# 業界別版 CURRENT_STATUS: UNKNOWN OBSERVATION: SPEC_ONLY FRESHNESS: UNKNOWN PAGE_TYPE: guide CANONICAL_URL: /tools/ea-027 CLAIM_IDS: none EVIDENCE_IDS: EA-027-R11-RESEARCH, EA-027-R11-WEB-READBACK UNKNOWN_IDS: EA-027-UNKNOWN-01, EA-027-UNKNOWN-CURRENTNESS OPS_IDS: none ## Summary 業界別AI運用は、共通のAI統制を業界ごとに作り直すことではない。共通Coreの上に、適用法令・規制主体、保護データ、用途、意思決定や物理的影響、専門家監督、変更管理、証跡をIndustry Profileとして重ねる。同じ医療・金融・教育という名称でも、組織の法的地位、地域、データ、用途によって必要な統制は変わるため、業界名だけで可否やリスクを決めない。 ## Current judgment 業界別AI運用は、共通のAI統制を業界ごとに作り直すことではない。共通Coreの上に、適用法令・規制主体、保護データ、用途、意思決定や物理的影響、専門家監督、変更管理、証跡をIndustry Profileとして重ねる。同じ医療・金融・教育という名称でも、組織の法的地位、地域、データ、用途によって必要な統制は変わるため、業界名だけで可否やリスクを決めない。 ## Scope 業界別版 ## Confirmed ## UNKNOWN - EA-027-UNKNOWN-01: - 日本/EUの業界別current regulatory crosswalk - NIST Critical Infrastructure AI RMF profileの最終状態 - NIST IR 8183 Rev.2の公開時点status - FDA AI-device materialsの公開時点draft/final status - 日本の金融・教育・医療における具体的AI guidance - 業界別の再現可能eval fixture UNKNOWNを推測で閉じない。 - EA-027-UNKNOWN-CURRENTNESS: 外部根拠の再確認日がcanonical body/control-planeで確定していないため、currentnessはUNKNOWNとして保持する。日付を推測補完しない。 ## Evidence - EA-027-R11-RESEARCH (RESEARCH): EA-027 監査済みresearch / canonical revision binding - EA-027-R11-WEB-READBACK (IMPL): EA-027 Web body identity / canonical readback ## Failure / limits 業界名だけでrisk classを決めない。 ## Failure / limits healthcareとmedical-device AIを同義にしない。 ## Failure / limits HIPAA applicabilityとFDA device statusを別判定する。 ## Failure / limits FERPAを教育機関全体・全地域へ普遍化しない。 ## Failure / limits draft/ongoing guidanceをfinal requirementへ昇格しない。 ## Failure / limits SR 26-2をGenAI/agentic-AI supervisory coverageの直接根拠にしない。 ## Failure / limits FTC studyを個別pricing practiceの違法性判断へ外挿しない。 ## Failure / limits sector overlayをorganization/jurisdiction/provider固有条件の代替にしない。 ## Practice Manufacturing: IT vs OT/ICS; safety criticality; plant/network boundary; supplier access. Healthcare: jurisdiction; covered entity/business associate; PHI/ePHI; BAA; medical-device status; clinical/regulatory context of use. Education: FERPA-covered institution; student PII; age; approved service; district/school control; parent/stakeholder process. Finance: regulator; institution scope; model definition/materiality; decision use; validation/governance applicability. Retail: consumer-data category; profiling purpose; pricing/recommendation/advertising effect; disclosure/consent/legal regime. organization policy、contract、region、provider availabilityはIndustry Profileとは別overlayとして残す。 ## Practice UNEXECUTED。非機密・synthetic fixtureでIndustry Profile gate、DRAFT→VALIDATE→APPROVE→ACTION、change control、rollback、incident routeを検証する。実OT制御、clinical decision、student decision、financial decision、consumer pricingの本番作用は実行しない。未実施結果や閾値を推測しない。 ## Practice Security: manufacturing OT/ICSやhealthcare ePHI等、sector-specific boundaryを通常IT controlへ追加する。 Privacy: PHI/ePHI、education records、retail consumer profiling等を独立data classとして扱う。 Audit: applicable finance model inventory/validation、medical-device lifecycle documentation、education service approval等をsector evidenceへ接続する。 Cost: compliance、validation、professional oversight、incident recoveryをAI利用料とは別に把握する。 Operability: sector impactに応じてchange controlとrollbackを強化する。 ## Public claim 業界別AI運用は、共通のAI統制を業界ごとに作り直すことではない。共通Coreの上に、適用法令・規制主体、保護データ、用途、意思決定や物理的影響、専門家監督、変更管理、証跡をIndustry Profileとして重ねる。同じ医療・金融・教育という名称でも、組織の法的地位、地域、データ、用途によって必要な統制は変わるため、業界名だけで可否やリスクを決めない。 ## Industry Profile schema - REGULATED ROLE - JURISDICTION - PROTECTED DATA - USE OR CONTEXT OF USE - DECISION OR PHYSICAL IMPACT - EXTERNAL ACTION - REQUIRED HUMAN OR PROFESSIONAL OVERSIGHT - RECORD-AUDIT - CHANGE CONTROL - INCIDENT-RECOVERY industryはrisk levelそのものではなく、適用規制・データ・物理的／経済的／権利影響を解決するrouting keyとして扱う。 ## Sector overlays ### Manufacturing / OT ITだけでなくOT/ICS、安全・稼働継続、supply chain、platform/infrastructure resilienceを追加gateとする。plant/network boundary、safety criticality、supplier accessを分離する。NIST IR 8183 Rev.2は公開時点のsource statusを保持し、draft/finalを混同しない。Critical Infrastructure向けAI RMF profileも進行中資料であれば最終profileとして扱わない。 ### Healthcare / medical device healthcare一般、PHI/ePHI privacy、clinical support、medical-device AIを同一カテゴリにしない。covered entity/business associate、BAA、risk analysis等のprivacy boundaryと、medical-device status、context of use、safety/effectiveness、lifecycle monitoring、change controlを別gateにする。FDA AI-device資料はdraft/final statusをsourceごとに保持する。 ### Education student-record PII、FERPA applicability、approved service/direct control、authorized use/redisclosure、未成年・parent/stakeholder、learning integrityをgateとする。FERPAは全学校・全地域へ一律適用しない。 ### Finance model inventory、validation、governance、用途・materiality、regulated-entity applicabilityを分離する。SR 26-2はtraditional statistical/quantitative modelsおよびnon-generative/non-agentic AIに限定されるため、GenAI/agentic-AIへの直接的な監督範囲を示す根拠として使用しない。金融全体への一律適用もしない。 ### Retail consumer data/profiling、personalized pricing/recommendation、advertising/display、consumer impactを分離する。surveillance-pricing等のstudy findingsはrisk signalとして扱い、個別practiceの違法性を自動確定しない。 ## Evidence / provenance AUTHORITY COMM-029-EA0027。NIST AI 600-1をcross-sector Core、NIST manufacturing/critical-infrastructure資料をmanufacturing/OT context、HHS OCRとFDA/IMDRF資料をhealthcare/medical-device context、U.S. Department of Education/Student Privacy Policy Office資料をeducation context、SR 26-2をその明示的scope内のfinancial model-risk context、FTC surveillance-pricing studyをretail consumer-impact contextとして扱う。 主な証拠は米国一次資料であり、日本・EU等のindustry lawへそのまま移植しない。jurisdiction/source-status boundaryを常に保持する。 ## Availability gates Manufacturing: IT vs OT/ICS; safety criticality; plant/network boundary; supplier access. Healthcare: jurisdiction; covered entity/business associate; PHI/ePHI; BAA; medical-device status; clinical/regulatory context of use. Education: FERPA-covered institution; student PII; age; approved service; district/school control; parent/stakeholder process. Finance: regulator; institution scope; model definition/materiality; decision use; validation/governance applicability. Retail: consumer-data category; profiling purpose; pricing/recommendation/advertising effect; disclosure/consent/legal regime. organization policy、contract、region、provider availabilityはIndustry Profileとは別overlayとして残す。 ## Failure envelope - 業界名だけでrisk classを決めない。 - healthcareとmedical-device AIを同義にしない。 - HIPAA applicabilityとFDA device statusを別判定する。 - FERPAを教育機関全体・全地域へ普遍化しない。 - draft/ongoing guidanceをfinal requirementへ昇格しない。 - SR 26-2をGenAI/agentic-AI supervisory coverageの直接根拠にしない。 - FTC studyを個別pricing practiceの違法性判断へ外挿しない。 - sector overlayをorganization/jurisdiction/provider固有条件の代替にしない。 ## Evaluation 共通benchmark一本ではなくsector impactに応じた評価を追加する。manufacturingはsafe failure/OT isolation、healthcareはcontext-of-use performance/drift/subgroup-bias、educationはlearning outcome/privacy、financeはapplicable model validation/stability/override、retailはconsumer impact/segment disparityを候補とする。具体fixtureと閾値は未確定であり、実測結果を推測しない。 ## TEST_PROFILE UNEXECUTED。非機密・synthetic fixtureでIndustry Profile gate、DRAFT→VALIDATE→APPROVE→ACTION、change control、rollback、incident routeを検証する。実OT制御、clinical decision、student decision、financial decision、consumer pricingの本番作用は実行しない。未実施結果や閾値を推測しない。 ## Security / privacy / audit / cost / operability Security: manufacturing OT/ICSやhealthcare ePHI等、sector-specific boundaryを通常IT controlへ追加する。 Privacy: PHI/ePHI、education records、retail consumer profiling等を独立data classとして扱う。 Audit: applicable finance model inventory/validation、medical-device lifecycle documentation、education service approval等をsector evidenceへ接続する。 Cost: compliance、validation、professional oversight、incident recoveryをAI利用料とは別に把握する。 Operability: sector impactに応じてchange controlとrollbackを強化する。 ## OPEN_UNKNOWN - 日本/EUの業界別current regulatory crosswalk - NIST Critical Infrastructure AI RMF profileの最終状態 - NIST IR 8183 Rev.2の公開時点status - FDA AI-device materialsの公開時点draft/final status - 日本の金融・教育・医療における具体的AI guidance - 業界別の再現可能eval fixture UNKNOWNを推測で閉じない。 ## Cross-reference boundary EA-026 Department Profileと交差させ、industry × departmentで規制・統制を二重複製しない。関連EAの内容を本packetで再編集・再解釈しない。 NEXT: /agent/start.json STOP: This is a knowledge projection, not an execution order.