業界別版

業界別AI運用は、共通のAI統制を業界ごとに作り直すことではない。共通Coreの上に、適用法令・規制主体、保護データ、用途、意思決定や物理的影響、専門家監督、変更管理、証跡をIndustry Profileとして重ねる。同じ医療・金融・教育という名称でも、組織の法的地位、地域、データ、用途によって必要な統制は変わるため、業界名だけで可否やリスクを決めない。

• REGULATED ROLE
• JURISDICTION
• PROTECTED DATA
• USE OR CONTEXT OF USE
• DECISION OR PHYSICAL IMPACT
• EXTERNAL ACTION
• REQUIRED HUMAN OR PROFESSIONAL OVERSIGHT
• RECORD-AUDIT
• CHANGE CONTROL
• INCIDENT-RECOVERY

industryはrisk levelそのものではなく、適用規制・データ・物理的／経済的／権利影響を解決するrouting keyとして扱う。

ITだけでなくOT/ICS、安全・稼働継続、supply chain、platform/infrastructure resilienceを追加gateとする。plant/network boundary、safety criticality、supplier accessを分離する。NIST IR 8183 Rev.2は公開時点のsource statusを保持し、draft/finalを混同しない。Critical Infrastructure向けAI RMF profileも進行中資料であれば最終profileとして扱わない。

healthcare一般、PHI/ePHI privacy、clinical support、medical-device AIを同一カテゴリにしない。covered entity/business associate、BAA、risk analysis等のprivacy boundaryと、medical-device status、context of use、safety/effectiveness、lifecycle monitoring、change controlを別gateにする。FDA AI-device資料はdraft/final statusをsourceごとに保持する。

student-record PII、FERPA applicability、approved service/direct control、authorized use/redisclosure、未成年・parent/stakeholder、learning integrityをgateとする。FERPAは全学校・全地域へ一律適用しない。

model inventory、validation、governance、用途・materiality、regulated-entity applicabilityを分離する。SR 26-2はtraditional statistical/quantitative modelsおよびnon-generative/non-agentic AIに限定されるため、GenAI/agentic-AIへの直接的な監督範囲を示す根拠として使用しない。金融全体への一律適用もしない。

consumer data/profiling、personalized pricing/recommendation、advertising/display、consumer impactを分離する。surveillance-pricing等のstudy findingsはrisk signalとして扱い、個別practiceの違法性を自動確定しない。

AUTHORITY COMM-029-EA0027。NIST AI 600-1をcross-sector Core、NIST manufacturing/critical-infrastructure資料をmanufacturing/OT context、HHS OCRとFDA/IMDRF資料をhealthcare/medical-device context、U.S. Department of Education/Student Privacy Policy Office資料をeducation context、SR 26-2をその明示的scope内のfinancial model-risk context、FTC surveillance-pricing studyをretail consumer-impact contextとして扱う。

主な証拠は米国一次資料であり、日本・EU等のindustry lawへそのまま移植しない。jurisdiction/source-status boundaryを常に保持する。

Manufacturing: IT vs OT/ICS; safety criticality; plant/network boundary; supplier access.

Healthcare: jurisdiction; covered entity/business associate; PHI/ePHI; BAA; medical-device status; clinical/regulatory context of use.

Education: FERPA-covered institution; student PII; age; approved service; district/school control; parent/stakeholder process.

Finance: regulator; institution scope; model definition/materiality; decision use; validation/governance applicability.

Retail: consumer-data category; profiling purpose; pricing/recommendation/advertising effect; disclosure/consent/legal regime.

organization policy、contract、region、provider availabilityはIndustry Profileとは別overlayとして残す。

• 業界名だけでrisk classを決めない。
• healthcareとmedical-device AIを同義にしない。
• HIPAA applicabilityとFDA device statusを別判定する。
• FERPAを教育機関全体・全地域へ普遍化しない。
• draft/ongoing guidanceをfinal requirementへ昇格しない。
• SR 26-2をGenAI/agentic-AI supervisory coverageの直接根拠にしない。
• FTC studyを個別pricing practiceの違法性判断へ外挿しない。
• sector overlayをorganization/jurisdiction/provider固有条件の代替にしない。

共通benchmark一本ではなくsector impactに応じた評価を追加する。manufacturingはsafe failure/OT isolation、healthcareはcontext-of-use performance/drift/subgroup-bias、educationはlearning outcome/privacy、financeはapplicable model validation/stability/override、retailはconsumer impact/segment disparityを候補とする。具体fixtureと閾値は未確定であり、実測結果を推測しない。

UNEXECUTED。非機密・synthetic fixtureでIndustry Profile gate、DRAFT→VALIDATE→APPROVE→ACTION、change control、rollback、incident routeを検証する。実OT制御、clinical decision、student decision、financial decision、consumer pricingの本番作用は実行しない。未実施結果や閾値を推測しない。

Security: manufacturing OT/ICSやhealthcare ePHI等、sector-specific boundaryを通常IT controlへ追加する。

Privacy: PHI/ePHI、education records、retail consumer profiling等を独立data classとして扱う。

Audit: applicable finance model inventory/validation、medical-device lifecycle documentation、education service approval等をsector evidenceへ接続する。

Cost: compliance、validation、professional oversight、incident recoveryをAI利用料とは別に把握する。

Operability: sector impactに応じてchange controlとrollbackを強化する。

• 日本/EUの業界別current regulatory crosswalk
• NIST Critical Infrastructure AI RMF profileの最終状態
• NIST IR 8183 Rev.2の公開時点status
• FDA AI-device materialsの公開時点draft/final status
• 日本の金融・教育・医療における具体的AI guidance
• 業界別の再現可能eval fixture

UNKNOWNを推測で閉じない。

EA-026 Department Profileと交差させ、industry × departmentで規制・統制を二重複製しない。関連EAの内容を本packetで再編集・再解釈しない。