AI調達・選定ガイド

法人向けAIの調達では、モデル性能や月額料金だけを比較しても不十分である。契約、データ保持・所在地、ID管理、監査ログ、SLA、API継続性、課金meter、機能成熟度、終了時のexport・削除条件まで別々に確認する。公開資料で確認できる機能の存在と、自社plan・tenant・地域・契約で実際に利用できる条件を分離し、証拠のない項目はUNKNOWNのまま残して契約文または受入試験で閉じる。

A. SUPPLIER DUE DILIGENCE: provenance、resilience、security practice、supply-chain/subprocessor、continuity。 B. CONTRACT & LIABILITY: agreement、Order Form、DPA、security measures、audit reports、liability、beta/preview exclusion、change clause。 C. DATA: training default、ownership、retention/delete、residency、subprocessor、legal/abuse exceptions。 D. IDENTITY & ADMIN: SSO/SCIM/role model、admin boundary、group/tenant controls、offboarding。 E. AUDIT & EVIDENCE: log coverage、immutability、retention、export/API、SIEM/DLP/eDiscovery、model/provider/version visibility。 F. RELIABILITY: covered services、uptime definition、maintenance/exclusion、incident path、service credit/remedy。 G. API & INTEGRATION: lifecycle/version/deprecation、rate/usage limits、MCP/A2A/proprietary integrations、exportability、sandbox。 H. COST: seat/subscription、credits/tokens/tasks、audit/logging、egress/storage、support、minimum commitment、overage。 I. EXIT: export formats、external source-of-truth/state、credential revocation、delete timeframe/exceptions、replacement/replay eval、rollback/cutover。

各gateは PASS / PASS_WITH_CONDITION / FAIL / UNKNOWN で判定する。UNKNOWNを価格やmarketing claimで埋めない。

各requirementに REQUIRED / PREFERRED / OPTIONAL、risk、evidence source、owner、as-of、contract locator、plan-region gate、verification method、recheck date、acceptance test、exit dependencyを持たせる。

AUTHORITY COMM-026-EA0024。NIST SP 1326、SP 1305、AI 600-1を設計根拠とし、OpenAI Services Agreement・Enterprise privacy・Compliance Platform、Google Workspace SLA、Microsoft Purview AI audit documentation、OpenAI data residencyをcurrent具体例として使用する。provider優劣評価には使用しない。product/contract surfacesは PRODUCT_VOLATILE。

public docsは個別tenant/Order Form/private addendum/region rolloutを証明しない。certificationはuse-case適合を自動保証しない。SLA uptimeはquality/accuracy/tool correctness/latency/data-loss recoveryを保証しない。Beta/previewとGAを同一視しない。residencyはstorage/processing/inference/support/subprocessorを分離する。

UNEXECUTED。non-production fixtureでread-only acceptance testを行い、write/action testは承認後に分離する。benchmarkは契約/security/residency/SLA/auditの代替証拠にしない。

個別Enterprise Order Form/SLA/support addendum、tenant固有SCIM/SSO/audit/residency、minimum commitment/renewal/termination assistance/export support/service credit、subprocessor変更通知/data transfer、quality/latency契約保証。推測で閉じない。

EA-022 migration、EA-023 lock-in reduction、EA-015 audit、EA-016 eval、EA-017 costへ接続するが、本packetで再編集しない。