社内AI Policyテンプレート集

台帳の狙いは、禁止情報、承認条件、agent利用、外部連携を社内Policyへ落とし込めるテンプレート群である。更新時に「標準がそのまま社内規程を提供する」と誤記しないため、規範の出所と社内提案を分離する。

governance / Enterprise AI Core / organization overlay / implementation

NIST AI RMFとISO/IEC 42001は、社内AI Policyのどの構造を直接確立するか。コピー可能な禁止事項・承認文面まで一次資料で確定できるか。

• source class: official framework / standard authority page; exact title: AI Risk Management Framework; author/org: National Institute of Standards and Technology (NIST) AI Resource Center; canonical URL: https://airc.nist.gov/airmf-resources/ publication/update/access: AI RMF 1.0 page, revised version in progress / accessed 2026-09-13 JST; version/release/tag/commit/API revision/model ID: AI RMF 1.0; supporting locator: page lines 30-35, 58-63（voluntary use、design/development/use/evaluation、Govern/Map/Measure/Manage、setting/risk tolerance/resourcesに応じるProfiles）; evidence label: VERIFIED_SPEC + PRODUCT_VOLATILE; relation: support / limit.
• source class: official international-standard authority page; exact title: ISO/IEC 42001:2023 — Information technology — Artificial intelligence — Management system; author/org: International Organization for Standardization (ISO); canonical URL: https://www.iso.org/standard/42001 publication/update/access: Edition 1, 2023-12, Published / accessed 2026-09-13 JST; version/release/tag/commit/API revision/model ID: ISO/IEC 42001:2023, Edition 1; supporting locator: page lines 3-14, 44-49, 83-98（AIMS、policies/objectives/processes、continual improvement、PDCA）; evidence label: VERIFIED_SPEC; relation: support / limit.

NISTは任意利用のリスク管理フレームワークで、4機能とProfilesを提供する。ISO/IEC 42001は組織のAIMSに関する要求事項を定め、policy/objective/process/継続改善の管理系を確立する。ただし、確認した公開locatorは会社固有の「入力禁止一覧」「承認者名」「agent/toolごとの許可表」のテンプレート本文ではない。したがって、禁止情報・承認条件・外部連携の具体文面は、これらを入力として作る社内PROPOSALであり、NIST/ISOの直接引用・法的義務ではない。

NISTページ自身が更新中と明記する。ISOページは標準の概要と一部previewであり、全文の要求事項解釈を代替しない。業種規制、労務、契約、DPA、秘密情報分類、各国法は未照合。テンプレートを採用しても遵守・安全・モデル挙動は保証されない。

NIST公開ページは無認証で閲覧可。ISO標準全文は購入・組織のライセンス条件が別途必要。社内採用は法務・情報セキュリティ・データ分類・IAM・各providerの契約/管理設定を通過させる。

Policy templateの欄（禁止入力、許可用途、承認段階、外部連携、ログ、例外、廃止）を設計する段階。実組織への適用・法務レビュー・運用試験は未実施。

形式的なpolicy lint（必須欄、owner、review date、例外期限、対象plan/mode）と、代表scenario（機密入力、agent送信、外部connector、出力の公開）によるdecision一致率を設計。実測なし。

SECURITY/PRIVACY: data classificationと操作権限を分離。AUDIT: policy version、承認、exception、review、撤回を保存。COST: policy維持・教育・レビュー工数は未測定。OPERABILITY: policyをIAM/tool approval/loggingへ同期し、provider仕様変更時に再確認する。

「NIST AI RMFは任意利用のGovern/Map/Measure/Manageとcontextual Profilesを示し、ISO/IEC 42001:2023は組織のAI管理システム要求事項を示す。本書の禁止入力・承認・agent外部連携テンプレートは、これらを参照して作る組織別運用提案であり、標準本文そのものでも一律の法的義務でもない。」

次回本文改訂では、各テンプレートにsource basis、法域、適用組織、owner、review date、例外期限、provider/plan/mode gateを付す。NIST改訂版公開時とISO標準レビュー時に再採集する。

NIST AI RMF改訂内容、ISO/IEC 42001全文の適用解釈、業種別・法域別の標準Policy条項、各providerのagent/connector監査可否、特定組織での違反低減効果。

標準の存在を社内規程の完成・法的適合・安全保証と同一視しない。直接根拠がない禁止文面をVERIFIED_SPECで閉じない。 UNIT_CLOSE_STATUS: INDIVIDUAL_BOUNDED_CLOSE / EVIDENCE_RECORDED / UNKNOWN_PRESERVED

---

NIST AI RMF/ISO 42001 do not supply copy-paste company policy clauses, approver names, connector allowlists or legal terms; template remains organization-specific proposal.