AI Use-Case Coverage

企業のAI利用を「チャット」「検索」「エージェント」のような製品機能だけで数えると、実際の用途差を見失う。反対に、部署名や業界名だけで分類しても、同じ「営業」「金融」で、誰が、何を、どの入力・出力で、どの程度自律的に実行し、誰に影響し、どの程度のリスクを負うかは異なる。Enterprise AIの用途台帳は、少なくとも Actor × Task × Function × Sector × Modality × Autonomy × Risk を独立軸として保持し、用途を「一つのラベル」ではなく「プロファイル」として記録する必要がある。

この行列の目的は、世の中のAI用途を完全分類することではない。目的は、組織内のAI利用を、評価・統制・比較・棚卸しが可能な最小限の共通記述へ変換することである。NIST AI RMFのMAPは、AIリスクを測定・管理する前に、意図した目的、利用者、影響を受ける者、展開環境、具体的タスク、組織上の価値、要求事項などのコンテキストを明示することを求める。OECDのAIシステム分類も、People & Planet、Economic Context、Data & Input、AI Model、Task & Outputという複数次元でシステムを記述する。したがって、単一カテゴリより多軸プロファイルの方が、用途と統制を接続する運用モデルとして整合的である。

Actor は「誰がAIを利用・運用し、誰が影響を受けるか」を表す。end user、operator、developer、domain expert、manager、customer、affected individual/communityなどを区別する。NISTは、AI actorだけでなく、直接システムを操作しない affected individuals/communities も別主体として扱う。したがって「利用者」だけをActor欄に置くと、採用、与信、医療、顧客対応などで重要な影響主体が消える。

Task はAIが支援または実行する具体的作業である。要約、抽出、分類、生成、検索、分析、予測、推薦、コード生成、問い合わせ解決、計画、ツール実行、意思決定支援など、観測可能な仕事として記述する。NIST AI RMF MAP 2.1も、AIが支援する具体的タスクと、それを実装する方法を定義することを求める。

Function は業務機能である。IT、エンジニアリング、マーケティング、営業、顧客サービス、財務・会計、法務、HR、調達、研究、製品、オペレーションなどを置く。OpenAIの2025年企業利用報告では、IT、マーケティング・製品、HR、エンジニアリングなど複数機能で異なる効果が報告され、API用途も業界によって customer support、coding、agentic workflow automation、assistant/search、analysis 等の構成が異なる。FunctionとTaskを分離しないと、この差を表現できない。

Sector は業界・公共領域である。金融、医療、製造、専門サービス、テクノロジー、公共、教育などを記録する。同じTaskでも、規制、許容リスク、データ機密性、説明責任、誤りの影響はSectorによって変わる。OECDがEconomic Contextを独立次元に置く理由とも整合する。

Modality は主要な入力・出力様式である。text、code、image、audio、video、structured data、sensor/multimodal等を記録する。モダリティは単なるUI差ではない。評価方法、データ権利、漏えい経路、アクセシビリティ、保存対象、誤認識の形が変わるため、運用統制の選択に影響する。

Autonomy はAIが業務をどこまで自律実行するかである。例として advisory（人への提案のみ）、drafting（下書き生成）、bounded execution（許可済み範囲で実行）、multi-step delegation（複数工程を委任）、high-impact action（外部状態や権利・資産へ重大な影響を与える実行）など、組織が検証可能な段階を定義する。重要なのは製品名で自律度を決めないことである。同じモデルでも、閲覧のみの要約と、外部システムへ書き込むエージェントでは統制面が異なる。

Risk は用途コンテキストに結び付けたリスク階層・リスク属性である。privacy、security、safety、fairness、legal/regulatory、financial、reputational、operational、human-rights等を記録し、必要なら組織固有のimpact tierを併記する。NIST AI RMFはuse-case agnosticな枠組みであり、リスク管理にはコンテキスト把握が必要だとしている。したがってRisk軸は、モデル一般の「安全性評価」をコピーするのではなく、当該用途で誰に何が起こり得るかを基準にする。

七軸の直積を巨大な表として事前生成すると、空セルが爆発し、分類作業自体が目的化する。実装上は、一つの実用途を一つのUse-Case Profileとして保存し、各軸をフィールドとして付与する方が扱いやすい。

最小レコードは、use_case_id / actor / affected_party / task / function / sector / modality / autonomy / risk / intended_purpose / deployment_context / evidence / owner / controls / metrics / status / last_reviewed を持つ。必要に応じてprovider、model、data_class、region、regulatory_scope、human_oversight、external_action、system_of_record、rollback等を追加する。

この構造にすると、「金融×顧客サービス×音声×bounded execution×高リスク」のような横断抽出、「同じTaskなのに統制が異なる用途」の比較、「高自律なのにownerやrollbackがない用途」の検出が可能になる。Coverage Matrixは分類表ではなく、用途インベントリと統制台帳を接続する索引として機能する。

第一に、導入件数を価値や成熟度と混同しない。OpenAIの企業利用データは、AI利用が複数業務へ広がり、利用強度にも企業間・個人間で大きな差があることを示すが、特定の分類セルを埋めれば価値が出ることを保証しない。用途数、利用量、時間節約は別指標である。

第二に、同じ用途名でもコンテキスト差を潰さない。「要約」は、社内会議メモ、患者記録、法務文書、顧客苦情でリスクが異なる。Task名が同じでもSector、Actor、data class、affected party、Autonomyが違えば別プロファイルとして扱う。

第三に、空白を即「導入すべき機会」と解釈しない。空セルには、未発見、非適用、禁止、費用対効果不足、データ不足、リスク過大、技術未成熟が混在する。Coverage Matrixは機会探索にも使えるが、空白を埋めること自体をKPIにしてはならない。

第四に、分類と評価を分離する。このMatrixは「何がどこで使われているか」を記述する。精度、安全性、ROI、法令適合、ユーザー受容性などの評価は、用途プロファイルに紐づく別のevidence/metricとして管理する。

分類粒度の暴走: 軸ごとの値を無制限に増やすと同義語が乱立する。controlはcontrolled vocabulary、alias、version、ownerを持たせること。自由記述は補助欄に限定する。

製品中心への逆戻り: 「ChatGPT」「Copilot」「Gemini」等をTaskやFunctionの代用にしない。provider/modelは別属性であり、用途プロファイルのcanonical identityにしない。

Riskの固定化: リスクは導入時に一度付けて終わりではない。NIST MAPはコンテキスト、能力、リスク、便益、影響が変化するにつれ継続適用することを求める。モデル更新、権限追加、外部アクション追加、対象ユーザー拡大、規制変更を再分類トリガーにする。

Autonomyの自己申告化: 「human-in-the-loop」と書くだけでは統制にならない。誰が、どの時点で、何を確認し、拒否・停止・rollbackできるかを別フィールドで検証する。

Coverageの水増し: 一つのPoCを複数セルへ重複計上しない。use_case_idを基準にし、複数軸はタグとして表現する。

影響主体の欠落: operatorだけでなく affected party を必須または条件必須にする。特に人事、金融、医療、公共、教育等では、AIを直接操作しない者への影響を記録する。

運用では、まず既存AIインベントリ、SSO/app inventory、API gateway、procurement、security review、AI registry等から実用途を集め、Use-Case Profileへ正規化する。次に各用途へownerとevidence locatorを付ける。RiskまたはAutonomyが一定閾値を超える用途には、human oversight、logging、evaluation、access control、rollback、incident response、periodic reviewなどのcontrol requirementを条件付けする。分類変更は履歴を残し、taxonomy versionを保存する。

この設計により、Coverage Matrixは「用途の一覧」から、どの用途に、なぜ、その統制が必要かを追跡する運用基盤へ変わる。NIST AI RMFのMAP→MEASURE→MANAGEの接続とも整合し、OECD型の多次元分類を企業運用へ落とし込める。

この七軸は、NISTやOECDが規定する唯一の標準分類ではない。OECDの公式分類軸は People & Planet / Economic Context / Data & Input / AI Model / Task & Output であり、本稿の七軸はそれを企業のuse-case coverage管理へ再構成した運用設計である。NIST AI RMFもuse-case agnosticで、特定の七軸schemaを要求しない。

また、OpenAIの企業利用報告はOpenAI顧客の集計データと調査を基礎としており、世界の全企業AI利用を代表する母集団ではない。報告された時間節約や業務効果を、個別組織のROI保証として用いてはならない。

業界・法域固有の高リスク分類は、Sector/Riskの追加プロファイルで扱う必要がある。このMatrixだけで法令適合、モデル安全性、情報セキュリティ、プライバシー影響評価が完了するわけではない。

「Enterprise AIの用途管理では、Actor、Task、Function、Sector、Modality、Autonomy、Riskを分離して用途プロファイル化すると、単一カテゴリでは失われる利用コンテキストと統制要件を追跡しやすい。これはNIST AI RMFのcontext mappingおよびOECDの多次元AI分類と整合する運用設計であるが、両機関がこの七軸schema自体を標準として規定しているわけではない。」

• 組織横断で再利用可能なAutonomy段階の最適な語彙と閾値は未確定であり、業務システム・権限モデルに応じて調整が必要。
• Sector別の法規制・高リスク判定を七軸の共通Risk値へどこまで正規化できるかは未確定。
• 各軸の値をどの粒度で固定語彙化すれば、検索性と現場入力負荷の均衡が最良になるかは実運用評価が必要。
• Coverageの「不足」を、未発見・非適用・禁止・未成熟・投資優先度外へ自動分類する方法は確立していない。

• OECD, "OECD Framework for the Classification of AI systems", 2022-02-22. https://oecd.ai/en/ai-publications/framework-classification Locator: five dimensions --- People & Planet; Economic Context; Data & Input; AI model; Task & Output.

• NIST AI Resource Center, "AI RMF Core --- 5.2 Map", AI RMF 1.0. https://airc.nist.gov/airmf-resources/airmf/5-sec-core/ Locator: MAP 1.1--1.6 and MAP 2.1; intended purpose, users, impacts, business context, risk tolerance, requirements, specific tasks/methods.

• NIST AI Resource Center, "Map --- NIST AI RMF Playbook". https://airc.nist.gov/airmf-resources/playbook/map/ Locator: MAP 1.1; deployment setting, end users, impacts, operational environment, requirements, contextual factors.

• NIST AI Resource Center, "Appendix A: Descriptions of AI Actor Tasks". https://airc.nist.gov/airmf-resources/airmf/appendices/app-a-descriptions-of-ai-actor-tasks/ Locator: AI Design actors, end users, affected individuals/communities, third-party entities.

• NIST, "Crosswalks to the NIST Artificial Intelligence Risk Management Framework (AI RMF 1.0)". https://www.nist.gov/itl/ai-risk-management-framework/crosswalks-nist-artificial-intelligence-risk-management-framework Locator: voluntary, rights-preserving, non-sector-specific, use-case-agnostic scope.

• OpenAI, "The state of enterprise AI --- 2025 report". https://openai.com/business/guides-and-resources/the-state-of-enterprise-ai-2025-report/ Locator: enterprise usage by function/sector/task; survey of 9,000 workers across almost 100 enterprises; usage and time-saved findings.

監査では、(a) canonical topicが七軸Coverage Matrixのまま維持されているか、(b) NIST/OECDの公式schemaと本稿の運用上の再構成を混同していないか、(c) OpenAIの観測母集団を一般化し過ぎていないか、(d) failure/control、適用境界、OPEN_UNKNOWNが実装判断に十分か、(e) source locatorから主要claimを再検証できるか、を確認する。