{
  "format": "agent-article-v0",
  "article_id": "EA-732",
  "canonical_url": "/tools/ea-732-ai-compliance-obligation-machine-readable-control-mapping",
  "page_type": "reference",
  "claim_ids": [],
  "evidence_ids": [
    "EVD-EA-732-URL-5BAD49C5632B",
    "EVD-EA-732-URL-F918DE324846",
    "EVD-EA-732-URL-D1165C5A4EAD",
    "EA-732-CURRENT-APPROVAL",
    "EA-732-CURRENT-BODY-READBACK"
  ],
  "unknown_ids": [
    "EA-732-UNKNOWN-01"
  ],
  "operational_object_ids": [],
  "provider": [],
  "models": [],
  "plans": [],
  "surfaces": [],
  "regions": [],
  "current_status": "CURRENT",
  "observation_status": "SPEC_ONLY",
  "freshness": "CURRENT",
  "last_verified": "2026-10-19",
  "supersedes": [],
  "superseded_by": [],
  "provenance": [
    "ORPHAN-RESCUE-EA732-20261019-C1",
    "SRC-EA-732-URL-5BAD49C5632B",
    "SRC-EA-732-URL-F918DE324846",
    "SRC-EA-732-URL-D1165C5A4EAD",
    "BODY-SHA256:8797fb8a6c8345a060b81af9d82888fdeec3b8a2c13f6eb9fb1e73eec17e9600"
  ],
  "article_sources": [
    {
      "id": "EVD-EA-732-URL-5BAD49C5632B",
      "evidence_class": "RESEARCH",
      "title": "NIST OSCAL Blog, “OSCAL v1.2.3 Patch Release”, 2026-08-13:",
      "href": "https://pages.nist.gov/OSCAL/about/blog/",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-732-URL-5BAD49C5632B"
      ],
      "supporting_locators": [
        "SAFE_WORDING",
        "- NIST OSCAL Blog, “OSCAL v1.2.3 Patch Release”, 2026-08-13: https://pages.nist.gov/OSCAL/about/blog/"
      ],
      "scope": "SAFE_WORDING",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-732-URL-F918DE324846",
      "evidence_class": "RESEARCH",
      "title": "NIST OSCAL Assessment Model Overview:",
      "href": "https://pages.nist.gov/OSCAL/presentations/oscal-ap-ar-poam-v3.pdf",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-732-URL-F918DE324846"
      ],
      "supporting_locators": [
        "SAFE_WORDING",
        "- NIST OSCAL Assessment Model Overview: https://pages.nist.gov/OSCAL/presentations/oscal-ap-ar-poam-v3.pdf"
      ],
      "scope": "SAFE_WORDING",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EVD-EA-732-URL-D1165C5A4EAD",
      "evidence_class": "RESEARCH",
      "title": "NIST Digital Identity Guidelines Implementation Resources, Conformance Criteria v0.1:",
      "href": "https://pages.nist.gov/800-63-4-Implementation-Resources/conformance/criteria.html",
      "supports": [],
      "limit": "元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。",
      "origin_class": "SOURCE_PACKET_REFERENCE",
      "source_or_experiment_ids": [
        "SRC-EA-732-URL-D1165C5A4EAD"
      ],
      "supporting_locators": [
        "SAFE_WORDING",
        "- NIST Digital Identity Guidelines Implementation Resources, Conformance Criteria v0.1: https://pages.nist.gov/800-63-4-Implementation-Resources/conformance/criteria.html"
      ],
      "scope": "SAFE_WORDING",
      "provenance_status": "SOURCE_PACKET_REFERENCE_PROJECTED"
    },
    {
      "id": "EA-732-CURRENT-APPROVAL",
      "evidence_class": "RESEARCH",
      "title": "現行本文の監査・revision対応",
      "supports": [
        "現行台帳のAUDIT_PASSと候補・revision・本文ハッシュの対応を確認しています。"
      ],
      "limit": "監査状態と来歴の記録です。外部根拠の最新性や本文の全主張を追加保証しません。",
      "origin_class": "AUDITED_CANONICAL_RESEARCH_PACKET",
      "source_or_experiment_ids": [
        "ORPHAN-RESCUE-EA732-20261019-C1"
      ],
      "supporting_locators": [
        "1KqhJtiSb2S84rWmeYVwKcT_76dBwZ_B0ZZuAWQqH0rQ/EA_REVISION_LEDGER#ea_id=EA-732&revision_id=EA-732-RECOVERY-20261019-R1&candidate_id=ORPHAN-RESCUE-EA732-20261019-C1",
        "EA-732-RECOVERY-20261019-R1"
      ],
      "provenance_status": "CURRENT_CANONICAL_APPROVAL_READBACK"
    },
    {
      "id": "EA-732-CURRENT-BODY-READBACK",
      "evidence_class": "IMPL",
      "title": "現行本文の収録照合",
      "supports": [
        "公開生成入力の本文SHA-256が、監査済み候補に結び付いたハッシュと一致しています。"
      ],
      "limit": "本文の同一性の検査です。外部システムの挙動や全主張の真偽を実証したものではありません。",
      "checked_at": "2026-10-19",
      "origin_class": "IMPLEMENTATION_READBACK",
      "source_or_experiment_ids": [
        "BODY-SHA256:8797fb8a6c8345a060b81af9d82888fdeec3b8a2c13f6eb9fb1e73eec17e9600"
      ],
      "supporting_locators": [
        "content/staging/EA-732.md",
        "8797fb8a6c8345a060b81af9d82888fdeec3b8a2c13f6eb9fb1e73eec17e9600",
        "EA-732-RECOVERY-20261019-R1"
      ],
      "provenance_status": "CURRENT_APPROVED_BODY_HASH_MATCH"
    }
  ],
  "research_sections": [
    {
      "heading": "概要",
      "text": "法令・契約・社内AI方針に含まれる義務を、機械可読なcontrol、evidence、assessmentへ追跡可能に結び付ける運用設計である。目的は、自然言語の義務をAIに自由解釈させて自動適用することではなく、原文の出典・適用条件・承認主体を保持したまま、統制実装と評価結果を一貫した識別子で接続することである。\n\n\n主要claimと運用上の意味\n1. NIST OSCALはcatalog、profile、implementation、assessment、assessment-resultsの層を持ち、control定義から実装・評価結果までを構造化データとして接続できる。2026-08-13公開のOSCAL v1.2.3はモデル変更を伴わないmaintenance/security patchであり、現行運用ではモデルversionを固定して処理系を検証する必要がある。\n2. machine-readable化の価値は、義務文そのものを消すことではなく、stable identifierとprovenanceを介して「要求→control→実装→test/evidence→assessment result」の追跡を可能にする点にある。NISTの2026-09-23 OSCAL記事も、requirementsをstructured dataとして扱い、requirementからsystem component、test、evidence、assessment resultsへ追跡する利用を説明している。\n3. control mappingは法的解釈の代替ではない。同じ義務でもjurisdiction、契約主体、intended use、risk classification、施行日、例外条項によって適用が変わる。したがって原文locator、適用条件、mapping rationale、owner/approver、effective date、versionをcontrol relationと同時に保持する。\n4. mappingは一対一を前提にしない。一つのobligationが複数controlへ、複数obligationが一つのcontrolへ対応し得る。relationにはrelation type、根拠、confidence/verification state、review dateを持たせ、単なる文字列一致を「準拠」と扱わない。\n5. assessment evidenceはcontrol実装の存在と有効性を分けて扱う。OSCALのAssessment Plan/Assessment Results層を利用する場合も、文書化済みcontrolと実際にtestされた結果を混同しない。\n\n\n実装control / implication\n- obligation record: obligation_id、authoritative_source_locator、quoted/normalized requirement、jurisdiction/scope、effective_from/to、owner、legal_review_state。\n- mapping edge: obligation_id、control_id、relation_type、mapping_rationale、approver、verification_state、reviewed_at、supersedes。\n- control record: control_id、catalog/profile version、implementation owner、implementation statement、component/system scope。\n- evidence/assessment: evidence_id、control_id、test method、artifact locator、collection time、assessor、result、exceptions、expiry/refresh rule。\n- change detection: source law/contract/policy、OSCAL/catalog/profile、implementation、assessment methodのいずれかが変われば影響edgeを再評価する。\n- release gate: unreviewed mapping、期限切れevidence、source locator欠落、適用条件不明を自動的なcompliance assertionへ昇格させない。\n\n\nFailure / limitations / counterevidence\n- semantic gap: 自然言語義務とtechnical controlは粒度が一致しない。mappingが存在しても義務履行を自動的に証明しない。\n- version drift: law/policy、control catalog、profile、OSCAL schema、実装のversion差で過去mappingが陳腐化する。\n- scope leakage: 他地域・他契約・他systemのcontrolを誤って流用するとfalse complianceを生む。\n- evidence staleness: evidenceは取得時点の状態であり、継続的適合を保証しない。\n- tool conformance: OSCAL形式にschema-conformしていることと、法的・運用的に正しいmappingであることは別問題である。\n- human authority: 法的適用性・例外・契約解釈は権限を持つ人間の判断を残す。"
    },
    {
      "heading": "適用境界",
      "text": "OSCALはsecurity/compliance情報を機械可読化する有力な交換形式だが、あらゆる法令・契約の意味論を標準化する汎用legal ontologyではない。組織固有のobligation schemaをOSCAL control/profile等へ関連付ける場合、原文provenanceと組織の承認workflowを別途保持する。"
    },
    {
      "heading": "OPEN_UNKNOWN",
      "text": "- 組織固有の法令・契約crosswalkに必要なrelation taxonomyの最終形。\n- OSCAL外のGRC/requirements形式（ReqIF等）との正本境界と同期規則。\n- jurisdictionごとの法的レビュー頻度と自動失効条件。"
    },
    {
      "heading": "SAFE_WORDING",
      "text": "「machine-readable mappingは追跡・差分検出・評価連携を支援するが、mappingまたはOSCAL schema conformanceだけで法令・契約への準拠を証明するものではない。」\n\n\n監査用source / provenance locator\n- NIST OSCAL Blog, “OSCAL v1.2.3 Patch Release”, 2026-08-13: https://pages.nist.gov/OSCAL/about/blog/\n- NIST OSCAL Blog, “From Voting Systems to Structured Data with OSCAL”, 2026-09-23: https://pages.nist.gov/OSCAL/about/blog/\n- NIST OSCAL Assessment Model Overview: https://pages.nist.gov/OSCAL/presentations/oscal-ap-ar-poam-v3.pdf\n- NIST Digital Identity Guidelines Implementation Resources, Conformance Criteria v0.1: https://pages.nist.gov/800-63-4-Implementation-Resources/conformance/criteria.html （同一criteriaをXLS/PDF/OSCAL JSON/XML/YAMLで提供する実例）\n- canonical proposal provenance: Enterprise AI運用辞典_発展・拡張構想_公開後アップデート原案台帳, EA-732 exact section; EA_MASTER provenance locatorに記録済み。\n\n\n監査観点\ncanonical topic保持、主要claimのsource locator有無、法的解釈とschema conformanceの分離、version drift、many-to-many relation、evidence freshness、OPEN_UNKNOWN/SAFE_WORDINGを重点確認する。"
    }
  ],
  "human_url": "/tools/ea-732-ai-compliance-obligation-machine-readable-control-mapping",
  "markdown_url": "/agent/article.md?path=%2Ftools%2Fea-732-ai-compliance-obligation-machine-readable-control-mapping",
  "json_url": "/agent/article.json?path=%2Ftools%2Fea-732-ai-compliance-obligation-machine-readable-control-mapping"
}