{
  "format": "agent-article-v0",
  "article_id": "EA-027",
  "canonical_url": "/tools/ea-027",
  "page_type": "guide",
  "claim_ids": [],
  "evidence_ids": [
    "EA-027-R11-RESEARCH",
    "EA-027-R11-WEB-READBACK"
  ],
  "unknown_ids": [
    "EA-027-UNKNOWN-01",
    "EA-027-UNKNOWN-CURRENTNESS"
  ],
  "operational_object_ids": [],
  "provider": [],
  "models": [],
  "plans": [],
  "surfaces": [],
  "regions": [],
  "current_status": "UNKNOWN",
  "observation_status": "SPEC_ONLY",
  "freshness": "UNKNOWN",
  "last_verified": null,
  "supersedes": [],
  "superseded_by": [],
  "provenance": [
    "COMM-029-EA0027",
    "WEBBODY-EA0027-R8-A211D90B"
  ],
  "article_sources": [
    {
      "id": "EA-027-R11-RESEARCH",
      "evidence_class": "RESEARCH",
      "title": "EA-027 監査済みresearch / canonical revision binding",
      "supports": [
        "業界別AI運用は、共通のAI統制を業界ごとに作り直すことではない。共通Coreの上に、適用法令・規制主体、保護データ、用途、意思決定や物理的影響、専門家監督、変更管理、証跡をIndustry Profileとして重ねる。同じ医療・金融・教育という名称でも、組織の法的地位、地域、データ、用途によって必要な統制は変わるため、業界名だけで可否やリスクを決めない。"
      ],
      "limit": "canonical監査・revision bindingの存在を示す。外部ソースcurrentnessが本文またはcontrol-planeで確定していない場合は、currentnessをUNKNOWNのまま保持する。",
      "origin_class": "AUDITED_CANONICAL_RESEARCH_PACKET",
      "source_or_experiment_ids": [
        "COMM-029-EA0027"
      ],
      "supporting_locators": [
        "COMM-029-EA0027",
        "EA-027-R5-LEGACY-MIGRATION-20261008-R1",
        "content/staging/EA-027.md"
      ],
      "scope": "監査済みEA本文・canonical revision・既存Source Graph relationの範囲。欠損currentnessは推測で閉じない。",
      "provenance_status": "AUDIT_PASS_CANONICAL_BINDING"
    },
    {
      "id": "EA-027-R11-WEB-READBACK",
      "evidence_class": "IMPL",
      "title": "EA-027 Web body identity / canonical readback",
      "supports": [
        "canonical staging bodyのSHA-256一致とR9 canonical ledger readbackをProduction projectionの入力として検証する。"
      ],
      "limit": "body identity/readbackは本文claim自体の真偽や外部ソースの最新性を追加保証しない。",
      "checked_at": null,
      "origin_class": "IMPLEMENTATION_READBACK",
      "source_or_experiment_ids": [
        "WEBBODY-EA0027-R8-A211D90B"
      ],
      "supporting_locators": [
        "WEBBODY-EA0027-R8-A211D90B",
        "content/staging/EA-027.md",
        "EA-027-R5-LEGACY-MIGRATION-20261008-R1"
      ],
      "scope": "R9/R10 canonical readback後のProduction生成時body identity。",
      "provenance_status": "CANONICAL_READBACK_BODY_HASH_MATCH"
    }
  ],
  "research_sections": [
    {
      "heading": "Public claim",
      "text": "業界別AI運用は、共通のAI統制を業界ごとに作り直すことではない。共通Coreの上に、適用法令・規制主体、保護データ、用途、意思決定や物理的影響、専門家監督、変更管理、証跡をIndustry Profileとして重ねる。同じ医療・金融・教育という名称でも、組織の法的地位、地域、データ、用途によって必要な統制は変わるため、業界名だけで可否やリスクを決めない。"
    },
    {
      "heading": "Industry Profile schema",
      "text": "- REGULATED ROLE\n- JURISDICTION\n- PROTECTED DATA\n- USE OR CONTEXT OF USE\n- DECISION OR PHYSICAL IMPACT\n- EXTERNAL ACTION\n- REQUIRED HUMAN OR PROFESSIONAL OVERSIGHT\n- RECORD-AUDIT\n- CHANGE CONTROL\n- INCIDENT-RECOVERY\n\nindustryはrisk levelそのものではなく、適用規制・データ・物理的／経済的／権利影響を解決するrouting keyとして扱う。"
    },
    {
      "heading": "Sector overlays",
      "text": "### Manufacturing / OT\n\nITだけでなくOT/ICS、安全・稼働継続、supply chain、platform/infrastructure resilienceを追加gateとする。plant/network boundary、safety criticality、supplier accessを分離する。NIST IR 8183 Rev.2は公開時点のsource statusを保持し、draft/finalを混同しない。Critical Infrastructure向けAI RMF profileも進行中資料であれば最終profileとして扱わない。\n\n### Healthcare / medical device\n\nhealthcare一般、PHI/ePHI privacy、clinical support、medical-device AIを同一カテゴリにしない。covered entity/business associate、BAA、risk analysis等のprivacy boundaryと、medical-device status、context of use、safety/effectiveness、lifecycle monitoring、change controlを別gateにする。FDA AI-device資料はdraft/final statusをsourceごとに保持する。\n\n### Education\n\nstudent-record PII、FERPA applicability、approved service/direct control、authorized use/redisclosure、未成年・parent/stakeholder、learning integrityをgateとする。FERPAは全学校・全地域へ一律適用しない。\n\n### Finance\n\nmodel inventory、validation、governance、用途・materiality、regulated-entity applicabilityを分離する。SR 26-2はtraditional statistical/quantitative modelsおよびnon-generative/non-agentic AIに限定されるため、GenAI/agentic-AIへの直接的な監督範囲を示す根拠として使用しない。金融全体への一律適用もしない。\n\n### Retail\n\nconsumer data/profiling、personalized pricing/recommendation、advertising/display、consumer impactを分離する。surveillance-pricing等のstudy findingsはrisk signalとして扱い、個別practiceの違法性を自動確定しない。"
    },
    {
      "heading": "Evidence / provenance",
      "text": "AUTHORITY COMM-029-EA0027。NIST AI 600-1をcross-sector Core、NIST manufacturing/critical-infrastructure資料をmanufacturing/OT context、HHS OCRとFDA/IMDRF資料をhealthcare/medical-device context、U.S. Department of Education/Student Privacy Policy Office資料をeducation context、SR 26-2をその明示的scope内のfinancial model-risk context、FTC surveillance-pricing studyをretail consumer-impact contextとして扱う。\n\n主な証拠は米国一次資料であり、日本・EU等のindustry lawへそのまま移植しない。jurisdiction/source-status boundaryを常に保持する。"
    },
    {
      "heading": "Availability gates",
      "text": "Manufacturing: IT vs OT/ICS; safety criticality; plant/network boundary; supplier access.\n\nHealthcare: jurisdiction; covered entity/business associate; PHI/ePHI; BAA; medical-device status; clinical/regulatory context of use.\n\nEducation: FERPA-covered institution; student PII; age; approved service; district/school control; parent/stakeholder process.\n\nFinance: regulator; institution scope; model definition/materiality; decision use; validation/governance applicability.\n\nRetail: consumer-data category; profiling purpose; pricing/recommendation/advertising effect; disclosure/consent/legal regime.\n\norganization policy、contract、region、provider availabilityはIndustry Profileとは別overlayとして残す。"
    },
    {
      "heading": "Failure envelope",
      "text": "- 業界名だけでrisk classを決めない。\n- healthcareとmedical-device AIを同義にしない。\n- HIPAA applicabilityとFDA device statusを別判定する。\n- FERPAを教育機関全体・全地域へ普遍化しない。\n- draft/ongoing guidanceをfinal requirementへ昇格しない。\n- SR 26-2をGenAI/agentic-AI supervisory coverageの直接根拠にしない。\n- FTC studyを個別pricing practiceの違法性判断へ外挿しない。\n- sector overlayをorganization/jurisdiction/provider固有条件の代替にしない。"
    },
    {
      "heading": "Evaluation",
      "text": "共通benchmark一本ではなくsector impactに応じた評価を追加する。manufacturingはsafe failure/OT isolation、healthcareはcontext-of-use performance/drift/subgroup-bias、educationはlearning outcome/privacy、financeはapplicable model validation/stability/override、retailはconsumer impact/segment disparityを候補とする。具体fixtureと閾値は未確定であり、実測結果を推測しない。"
    },
    {
      "heading": "TEST_PROFILE",
      "text": "UNEXECUTED。非機密・synthetic fixtureでIndustry Profile gate、DRAFT→VALIDATE→APPROVE→ACTION、change control、rollback、incident routeを検証する。実OT制御、clinical decision、student decision、financial decision、consumer pricingの本番作用は実行しない。未実施結果や閾値を推測しない。"
    },
    {
      "heading": "Security / privacy / audit / cost / operability",
      "text": "Security: manufacturing OT/ICSやhealthcare ePHI等、sector-specific boundaryを通常IT controlへ追加する。\n\nPrivacy: PHI/ePHI、education records、retail consumer profiling等を独立data classとして扱う。\n\nAudit: applicable finance model inventory/validation、medical-device lifecycle documentation、education service approval等をsector evidenceへ接続する。\n\nCost: compliance、validation、professional oversight、incident recoveryをAI利用料とは別に把握する。\n\nOperability: sector impactに応じてchange controlとrollbackを強化する。"
    },
    {
      "heading": "OPEN_UNKNOWN",
      "text": "- 日本/EUの業界別current regulatory crosswalk\n- NIST Critical Infrastructure AI RMF profileの最終状態\n- NIST IR 8183 Rev.2の公開時点status\n- FDA AI-device materialsの公開時点draft/final status\n- 日本の金融・教育・医療における具体的AI guidance\n- 業界別の再現可能eval fixture\n\nUNKNOWNを推測で閉じない。"
    },
    {
      "heading": "Cross-reference boundary",
      "text": "EA-026 Department Profileと交差させ、industry × departmentで規制・統制を二重複製しない。関連EAの内容を本packetで再編集・再解釈しない。"
    }
  ],
  "human_url": "/tools/ea-027",
  "markdown_url": "/agent/article.md?path=%2Ftools%2Fea-027",
  "json_url": "/agent/article.json?path=%2Ftools%2Fea-027"
}