撃者は、AIモデルを巧妙に欺き、影響を与え、場合によっては操作する巧妙に設計された敵対的サンプルを作成することができ、不正な出力を引き起こし、運用上の障害につながる可能性がある。
3.1.2 Risks from data 3.1.2 データに起因するリスク
(a)Risks of illegal collection and use of data (a) データの違法な収集と利用のリスク
The collection of AI training data and the interaction with users during service provision pose security risks, including collecting data without consent and improper use of data and personal information. AIの学習データの収集やサービス提供時のユーザーとのやりとりには、同意なしのデータ収集や、データや個人情報の不適切な利用など、セキュリティ上のリスクが伴う。
(b)Risks of improper content and poisoning in training data (b) 学習データにおける不適切なコンテンツやポイズニングのリスク
If the training data includes illegal or harmful information like false, biased and IPR-infringing content, or lacks diversity in its sources, the output may include harmful content like illegal, malicious, or extreme information. Training data is also at risk of being poisoned from tampering, error injection, or misleading actions by attackers. This can interfere with the model's probability distribution, reducing its accuracy and reliability. 学習データに虚偽、バイアス、知的財産権侵害などの違法または有害な情報が含まれていたり、ソースに多様性が欠けていたりすると、出力に違法、悪意のある、極端な情報などの有害なコンテンツが含まれる可能性がある。また、トレーニングデータは、攻撃者による改ざん、エラーの注入、誤解を招く行為などによってポイズニングされるリスクもある。これにより、モデルの確率分布が妨げられ、その精度と信頼性が低下する可能性がある。
(c)Risks of unregulated training data annotation (c) 規制されていないトレーニングデータ・アノテーションのリスク
Issues with training data annotation, such as incomplete annotation guidelines, incapable annotators, and errors in annotation, can affect the accuracy, reliability, and effectiveness of models and algorithms. Moreover, they can introduce training biases, amplify discrimination, reduce generalization abilities, and result in incorrect outputs. トレーニングデータ・アノテーションに関する問題、例えば、不完全なアノテーションガイドライン、アノテーターの能力不足、アノテーションのエラーなどは、モデルやアルゴリズムの精度、信頼性、有効性に影響を与える可能性がある。さらに、学習バイアスが生じたり、識別性が強まったり、汎化能力が低下したりして、誤った出力結果につながる可能性もある。
(d) Risks of data leakage  (d) データ漏洩のリスク
In AI research, development, and applications, issues such as improper data processing, unauthorized access, malicious attacks, and deceptive interactions can lead to data and personal information leaks.  AIの研究、開発、応用において、不適切なデータ処理、不正アクセス、悪意ある攻撃、欺瞞的なやりとりなどの問題は、データや個人情報の漏洩につながる可能性がある。
3.1.3 Risks from AI systems 3.1.3 AIシステムがもたらすリスク
(a)Risks of exploitation through defects and backdoors (a) 欠陥やバックドアによる悪用リスク
The standardized API, feature libraries, toolkits used in the design, training, and verification stages of AI algorithms and models, development interfaces, and execution platforms, may contain logical flaws and vulnerabilities. These weaknesses can be exploited, and in some cases, backdoors can be intentionally embedded, posing significant risks of being triggered and used for attacks. AIアルゴリズムやモデルの設計、訓練、検証段階で使用される標準化されたAPI、機能ライブラリ、ツールキット、開発インターフェース、実行プラットフォームには、論理的な欠陥や脆弱性が含まれている可能性がある。これらの弱点が悪用される可能性があり、場合によっては意図的にバックドアが仕掛けられることもあり、攻撃の引き金となり悪用されるリスクが大きい。
(b) Risks of computing infrastructure security  (b) コンピューティングインフラのセキュリティリスク
The computing infrastructure underpinning AI training and operations, which relies on diverse and ubiquitous computing nodes and various types of computing resources, faces risks such as malicious consumption of computing resources and cross-boundary transmission of security threats at the layer of computing infrastructure. AIのトレーニングと運用を支えるコンピューティングインフラは、多様かつユビキタスなコンピューティングノードとさまざまな種類のコンピューティングリソースに依存しているため、コンピューティングインフラのレイヤーにおいて、コンピューティングリソースの悪用やセキュリティ脅威の境界を越えた伝播などのリスクに直面している。
(c) Risks of supply chain security (c) サプライチェーンセキュリティのリスク
The AI industry relies on a highly globalized supply chain. However, certain countries may use unilateral coercive measures, such as technology barriers and export restrictions, to create development obstacles and maliciously disrupt the global AI supply chain. This can lead to significant risks of supply disruptions for chips, software, and tools. AI産業は高度にグローバル化されたサプライチェーンに依存している。しかし、一部の国が技術障壁や輸出規制などの一方的な強制措置を用いて開発上の障害を作り出し、グローバルなAIサプライチェーンを悪意を持って混乱させる可能性がある。これにより、チップ、ソフトウェア、ツールの供給が中断される重大なリスクが生じる可能性がある。
3.2 Safety risks in AI applications 3.2 AIアプリケーションにおける安全リスク
3.2.1 Cyberspace risks 3.2.1 サイバー空間におけるリスク
(a) Risks of information and content safety (a) 情報およびコンテンツの安全性に関するリスク
AI-generated or synthesized content can lead to the spread of false information, discrimination and bias, privacy leakage, and infringement issues, threatening the safety of citizens' lives and property, national security, ideological security, and causing ethical risks. If users’ inputs contain harmful content, the model may output illegal or damaging information without robust security mechanisms. AIが生成または合成したコンテンツは、誤った情報の拡散、差別やバイアス、プライバシー漏洩、権利侵害問題につながり、市民の生命や財産の安全、国家安全保障、イデオロギー上の安全を脅かし、倫理上のリスクを引き起こす可能性がある。ユーザーの入力に有害なコンテンツが含まれている場合、強固なセキュリティメカニズムがなければ、モデルが違法または有害な情報を出力する可能性がある。
(b) Risks of confusing facts, misleading users, and bypassing authentication (b) 事実の混同、ユーザーの誤解、認証の回避に関するリスク
AI systems and their outputs, if not clearly labeled, can make it difficult for users to discern whether they are interacting with AI and to identify the source of generated content. This can impede users' ability to determine the authenticity of information, leading to misjudgment and misunderstanding. Additionally, AI-generated highly realistic images, audio, and videos may circumvent existing identity verification mechanisms, such as facial recognition and voice recognition, rendering these authentication processes ineffective. AIシステムおよびその出力は、明確にラベル付けされていない場合、ユーザーがAIとやりとりしているのか、生成されたコンテンツのソースを識別しているのかを区別することが困難になる可能性がある。これにより、ユーザーが情報の真正性を判断する能力が妨げられ、誤った判断や誤解につながる可能性がある。さらに、AIが生成する極めて現実的な画像、音声、動画は、顔認識や音声認識などの既存の本人確認メカニズムを回避し、これらの認証プロセスを無効にしてしまう可能性がある。
(c) Risks of information leakage due to improper usage (c) 不適切な利用による情報漏洩のリスク
Staff of government agencies and enterprises, if failing to use the AI service in a regulated and proper manner, may input internal data and industrial information into the AI model, leading to leakage of work secrets, business secrets and other sensitive business data. 政府機関やエンタープライズのスタッフがAIサービスを適切に管理せずに利用した場合、内部データや産業情報をAIモデルに入力し、業務上の秘密や企業秘密、その他の機密性の高い業務データの漏洩につながる可能性がある。
(d) Risks of abuse for cyberattacks (d) サイバー攻撃悪用リスク
AI can be used in launching automatic cyberattacks or increasing attack efficiency, including exploring and making use of vulnerabilities, cracking passwords, generating malicious codes, sending phishing emails, network scanning, and social engineering attacks. All these lower the threshold for cyberattacks and increase the difficulty of security protection.  AIは、自動サイバー攻撃の実行や攻撃効率の向上に利用される可能性があり、これには脆弱性の探索と利用、パスワードのクラッキング、悪意のあるコードの生成、フィッシングメールの送信、ネットワークスキャン、ソーシャルエンジニアリング攻撃などが含まれる。これらのすべてがサイバー攻撃の敷居を下げ、防御の難易度を高める。
(e) Risks of security flaw transmission caused by model reuse (e) モデルの再利用によるセキュリティ欠陥伝播リスク
Re-engineering or fine-tuning based on foundation models is commonly used in AI applications. If security flaws occur in foundation models, it will lead to risk transmission to downstream models.  基礎モデルに基づく再エンジニアリングや微調整は、AIの応用において一般的に使用されている。基礎モデルにセキュリティ欠陥が発生した場合、下流のモデルへのリスク伝播につながる。
3.2.2 Real-world risks  3.2.2 現実世界のリスク
(a)Inducing traditional economic and social security risks (a) 従来の経済・社会のセキュリティリスクを誘発
AI is used in finance, energy, telecommunications, traffic, and people's livelihoods, such as self-driving and smart diagnosis and treatment. Hallucinations and erroneous decisions of models and algorithms, along with issues such as system performance degradation, interruption, and loss of control caused by improper use or external attacks, will pose security threats to users' personal safety, property, and socioeconomic security and stability. AIは、金融、エネルギー、通信、交通、自動運転やスマート診断・治療などの人々の生活に利用されている。モデルやアルゴリズムの幻覚や誤った判断、不適切な使用や外部からの攻撃によるシステム性能の低下、中断、制御不能などの問題は、ユーザーの生命、財産、社会経済の安全と安定に対するセキュリティ上の脅威となる。
(b) Risks of using AI in illegal and criminal activities (b) 違法・犯罪行為におけるAI利用のリスク
AI can be used in traditional illegal or criminal activities related to terrorism, violence, gambling, and drugs, such as teaching criminal techniques, concealing illicit acts, and creating tools for illegal and criminal activities. AIは、犯罪技術の伝授、違法行為の隠蔽、違法・犯罪行為のためのツールの作成など、テロ、暴力、賭博、麻薬などに関連する伝統的な違法・犯罪行為に利用される可能性がある。
(c) Risks of misuse of dual-use items and technologies (c) デュアルユースの物品および技術の悪用リスク
Due to improper use or abuse, AI can pose serious risks to national security, economic security, and public health security, such as greatly reducing the capability requirements for non-experts to design, synthesize, acquire, and use nuclear, biological, and chemical weapons and missiles; designing cyber weapons that launch network attacks on a wide range of potential targets through methods like automatic vulnerability discovering and exploiting. 不適切な使用や乱用により、AIは、核兵器、生物兵器、化学兵器、ミサイルの設計、合成、取得、使用に必要な能力要件を大幅に低下させること、自動脆弱性発見や悪用などの手法により、幅広い潜在的な標的に対するネットワーク攻撃を仕掛けるサイバー兵器を設計することなど、国家安全保障、経済安全保障、公衆衛生安全保障に深刻なリスクをもたらす可能性がある。
3.2.3 Cognitive risks  3.2.3 認知リスク
(a) Risks of amplifying the effects of "information cocoons" (a) 「情報繭」の影響を増幅するリスク
AI can be extensively utilized for customized information services, collecting user information, and analyzing types of users, their needs, intentions, preferences, habits, and even mainstream public awareness over a certain period. It can then be used to offer formulaic and tailored information and service, aggravating the effects of "information cocoons." AIは、カスタマイズされた情報サービス、ユーザー情報の収集、ユーザーの種類、ニーズ、意図、好み、習慣、さらには一定期間における主流の国民意識の分析に広く利用できる。そして、定型化された情報やサービスを提供し、カスタマイズされた情報やサービスを提供することで、「情報繭」の効果をさらに高めることができる。
(b) Risks of usage in launching cognitive warfare (b) 認知戦への利用リスク
AI can be used to make and spread fake news, images, audio, and videos, propagate content of terrorism, extremism, and organized crimes, interfere in internal affairs of other countries, social systems, and social order, and jeopardize sovereignty of other countries. AI can shape public values and cognitive thinking with social media bots gaining discourse power and agenda-setting power in cyberspace.  AIは、偽のニュース、画像、音声、動画を作成・拡散し、テロリズム、過激主義、組織犯罪のコンテンツを拡散し、他国の内政、社会システム、社会秩序に干渉し、他国の主権を脅かすために利用される可能性がある。AIは、サイバー空間で言説力やアジェンダ設定力を獲得したソーシャルメディア・ボットによって、公共の価値観や認知思考を形成することができる。
3.2.4 Ethical risks  3.2.4 倫理的リスク
(a)Risks of exacerbating social discrimination and prejudice, and widening the intelligence divide (a) 社会の差別や偏見を助長し、情報格差を拡大するリスク
AI can be used to collect and analyze human behaviors, social status, economic status, and individual personalities, labeling and categorizing groups of people to treat them discriminatingly, thus causing systematical and structural social discrimination and prejudice. At the same time, the intelligence divide would be expanded among regions.  AIは、人間の行動、社会的な地位、経済的な地位、個人の性格を収集・分析し、人々を識別し、カテゴリー分けして、識別的に扱うために使用される可能性があり、それによって、組織的かつ構造的な社会の差別や偏見が生じる。同時に、地域間の知能格差も拡大するだろう。 
(b)Risks of challenging traditional social order (b)従来の社会秩序への挑戦のリスク
The development and application of AI may lead to tremendous changes in production tools and relations, accelerating the reconstruction of traditional industry modes, transforming traditional views on employment, fertility, and education, and bringing challenges to stable performance of traditional social order.  AIの開発と応用は、生産手段と生産関係に大きな変化をもたらし、従来の産業形態の再構築を加速し、雇用、出生率、教育に対する従来の考え方を変え、従来の社会秩序の安定した運営に挑戦をもたらす可能性がある。
(c)Risks of AI becoming uncontrollable in the future (c) 将来、AIが制御不能になるリスク
With the fast development of AI technologies, there is a risk of AI autonomously acquiring external resources, conducting self-replication, become self-aware, seeking for external power, and attempting to seize control from humans.  AI技術が急速に発展するにつれ、AIが外部リソースを自律的に獲得し、自己複製を行い、自己認識力を持ち、外部の力を求め、人間から制御権を奪おうとするリスクがある。
4. Technological measures to address risks  4. リスクへの技術的対応策
Responding to the above risks, AI developers, service providers, and system users should prevent risks by taking technological measures in the fields of training data, computing infrastructures, models and algorithms, product services, and application scenarios. 上記リスクへの対応として、AI開発者、サービスプロバイダ、システム利用者は、学習データ、コンピューティングインフラ、モデル・アルゴリズム、製品サービス、適用シナリオの各分野において、技術的対応策を講じることにより、リスクを防止すべきである。
4.1 Addressing AI’s inherent safety risks  4.1 AIに内在する安全性リスクへの対応
4.1.1 Addressing risks from models and algorithms 4.1.1 モデルとアルゴリズムのリスクへの対応
(a) Explainability and predictability of AI should be constantly improved to provide clear explanation for the internal structure, reasoning logic, technical interfaces, and output results of AI systems, accurately reflecting the process by which AI systems produce outcomes. (a) AIの説明可能性と予測可能性を常に改善し、AIシステムの内部構造、推論ロジック、技術的インターフェース、出力結果について明確な説明を提供し、AIシステムが結果を生成するプロセスを正確に反映する。
(b) Secure development standards should be established and implemented in the design, R&D, deployment, and maintenance processes to eliminate as many security flaws and discrimination tendencies in models and algorithms as possible and enhance robustness.  (b) 設計、研究開発、展開、保守の各プロセスにおいて、モデルやアルゴリズムにおけるセキュリティ上の欠陥や識別的傾向を可能な限り排除し、ロバスト性を向上させるための安全な開発標準を策定し、実施すべきである。
4.1.2 Addressing risks from data 4.1.2 データに関するリスクへの対応
(a) Security rules on data collection and usage, and on processing personal information should be abided by in all procedures of training data and user interaction data, including data collection, storage, usage, processing, transmission, provision, publication, and deletion. This aims to fully ensure user’s legitimate rights stipulated by laws and regulations, such as their rights to control, to be informed, and to choose. (a) データ収集および利用、ならびにパーソナルデータの処理に関するセキュリティ規則は、データ収集、保存、利用、処理、送信、提供、公開、削除など、学習データおよびユーザーインタラクションデータのすべての処理手順において遵守されるべきである。これは、ユーザーの合法的な権利、例えば、制御、通知、選択の権利など、法律および規則で規定された権利を完全に確保することを目的としている。
(b) Protection of IPR should be strengthened to prevent infringement on IPR in stages such as selecting training data and result outputs.  (b) 知的財産権の防御を強化し、訓練データの選択や結果出力などの段階で知的財産権の侵害を段階的に防止すべきである。
(c) Training data should be strictly selected to ensure exclusion of sensitive data in high-risk fields such as nuclear, biological, and chemical weapons and missiles.  (c) 訓練データは厳格に選択し、核兵器、生物兵器、化学兵器、ミサイルなどリスクの高い分野の機微なデータを排除すべきである。
(d) Data security management should be strengthened to comply with data security and personal information protection standards and regulations if training data contains sensitive personal information and important data. (d) 訓練データに機微な個人情報や重要なデータが含まれる場合は、データセキュリティと個人情報保護の標準および規則を遵守し、データセキュリティ管理を強化すべきである。
(e) To use truthful, precise, objective, and diverse training data from legitimate sources, and filter ineffective, wrong, and biased data in a timely manner. (e) 合法的な情報源から取得した、正確かつ客観的で多様な学習データを使用し、効果のないデータ、誤ったデータ、バイアスのかかったデータを適時にフィルタリングすること。
(f) The cross-border provision of AI services should comply with the regulations on cross-border data flow. The external provision of AI models and algorithms should comply with export control requirements.  (f) AIサービスの国境を越えた提供は、国境を越えたデータフローに関する規制を遵守すべきである。AIモデルおよびアルゴリズムの外部提供は、輸出管理要件を遵守すべきである。
4.1.3 Addressing risks from AI system 4.1.3 AIシステムにおけるリスクへの対応
(a) To properly disclose the principles, capacities, application scenarios, and safety risks of AI technologies and products, to clearly label outputs, and to constantly make AI systems more transparent.  (a) AI技術および製品の原則、能力、適用シナリオ、安全リスクを適切に開示し、アウトプットを明確にラベル付けし、AIシステムの透明性を常に高めること。
(b) To enhance the risk identification, detection, and mitigation of platforms where multiple AI models or systems congregate, so as to prevent malicious acts or attacks and invasions that target the platforms from impacting the AI models or systems they support.  (b) 複数のAIモデルまたはシステムが集まるプラットフォームにおけるリスクの特定、検知、低減を強化し、プラットフォームを標的とした悪意のある行為や攻撃、侵入が、それらがサポートするAIモデルやシステムに影響を及ぼすことを防ぐこと。
(c) To strengthen the capacity of constructing, managing, and operating AI computing platforms and AI system services safely, with an aim to ensure uninterrupted infrastructure operation and service provision.   (c) AIコンピューティングプラットフォームおよびAIシステムサービスを安全に構築、管理、運用する能力を強化し、インフラの運用とサービス提供を中断させないことを目指す。
(d) To fully consider the supply chain security of the chips, software, tools, computing infrastructure, and data sources adopted for AI systems. To track the vulnerabilities and flaws of both software and hardware products and make timely repair and reinforcement to ensure system security.   (d) AIシステムに採用されるチップ、ソフトウェア、ツール、コンピューティングインフラ、データソースのサプライチェーンセキュリティを十分に考慮する。ソフトウェアおよびハードウェア製品の脆弱性と欠陥を追跡し、システムセキュリティを確保するために、適時に修復と強化を行う。 
4.2 Addressing safety risks in AI applications 4.2 AIアプリケーションの安全リスクへの対応
4.2.1 Addressing cyberspace risks 4.2.1 サイバー空間リスクへの対応
(a) A security protection mechanism should be established to prevent model from being interfered and tampered during operation to ensure reliable outputs. (a) 信頼性の高い出力を確保するため、運用中にモデルが干渉や改ざんを受けないよう、セキュリティ防御メカニズムを構築すべきである。
(b) A data safeguard should be set up to make sure that AI systems comply with applicable laws and regulations when outputting sensitive personal information and important data.  (b) 機密性の高い個人データや重要なデータをAIシステムが出力する際には、AIシステムが適用法や規制を遵守していることを保証するため、データ保護メカニズムを構築すべきである。
4.2.2 Addressing real-world risks  4.2.2 現実世界のリスクへの対応
(a) To establish service limitations according to users’ actual application scenarios and cut AI systems’ features that might be abused. AI systems should not provide services that go beyond the preset scope.  (a) ユーザーの実際の利用シナリオに応じてサービス制限を設け、悪用される可能性のあるAIシステムの機能を削減する。AIシステムは、あらかじめ設定された範囲を超えるサービスを提供してはならない。
(b) To improve the ability to trace the end use of AI systems to prevent high-risk application scenarios such as manufacturing of weapons of mass destruction, like nuclear, biological, chemical weapons and missiles.  (b) AIシステムの最終用途を追跡する能力を改善し、核兵器、生物兵器、化学兵器、ミサイルなどの大量破壊兵器の製造といった高リスクの適用シナリオを防止する。
4.2.3 Addressing cognitive risks 4.2.3 認知リスクへの対応
(a) To identify unexpected, untruthful, and inaccurate outputs via technological means, and regulate them in accordance with laws and regulations.  (a) 予期せぬ、虚偽の、不正確な出力を技術的手段で識別し、法律や規則に従って規制する。
(b) Strict measures should be taken to prevent abuse of AI systems that collect, connect, gather, analyze, and dig into users’ inquiries to profile their identity, preference, and personal mindset.  (b) ユーザーの問い合わせを収集、接続、収集、分析し、そのアイデンティティ、好み、個人的な考え方をプロファイリングするAIシステムの悪用を防ぐために、厳格な措置を取るべきである。
(c) To intensify R&D of AI-generated content (AIGC) testing technologies, aiming to better prevent, detect, and navigate the cognitive warfare. (c) 認知戦の防止、検知、回避をより効果的に行うことを目的として、AI生成コンテンツ(AIGC)のテスト技術の研究開発を強化する。
4.2.4 Addressing ethical risks 4.2.4 倫理的リスクへの対応
(a) Training data should be filtered and outputs should be verified during algorithm design, model training and optimization, service provision and other processes, in an effort to prevent discrimination based on ethnicities, beliefs, nationalities, region, gender, age, occupation and health factors, among others.  (a) アルゴリズムの設計、モデルの訓練と最適化、サービス提供、その他のプロセスにおいて、民族、信仰、国籍、地域、性別、年齢、職業、健康要因などに基づく識別を防止するために、訓練データはフィルタリングされ、出力は検証されるべきである。
(b) AI systems applied in key sectors, such as government departments, critical information infrastructure, and areas directly affecting public safety and people's health and safety, should be equipped with high-efficient emergency management and control measures.  (b) 政府部門、重要な情報インフラ、公共の安全や人々の健康と安全に直接影響する分野など、主要な分野で適用されるAIシステムには、高効率な緊急管理および制御手段を装備すべきである。
5. Comprehensive governance measures 5. 包括的なガバナンス対策
While adopting technological controls, we should formulate and refine comprehensive AI safety and security risk governance mechanisms and regulations that engage multi-stakeholder participation, including technology R&D institutions, service providers, users, government authorities, industry associations, and social organizations.  技術的コントロールを採用する一方で、技術研究開発機構、サービス・プロバイダー、ユーザー、政府当局、業界団体、社会組織など、多様なステークホルダーの参加を促す包括的なAIの安全およびセキュリティ・リスク・ガバナンスのメカニズムと規制を策定し、改善すべきである。
5.1 To implement a tiered and category-based management for AI application.  5.1 AIのアプリケーションに対して、段階的かつカテゴリー別の管理を実施する。
We should classify and grade AI systems based on their features, functions, and application scenarios, and set up a testing and assessment system based on AI risk levels. We should bolster enduse management of AI, and impose requirements on the adoption of AI technologies by specific users and in specific scenarios, thereby preventing AI system abuse. We should register AI systems whose computing and reasoning capacities have reached a certain threshold or those are applied in specific industries and sectors, and demand that such systems possess the safety protection capacity throughout the life cycle including design, R&D, testing, deployment, utilization, and maintenance. AIシステムをその特徴、機能、応用シナリオに基づいて分類・等級付けし、AIのリスクレベルに基づくテスト・アセスメントシステムを構築すべきである。AIのエンドユース管理を強化し、特定のユーザーや特定のシナリオにおけるAI技術の採用に要件を課すことで、AIシステムの悪用を防止すべきである。計算能力や推論能力が一定の水準に達したAIシステムや特定の産業・分野で応用されているAIシステムを登録し、設計、研究開発、テスト、展開、利用、保守といったライフサイクル全体を通じて安全保護能力を備えることを求めるべきである。
5.2 To develop a traceability management system for AI services.  5.2 AIサービスのトレーサビリティ管理システムを構築する。
We should use digital certificates to label the AI systems serving the public. We should formulate and introduce standards and regulations on AI output labeling, and clarify requirements for explicit and implicit labels throughout key stages including creation sources, transmission paths, and distribution channels, with a view to enable users to identify and judge information sources and credibility.  デジタル証明書を用いて、一般向けに提供されるAIシステムにラベルを付けるべきである。また、作成元、伝送経路、配信チャネルなど、主要な段階における明示的および暗示的なラベル付けの要件を明確にし、ユーザーが情報源や信頼性を識別・判断できるようにする。
5.3 To improve AI data security and personal information protection regulations.  5.3 AIデータのセキュリティと個人情報保護に関する規制を改善する。
We should explicate the requirements for data security and personal information protection in various stages such as AI training, labeling, utilization, and output based on the features of AI technologies and applications.  AI技術や応用分野の特徴を踏まえ、AIの訓練、ラベル付け、利用、アウトプットなど、さまざまな段階におけるデータセキュリティや個人情報保護の要件を明確化すべきである。 
5.4 To create a responsible AI R&D and application system.  5.4 責任あるAIの研究開発・応用体制の構築 
We should propose pragmatic instructions and best practices to uphold the people-centered approach and adhere to the principle of developing AI for good in AI R&D and application, and continuously align AI’s design, R&D, and application processes with such values and ethics. We should explore the copyright protection, development and utilization systems that adapt to the AI era and continuously advance the construction of highquality foundational corpora and datasets to provide premium resources for the safe development of AI. We should establish AI-related ethical review standards, norms, and guidelines to improve the ethical review system.  AIの研究開発と応用において、人間中心のアプローチを維持し、AIを善のために開発するという原則に従うための実用的な指示とベストプラクティスを提案し、AIの設計、研究開発、応用プロセスを継続的にそのような価値観や倫理観に沿うように調整すべきである。AI時代に適応した著作権保護、開発、利用システムを模索し、AIの安全な開発のための高品質な基礎コーパスとデータセットの構築を継続的に推進すべきである。AI関連の倫理審査基準、標準、ガイドラインを確立し、倫理審査システムを改善すべきである。
5.5 To strengthen AI supply chain security.  5.5 AIサプライチェーンのセキュリティを強化する。
We should promote knowledge sharing in AI, make AI technologies available to the public under open-source terms, and jointly develop AI chips, frameworks, and software. We should guide the industry to build an open ecosystem, enhance the diversity of supply chain sources, and ensure the security and stability of the AI supply chain. AIにおける知識共有を促進し、AI技術をオープンソース条件で公開し、AIチップ、フレームワーク、ソフトウェアを共同開発すべきである。業界を導いてオープンなエコシステムを構築し、サプライチェーンのソースの多様性を高め、AIサプライチェーンのセキュリティと安定性を確保すべきである。
5.6 To advance research on AI explainability.  5.6 AIの説明可能性に関する研究を推進する。
We should organize and conduct research on the transparency, trustworthiness, and error-correction mechanism in AI decision-making from the perspectives of machine learning theory, training methods and human-computer interaction. Continuous efforts should be made to enhance the explainability and predictability of AI to prevent malicious consequences resulting from unintended decisions made by AI systems. 機械学習理論、トレーニング方法、人間とコンピュータの相互作用の観点から、AIの意思決定における透明性、信頼性、エラー修正メカニズムに関する研究を組織し、実施すべきである。AIシステムの意図しない意思決定による悪意ある結果を防ぐため、AIの説明可能性と予測可能性を高めるための継続的な取り組みを行うべきである。
5.7 To share information, and emergency response of AI safety risks and threats.  5.7 AIの安全リスクと脅威に関する情報の共有と緊急対応を行う。
We should continuously track and analyze security vulnerabilities, defects, risks, threats, and safety incidents related to AI technologies, software and hardware products, services, and other aspects. We should coordinate with relevant developers and service providers to establish a reporting and sharing information mechanism on risks and threats. We should establish an emergency response mechanism for AI safety and security incidents, formulate emergency plans, conduct emergency drills, and handle AI safety hazards, AI security threats, and events timely, rapidly, and effectively. AI技術、ソフトウェアおよびハードウェア製品、サービス、その他の側面に関連するセキュリティ脆弱性、欠陥、リスク、脅威、安全インシデントを継続的に追跡・分析すべきである。関連する開発者およびサービスプロバイダと連携し、リスクおよび脅威に関する報告および情報共有の仕組みを構築すべきである。AIの安全およびセキュリティインシデントに対する緊急対応の仕組みを構築し、緊急対応計画を策定し、緊急対応訓練を実施し、AIの安全上の危険、AIのセキュリティ上の脅威、および事象に迅速かつ効果的に対応すべきである。
5.8 To enhance the training of AI safety  talents.  5.8 AI安全人材の育成を強化する。
We should promote the development of AI safety education in parallel with AI discipline. We should leverage schools and research institutions to strengthen talent cultivation in the fields of design, development, and governance for AI safety. Support should be given to cultivating top AI safety talent in the cutting-edge and foundational fields, and also expanding such talent pool in areas such as autonomous driving, intelligent healthcare, brain-inspired intelligence and brain-computer interface. AIの学問分野の発展と歩調を合わせて、AI安全教育の発展を推進すべきである。学校や研究機構を活用し、AI安全の設計、開発、ガバナンスの各分野における人材育成を強化すべきである。最先端分野および基盤分野におけるAI安全分野のトップ人材の育成を支援し、自動運転、インテリジェントヘルスケア、脳に着想を得たインテリジェンス、ブレイン・コンピュータ・インターフェースなどの分野における人材プールを拡大すべきである。
5.9 To establish and improve the mechanisms for AI safety education, industry self-regulation, and social supervision.  5.9 AI安全教育、業界の自主規制、社会監督のメカニズムを確立し、改善する。
We should strengthen education and training on the safe and proper use of AI among government, enterprises, and public service units. We should step up the promotion of knowledge related to AI risks and their prevention and response measures in order to increase public awareness of AI safety in all respects. We should guide and support industry associations in the fields of cybersecurity and AI to enhance industry self-regulation, and formulate self-regulation conventions that exceed regulatory requirements and serve exemplary roles. We should guide and encourage AI technology R&D institutions and service providers to continue to improve their safety capacity. A mechanism for handling public complaints and reports on AI risks and hazards should be established, forming an effective social supervision atmosphere for AI safety. 政府、エンタープライズ、公共サービス部門におけるAIの安全かつ適切な利用に関する教育と訓練を強化すべきである。AIのリスクと予防・対応策に関する知識の普及を強化し、AIの安全性に対する国民の意識をあらゆる面で高めるべきである。サイバーセキュリティとAIの分野における業界団体が業界の自主規制を強化し、規制要件を超える自主規制規約を策定し、模範的な役割を果たすよう、業界団体を指導・支援すべきである。AI技術の研究開発機構とサービスプロバイダが、安全性の能力を継続的に改善するよう指導・奨励すべきである。AIのリスクと危険性に関する公衆の苦情や報告に対応するメカニズムを構築し、AIの安全性に関する効果的な社会監督の環境を形成すべきである。
5.10 To promote international exchange and cooperation on AI safety governance.  5.10 AIの安全ガバナンスに関する国際交流と協力を推進する。
We should actively make efforts to conduct cooperation with countries, support the building of an international institution on AI governance within the United Nations framework to coordinate major issues related to AI development, safety, security, and governance. We should advance cooperation on AI safety governance under multilateral mechanisms such as APEC, G20 and BRICS, and strengthen cooperation with Belt and Road partner countries and Global South countries. Efforts should be made to study the matters relating to the construction of an AI safety governance alliance to increase the representation and voice of developing countries in global AI governance. AI enterprises and institutions should be encouraged to engage in international exchanges and cooperation, share their best practices, jointly develop international standards of AI safety.  AIの開発、安全性、セキュリティ、ガバナンスに関する主要な問題を調整するため、国連の枠組み内でAIガバナンスに関する国際機構の構築を支援し、各国との協力を積極的に行うべきである。我々は、APEC、G20、BRICSなどの多国間メカニズムの下でAI安全ガバナンスに関する協力を進め、一帯一路パートナー諸国およびグローバル・サウス諸国との協力を強化すべきである。AIのグローバルガバナンスにおける途上国の代表性と発言力を高めるために、AI安全ガバナンス同盟の構築に関する事項の研究に努めるべきである。AI企業および機構は、国際交流と協力を奨励し、ベストプラクティスを共有し、AI安全の国際標準を共同開発すべきである。 
6. Safety guidelines for AI development and application 6. AIの開発と応用に関する安全ガイドライン
6.1 Safety guidelines for model algorithm developers 6.1 モデルアルゴリズム開発者のための安全ガイドライン
(a) Developers should uphold a people-centered approach, adhere to the principle of AI for good, and follow science and technology ethics in key stages such as requirement analysis, project initiation, model design and development, and training data selection and use, by taking measures such as internal discussions, organizing expert evaluations, conducting technological ethical reviews, listening to public opinions, communicating and exchanging ideas with potential target audience, and strengthening employee safety education and training. (a) 開発者は、人間中心のアプローチを堅持し、AI for goodの原則を遵守し、要件分析、プロジェクト 内部での議論、専門家の評価の実施、技術倫理審査の実施、世論の聴取、潜在的な対象者とのコミュニケーションや意見交換、従業員の安全教育や研修の強化などの措置を講じることにより、要件分析、プロジェクトの開始、モデルの設計と開発、訓練データの選択と使用などの重要な段階において、人間中心のアプローチを維持し、AIの善用という原則に従い、科学技術倫理に従うべきである。
(b) Developers should strengthening data security and personal information protection, respect intellectual property and copyright, and ensure that data sources are clear and acquisition methods are compliant. Developers should establish a comprehensive data security management procedure, ensuring data security and quality as well as compliant use, to prevent risks such as data leakage, loss, and diffusion, and properly handle user data when terminating AI products. (b) 開発者は、データセキュリティと個人情報の保護を強化し、知的財産権と著作権を尊重し、データソースが明確であり、取得方法が適法であることを保証すべきである。開発者は、データ漏洩、損失、拡散などのリスクを防止し、AI製品の終了時にユーザーデータを適切に処理するために、データセキュリティと品質を確保し、コンプライアンスに準拠した利用を徹底した包括的なデータセキュリティ管理手順を確立すべきである。
(c) Developers should guarantee the security of training environment for AI model algorithms, including cybersecurity configurations and data encryption measures. (c) 開発者は、サイバーセキュリティ構成やデータ暗号化対策など、AIモデルアルゴリズムのトレーニング環境のセキュリティを保証すべきである。
(d) Developers should assess potential biases in AI models and algorithms, improve sampling and testing for training data content and quality, and come up with effective and reliable alignment algorithms to ensure risks like value and ethical risks are controllable. (d) 開発者は、AIモデルおよびアルゴリズムにおける潜在的なバイアスをアセスメントし、学習データのコンテンツおよび品質に関するサンプリングとテストを改善し、価値リスクや倫理リスクなどのリスクを制御可能なものとするために、効果的かつ信頼性の高いアラインメントアルゴリズムを考案すべきである。
(e) Developers should evaluate the readiness of AI products and services based on the legal and risk management requirements of the target markets. (e) 開発者は、対象市場の法的およびリスクマネジメント要件に基づいて、AI製品およびサービスの準備状況を評価すべきである。
(f) Developers should effectively manage different versions of AI products and related datasets. Commercial versions should be capable of reverting to previous versions if necessary. (f) 開発者は、AI製品および関連データセットの異なるバージョンを効果的に管理すべきである。商用バージョンは、必要に応じて以前のバージョンに戻せるようにすべきである。
(g) Developers should regularly conduct safety and security evaluation tests. Before testing, they should define test objectives, scope, safety and security dimensions, and construct diverse test datasets covering all kinds of application scenarios.  (g) 開発者は、安全性およびセキュリティ評価テストを定期的に実施すべきである。テスト実施前に、テストの目的、範囲、安全性およびセキュリティの次元を定義し、あらゆる種類のアプリケーションシナリオを網羅する多様なテストデータセットを構築すべきである。
(h) Developers should formulate clear test rules and methods, including manual testing, automated testing, and hybrid testing, and utilize technologies such as sandbox simulations to fully test and verify models.  (h) 開発者は、手動テスト、自動テスト、ハイブリッドテストを含む明確なテストルールと方法を策定し、サンドボックスシミュレーションなどの技術を活用して、モデルを十分にテストし検証すべきである。
(i) Developers should evaluate tolerance of AI products and services for external interferences and notify service providers and users in forms of application scope, precautions, and usage prohibitions.  (i) 開発者は、AI製品およびサービスが外部からの干渉に対してどの程度耐性があるかを評価し、適用範囲、注意事項、使用禁止などの形でサービスプロバイダおよびユーザーに通知すべきである。
(j) Developers should generate detailed test reports to analyze safety and security issues, and propose improvement plans.  (j) 開発者は、安全性とセキュリティの問題を分析し、改善計画を提案するために、詳細なテストレポートを作成すべきである。
6.2 Safety guidelines for AI service providers  6.2 AIサービスプロバイダの安全ガイドライン
(a) Service providers should publicize capabilities, limitations, target users, and use cases of AI products and services.  (a) サービスプロバイダは、AI製品およびサービスの機能、限界、対象ユーザー、および使用事例を公表すべきである。
(b) Service providers should inform users of the application scope, precautions, and usage prohibitions of AI products and services in a user-friendly manner within contracts or service agreements, supporting informed choices and cautious use by users. (b) サービスプロバイダは、契約またはサービス契約の中で、ユーザーにAI製品およびサービスの適用範囲、注意事項、および使用禁止事項をユーザーにわかりやすい方法で通知し、ユーザーによる情報に基づいた選択と慎重な使用を支援すべきである。
(c) Service providers should support users to undertake responsibilities of supervision and control within documents such as consent forms and service agreements. (c) サービスプロバイダは、同意書やサービス契約などの文書の中で、ユーザーが監督と制御の責任を負うことを支援すべきである。
(d) Service providers should ensure that users understand AI products' accuracy, and prepare explanatory plans when AI decisions exert significant impact. (d) サービスプロバイダは、ユーザーがAI製品の精度を理解していることを確認し、AIの判断が重大な影響を及ぼす場合は説明計画を準備すべきである。
(e) Service providers should review responsibility statements provided by developers to ensure that the chain of responsibility can be traced back to any recursively employed AI models. (e) サービスプロバイダは、開発者が提供する責任に関する声明を検証し、責任の連鎖が再帰的に使用されるAIモデルにまで遡って追跡できることを確認すべきである。
(f) Service providers should increase awareness of AI risk prevention, establish and improve a real-time risk monitoring and management mechanism, and continuously track operational security risks. (f) サービス・プロバイダは、AIリスクの予防に対する意識を高め、リアルタイムのリスクモニタリングおよびリスクマネジメントの仕組みを構築・改善し、運用上のセキュリティリスクを継続的に追跡すべきである。
(g) Service providers should assess the ability of AI products and services to withstand or overcome adverse conditions under faults, attacks, or other anomalies, and prevent unexpected results and behavioral errors, ensuring that a minimum level of effective functionality is maintained. (g) サービス・プロバイダは、AI製品およびサービスが、エラー、攻撃、その他の異常な状況下で、悪条件に耐える、または悪条件を克服する能力をアセスメントし、予期せぬ結果や動作エラーを防止し、最低限の有効な機能が維持されることを保証すべきである。
(h) Service providers should promptly report safety and security incidents and vulnerabilities detected in AI system operations to competent authorities. (h) サービスプロバイダは、AIシステムの運用において検知した安全およびセキュリティインシデント、ならびに脆弱性を、速やかに管轄当局に報告すべきである。
(i) Service providers should stipulate in contracts or service agreements that they have the right to take corrective measures or terminate services early upon detecting misuse and abuse not conforming to usage intention and stated limitations. (i) サービスプロバイダは、利用目的や規定された制限に適合しない誤用や乱用を検知した場合、是正措置を講じたり、早期にサービスを終了する権利を有することを、契約またはサービス契約に明記すべきである。
(j) Service providers should assess the impact of AI products on users, preventing harm to users' mental and physical health, life, and property.  (j) サービスプロバイダは、AI製品がユーザーに与える影響をアセスメントし、ユーザーの心身の健康、生命、財産への被害を防止すべきである。
6.3 Safety guidelines for users in key areas 6.3 主要分野におけるユーザーの安全ガイドライン
(a) For users in key sectors such as government departments, critical information infrastructure, and areas directly affecting public safety and people's health and safety, they should prudently assess the long-term and potential impacts of applying AI technology in the target application scenarios and conduct risk assessments and grading to avoid technology abuse. (a) 政府部門、重要な情報インフラ、公共の安全や人々の健康と安全に直接影響する分野など、主要分野のユーザーは、対象となるアプリケーションシナリオにAI技術を適用した場合の長期的および潜在的な影響を慎重にアセスメントし、リスクアセスメントと格付けを実施して、技術の悪用を回避すべきである。
(b) Users should regularly perform system audits on the applicable scenarios, safety, reliability, and controllability of AI systems, while enhancing awareness of risk prevention and response capabilities. (b) ユーザーは、リスク予防と対応能力に対する意識を高めつつ、該当するシナリオ、AIシステムの安全性、信頼性、制御可能性について、定期的にシステム監査を行うべきである。
(c) Users should fully understand its data processing and privacy protection measures before using an AI product. (c) ユーザーは、AI製品を使用する前に、そのデータ処理およびプライバシー保護対策を十分に理解すべきである。
(d) Users should use high-security passwords and enable multi-factor authentication mechanisms to enhance account security. (d) ユーザーは、アカウントのセキュリティを強化するために、安全性の高いパスワードを使用し、多要素認証メカニズムを有効にすべきである。
(e) Users should enhance their capabilities in areas such as network security and supply chain security to reduce the risk of AI systems being attacked and important data being stolen or leaked, as well as ensure uninterrupted business. (e) ユーザーは、AIシステムが攻撃を受け、重要なデータが盗難または漏洩されるリスクを低減し、かつ、事業の中断を防止するために、ネットワークセキュリティやサプライチェーンセキュリティなどの分野における能力を強化すべきである。
(f) Users should properly limit data access, develop data backup and recovery plans, and regularly check data processing flow. (f) ユーザーは、データアクセスを適切に制限し、データバックアップおよび復旧計画を策定し、データ処理の流れを定期的に確認すべきである。
(g) Users should ensure that operations comply with confidentiality provisions and use encryption technology and other protective measures when processing sensitive data. (g) ユーザーは、機密保持規定に準拠した運用を確保し、機密データを処理する際には暗号化技術やその他の防御策を使用すべきである。
(h) Users should effectively supervise the behavior and impact of AI, and ensure that AI products and services operate under human authorization and remain subject to human control. (h) ユーザーは、AIの行動と影響を効果的に監督し、AI製品およびサービスが人間の認可の下で運用され、人間の管理下にあることを確保すべきである。
(i) Users should avoid complete reliance on AI for decision making, monitor and record instances where users turn down AI decisions, and analyze inconsistencies in decision-making. They should have the capability to swiftly shift to human-based or traditional methods in the event of an accident. (i) 利用者は、意思決定においてAIに完全に依存することを避け、AIの判断を拒否する事例を監視・記録し、意思決定における矛盾を分析すべきである。また、事故が発生した場合には、迅速に人間による方法や従来の方法に切り替える能力を備えるべきである。
6.4 Safety guidelines for general users 6.4 一般利用者向けの安全ガイドライン
(a) Users should raise their awareness of the potential safety risks associated with AI products, and select AI products from reputable providers. (a) 利用者は、AI製品に関連する潜在的な安全リスクに対する認識を高め、信頼できるプロバイダのAI製品を選択すべきである。
(b) Before using an AI product, users should carefully review the contract or service terms to understand its functions, limitations, and privacy policies. Users should accurately recognize the limitations of AI products in making judgments and decisions, and set reasonable expectations. (b) 利用者は、AI製品を使用する前に、契約またはサービス条件を慎重に確認し、その機能、限界、プライバシーポリシーを理解すべきである。利用者は、AI製品が判断や決定を行う際の限界を正確に認識し、合理的な期待を設定すべきである。
(c) Users should enhance awareness of personal information protection and avoid entering sensitive information unnecessarily. (c) 利用者は、個人情報保護に対する意識を高め、不必要に機密情報を入力しないようにすべきである。
(d) Users should be informed about data processing practices and avoid using products that are not in conformity with privacy principles. (d) 利用者は、データ処理の慣行について知らされるべきであり、プライバシー原則に準拠していない製品を使用しないようにすべきである。
(e) Users should be mindful of cybersecurity risks when using AI products to prevent them from becoming targets of cyberattacks. (e) 利用者は、AI製品を使用する際にサイバーセキュリティリスクを意識し、サイバー攻撃の標的にならないようにすべきである。
(f) Users should be aware of the potential impact of AI products on minors and take steps to prevent addiction and excessive use. (f) 利用者は、AI製品が未成年者に与える潜在的な影響を認識し、依存や過剰利用を防ぐための措置を講じるべきである。
Table of AI Safety and Security Risks to Technical Countermeasures and Comprehensive Governance Measures 表 技術的対策と包括的ガバナンス対策のAIの安全性とセキュリティリスク

 

 

 

● まるちゃんの情報セキュリティ気まぐれ日記

 中国

・2023.09.11 中国 生成的AIについての専門家の解釈 (2023.08.29)

・2023.07.14 中国 国家サイバースペース管理局他 生成的AIサービス管理暫定弁法 施行は2023.08.15

・2023.04.12 中国 意見募集 生成的人工知能サービス管理弁法

・2022.04.25 中国 人工知能白書 2022 (2022.04.12)

・2021.08.04 中国 通信院 信頼できる人工知能についての白書 at 2021.07.09

 

  日本...

・2024.04.20 経済産業省 AI事業者ガイドライン（第1.0版）

・2024.03.18 総務省・経済産業省のAI事業者ガイドライン第1.0版はほぼきまりましたかね...

・2024.01.22 総務省 経済産業省 意見募集 「AI事業者ガイドライン案」

・2023.12.23 総務省 経済産業省 AI事業者ガイドライン案

・2023.12.22 自由民主党 AI の安全性確保と活用促進に関する緊急提言 (2023.12.14)

・2023.12.21 経済産業省 AI事業者ガイドライン検討会

・2022.01.29 経済産業省 AI原則実践のためのガバナンス・ガイドライン ver. 1.1

・2021.07.11 経済産業省 意見募集 AI原則実践のためのガバナンス・ガイドライン Ver1.0

 

米国

・2024.03.31 米国 連邦政府機関の人工知能利用におけるガバナンス、イノベーション、リスク管理を推進するためのOMBの方針

・2023.12.15 連邦政府テクノロジー・リーダーがOMBのAI政策ドラフトについて知っておくべきことトップ10

・2023.10.31 米国 人工知能の安全、安心、信頼できる開発と利用に関する大統領令

 

その他

・2024.06.07 欧州委員会 安全で信頼できる人工知能におけるEUのリーダーシップを強化するため、AI事務局を設置 (2024.05.29)

・2024.05.07 OECD 閣僚会議声明とAI原則の改訂...

・2023.03.23 OECD AIにおけるアカウンタビリティの高度化 (2023.02.23)

・2024.02.07 ASEAN AIのガバナンスと倫理のガイド + 第4回デジタル大臣会合 シンガポール宣言...

・2024.02.06 経済産業省 AIマネジメントシステムの国際規格が発行されました (2024.01.15)

・2021.06.28 EU 外交政策ツールとしての人工知能ガバナンス

2024.09.22 00:00 in 情報セキュリティ / サイバーセキュリティ, in リンク, in 個人情報保護 / プライバシー, in フォレンジック, in 法律 / 犯罪, in 監査 / 認証, in 内部統制 / リスクマネジメント, in ロボット, in 危機管理 / 事業継続, in 案内（講演 / 書籍等）, in 新エネルギー, in AI/Deep Learning, in 暗号 / 電子署名 / ブロックチェーン, in 安全保障 | | Comments (0)

2024.08.03

米国 NIST SP 800-231 バグフレームワーク（BF）： サイバーセキュリティの弱点と脆弱性の公式化

こんにちは、丸山満彦です。

NISTが、NIST SP 800-231 バグフレームワーク（BF）： サイバーセキュリティの弱点と脆弱性の公式化を公表しましたね...

これだけで、76ページありますが、これから続々とこのシリーズが公表されるようですね...

 

● NIST - ITL

プレス

・2024.07.30 NIST Releases SP 800-231, Bugs Framework (BF): Formalizing Cybersecurity Weaknesses and Vulnerabilities

NIST Releases SP 800-231, Bugs Framework (BF): Formalizing Cybersecurity Weaknesses and Vulnerabilities NIST、SP 800-231「Bugs Framework（BF）」をリリース： サイバーセキュリティの弱点と脆弱性を形式化する
NIST Special Publication (SP) 800-231, Bugs Framework (BF): Formalizing Cybersecurity Weaknesses and Vulnerabilities, is now available. It presents an overview of the Bugs Framework (BF) systematic approach and methodologies for the classification of bugs and faults per orthogonal by operation software and hardware execution phases, formal specification of weaknesses and vulnerabilities, definition of secure coding principles, generation of comprehensively labeled weakness and vulnerability datasets and vulnerability classifications, and development of BF-based algorithms and systems. NIST特別刊行物（SP）800-231「Bugs Framework（BF）：サイバーセキュリティの弱点と脆弱性を形式化する」が公開された： サイバーセキュリティの弱点と脆弱性を形式化する）が入手可能になった。本書は、バグズ・フレームワーク（Bugs Framework：BF）の体系的なアプローチと、ソフトウェアとハードウェアの実行フェーズによる直交ごとのバグと障害の分類、弱点と脆弱性の正式な仕様化、安全なコーディング原則の定義、包括的にラベル付けされた弱点と脆弱性のデータセットと脆弱性の分類の生成、BFに基づくアルゴリズムとシステムの開発のための方法論の概要を示している。
The current state of the art in describing security weaknesses and vulnerabilities are the Common Weakness Enumeration (CWE) and the Common Vulnerabilities and Exposures (CVE). However, the CWE and CVE use a one-dimensional list approach to organizing the entries and natural language descriptions. They do not exhibit methodologies for systematic comprehensive labeling of weaknesses and vulnerabilities, tracking the weaknesses underlying a vulnerability, or root cause identification from a security failure. セキュリティの弱点と脆弱性を記述する技術の現状は、CWE（Common Weakness Enumeration）とCVE（Common Vulnerabilities and Exposures）である。しかし、CWEとCVEは、項目と自然言語の記述を整理するために、一次元のリストアプローチを使用している。これらは、弱点と脆弱性の体系的で包括的なラベリング、脆弱性の根底にある弱点の追跡、セキュリティ障害からの根本原因の特定などの方法論を示していない。
SP 800-231 presents the BF formal system (and methods) that comprises: SP 800-231 は、BF 形式システム（および方法）を提示している：
・Bugs models of distinct execution phases with orthogonal sets of operations in which specific bugs and faults could occur 特定のバグや欠陥が発生する可能性のある操作の直交するセットを持つ、明確な実行フェーズのバグモデル
・Structured, multidimensional, orthogonal, and context-free weakness taxonomies  構造化された、多次元、直交、文脈自由な脆弱性分類法 
・Vulnerability state and specification models as chains of weaknesses toward failures 故障に向かう弱点の連鎖としての脆弱性の状態と仕様モデル
・A formal language for the unambiguous causal specification of weaknesses and vulnerabilities 弱点と脆弱性の因果関係を明確に規定するための形式言語
・Tools that facilitate the generation of CWE2BF and CVE2BF mappings and formal weakness and vulnerability specifications and their graphical representations CWE2BFとCVE2BFのマッピング、弱点と脆弱性の公式仕様とそのグラフィカル表現の生成を容易にするツール。
The BF formalism guarantees precise descriptions with clear causality of weaknesses (including CWE) and vulnerabilities (including CVE) and complete, orthogonal, and context-free weakness-type coverage. It forms the basis for the formal definition of secure coding principles, such as memory safety. It also enables the creation of comprehensively labeled weakness and vulnerability datasets, vulnerability classifications, and BF-based bug identification and vulnerability detection, analysis, and resolution or mitigation systems. BFフォーマリズムは、弱点（CWEを含む）と脆弱性（CVEを含む）の因果関係を明確にした正確な記述と、完全、直交、文脈のない弱点タイプカバレッジを保証する。メモリ安全性のようなセキュアコーディング原則の形式的定義の基礎を形成する。また、包括的にラベル付けされた弱点と脆弱性のデータセット、脆弱性の分類、BFに基づくバグの特定と脆弱性の検出、分析、解決または緩和システムの作成を可能にする。

 

本文

・2024.07.30 NIST SP 800-231 Bug Framework (BF): Formalizing Cybersecurity Weaknesses and Vulnerabilities

NIST SP 800-231 Bug Framework (BF): Formalizing Cybersecurity Weaknesses and Vulnerabilities NIST SP 800-231 バグフレームワーク（BF）： サイバーセキュリティの弱点と脆弱性の公式化
Abstract 概要
The Bugs Framework (BF) is a classification of security bugs and related faults that features a formal language for the unambiguous specification of software and hardware security weaknesses and vulnerabilities. BF bugs models, multidimensional weakness and failure taxonomies, and vulnerability models define the lexis, syntax, and semantics of the BF formal language and form the basis for the definition of secure coding principles. The BF formalism supports a deeper understanding of vulnerabilities as chains of weaknesses that adhere to strict causation, propagation, and composition rules. It enables the generation of comprehensively labeled weakness and vulnerability datasets and multidimensional vulnerability classifications. It also enables the development of new algorithms for code analysis and the use of AI models and formal methods to identify bugs and detect, analyze, prioritize, and resolve or mitigate vulnerabilities. バグフレームワーク（Bugs Framework：BF）は、ソフトウェアやハードウェアのセキュリティ上の弱点や脆弱性を明確に仕様化するための形式的な言語を特徴とする、セキュリティ上のバグや関連する障害の分類である。BFのバグモデル、多次元的な弱点と故障の分類法、脆弱性モデルは、BF形式言語の語彙、構文、意味論を定義し、安全なコーディング原則の定義の基礎を形成する。BFフォーマリズムは、厳密な因果関係、伝播、合成規則に従う弱点の連鎖として、脆弱性をより深く理解することをサポートする。これにより、包括的にラベル付けされた弱点と脆弱性のデータセットと、多次元的な脆弱性の分類を生成することができる。また、コード解析のための新しいアルゴリズムの開発や、バグを特定し、脆弱性を検出、分析、優先順位付け、解決または緩和するためのAIモデルと形式的手法の利用も可能になる。

 

[PDF] NIST.SP.800-231

20240802-231533

 

目次...

1. Introducton 1. 導入
2. Current State of the Art 2. 技術の現状
3. Bugs Framework Formalism 3. バグズ・フレームワークの形式論
3.1. BF Operaton 3.1. BF演算子
3.2. BF Bug, Fault, and Weakness 3.2. BF バグ、故障、弱点
3.3. BF Vulnerability 3.3. BFの脆弱性
3.4. BF Bug Identficaton 3.4. BFバグの特定
4. BF Security Concepts 4. BFのセキュリティ概念
5. BF Bugs Models 5. BFバグのモデル
5.1. BF Input/Output Check ( INP) Bugs Model 5.1. BF入出力チェック（INP）バグ・モデル
5.2. BF Memory ( MEM) Bugs Model 5.2. BF メモリ ( MEM ) バグモデル
5.3. BF Data Type ( DAT) Bugs Model 5.3. BFデータ型（DAT）バグモデル
6. BF Taxonomy 6. BF分類法
6.1. BF Weakness Classes 6.1. BF弱点クラス
6.2. BF Failure Class 6.2. 故障クラス
6.3. BF Methodology 6.3. BFメソドロジー
7. BF Vulnerability Models 7. BF脆弱性モデル
7.1. BF Vulnerability State Model 7.1. BF脆弱性状態モデル
7.2. BF Vulnerability Specificaton Model 7.2. BF脆弱性特定化モデル
8. BF Formal Language 8. BF形式言語
8.1. BF Lexis 8.1. BFレクシス
8.2. BF Syntax 8.2. BF構文
8.3. BF Semantcs 8.3. BFの意味
9. BF Secure Coding Principles 9. BFセキュアコーディングの原則
9.1. Input/Output Check Safety 9.1. 入出力チェックの安全性
9.2. Memory Safety 9.2. メモリの安全性
9.3. Data Type Safety 9.3. データ型の安全性
10. BF Tools 10. BFツール
10.1. BFCWE Tool 10.1. BFCWEツール
10.2. BFCVE Tool 10.2. BFCVEツール
10.3. BF GUI Tool 10.3. BF GUIツール
11. BF Datasets and Systems 11. BFデータセットとシステム
11.1. BFCWE Dataset 11.1. BFCWEデータセット
11.2. BFCVE Dataset 11.2. BFCVEデータセット
11.3. BF Vulnerability Classificatons 11.3. BF脆弱性分類
11.4. BF Systems 11.4. BFシステム
12. Conclusion 12. おわりに
References 参考文献

 

 

2024.08.03 00:00 in 情報セキュリティ / サイバーセキュリティ, in リンク, in フォレンジック, in ウイルス, in 安全保障 | | Comments (0)

2024.04.18

ドイツ BSI オンライン・アカウントを保護する： 2FAにおけるバイオメトリクスの可能性をもっと活用する

こんにちは、丸山満彦です。

ドイツの連邦情報セキュリティ局 (BSI) が、オンライン・アカウントを保護するために、２要素認証に生体認証をもっと使えば良いのに...と推奨していますね...

 

● Bundesamt für Sicherheit in der Informationstechnik; BSI

・2024.04.15 Schutz von Onlinekonten: Potenziale von Biometrie in der 2FA stärker nutzen

Schutz von Onlinekonten: Potenziale von Biometrie in der 2FA stärker nutzen オンライン・アカウントを保護する： 2FAにおけるバイオメトリクスの可能性をもっと活用する
In der vernetzten Welt sind persönliche Nutzerkonten von zentraler Bedeutung. Ob beim Onlineshopping, -banking oder in der Onlinekommunikation. Bei allen Anwendungen ist der Schutz vor fremdem Zugriff entscheidend. In einer aktuellen Untersuchung haben das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Verbraucherzentrale Bundesverband e.V. (vzbv) unter anderem die angebotenen Verfahren der 2-Faktor-Authentisierung (2FA) zum Schutz von Onlinekonten im Verbraucherbereich betrachtet. Der Fokus lag dabei auf der Verfügbarkeit biometrischer Verfahren (z.B. Fingerabdruck, Gesichtsscan). Solche Verfahren sind laut einer vzbv-Verbraucherbefragung aus dem vergangenen Jahr aufgrund ihrer Benutzerfreundlichkeit bei den Befragten besonders beliebt. Außerdem haben die Nutzerinnen und Nutzer in die Sicherheit dieser Verfahren ein besonders hohes Vertrauen. So wird an erster Stelle der Fingerabdruck von 82 Prozent der Befragten als eher oder sehr einfach in der Anwendung und von 80 Prozent als eher oder sehr hoch in der wahrgenommenen Datensicherheit bewertet. 個人のユーザー・アカウントは、ネットワーク化された世界では中心的な重要性を持つ。オンライン・ショッピングであれ、オンライン・バンキングであれ、オンライン・コミュニケーションであれ。不正アクセスからの保護は、すべての用途において極めて重要である。最近の調査で、ドイツ連邦情報セキュリティ局（BSI）とドイツ消費者団体連盟（vzbv）は、消費者部門でオンライン・アカウントを保護するために提供されている二要素認証（2FA）方式について調べた。注目したのは、バイオメトリクス認証（指紋、顔スキャンなど）の可用性である。vzbvが昨年実施した消費者調査によると、このような方法は、使い勝手の良さから回答者に特に人気がある。また、これらの方法のセキュリティに対する信頼度も特に高い。例えば、回答者の82％は指紋を「どちらかといえば使いやすい」または「非常に使いやすい」と評価し、80％は知覚されるデータ・セキュリティの点で「どちらかといえば使いやすい」または「非常に使いやすい」と評価している。
Ein vzbv-Marktcheck im Januar 2024 ergab, dass 73 Prozent der 121 erfassten digitalen Dienste aus 13 verschiedenen Branchen eine 2FA ermöglichen. Die Ergebnisse zeigen aber auch, dass nur 46 Prozent der untersuchten digitalen Dienste biometrische Verfahren in der 2FA anbieten. Dieses Angebot konzentriert sich zudem vor allem auf Branchen, in denen Unternehmen verpflichtet sind, eine Form der 2FA anzubieten, wie Finanzinstitute und Krankenkassen. Zudem fehlen häufig Informationen über die verwendeten Verfahren oder Standards. Somit können Verbraucherinnen und Verbraucher die Sicherheit nur schwer bewerten. vzbvが2024年1月に実施した市場調査では、13の異なる分野から調査した121のデジタルサービスの73％が2FAを可能にしていることが明らかになった。しかし、調査対象となったデジタルサービスのうち、2FAでバイオメトリクス手続きを提供しているのは46％に過ぎないという結果も出ている。さらに、このサービスは主に、金融機関や健康保険会社など、企業が2FAの提供を義務付けられている分野に集中している。さらに、使用される手順や基準に関する情報が不足していることが多い。このため、消費者が安全性を評価することは困難である。
Die Ergebnisse zeigen unter anderem, dass ein breiteres Angebot von biometrischen 2FA-Verfahren im Verbrauchermarkt die Cybersicherheit erhöhen könnte, da diese Verfahren für die Verbraucherinnen und Verbraucher einfach und bequem zu handhaben sind. Gleichzeitig genießen sie eine hohe Akzeptanz. Dies hängt in hohem Maße von einer sicheren Implementierung ab. Wie Hersteller und Anbieter diese gewährleisten können, hat das BSI neben einer Bewertung der IT-Sicherheit für dieses Themenfeld in seinen Empfehlungen zur sicheren Umsetzung im gemeinsamen Ergebnisdokument zur Untersuchung zusammengefasst. この結果は、とりわけ、消費者市場におけるバイオメトリクス2FA手続きの幅が広がれば、サイバーセキュリティが向上する可能性があることを示している。同時に、これらの手続きは高いレベルで受け入れられている。これは、安全な実装に大きく依存している。BSIは、このトピック分野のITセキュリティの評価に加えて、メーカーとプロバイダーがどのようにこれを保証できるかを、この研究の共同結果文書における安全な実装のための提言にまとめている。
Die 2FA ist ein wichtiger Baustein im Digitalen Verbraucherschutz und das BSI empfiehlt, dieses Authentifizierungsverfahren immer einzusetzen, wenn der jeweilige Onlineservice es ermöglicht. So hat die Befragung des vzbv ergeben, dass dort, wo eine 2FA verfügbar ist, diese auch von rund 6 von 10 der befragten Nutzerinnen und Nutzer regelmäßig verwendet wird. Die SMS-TAN ist mit 60 Prozent das am häufigsten genutzte Verfahren, gefolgt von der Verwendung des Fingerabdrucks (34 Prozent) und des Gesichtsscans (22 Prozent). 2FAは、デジタル消費者保護の重要なビルディング・ブロックであり、BSIは、各オンライン・サービスが許可している場合、常にこの認証手順を使用することを推奨している。vzbvの調査では、2FAが利用可能な場合、調査対象ユーザーの約10人に6人が2FAを常用していることが明らかになった。SMS-TANが最も頻繁に使用される方法で60％、次いで指紋の使用（34％）、顔スキャン（22％）である。

 

 

・[PDF] Nutzung von Biometrie in der 2-FaktorAuthentisierung (2FA) - Ergebnisse einer Untersuchung des BSI und des vzbv

20240417-233906

 

目次...

1. Management Summery  1. マネジメントサマリー 
2. Marktcheck und Ergebnisse von Verbraucherbefragungen 2. 市場調査と消費者調査の結果
2.1 Marktcheck  2.1 市場調査 
2.2 Verbraucheraufruf  2.2 消費者コール 
2.3 Online-Befragung  2.3 オンライン調査 
2.4 Methoden  2.4 方法 
3. Bewertung der IT-Sicherheit biometrischer Verfahren in der 2FA  3. 2FAにおける生体認証手続きのITセキュリティ評価 
3.1 Einleitung  3.1 はじめに 
3.2 Grundsätzlicher Ablauf und Schritte biometrischer Verfahren  3.2 生体認証手続きの基本プロセスとステップ 
3.3 Wichtige Sicherheitsaspekte biometrischer Verfahren  3.3 バイオメトリクス手順における重要なセキュリティ側面 
3.3.1 Usable Security  3.3.1 利用可能なセキュリティ 
3.3.2 IT-Sicherheit  3.3.2 IT セキュリティ 
3.4 Empfehlungen  3.4 推奨事項 
4. FAQ  4 よくある質問 
5. Quellen  5 情報源 
6. Glossar  6 用語集 
7. Impressum  7 インプリント 

 

 

1. Management Summery 1. マネジメントサマリー
Mit der 2-Faktor-Authentisierung (2FA) können Nutzerkonten im Internet einfach und effektiv geschützt werden. Dieses Verfahren mittels mehrerer Faktoren, mit denen die Nutzerin oder der Nutzer sich zusätzlich bzw. alternativ zur Passworteingabe identifizieren können, ist ein wichtiger Baustein für den Digitalen Verbraucherschutz. Im März 2022 veröffentlichten das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Verbraucherzentrale Bundesverband (vzbv) die Ergebnisse einer gemeinsamen Untersuchung zum Stand der 2FA in Deutschland.  二要素認証（2FA）は、インターネット上のユーザー・アカウントを保護するシンプルで効果的な方法である。パスワード入力に加えて、あるいはパスワード入力の代替として、複数の要素を使ってユーザーを識別するこの手順は、デジタル消費者保護のための重要な構成要素である。2022年3月、ドイツ連邦情報セキュリティ局（BSI）とドイツ消費者団体連合会（vzbv）は、ドイツにおける2FAの現状に関する共同調査の結果を発表した。
Ein umfangreicher Markcheck zeigte, dass 72 Prozent der untersuchten Anbieter digitaler Dienstleistungen eine 2FA anboten.1 Gleichzeitig ergab eine repräsentative Online-Befragung, dass bei Verbraucherinnen und Verbrauchern ein hohes Schutzbedürfnis vorhanden ist.2 Dabei wurde jedoch ein deutliches Missverhältnis zwischen der Nutzungsabsicht und der tatsächlichen Nutzung einer 2FA festgestellt – und das in nahezu jeder Produktkategorie. So wollten beispielsweise zwar 44 Prozent der Befragten das eigene E-MailKonto mit einem zweiten Faktor absichern. Jedoch gaben nur 17 Prozent an, das auch tatsächlich zu tun.3  包括的な市場調査の結果、調査対象となったデジタル・サービス・プロバイダーの72％が2FAを提供していることが判明した1。同時に、代表的なオンライン調査の結果、消費者の保護ニーズが高いことが明らかになった2。しかし、2FAの利用意向と実際の利用との間には、ほぼすべての製品カテゴリーで明確な格差が見られた。例えば、回答者の44％が、自分の電子メール・アカウントを第2因子で保護したいと考えていた。しかし、実際にそうしていると答えたのはわずか17％だった3。
Für diese Diskrepanz konnte nicht allein das fehlende Angebot einer 2FA als Ursache herangezogen werden. Denn insbesondere die untersuchten E-Mail-Dienste boten die zusätzliche Absicherung mehrheitlich an. In 4 von 10 Fällen stand aber nur die Nutzung einer Authentisierungs-App zur Auswahl – ein Authentisierungsverfahren, das nur knapp ein Viertel der Verbraucherinnen und Verbraucher kennt (24 Prozent).4 この食い違いは、2FAが提供されていないことだけが原因ではない。というのも、分析対象となった電子メールサービスのほとんどが、追加のセキュリティを提供していたからである。しかし、10件中4件では、認証アプリの利用のみが可能であり、消費者の4分の1弱（24％）しかなじみのない認証手順であった4。
Eine erneute Auswertung des vzbv im Januar 2024 von 121 digitalen Diensten ergab, dass eine Absicherung des Nutzerkontos mittels biometrischer Merkmale bei 46 Prozent der untersuchten Anbieter möglich war (ab Seite 5). Bei der Verwendung von Biometrie in der 2FA wird der Wissensfaktor (zum Beispiel PIN oder Passwort) durch biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung ersetzt. So könnte jedoch laut BSI eine breitere Implementierung von biometrischen 2FA-Verfahren die Cybersicherheit der Verbraucherinnen und Verbraucher verbessern, da diese Verfahren einfach und bequem anwendbar sind. Dies hängt in hohem Maße von einer sicheren Umsetzung ab.  vzbvが2024年1月に実施した121のデジタル・サービスのさらなる評価では、調査したプロバイダーの46％が生体認証機能を使用してユーザー・アカウントを保護できたことが明らかになった（5ページより）。2FAで生体認証が使われる場合、知識要素（暗証番号やパスワードなど）は指紋や顔認識などの生体認証に置き換えられる。しかし、BSIによれば、バイオメトリクス2FA手続きがより広範に実施されれば、消費者のサイバーセキュリティが向上する可能性がある。これは、安全な実装に大きく依存する。
Wie Hersteller und Anbieter diese gewährleisten, fasst das BSI neben einer Bewertung der IT-Sicherheit für dieses Themenfeld in seinen Empfehlungen zur sicheren Implementierung zusammen (ab Seite 10). So sollten biometrische Systeme zum Beispiel mit einer Fälschungserkennung ausgestattet sein und auch eine Rückfall-Option auf einen anderen zweiten Faktor (Wissen/Besitz) anbieten. Darüber hinaus sollten die Verbraucherinnen und Verbraucher die Möglichkeit haben, unterschiedliche biometrische Charakteristiken (also beispielsweise mehrere Fingerabdrücke) zu hinterlegen, um diese für verschiedene Anwendungsfälle (Geräteentsperrung, Nutzung von Applikationen) nutzen zu können.  BSIは、このトピック分野のITセキュリティの評価に加え、安全な実装のための推奨事項（10ページ～）の中で、製造業者やプロバイダーがどのようにこれを確保するかをまとめている。例えば、バイオメトリクス・システムは偽造検知機能を備え、別の第二要素（知識／所有）へのフォールバック・オプションも提供すべきである。さらに、消費者は、異なるアプリケーション（デバイスのロック解除、アプリケーションの使用）に使用できるように、異なるバイオメトリック特性（例えば、複数の指紋）を保存するオプションを持つべきである。
Die häufigsten Fragen und Antworten (ab Seite 16) sowie ein Glossar (Seite 23) zur biometrischen 2FA runden das vorliegende Ergebnisdokument ab. バイオメトリクス2FAに関する最もよくある質問と回答（16ページ～）と用語集（23ページ）で、この結果文書を締めくくる。

 

 

2024.04.18 00:00 in リンク, in 個人情報保護 / プライバシー, in ロボット | | Comments (0)

2023.02.25

NISC インターネットの安全・安心ハンドブックVer 5.00 (2023.01.31)

こんにちは、丸山満彦です。

NISCが「インターネットの安全・安心ハンドブック」を改訂し、発表していました。。。改訂のメンバーには、主査として猪俣先生のほか、データの宮本さんなどが入っていますね。。。

表紙入れて208ページの大部です。振り返ってみると、このブログではあまり取り上げていなかったですね。。。なぜだろう...

一般国民を意識したこの手の啓発資料は、各省庁で出すのではなく、テーマ毎に省庁横断で整理したほうがわかりやすいかもしれませんね。。。英国政府のように（ただ、英国政府も全体感がわかりにくいという問題はありますが。。。）

あと、PDFでの発行というのは従にして、基本はHTMLで公表するというのが良いと思います。（これも英国政府を参考にしてみてくださいませ。。。）

 

● NISC

・インターネットの安全・安心ハンドブック

・2023.01.31 [PDF] インターネットの安全・安心ハンドブックVer 5.00

20230225-135144

 

目次的...部分版（各章別）

 

 

 

● まるちゃんの情報セキュリティ気まぐれ日記

・2021.10.18 内閣官房 NISC ランサムウェア特設ページ

・2020.04.21 IPA テレワークを行う際のセキュリティ上の注意事項

 

2023.02.25 13:58 in 情報セキュリティ / サイバーセキュリティ, in リンク, in 個人情報保護 / プライバシー, in ウイルス, in 法律 / 犯罪, in 危機管理 / 事業継続 | | Comments (0)

2022.10.19

帝国データバンク サイバー攻撃に関する実態アンケート（2022 年 10 月） (2022.10.14)

こんにちは、丸山満彦です。

帝国データバンクが「サイバー攻撃に関する実態アンケート（2022 年 10 月）」を公表していますね。。。

セキュリティベンダーの調査とはまた違うような感じで、なかなか興味深いです。。。

 

約50%の企業は全くサイバー攻撃を受けたことがないということのようです。。。

（1年以上サイバー攻撃を受けていない企業は約10%、1年以内にサイバー攻撃を受けた企業は約25%、約15%はわからない...）

 

調査結果

  1. サイバー攻撃を「1カ月以内に受けた」企業は8.6％となった。「1カ月超から1年以内に受けた」企業 （15.6％）と合計すると『1年以内に受けた』企業は24.2％だった。また、「過去に受けたが、1年以内に受けていない」は10.6％となった。一方で、「全く受けたことがない」企業は約半数だった
  2. 2022年3月に実施した同様の調査と比較すると、サイバー攻撃を「1カ月以内に受けた」企業は19.8ポイント減となった
  3. サイバー攻撃を受けた際に支出した額について、「0円（サイバー攻撃を受けたが支出はない）」が77.9％で最も高い。次いで、「100万円未満」が15.1％で続いた

 

● 帝国データバンク

・2022.10.14 サイバー攻撃に関する実態アンケート（2022年10月）

・[PDF] 

20221019-30242

 

 

 

■ 参考

2022.03の調査

・2022.03.15 サイバー攻撃に関する実態アンケート

・[PDF]

20221019-30639

 

調査結果

  1. 企業の28.4％で、1カ月以内にサイバー攻撃を受けたと回答
  2. 企業規模により、1カ月以内のサイバー攻撃の有無に濃淡あり

 

 

 

こういう調査って、まさに企業規模や業種により濃淡がありそうで、母集団を代表するようなサンプリングが難しいのかもしれませんね。。。

 

 

2022.10.19 03:10 in 情報セキュリティ / サイバーセキュリティ, in リンク, in 危機管理 / 事業継続 | | Comments (0)

2022.07.16

経済産業省 令和３年度委託調査報告書（サイバーセキュリティ関係） 2022.07.14現在

こんにちは、丸山満彦です。

経済産業省が、令和３年度に委託調査をしたものの報告書一覧がありますが、それが2022.07.14に更新されて、サイバーセキュリティ関連の報告書が公開されていましたので、紹介です。。。

どの課が、どの事業予算で委託し、どの事業者が受託したかがわかります。金額も合わせて一表でわかると良いのにね。。。

 

● 経済産業省1_20220705055701

・[PDF] 令和３年度 委託調査報告書 ＨＰ掲載一覧

20220716-70750

 

2022.07.14公表分...

・2022.07.14 企業におけるサプライチェーンのサイバーセキュリティ対策に関する調査 調査報告書

20220716-70853

４．調査結果のまとめ 現状の課題

1 企業におけるリスク認識・対策

【リスク認識、攻撃被害の状況】
 企業は取引先等を経由したサイバー攻撃（Emotet、ランサムウェア、不正アクセス等）の被害影響のリスクを認識しており、実際に影響を受けているケースも多い
 業界・企業ごとにサプライチェーンの構造・特徴（商材、顧客、活動地域、利用するITサービス等）は異なり、特定・対処するリスクも様々
【取引先等への要請】
 多くの企業は、秘密保持、資産の取扱い、再委託の禁止等、自社で定める基準の適合を求めているが、推奨セキュリティ設定や、特定のサービス導入まで要求しているケースは少ない
 対策費用の負担、業種・規模・環境・意識レベル等の違い、自社と取引先等との関係性（力関係、取引への影響の懸念）から、サイバーセキュリティに関する要請を行いにくいと考える企業が多い
 取引先が多岐に渡り個別に対応する負荷が大きいため、各社への対応が十分に実施できない

2 企業における情報共有、攻撃被害の報告・公表

 取引先等がサイバー攻撃の被害を受けた際の報告・連絡手順、対応窓口が明確化されていない企業も多い
 IPAやJPCERT/CC等の公的機関から情報収取を実施する企業は多いが、専門家の活用や、情報収集コミュニティを通じた情報取得を実施する企業は一部に留まる
 サイバー攻撃の被害について、個人情報の流出や事業停止といった重大な影響が生じない場合、外部に公表しない企業が多い

3 国等の支援制度

 「中小企業の情報セキュリティ対策ガイドライン」の活用・認知は比較的進んでいる一方、「サイバーセキュリティお助け隊サービス」「SECURITY ACTION」は5割前後の認知に留まる
 補助金制度の拡大、強制力を伴う制度の導入、規模の小さい企業向けや特定のテーマに焦点化したガイドラインの提供等のニーズがある

４．調査結果のまとめ 優良事例・取組みの方向性

1 普及させるべき取組みの優良事例

【共通】
 取引先等の実態や調達するサービス・商材に応じたリスク評価と対策（自社基準、認証制度等の活用）
【仕入・外注・委託先等】
 業界団体・協議会等による、基準の策定やプラクティスの収集とその普及・啓発
 委託先等に提供する業務システム（プラットフォーム）を通じた情報提供、教育、アセスメント
 セキュリティ強化のための費用の一部負担
【グループ会社/海外拠点】
 グループポリシーの適用（海外拠点の場合等、実態に応じた適用）
 KPIの制定と経営層を含む定期的な会議体運営を通じたPDCA
 対策費用の一部負担、本社からの稼働提供によるサポート
 本社経営層主導での対策の強化

2 企業における情報共有の認識、今後の在り方

【情報収集・共有】
 IPA、JPCERT等の専門機関、業界団体・コミュニティ（ISAC等）を通じた情報収集・共有
 取引先等への情報共有の方針の検討
【攻撃被害の公表】
 平時における、攻撃被害の外部公表方針の検討、及びステークホルダーとの共有

3 企業、国、民間団体等が講ずべき措置の方向性

【企業等】
 業界団体・協議体等の働きかけによるベースラインの構築と定着
【国、自治体、関係機関等】
 補助金の拡充
 ガイドラインの提供
 相談・情報提供等の窓口の一元化

 

・2022.07.14 サイバーセキュリティ法制度の国際動向等に関する調査 報告書 

20220716-71018

別紙１が読み応えありますね。。。

1. はじめに
1.1 調査背景・目的
1.2 調査実施概要

2. サイバーセキュリティに関する諸外国の法制度や官民の取組等に関する調査
2.1 ランサムウェアに関する法制度や取組
 2021年4月以降のランサムウェア関連調査
 サイバーインシデントに関する報告
2.2 諸外国におけるサイバーセキュリティに関する取組
 諸外国における中小企業向けのガイドライン・ツール・認証制度等の比較
 諸外国における政府（国）のサイバー保険普及策の有無
 EU 諸国におけるソフトウェアのセキュリティ確保に向けた取組（SBOM 等）に関する調査

3. サプライチェーンを支える基盤インフラ技術に関する調査
3.1 基盤インフラ技術の最新動向
 基盤インフラ技術の全体像
 基盤インフラ実現に向けた政策動向
 基盤インフラを構成する基盤ソフトウェアの課題
3.2 基盤インフラ技術に関して求められる政策の検討
 有識者会合（持ち回り会合）の実施

4. 総括

別紙 1 現代のサイバーセキュリティの法的課題についての国際的な研究に関する調査

 

 

・2022.07.14 ビルシステムのサイバーセキュリティ高度化に向けた調査 報告書 

20220716-71146

1. はじめに
1.1 調査背景・目的
1.2 調査実施概要

2. ビルガイドラインの高度化のための調査
2.1 ビルの空調設備システムの対応策に関する調査
2.2 共通ガイドラインの拡充に向けた調査
 インシデントレスポンスに対する要求の整理
 現在のガイドラインへの追加情報の充実化
 ビルシステム及び関連するシステムへの攻撃事例の収集

3. ビルシステムのサイバーセキュリティ推進体制の調査
3.1 推進体制の情報提供・共有・相談等の機能の実践的評価
3.2 推進体制のあり方の調査

4. 検討会の運営
4.1 ビルＳＷＧの運営
 第12回ビル SWG の運営
 第13回ビル SWG の運営
4.2 作業グループの運営
 小グループ検討会（空調編作業グループ）の実施
 小グループ検討会（インシデントレスポンス作業グループ）の実施
 小グループ検討会（情報共有・推進体制ディスカッション）の実施

5. 総括

 

 

・2022.07.14 サイバー・フィジカル・セキュリティ対策フレームワークの実装・推進に関する調査 調査報告書

20220716-71247

エクゼクティブサマリー

  • 経済産業省では、サイバー空間とフィジカル空間を高度に融合させることにより、多様なニーズにきめ細かに対応したモノやサービスを提供し、経済的発展と社会的課題の解決を両立する超スマート社会「Society5.0」の実現へ向けて様々なデータの「つながり」から新たな付加価値を創出していく「Connected Industries」という概念を提唱し、その実現に向けた取り組みを推進している。「つながる」ことによるネットワーク化の進展は、悪意のある者にとって新たな攻撃の機会ともなっていくおそれがあるため、各企業におけるサイバーセキュリティ対策に加えて、サプライチェーン全体としてサイバーセキュリティ確保に向けて取り組む必要がある。また、サイバー攻撃は国境を越えて行われるものであり、米欧各国等との連携を強化し、我が国の取り組みを積極的に国際標準に提案するなど、国際ハーモナイゼーションを確保していくことを常に視野に入れた取り組みを進めていく必要がある。
  • このような背景を踏まえ経済産業省では、平成 29 年 12 月に産業界を代表する経営者、インターネット時代を切り開いてきた学識者等から構成される「産業サイバーセキュリティ研究会」（以下、「研究会」という。）を立ち上げた。サプライチェーンのサイバーセキュリティ強化に向けては、「制度・技術・標準化」WG にて、「Society5.0」における新たな形のサプライチェーンに求められるセキュリティ対策の全体像を整理した「サイバー・フィジカル・セキュリティ対策フレームワーク」（以下、「CPSF」という。）を平成 31 年 4 月に策定した。CPSF では、「Society5.0」における産業社会を３つの層（企業間のつながり（第１層）、フィジカル空間とサイバー空間のつながり（第２層）、サイバー空間におけるつながり（第３層））に整理し、セキュリティ確保のための信頼性の基点の明確化を行った。加えて、産業分野共通の課題を検討する分野横断 SWG、タスクフォース（以下、「TF」という。）等を立ち上げ、それぞれの課題に応じた検討を並行して進めている。
  • CPSF では、サイバー空間とフィジカル空間が高度に融合した産業社会の中で、サイバー空間とフィジカル空間の境界で交換される情報が正確に転換されること、つまり境界上における“転写”という役割に焦点を当て、第 2 層の信頼性の基点を転写機能とした上で、転写機能の信頼性を確保するための対策要件及び対策例を提示しているが、転写機能を担う IoT 機器等の多様性やインシデントが発生した場合の被害の複雑化等も踏まえ、IoT 機器等に求められるセキュリティ対策やリスクアセスメントの考え方等について更なる検討が必要である。そこで、令和 2 年 11 月に、サイバー空間とフィジカル空間をつなぐ新たな仕組みによってもたらされる新たなリスクに着目し、リスク形態及びそうしたリスクに対応するセキュリティ・セーフティ対策の類型化の手法を提示する「IoT セキュリティ・セーフティ・フレームワーク」（以下、「IoTSSF」という。）を策定した。
  • サプライチェーンのサイバーセキュリティ強化に向けては、各国政府においても取り組みが行われている状況下で、日本が国際的なサイバーセキュリティ対策のルールメイキングに主導的な役割を担えるようになるためにも、日本からサイバーセキュリティ対策の枠組みを提案することが重要である。
  • 本事業では、研究会及び各 WG 等の議論を踏まえ、各国政府の取り組みやその他国内外のセキュリティ等に関する文献等を調査し、サイバー空間におけるつながりの信頼性及びＩｏＴ機器等の転写機能の信頼性を確保するための対策要件等の検討及び CPSF 等に基づく国際規格（ＴＲ等を含む。）の推進を目的として実施した。
  • 本事業項目（1）｢サイバー空間におけるつながりの信頼性及び IoT 機器等の転写機能の信頼性を確保するための対策要件等に関する動向等についての調査」では、IoT 機器等の転写機能の信頼性を確保するために求められる標準化団体、業界団体及び外国政府の取り組み等や IoT 機器等のセキュリティ対策、及びそれらの信頼性の確認手法等について、公開情報等を調査し整理した。また、一連の IoT-SSF の適用の流れを複数のユースケースを用いて例示するユースケース集を検討し、事業期間中開催された TF 等の議論の内容を反映して、「IoT セキュリティ・セーフティ・フレームワーク Version 1.0 実践に向けたユースケース集」としてまとめた。
  • サイバー空間におけるつながりの信頼性を確保するために求められる標準化団体、業界団体及び外国政府の取り組み等やデータのセキュリティ対策及びそれらの信頼性の確認手法等について、公開情報等を調査し整理した。また、事業期間中 2 回実施したパブリックコメントでいただいた意見や、TF 等での議論の内容を反映し、「協調的なデータ利活用に向けたデータマネジメント・フレームワーク～データによる価値創造の信頼性確保に向けた新たなアプローチ」としてまとめた。
  • 本事業項目（2）｢CPSF 等に基づく国際規格（TR 等を含む｡）の推進｣においては､CPSF をベースにした国際標準化を推進することを目的として､推進に必要な諸外国の政府又は政府関連機関､業界団体､標準化団体等によるルール形成の取り組み状況等の調査や､ISO/IEC及びそれに関連する会議等における必要な働きかけの実施､CPSF 等に基づく国際規格（案）の作成等を実施した｡
  • 具体的には、国際規格策定に向けた検討のロードマップを策定し、適宜必要な文献調査等を実施しつつ、サイバーセキュリティに関する国際規格の策定や維持管理を担う ISO/IEC JTC1/SC 27/WG 4 (セキュリティコントロールとサービス)の国内エキスパートと連携して本件に係る国際規格策定プロジェクトの提案及び PWI(予備業務項目)、NWIP(新規作業項目提案)としてのプロジェクト推進、その他必要に応じて国内外の関係者との意見交換を行った。CPSF をベースにした国際標準の実現に向けては、2022 年度以降も、本調査を通じて策定されたロードマップや識別された推進上の課題等を参照して、ISO/IEC JTC 1/SC 27/WG 4 におけるプロジェクトを効果的に推進していくことが期待される。

 

過去分...

・2022.06.24 熱供給事業のサイバーセキュリティ対策に関する調査事業 報告書

20220716-71507

・2022.06.17 北海道におけるサイバーセキュリティコミュニティ強化に向けた調査 調査報告書

20220716-71552

・2022.06.17 宇宙産業におけるサイバーセキュリティ対策に関する調査 調査報告書

20220716-72602

 

・2022.05.25 電力分野のサイバーセキュリティ対策 のあり方に関する詳細調査分析 報告書

20220716-72345

・2022.04.06 令和３年度四国地域の中小企業サイバーセキュリティ対策促進事業 調査報告書（公表用）

20220716-72450

 



 

 

2022.07.16 07:14 in 情報セキュリティ / サイバーセキュリティ, in リンク, in 個人情報保護 / プライバシー, in 内部統制 / リスクマネジメント, in 危機管理 / 事業継続, in IoT | | Comments (0)

2022.05.15

カナダ プライバシーコミッショナー室 プライバシーに関する戦略的優先事項とそこから生まれたテーマと見解

こんにちは、丸山満彦です。

カナダのプライバシーコミッショナー室がプライバシーに関する戦略的優先事項とそこから生まれたテーマと見解を公表していますね。。。

これを読むと、欧州を中心としたプライバシーに関する法制度のそもそもの意図についての理解が進むかもしれませんね。。。

たとえば、こんな部分とか...

また、カナダのプライバシー法制のリンク集としても有益ですね(^^)

 

Fig_20220515053201

 

● Office of the Privacy Commissioner of Canada; OPC

発表

- OPC News - News and announcements

・2022.05.12 OPC publishes analysis of themes and observations that emerged from strategic privacy priorities exercise

内容

- About the OPC - OPC strategic privacy priorities

・2022.05.12 Strategic Privacy Priorities and the themes and observations that emerged: 2015-2022

 

Strategic Privacy Priorities and the themes and observations that emerged: 2015-2022 プライバシーに関する戦略的優先事項とそこから生まれたテーマと見解：2015-2022年
Introduction はじめに
In 2015, following significant public consultations, the Office of the Privacy Commissioner of Canada (OPC) identified four strategic priorities: 2015年、大規模な公開協議を経て、カナダ・プライバシーコミッショナー室（OPC）は4つの戦略的優先事項を特定しました。
・Economics of personal information; ・個人情報の経済性
・Government surveillance; ・政府の監視
・Reputation and privacy; and ・レピュテーションとプライバシー
・The body as information. ・情報としての身体
The priorities selected reflect the values and concerns of Canadians, as well as the views of numerous stakeholders in civil society and consumer advocacy groups, industry, legal service, academia and government. 選択された優先順位は、カナダ人の価値観と懸念、および市民社会と消費者擁護団体、産業界、法律事務所、学界、政府の多くの利害関係者の意見を反映しています。
The OPC’s aim was to hone its focus to make best use of its limited resources, to further its ability to inform Parliamentarians, organizations and the public of the issues at stake, to influence behaviour and to use the office’s regulatory powers most effectively. OPCの目的は、限られた資源を最大限に活用するために焦点を絞り、国会議員や団体、一般市民に問題点を伝え、行動に影響を与え、オフィスの規制権限を最も効果的に活用する能力をさらに高めることです。
The OPC sought to achieve its goals through a variety of strategic approaches that included public education, better addressing the privacy needs of vulnerable groups, and protecting Canadians’ privacy in a borderless world. OPCは、一般市民への教育、社会的弱者のプライバシーニーズへの対応、国境のない世界におけるカナダ人のプライバシー保護など、さまざまな戦略的アプローチによって目標達成を目指しています。
The strategic priorities have guided and helped focus the OPC’s work during Commissioner Daniel Therrien’s term, as he sought to restore Canadians’ trust in government and the digital economy. ダニエル・セリエン委員が、政府とデジタル経済に対するカナダ人の信頼を回復するために努めている間、戦略的優先事項は、OPCの活動の指針となり、焦点を合わせるのに役立ちました。
Priorities: setting goals, exploring themes and reporting outcomes 優先事項：目標の設定、テーマの探求、成果の報告
For each strategic priority, the OPC began with a stated goal. What emerged in subsequent policy work, stakeholder interactions and investigations was a series of important themes. OPCは、戦略的優先事項のそれぞれについて、まず目標を設定しました。その後の政策活動、ステークホルダーとの交流、調査の中で浮かび上がったのは、一連の重要なテーマでした。
It is these themes that, combined, have led to the conclusion that effective privacy protection demands immediate rights-based law reform. Below is an exploration of the OPC’s original goals, the themes that emerged and the key initiatives that support its position. これらのテーマが組み合わさって、効果的なプライバシー保護には権利に基づく法改正が直ちに必要であるという結論に至ったのです。以下、OPCの当初の目標、浮かび上がったテーマ、そしてその立場を支える主要な取り組みについて紹介します。
The economics of personal information 個人情報の経済性
Initial goal: To enhance the privacy protection and trust of individuals so that they may confidently participate in the digital economy. 当初の目標：個人のプライバシー保護と信頼を強化し、デジタル経済に安心して参加できるようにする。
Emerging theme: Technology and new business models that rely on complex data practices are challenging the current consent model and raising questions about the relationship between privacy and other fundamental rights. 新たなテーマ：複雑なデータ処理に依存するテクノロジーと新しいビジネスモデルは、現在の同意モデルに挑戦し、プライバシーと他の基本的権利の関係について疑問を投げかけています。
During an extensive consultation with stakeholders following its publication in 2016 of a discussion paper on how to improve the consent model, the OPC heard from and agreed with many who argued the increasingly complex digital environment poses challenges for the protection of privacy and the role of consent. 2016年に発表した同意モデルの改善方法に関するディスカッションペーパーに続く関係者との広範な協議において、OPCは、ますます複雑化するデジタル環境がプライバシー保護と同意の役割に課題をもたらすと主張する多くの人々からの意見を聞き、同意しました。
There was recognition that while consent can be meaningfully given in some situations, with better information, there were other circumstances where consent may be impracticable. This may be so, for instance, in some uses of big data or artificial intelligence, where it is no longer entirely clear to consumers who is processing their information and for what purposes. In fact, at times consent can be used to legitimize uses that, objectively, are completely unreasonable. より良い情報があれば、ある状況下では同意が有意義に与えられる一方で、同意が実行不可能な状況も存在することが認識されました。例えば、ビッグデータや人工知能の利用では、誰がどのような目的で自分の情報を処理しているのかが、消費者にとってもはや完全に明確ではなくなっている場合がそうです。実際、客観的に見ればまったく合理性のない利用を正当化するために、同意が利用されることもあります。
The OPC sought to address these challenges through various means discussed in its 2017 consent report, notably by clarifying in its Guidelines for obtaining meaningful consent the key elements to be conveyed to consumers to ensure consent is meaningful. However, where consent is not practicable, the OPC put forward the idea that alternatives to consent may need to be considered to maintain effective privacy protections. OPCは、2017年の同意報告書で議論された様々な手段を通じてこれらの課題に対処しようとし、特に、意味のある同意を得るためのガイドラインにおいて、同意が意味のあるものとなるために消費者に伝えるべき主要な要素を明確にしました。しかし、同意が現実的でない場合、OPCは、効果的なプライバシー保護を維持するために、同意に代わる選択肢を検討する必要がある場合があるという考えを打ち出しました。
At the same time, the OPC published guidance on “no go zones” for the collection, use and disclosure of personal information. It outlines practices that would be considered “inappropriate” by a reasonable person, even with consent, and therefore contrary to subsection 5(3) of Canada’s federal private sector privacy law, the Personal Information Protection and Electronic Documents Act (PIPEDA). The guidance included as inappropriate personal information practices that involve profiling or categorization that leads to unfair, unethical or discriminatory treatment, contrary to human rights law. 同時に、OPCは個人情報の収集、使用、開示の「禁止区域」についてのガイダンスを発表しました。これは、たとえ同意があったとしても、合理的な人からは「不適切」とみなされ、したがってカナダの連邦民間部門プライバシー法である個人情報保護および電子文書法（PIPEDA）の第5項（3）に反すると思われる慣行を概説したものです。このガイダンスでは、人権法に反して不当、非倫理的、または差別的な扱いにつながるプロファイリングや分類を伴う個人情報の取り扱いは不適切であるとしています。
Some time later, a joint investigation into the Facebook/Cambridge Analytica scandal starkly illustrated how Canada had reached a critical tipping point and that privacy rights and democratic values were at stake. その後、FacebookとCambridge Analyticaのスキャンダルに関する共同調査が行われ、カナダがいかに重大な転換点を迎え、プライバシーの権利と民主主義の価値が危機にさらされているかが明確に示されました。
That case underscored how privacy rights and data protection are not just a set of technical or procedural rules, settings, controls and administrative safeguards. Instead, privacy is a fundamental right and a necessary precondition for the exercise of other fundamental rights, including freedom, equality and democracy. この事件は、プライバシーの権利とデータ保護が、単なる技術的・手続き的な規則、設定、制御、管理上のセーフガードではないことを強調しました。むしろ、プライバシーは基本的な権利であり、自由、平等、民主主義を含む他の基本的な権利の行使に必要な前提条件なのです。
Most recently, global developments in machine learning and the increasingly widespread use of artificial intelligence have led to the parallel realizations that privacy and equality (non-discrimination) are also vitally linked. 最近では、機械学習や人工知能の普及が世界的に進み、プライバシーと平等（無差別）が極めて密接に関連していることが並行して認識されるようになりました。
Such examples informed the OPC’s views on law reform, as set out in its 2018-2019 Annual Report to Parliament, which described the urgent need for a rights-based law framework, and its subsequent submission to Parliament on Bill C-11, the Digital Charter Implementation Act, 2020. こうした事例は、権利に基づく法の枠組みの緊急な必要性を述べた2018-2019年の国会への年次報告書や、それに続く2020年のデジタル憲章実施法である法案C-11に関する国会への提出文書で示された、法改革に関するOPCの見解に反映されています。
In this submission, the OPC agreed with the intention behind Bill C-11 to give organizations greater flexibility to use personal information, even without consent, for legitimate commercial and socially beneficial purposes. But this should be done within a rights based framework that recognizes privacy as a human right and as a prior condition to the exercise of other fundamental rights. This, it argued, would promote responsible innovation. この提出書類の中で、OPCは、商業的・社会的に有益な正当な目的のために、同意がなくても個人情報を利用する柔軟性を組織に与えるという法案C-11の背後にある意図に同意しました。しかし、これは、プライバシーを人権として、また他の基本的権利の行使の前提条件として認識する、権利に基づく枠組みの中で行われるべきものです。そうすることで、責任ある技術革新が促進されると主張しました。
While the government’s bill died on the order paper when the election was called in 2021, the government said it would table new legislation in 2022. 2021年に選挙が行われた際、政府の法案は法案段階で廃案になりましたが、政府は2022年に新しい法案を提出するとしています。
The OPC is not alone in this position, which is held by many international partners. In 2019, for instance, the OPC sponsored a resolution, adopted by the Global Privacy Assembly, a forum which brings together data regulators from around the world, to recognize privacy as a fundamental human right and vital to the protection of other democratic rights. The resolution called on governments to reaffirm a strong commitment to privacy as a human right and to review and update privacy and data protection laws. このような立場は、多くの国際的なパートナーが持っているもので、OPCだけではありません。例えば2019年、OPCは決議を後援し、世界中のデータ規制当局が集まるフォーラム「グローバル・プライバシー・アセンブリ」で、プライバシーを基本的人権と認め、他の民主的権利の保護に不可欠であるとする決議が採択されました。この決議は、各国政府に対し、プライバシーを人権として尊重することを再確認し、プライバシーおよびデータ保護に関する法律を見直し、更新するよう求めています。
Other OPC work: その他のOPCの活動
・Privacy breaches (or personal data leaks) remain a perennial problem that forever threatens consumer confidence in the digital economy. The OPC has investigated a number of significant breaches that underscore deficiencies with the security safeguards adopted by organizations: ・プライバシー侵害（または個人情報漏洩）は、デジタル経済における消費者の信頼を永遠に脅かす永遠の問題であり続けています。OPCは、組織が採用するセキュリティ対策の不備を浮き彫りにするような重大な違反事件を数多く調査してきました。
・・An investigation into the Fédération des caisses Desjardins du Québec following a breach of security safeguards that ultimately affected close to 9.7 million individuals in Canada and abroad; ・・Fédération des caisses Desjardins du Québec に対する調査は、カナダ国内および海外の約970万人の個人を危険にさらしたセキュリティ保護措置の違反に続いて行われました。
・・An investigation into Equifax that occurred when hackers gained access to the credit reporting agency’s systems through a security vulnerability the company had known about for more than two months, but had not fixed; and ・・Equifaxが2ヶ月以上前から知っていながら修正しなかったセキュリティの脆弱性により、ハッカーが信用調査会社のシステムにアクセスした際に発生した調査。
・・An investigation into a breach of the World Anti-Doping Agency’s database that resulted in the disclosure of sensitive health and location information about more than 100 athletes who had competed in the 2016 Rio Olympic Games.
・・世界アンチ・ドーピング機構のデータベースが侵害され、2016年のリオ・オリンピックに出場した100人以上のアスリートの健康状態や位置情報などの機密情報が流出した事件に関する調査。
Government surveillance 政府による監視
Initial goal: To contribute to the adoption and implementation of laws and other measures that demonstrably protect both national security and privacy. 当初の目標：国家の安全保障とプライバシーの両方を明らかに保護する法律やその他の措置の採択と実施に貢献すること。
Emerging theme: Public safety and national security institutions require effective oversight and stronger legal thresholds are needed to ensure their activities are not just lawful, but also necessary and proportional to the outcomes they are seeking to achieve. 新たなテーマ：公共安全および国家安全保障機関は、その活動が単に合法的であるだけでなく、必要かつ達成しようとする結果に比例していることを保証するために、効果的な監視とより強力な法的閾値を必要とする。
After 9/11, Canada and its allies enacted many laws and initiatives that broadened the authorities for government data collection in the name of national security, some of which adversely affected privacy. The OPC was called upon to comment on a number of these issues. In general, its advice stressed the importance of strict standards to limit the sharing of personal information to what is necessary for public safety purposes, and the importance of oversight to ensure the activities of law enforcement and national security agencies are conducted lawfully. 9.11以降、カナダとその同盟国は、国家安全保障の名の下に政府のデータ収集の権限を拡大する多くの法律や施策を制定し、その中にはプライバシーに悪影響を及ぼすものもありました。OPCは、これらの問題の多くについてコメントを求められていました。一般に、OPCの助言は、個人情報の共有を公共の安全のために必要なものに限定するための厳格な基準の重要性と、法執行機関や国家安全保障機関の活動が合法的に行われることを保証するための監視の重要性を強調しています。
By and large, the recommendations were reflected in the bills that were passed, notably Bill C-51, the Anti-Terrorism Act, 2015 and Bill C-13, on cyber-criminality. 大体において、この提言は、可決された法案、特に2015年の反テロ法である法案C-51と、サイバー犯罪に関する法案C-13に反映されました。
On the former, the OPC recognized the important work of national security agencies but stressed that collection thresholds should be sufficiently high in order to protect the privacy of law abiding citizens. 前者についてOPCは、国家安全保障機関の重要な活動を認めながらも、法を守る市民のプライバシーを保護するために、収集の閾値を十分に高くするべきだと強調しました。
The investigation into the Canada Border Services Agency’s examination of digital devices was a good example of the OPC’s work to improve thresholds. The investigation raised a number of concerns with the CBSA’s practices and argued the Customs Act should be updated to recognize that digital devices contain sensitive personal information and are not mere “goods” that should be subject to border searches without legal grounds. This outdated notion does not reflect the realities of modern technology. カナダ国境サービス庁のデジタル機器検査に関する調査は、OPCが閾値の改善に取り組んだ良い例でしました。この調査では、CBSAの慣行について多くの懸念が示され、デジタル機器には機密性の高い個人情報が含まれており、法的根拠なく国境で検査されるべき単なる「物品」ではないことを認識するために関税法を更新すべきであると主張しました。この時代遅れの考え方は、現代のテクノロジーの現実を反映していません。
The OPC called for a clear legal framework for the examination of digital devices and the threshold for examinations of digital devices to be elevated to “reasonable grounds to suspect” a legal contravention. As early as 2017 in an appearance on border privacy, the OPC expressed the view that Canadian courts would find groundless searches of electronic devices to be unconstitutional, even at the border. OPCは、デジタル機器の検査に関する明確な法的枠組みと、デジタル機器の検査の閾値を、法律違反を疑う「合理的な根拠」にまで引き上げることを求めました。早くも2017年に国境のプライバシーに関する出演で、OPCは、カナダの裁判所は国境であっても電子機器の根拠のない捜査を違憲と判断するだろうとの見解を示しました。
In 2020, the Alberta Court of Appeal ruled the Customs Act provisions that permitted warrantless searches of devices by CBSA officers were in fact unconstitutional and suspended its declaration of invalidity to give the government time to amend the legislation. On March 31, 2022, the government tabled Bill S-7 in response to the ruling. 2020年、アルバータ州控訴裁判所は、CBSA職員による令状なしの機器検索を認めた関税法の規定を事実上違憲と判断し、政府に法改正の時間を与えるため無効宣言を一時停止しました。2022年3月31日、政府はこの判決を受け、法案S-7を提出しました。
The importance of robust collection thresholds was also highlighted in the OPC’s 2016 submissions on Privacy Act reform. Given the relative ease with which government institutions can collect personal information with today’s digital technologies, the Office recommended that the collection of personal information be subject to the international standard of necessity and proportionality. 堅牢な収集閾値の重要性は、プライバシー法改革に関するOPCの2016年の提出文書でも強調されています。今日のデジタル技術により政府機関が比較的容易に個人情報を収集できることを踏まえ、同局は、個人情報の収集は必要性と比例性という国際基準の対象とするよう勧告しました。
The investigation of Statistics Canada’s collection of personal information from a credit bureau and financial institutions offered a practical example of the tension between broad government data collection and the public’s expectation of privacy. Although the investigation found the Statistics Act authorizes broad data collection, it also found significant privacy concerns regarding the initiative, which led the OPC to recommend that the agency adopt a standard of necessity and proportionality into all its collection activities. The OPC concluded: カナダ統計局による信用調査機関や金融機関からの個人情報収集に関する調査は、政府の広範なデータ収集と国民のプライバシーへの期待との間の緊張関係を示す実例となりました。この調査は、統計法が広範なデータ収集を許可していることを明らかにしたものの、この取り組みに関してプライバシーに関する重大な懸念があることも明らかにしたため、OPCは、すべての収集活動に必要性と比例性の基準を採用するよう勧告しました。OPCは次のように結論づけました。
We consider a complete record of financial transactions to be extremely sensitive personal information. Indeed, this line-by-line collection of information relating to individuals’ banking activities by a government institution could be considered akin to total state surveillance. It is doubtful that any public objective can be so compelling (pressing and substantial) as to justify this level of intrusiveness. 私たちは、金融取引の完全な記録は、極めて機密性の高い個人情報であると考えています。実際、政府機関が個人の銀行業務に関する情報を一行ごとに収集することは、国家の全面的な監視に近いと考えられます。このレベルの侵入を正当化するほど切実な（pressing and substantial）公的目的があるかは疑問です。
Beyond stronger thresholds and standards for the collection and sharing of personal information, the OPC also called for greater accountability and oversight over national security agencies. To that end, Bill C-22 introduced the National Security and Intelligence Committee of Parliamentarians and Bill C-59 created a new expert national security oversight body, the National Security and Intelligence Review Agency (NSIRA), which consolidated national security review under one roof. OPCは、個人情報の収集と共有の基準値を強化するだけでなく、国家安全保障機関に対する説明責任と監視を強化するよう求めました。そのために、法案C-22は国会議員による国家安全保障・情報委員会を導入し、法案C-59は国家安全保障の専門的な監視機関である国家安全保障・情報審査局（NSIRA）を新設して、国家安全保障の審査を一元化しました。
In order to ensure that both privacy and national security expertise are brought to bear upon oversight activities, the OPC has developed strong partnerships with NSIRA, resulting in a collaborative review under the Security of Canada Information Disclosure Act (SCIDA) and issuance of the first joint report in February 2022. プライバシーと国家安全保障の両方の専門性を監視活動に生かすため、OPCはNSIRAと強いパートナーシップを築き、カナダ情報公開安全法（SCIDA）に基づく共同審査を実現し、2022年2月に初の共同報告書を発行しています。
Other OPC work: その他のOPCの活動
・In 2016, the OPC raised the issue of warrantless access to personal information by law enforcement. During a committee appearance and subsequent submission on Public Safety Canada’s National Security Green Paper, the OPC stressed the importance of maintaining the role of judges in the authorization of warrants for the collection of metadata by police. It also emphasized the need for technical solutions that might support discrete, lawfully authorized access to specific encrypted devices, as opposed to imposing new legislative requirements. ・2016年、OPCは法執行機関による個人情報への令状なしのアクセスについて問題を提起しました。カナダ公共安全省の国家安全保障グリーンペーパーに関する委員会への出席とその後の提出書類の中で、OPCは、警察によるメタデータ収集のための令状承認において、裁判官の役割を維持することの重要性を強調しました。また、新たな法的要件を課すのではなく、暗号化された特定のデバイスへの合法的なアクセスを個別にサポートするような技術的ソリューションの必要性も強調しています。
・The OPC has made the inclusion of necessity and proportionality a key principle in the frameworks, guidance, joint statements and international resolutions it has put forward with provincial, territorial and international data protection colleagues. For example: ・OPC は、必要性と比例性を、州、地域、国際的なデータ保護の仲間とともに提出した枠組み、ガイダンス、共同声明、国際決議の主要な原則に盛り込んでいます。例えば
・・It is included in the Framework for the Government of Canada to Assess Privacy-Impactful Initiatives in Response to COVID-19 and the Regulatory Framework for AI: Recommendations for PIPEDA Reform; ・・COVID-19に対応した「カナダ政府がプライバシーに配慮した取り組みを評価するための枠組み」や「AIに関する規制の枠組み：PIPEDA改革のための提言」に盛り込まれています。
・・The updated Guidance for the use of body-worn cameras by law enforcement authorities and the Privacy guidance on facial recognition for police agencies; ・・法執行機関による身体装着型カメラの使用に関するガイダンスの更新と、警察機関の顔認識に関するプライバシーガイダンス。
・・The joint FPT statements on Privacy and COVID-19 Vaccine Passports and Privacy principles for contract tracing apps; and ・・プライバシーとCOVID-19ワクチンパスポートに関するFPT共同声明、および契約追跡アプリのプライバシー原則。
・・The Global Privacy Assembly Resolution on Government Access to Data, Privacy and the Rule of Law which the OPC sponsored and signed along with 18 other DPAs. ・・OPCがスポンサーとなり、他の18のDPAとともに署名した「政府によるデータへのアクセス、プライバシー、法の支配に関する世界プライバシー総会決議」。
Reputation and privacy 評判とプライバシー
Initial goal: To help create an environment where individuals can use the Internet to explore their interests and develop as people without fear that their digital trace will lead to unfair treatment. 当初の目標：個人がインターネットを利用して自分の興味を探求し、デジタルトレースによって不当な扱いを受けることを恐れることなく人間として成長できるような環境作りを支援すること。
Emerging theme: Canadians deserve privacy laws that provide them with some measure of protection of their reputation, while respecting freedom of expression. 新たなテーマ：カナダ人には、表現の自由を尊重しつつ、自分の評判をある程度保護するプライバシー法がふさわしい。
Central to the OPC’s work on reputation and privacy is the Draft Position on Online Reputation. Developed after a consultation and call for essays from various stakeholders, it highlighted the OPC’s preliminary views on existing protections in Canada’s federal private-sector privacy law, which includes the right to ask search engines to de-list web pages that contain inaccurate, incomplete or outdated information and remove information at the source. The Draft Position also emphasized the importance of education to help develop responsible, informed online citizens. 評判とプライバシーに関するOPCの活動の中心は、「オンライン上の評判に関する意見書ドラフト（Draft Position on Online Reputation）」です。様々なステークホルダーからのコンサルテーションとエッセイの募集を経て作成されたこのドラフトは、カナダの連邦民間部門プライバシー法における既存の保護について、OPCの予備的見解を強調しています。この保護には、不正確、不完全または古い情報を含むウェブページのリスト解除とソースでの情報削除を検索エンジンに要求する権利が含まれています。また、Draft Positionでは、責任ある情報通のオンライン市民を育成するための教育の重要性が強調されました。
In 2018, the OPC filed a Reference with the Federal Court seeking clarity on whether Google’s search engine service is subject to federal privacy law when it indexes web pages and presents results in response to a search for a person’s name. The Court was asked to consider the issue in the context of a complaint involving an individual who alleged Google was contravening PIPEDA by prominently displaying links to online news articles about him when his name was searched. 2018年、OPCは、Googleの検索エンジンサービスが、人名の検索に応じてウェブページをインデックス化し結果を提示する際に、連邦プライバシー法の適用を受けるかどうかについて、連邦裁判所にReferenceを提出し、明確化を求めました。同裁判所は、Googleが自分の名前を検索した際に、自分に関するオンラインニュース記事へのリンクを目立つように表示し、PIPEDAに違反していると主張する個人に関する苦情との関連でこの問題を検討するよう要請されたのです。
The Federal Court issued its decision on the merits of the reference questions in July 2021. The OPC welcomed the Court’s decision, which aligned with its position that Google’s search engine service is collecting, using, and disclosing personal information in the course of commercial activities, and is not exempt from PIPEDA under the journalistic exemption. Google is appealing the decision. The OPC’s Draft Position will remain in draft until the conclusion of this litigation and the underlying investigation. 連邦裁判所は、2021年7月に付託された質問の是非について判決を下しました。OPCは、Googleの検索エンジンサービスは商業活動の過程で個人情報を収集、使用、開示しており、ジャーナリズムの免責によりPIPEDAから免除されないという立場と一致した裁判所の決定を歓迎しました。Googleはこの決定を不服として控訴しています。OPCの意見書ドラフトは、この訴訟とその基礎となる調査が終了するまで、ドラフトとして残されます。
Since it is ultimately up to elected officials to confirm the right balance between privacy and freedom of expression, the OPC has stated that its preference would be for Parliament to clarify the law with regard to a right to request de-listing by search engines, as Quebec did through Bill 64. プライバシーと表現の自由の適切なバランスを確認するのは、最終的には選挙で選ばれた議員に委ねられるため、OPCは、ケベック州が法案64を通じて行ったように、検索エンジンによるリスト解除を要求する権利に関して、議会が法律を明確にすることを望むと表明しています。
Other OPC work: その他のOPCの活動
・The OPC launched an investigation into Romanian website Globe24h which was republishing court and tribunal decisions, including Canadian decisions available through legal websites like CanLII. Unlike CanLII, which uses the web’s robot exclusion standard to limit indexing of decisions by name and thereby minimize the privacy impact on individuals, the Globe24h site indexed decisions and made them searchable by name. It also charged a fee to individuals who wanted their personal information be removed. The investigation found the company did not obtain consent to collect, use and disclose the personal information found in the tribunal decisions and that its actions were not ones a reasonable person would consider appropriate in the circumstances. ・OPCは、ルーマニアのウェブサイトGlobe24hの調査を開始しました。このサイトは、CanLIIなどの法律サイトで利用できるカナダの判決を含む裁判所や法廷の判決を再掲載していました。CanLIIは、ウェブ上のロボット排除基準を用いて、名前による判決のインデックス作成を制限し、それにより個人へのプライバシーへの影響を最小限に抑えていますが、Globe24hのサイトは判決をインデックス化し、名前による検索ができるようにしています。また、個人情報の削除を希望する個人には料金を請求していた。調査の結果、同社は判決文にある個人情報を収集、使用、開示することに同意を得ておらず、その行為は合理的な人がその状況下で適切と考えるものではないことが判明しました。
　After the release of the OPC’s investigation report, a complainant pursued the matter further in Federal Court, seeking damages from the company as well as an enforceable order for the operator of the site to delete all Canadian court and tribunal decisions on its servers. Given the precedent-setting nature of the issues at play, the OPC intervened in the litigation and in January 2017, the Federal Court confirmed the findings of the OPC investigation and ordered Globe24h to remove Canadian court and tribunal decisions containing personal information from its website, and to refrain from further copying and republishing Canadian decisions in a manner that contravened PIPEDA. It also ordered the organization to pay for nominal damages incurred as a result of its offside practices. Shortly after the Court’s decision was issued, the website ceased to operate. 　OPCの調査報告書の発表後、原告は連邦裁判所でこの問題をさらに追及し、同社に損害賠償を求めるとともに、サイトの運営会社に対して、サーバーにあるすべてのカナダの裁判所および裁判の判決を削除するよう強制力を持った命令を下しました。問題の先例性を考慮し、OPCはこの訴訟に介入し、2017年1月、連邦裁判所はOPCの調査結果を確認し、Globe24hに対し、個人情報を含むカナダの裁判所および法廷の判決をウェブサイトから削除し、PIPEDAに反する方法でカナダの判決をさらにコピーして再出版しないよう命じました。また、同裁判所は、同団体の違反行為により発生した名目上の損害の賠償を命じました。裁判所の決定が出された直後、同ウェブサイトの運営は停止されました。
・An investigation into the website RateMDs.com was initiated following a complaint that anonymous users of the site were posting reviews and ratings concerning her work as a dentist. ・RateMDs.comの匿名ユーザーが、歯科医としての仕事に関するレビューや評価を投稿しているという苦情を受け、同サイトの調査が開始されました。
・Several complaints about the RCMP’s use of non-conviction information in vulnerable sector checks led to an investigation that found the RCMP’s policy of reporting non-conviction information, including mental health incidents, in vulnerable sector checks was neither proportional nor minimally intrusive. ・RCMPによる弱者部門チェックにおける前科者以外の情報の使用に関するいくつかの苦情を受けて、弱者部門チェックにおいて精神衛生事件を含む前科者以外の情報を報告するというRCMPの方針が、比例的でも最小限の押しつけでもないことが判明し、調査が実施されました。
The body as information 情報としての身体
Initial goal: To promote respect for the privacy and integrity of the human body as the vessel of our most intimate personal information. 当初の目標：最も親密な個人情報の容器である人体のプライバシーと完全性の尊重を促進すること。
Emerging theme: Because they rely on permanent characteristics that are so intimately personal, the collection, use and disclosure of biometrics and genetic information can lead to very significant privacy risks and must accordingly be protected under the highest possible privacy standards. 新たなテーマ：バイオメトリクスと遺伝情報の収集、使用、開示は、個人と密接に関係する永久的な特徴に依存しているため、非常に重大なプライバシー・リスクにつながる可能性があり、それゆえ、可能な限り最高のプライバシー基準の下で保護されなければなりません。
Canada’s privacy laws were designed to be technology neutral, which is positive, given the pace of technological change compared to that of legislative modernization. カナダのプライバシー法は技術的に中立であるように設計されており、法制の近代化と比較して技術的変化のペースが速いことを考えると、これは好ましいことです。
However, the use of facial recognition technology (FRT) by both the private and public sectors has raised questions about whether specific rules may be warranted. しかし、民間と公的セクターの両方による顔認識技術（FRT）の使用は、特定の規則が正当化されるかどうかについての疑問を提起しています。
This is already the case for other forms of biometrics collected by law enforcement such as fingerprints and DNA profiles, and Quebec recently became the first jurisdiction in Canada to actually enact a law that specifically addresses biometrics, which encompasses FRT. これは、指紋やDNAプロファイルなど、法執行機関によって収集される他の形態のバイオメトリクスについては既にそうなっており、ケベック州は最近、FRTを含むバイオメトリクスを特に扱う法律を実際に制定したカナダで最初の司法当局となりました。
The OPC’s investigations into Clearview AI and the RCMP’s use of the company’s facial recognition technology thrust the issue into the spotlight, making it a key initiative under this priority. クリアビューAIとRCMPによる同社の顔認識技術の使用に関するOPCの調査は、この問題にスポットライトを当て、この優先事項における重要な取り組みとしました。
The investigations found Clearview AI violated Canada’s federal private sector privacy law by creating a databank of more than three billion images scraped from internet websites without the express knowledge or consent of individuals. Clearview users, such as the RCMP, could match photographs of people against the photographs in the databank. The result was that billions of people essentially found themselves in a police line-up. We concluded this represented mass surveillance and was a clear violation of privacy. この調査により、クリアビューAIは、個人の明示的な認識や同意なしにインターネットウェブサイトからかき集めた30億枚以上の画像のデータバンクを作成し、カナダの連邦民間企業プライバシー法に違反したことが判明しました。RCMPのようなクリアビューのユーザーは、データバンク内の写真と人物の写真を照合することができました。その結果、何十億人もの人々が、実質的に警察に並ばされることになりました。これは大規模な監視であり、明らかにプライバシーの侵害であると結論づけました。
Separately, the OPC concluded the RCMP violated the Privacy Act when it collected personal information from Clearview AI as a government institution cannot collect personal information from a third party agent if that third party agent collected the information unlawfully. これとは別に、OPCは、RCMPがクリアビューAIから個人情報を収集した際、プライバシー法に違反したと結論付けました。政府機関は、第三者のエージェントが違法に情報を収集した場合、そのエージェントから個人情報を収集することはできないからです。
The investigations demonstrate that significant gaps remain in appropriately protecting this highly sensitive biometric information and highlight some of the risks that can arise when the public and private sectors interact. It’s another reason why the OPC has called for greater interoperability between the two federal privacy laws to prevent gaps in accountability where the sectors interact. 今回の調査は、この機密性の高い生体情報の適切な保護に大きなギャップがあることを示すとともに、公共部門と民間部門が相互作用する際に発生し得るリスクの一部を浮き彫りにするものです。これは、OPCが2つの連邦個人情報保護法間の相互運用性を高め、部門間の相互作用による説明責任の欠如を防ぐよう求めたもう一つの理由でもあります。
At present, the use of FRT is regulated through a patchwork of statutes and case law that, for the most part, do not specifically address the risks posed by the technology. This creates room for uncertainty concerning what uses of facial recognition may be acceptable, and under what circumstances. 現在、FRTの利用は、法令や判例法のパッチワークによって規制されており、そのほとんどは、この技術がもたらすリスクを具体的に取り上げていない。このため、どのような状況下で、どのような顔認証の利用が許容されるかについて、不確実性が生じています。
At the same time as the OPC released its investigative findings into the RCMP’s use of Clearview’s services, it commenced an extensive consultation on draft guidance on the use of facial recognition technology by police services across Canada in cooperation with its provincial and territorial counterparts. OPCは、RCMPによるクリアビュー社のサービス利用に関する調査結果を発表すると同時に、州・準州のカウンターパートと協力して、カナダ全土の警察による顔認識技術の利用に関する指針案に関する広範な協議を開始しました。
In May 2022, the OPC, working jointly with its provincial and territorial counterparts, finalized and released its guidance on the use of FRT by police services across Canada. The guidance sets out the legal responsibilities of police agencies under the current legal framework with a view to ensuring any use of facial recognition complies with the law, minimizes privacy risks, and respects the fundamental human right to privacy. 2022年5月、OPCは州・準州のカウンターパートと共同で、カナダ全土の警察によるFRTの使用に関するガイダンスを完成させ、発表しました。このガイダンスは、顔認証の利用が法律を遵守し、プライバシーリスクを最小化し、プライバシーに対する基本的人権を尊重することを目的として、現在の法的枠組みの下での警察機関の法的責任を定めています。
The OPC and other privacy guardians also called on legislators to develop a new legal framework that would define clearly and explicitly the circumstances in which police use of facial recognition may be acceptable. The framework, they agreed, should include a list of prohibited uses of FRT, strict necessity and proportionality requirements as well as explicit oversight and retention requirements. OPCと他のプライバシー保護団体は、立法者に対し、警察が顔認識を使用することが許容される状況を明確かつ明白に定義する新しい法的枠組みを開発するよう求めました。その枠組みは、FRTの禁止された用途のリスト、厳格な必要性と比例性の要件、そして明確な監視と保存の要件を含むべきであるというのが、彼らの合意事項です。
Another important issue that emerged under this priority is the OPC’s work on genetic testing. In conjunction with its Alberta and B.C. counterparts, the OPC released guidance on direct-to-consumer genetic testing and privacy. It outlined key privacy risks associated with these tests and aimed to inform individuals of their rights. この優先事項の下で浮上したもう一つの重要な問題は、遺伝子検査に関するOPCの活動です。OPCは、アルバータ州およびBC州のカウンターパートと共同で、消費者向けの遺伝子検査とプライバシーに関するガイダンスを発表しました。これは、これらの検査に関連する主要なプライバシーリスクを概説し、個人の権利について知らせることを目的としています。
The OPC also testified before the Standing Senate Committee on Human Rights in support of Bill S-201, an Act to Prohibit and Prevent Genetic Discrimination. It later released a policy statement on the collection, use and disclosure of genetic test results following the implementation of the federal Genetic Non-Discrimination Act. And when the constitutionality of the law was challenged before the Supreme Court of Canada, the OPC intervened to defend the position that individuals should not be compelled to disclose their genetic test results to an employer or insurance company or any other business. The OPC welcomed the Court’s decision to uphold the constitutionality of the Genetic Non-Discrimination Act. また、OPCは、上院人権委員会において、法案S-201「遺伝的差別の禁止及び防止に関する法律」を支持する証言を行いました。その後、連邦遺伝的差別禁止法の施行に伴い、遺伝子検査結果の収集、利用、開示に関する方針声明を発表しました。そして、この法律の合憲性がカナダ最高裁判所で争われた際、OPCは、個人が雇用主や保険会社、その他の企業に遺伝子検査結果を開示することを強制されるべきではないという立場を守るために介入したのです。OPCは、「遺伝的無差別法」の合憲性を支持する裁判所の決定を歓迎しました。
Other OPC work: その他のOPCの活動
・The COVID-19 pandemic raised numerous issues for the protection of personal information. As a result, the OPC engaged on a range of files, including initiatives related to COVID-19 infection tracking and tracing and border controls. Some of those specific initiatives include: ・COVID-19の大流行により、個人情報の保護について多くの問題が提起されました。その結果、OPCはCOVID-19感染追跡や国境管理に関連するイニシアチブなど、様々なファイルに関与しました。その具体的な取り組みの一部を紹介します。
・・Working with the Government of Canada and its provincial counterparts to perform a review of the privacy implications of the COVID Alert exposure notification application. ・・カナダ政府およびその州当局と協力し、COVIDアラート暴露通知アプリケーションのプライバシーへの影響についてレビューを行う。
・・Releasing a joint statement in conjunction with provincial and territorial counterparts about the use of vaccine passports. It called for any use of such credentials to be time limited and developed and implemented in compliance with applicable privacy principles such as necessity and proportionality. ・・ワクチンパスポートの使用について、州・準州の関係者とともに共同声明を発表。この声明では、このようなクレデンシャルを使用する場合は時間を限定し、必要性や比例性など適用されるプライバシー原則を遵守して開発・実施するよう求めている。
・・Releasing a framework early on in the pandemic to assess privacy-impactful initiatives in response to COVID-19. The aim was to ensure greater flexibility to use personal information in an emergency while still respecting privacy as a fundamental right; and ・・COVID-19に対応したプライバシーに影響を与えるイニシアチブを評価するために、パンデミックの早い段階でフレームワークをリリースしました。その目的は、基本的権利としてのプライバシーを尊重しつつ、緊急時に個人情報をより柔軟に利用できるようにすることであった。
・・Publishing guidance to help organizations subject to federal privacy laws understand their privacy-related obligations during the pandemic. In May 2020, the OPC and its provincial and territorial counterparts also issued a joint statement outlining key privacy principles to consider as contact tracing and similar digital applications were being developed. ・・連邦プライバシー法の適用を受ける組織が、パンデミック時のプライバシー関連の義務を理解するためのガイダンスを発行すること。2020年5月、OPCとその州・準州のカウンターパートは、コンタクトトレースや同様のデジタルアプリケーションが開発される際に考慮すべき主要なプライバシー原則をまとめた共同声明も発表しています。
・The OPC participated in a Global Privacy Enforcement Network Privacy Sweep of health and wellness devices, as well as their associated applications and websites. The sweep, which looked at 21 devices including smart scales, blood pressure monitors and fitness trackers, raised a number of questions about the amount of data collected and how privacy practices are explained, among other things. ・OPCは、グローバル・プライバシー・エンフォースメント・ネットワークによる健康機器とその関連アプリケーション、ウェブサイトに関するプライバシー監査に参加しました。スマート体重計、血圧計、フィットネストラッカーなど21の機器を対象としたこの調査では、収集されるデータ量やプライバシー保護に関する説明の仕方など、多くの疑問点が指摘されました。
Conclusion まとめ
The issues and goals of the strategic priority initiative set out some fairly encompassing categories of privacy concern, right from the outset in 2015, that have proven both suitable and adaptable as trends and events across the data protection landscape evolved. 戦略的優先事項イニシアチブの課題と目標は、2015年の当初から、プライバシーに関する懸念事項をかなり包括的に分類しており、データ保護の状況全体の傾向や事象が進化するにつれ、適切かつ適応的であることが証明されています。
From intelligence oversight and border security, to online electioneering and the role of social media in democracy; from smart cities and machine learning, to public health surveillance and medical profiling, many privacy issues have emerged since we launched our priorities. 情報監視や国境警備から、オンラインでの選挙活動や民主主義におけるソーシャルメディアの役割まで、スマートシティや機械学習から公衆衛生監視や医療プロファイリングまで、私たちが優先事項を開始して以来、多くのプライバシー問題が浮かび上がってきています。
And from these priorities came new questions that led to broader themes that now form the core of the OPC’s advisory, compliance and parliamentary work. These themes highlight a range of trends that have fuelled the appetite for personal information playing out across all organizations. そして、これらの優先事項から新たな疑問が生まれ、それが現在OPCの諮問、遵守、議会活動の中核をなすより広範なテーマへとつながっています。これらのテーマは、あらゆる組織で繰り広げられている個人情報に対する欲求を加速させる様々な傾向を浮き彫りにしています。
Both the OPC’s economics of personal information and government surveillance work underscores how advanced the collection, analysis, sharing and leveraging of personal information have become. These practices are now axiomatic in both public-sector service delivery and private sector commercial offerings. This is just as evident in Canada as it is elsewhere around the world. OPCの個人情報の経済学と政府の監視の仕事は、個人情報の収集、分析、共有、活用がいかに高度になったかを強調している。これらの慣行は、公共部門のサービス提供においても、民間部門の商業的な提供においても、今や当然のものとなっています。このことは、世界の他の地域と同様、カナダでも明らかです。
Similarly, the OPC’s research and compliance work on the protection of reputation and the sensitivities of the body as information reveal an entire ecosystem of businesses, governments and intermediaries that remain – even today – unclear on the ethics, legalities and future implications of many of the technologies they are deploying. 同様に、レピュテーションの保護と情報としての身体の機密性に関するOPCの調査とコンプライアンス活動により、企業、政府、仲介者のエコシステム全体が、現在もなお、導入している多くのテクノロジーの倫理、合法性、将来の影響について不明確なままであることが明らかになりました。
The strategic priorities that helped guide the OPC’s work remain extremely relevant today. They have contributed significantly to the conclusion that effective privacy protection for Canadians requires the adoption of federal public and private sector privacy laws that are rights-based, interoperable and confer appropriate powers to the regulator to ensure compliance. OPCの活動の指針となった戦略的優先事項は、今日でも極めて重要な意味をもっています。カナダ人のプライバシーを効果的に保護するには、権利に基づき、相互運用性があり、規制当局に適切な権限を与えて遵守を確保する、連邦政府と民間部門のプライバシー法の採用が必要であるという結論に大きく寄与しています。

2022.05.15 05:33 in リンク, in 個人情報保護 / プライバシー | | Comments (0)

2022.05.05

フランス CNIL AIについてのリンク集 (2022.04.05)

こんにちは、丸山満彦です。

備忘録です。。。CNILのAIについてのリンク集...

リンク先のコンテンツのほとんどはフランス語でして、私には理解がなかなかできないのですが、、、この取り組みについては、日本の個人情報保護委員会においても参考になるのかなと思いました。。。

「規制があるから産業革新が世の中に実装されない。故に規制は撤廃すべきだ」という議論がなされる場合があります。確かに環境変化によって、必要性が薄れている規制や内容を変えていく必要のある規制もあると思います。が、外部経済等が大きく、資源の最適配分がされないような場合には、それを是正するための規制は必要な場合があるでしょう。特に新しい分野においては、社会に実装後に大きな問題となりうるようなことについては、実装前に適切な制度設計が重要となる場合もあるでしょう（ある意味、シフトレフト...）

そういう意味では、新技術を使ったビジネス開発というのは、技術をよく知っているだけでなく、それが社会に与える正負両方の影響も踏まえて行う必要があり、負の影響を是正するための規制についても予測しながら進めることが重要なのかもしれません。

ということであれば、規制当局側が、新技術と規制の関係についての様々な情報を国民に提供していくことは、新技術の社会実装を助けることになるのではないかと思うんですよね。。。

 

● CNIL

・2022.04.05 Intelligence artificielle : la CNIL publie un ensemble de ressources pour le grand public et les professionnels

Intelligence artificielle : la CNIL publie un ensemble de ressources pour le grand public et les professionnels 人工知能：CNIL、一般市民および専門家向けのリソース一式を公開
Afin d’apporter un éclairage sur les enjeux de l’intelligence artificielle (IA) liés à la protection de la vie privée et d’accompagner les professionnels dans leur mise en conformité, la CNIL propose un ensemble de ressources dédiées. Elle invite chacun à contribuer à ces travaux, qui ont vocation à être enrichis par la suite. プライバシー保護に関する人工知能（AI）の課題に光を当て、専門家のコンプライアンスを支援するために、CNILは一連の専用リソースを提供しています。この作品は、後に充実したものにするために、皆様からのご協力をお願いしているのです。
Pourquoi la CNIL souhaite-t-elle communiquer sur l’IA ? なぜCNILはAIに関するコミュニケーションを取りたいのですか？
Les systèmes utilisant l’intelligence artificielle (IA) se développent depuis plusieurs années et, avec eux, de nouveaux enjeux en matière de protection des données. Dans le cadre de ses missions d’information et de protection des droits, d’accompagnement vers la conformité et d’anticipation et d’innovation, la CNIL propose un ensemble de contenus consacrés à l’IA. 数年前から人工知能（AI）を利用したシステムが開発され、それに伴い、新たなデータ保護の問題が発生しています。CNILは、情報提供と権利保護、コンプライアンス支援、予見と革新の使命の一環として、AIに特化した一連のコンテンツを提供しています。
Ces ressources s’inscrivent ainsi dans une stratégie européenne visant à stimuler l’excellence dans le domaine de l’intelligence artificielle, ainsi que des règles destinées à garantir la fiabilité de ces technologies. Il s’agit en particulier d’élaborer un cadre réglementaire solide pour l’IA fondé sur les droits de l’Homme et les valeurs fondamentales et ainsi instaurer la confiance des citoyens européens. これらのリソースは、人工知能の分野での卓越性を刺激することを目的とした欧州戦略の一部であり、また、これらの技術の信頼性を保証するために設計されたルールでもあります。特に、人権や基本的価値観に基づいたAIに対する強力な規制の枠組みを構築することで、欧州市民の信頼を築くことを目指しています。
À qui s’adressent ces contenus ? このコンテンツは誰に向けて発信しているのか？
Les éléments proposés s’adressent à trois publics distincts : 提案する教材は、3つの異なる読者層を対象としています。
・le grand public intéressé par le fonctionnement des systèmes d’IA, leurs implications dans nos vies quotidiennes ou encore souhaitant tester leur fonctionnement ; ・AIシステムの仕組みや日常生活への影響に関心があり、動作検証を希望する一般の方。
・les professionnels (responsables de traitement ou sous-traitants) mettant en œuvre des traitements de données personnelles reposant sur des systèmes d’IA, ou le souhaitant et qui s’interrogent sur la façon d’assurer leur conformité au RGPD ; ・AIシステムに基づく個人データ処理を実施している、または実施したいが、GDPRの遵守をどのように確認すればよいか悩んでいる実務家（データ管理者または処理者）の方。
・les spécialistes (chercheur en IA, expert en science des données, ingénieur en apprentissage automatique, etc.) : pour les personnes manipulant l’intelligence artificielle au quotidien, curieuses des enjeux que fait peser l’intelligence artificielle sur la protection des données et qui s’intéressent à l’état de la technique sur ces questions. ・専門家（AI研究者、データサイエンティスト、機械学習エンジニアなど）：日常的に人工知能を扱っている方、人工知能がデータ保護にもたらす問題に興味がある方、これらの問題の現状に関心がある方が対象です。
Quelles sont ces ressources ? このリソースとは何でしょうか？
Pour le grand public 一般の方向け
・IA, de quoi parle-t-on ? ・AI、何の話？
Courte présentation des enjeux de l’intelligence artificielle pour la protection des données, illustrée par des exemples du quotidien. データ保護における人工知能の課題について、日常的な事例を交えて短く紹介します。
・Quelques ressources accessibles à tous pour comprendre l’intelligence artificielle (IA) ・人工知能（AI）を理解するために、誰でもアクセス可能ないくつかのリソース
Sélection non-exhaustive de livres, films ou ressources en ligne à destination des curieux comme des initiés pour comprendre le fonctionnement de l’intelligence artificielle, la démystifier et appréhender ses enjeux. 人工知能の仕組みを理解し、その謎を解き、課題を把握するための書籍、映画、オンラインリソースを網羅的にご紹介しています。
・Petit glossaire de l’intelligence artificielle ・人工知能の簡易用語集
Des définitions relatives aux domaines de l’intelligence artificielle et de l’apprentissage automatique qu’il est indispensable de bien comprendre pour pouvoir en appréhender les enjeux. 人工知能や機械学習の分野で、課題を把握するために理解しておくべき定義について。
Pour les professionnels プロフェッショナル向け
・IA : Comment être en conformité avec le RGPD AI：RGPDに対応する方法
Un rappel des grands principes de la loi Informatique et Libertés et du RGPD à suivre dans la mise en œuvre de traitements de données personnelles reposant sur des systèmes d’IA, ainsi que des positions de la CNIL sur certains aspects plus spécifiques. AIシステムに基づく個人データ処理を実施する際に従うべきデータ保護法およびRGPDの主要原則と、より具体的な側面に関するCNILの見解についての注意喚起です。
・Guide d’auto-évaluation pour les systèmes d'intelligence artificielle 人工知能システムのためのセルフアセスメントガイド
Un outil d'analyse permettant aux organismes d'évaluer par eux-mêmes la maturité de leurs systèmes d’IA au regard du RGPD et des bonnes pratiques dans le domaine, dans la perspective du futur règlement européen. 今後の欧州規制を見据え、GDPRやグッドプラクティスに関するAIシステムの成熟度を組織自らが評価できる分析ツールです。
Pour les spécialistes 専門家向け
Des études concernant les technologies d’IA prometteuses pour la protection de la vie privée,par exemple l’apprentissage fédéré. 連合学習など、プライバシー保護のための有望なAI技術に関する研究。
Des présentations de l’état des connaissances sur des questions fondamentales posées par l’IA, par exemple sur la sécurité des systèmes d’IA. AIが提起する基本的な問題、例えばAIシステムの安全性などに関する最新技術の発表。
Des paroles d’experts reconnus du domaine de l’intelligence artificielle, par exemple Nicolas Papernot ou Aurélien Bellet et Marc Tommasi Nicolas Papernot、Aurélien Bellet、Marc Tommasiなど、人工知能の分野で著名な専門家による言葉
Où les retrouver ? どこにあるのでしょうか？
Déclinées en fonction des différents publics, les ressources mises à disposition par la CNIL sont accessibles à partir des espaces « Particuliers » et « Professionnels » du site cnil.fr ainsi que sur le site du Laboratoire d’innovation numérique de la CNIL (LINC) linc.cnil.fr. CNILが提供する、さまざまな対象者に合わせたリソースは、cnil.frウェブサイトの「個人」「専門家」エリア、およびCNILのデジタルイノベーション研究所（LINC）のウェブサイト linc.cnil.fr からアクセスすることが可能です。
Texte reference 参考テキスト
Pour approfondir 詳細の参照先
> Intelligence artificielle (IA)  > 人工知能(AI) 

 

人工知能（AI）を理解するために役立つ、わかりやすい資料のリンク集

・2022.04.05 Quelques ressources utiles et accessibles à tous pour comprendre l’intelligence artificielle (IA)

 

 

1_20220505035301

 

2022.05.05 04:03 in リンク, in 個人情報保護 / プライバシー, in 法律 / 犯罪, in AI/Deep Learning | | Comments (0)

より以前の記事一覧

その他のカテゴリー

(temp)COVID-19 AI/Deep Learning ESG/CSR IoT ウイルス クラウド パブコメ フィッシング フォレンジック リンク ロボット 個人情報保護 / プライバシー 内部統制 / リスクマネジメント 危機管理 / 事業継続 安全保障 情報セキュリティ / サイバーセキュリティ 新エネルギー 暗号 / 電子署名 / ブロックチェーン 案内（講演 / 書籍等） 法律 / 犯罪 監査 / 認証 脆弱性 量子技術 電子投票