Partner articleAI開発会社ガイド2026/7/7

AI攻撃シナリオをRFPに入れる方法

AIシステム特有の攻撃と影響を踏まえ、攻撃シナリオ、検証手順、ログ、是正をRFP化します。

結論

AI攻撃シナリオでは、機能要件だけでなく、攻撃、影響、検証手順、是正を検収できる形でRFPに書く必要があります。AIはリリース後もモデル、プロンプト、データ、利用者が変わるため、初回デモの精度だけでは安全性を判断できません。

AIシステム特有の攻撃と影響を踏まえ、攻撃シナリオ、検証手順、ログ、是正をRFP化します。

AI攻撃シナリオ RFPでは、開発費だけでなく、評価シナリオ作成、テスト実施、ログ分析、是正確認、レポート作成、再試験の費用が発生します。RFPでは、PoC費、本番化費、リリース前評価費、リリース後監視費を分け、モデルやデータ更新時の再評価費も別項目にします。

受託者は、対象AI機能について、攻撃、影響、検証手順、是正を含むAIセーフティ評価計画を提出すること。評価結果、ログ、是正内容、再試験結果を証跡として納品し、発注者の承認を得るまで本番移行しないこと。

この文例は、対象業務のリスク、扱うデータ、利用者への影響、外部連携の有無に応じて具体化してください。

RFPを作る前に AI開発会社で相談先を確認し、比較観点は AI開発会社の選び方と AI開発RFPの書き方を併読してください。社内側の評価人材は AI学習で育成します。

必要です。PoCほど実データや現場プロンプトを自由に使いやすく、ログや削除条件が曖昧になりやすいためです。

いいえ。ベンダーに実施してもらう場合でも、発注者側が対象範囲、合否基準、残余リスクの受け入れ可否を判断する必要があります。

評価計画、テストケース、評価結果、是正バックログ、再試験結果、運用監視手順です。これらがないと説明責任を果たしにくくなります。