AI Questionnaire Assistance（AIQA）は、組織のTrust Libraryの内容を使って、顧客や見込み客から届いた質問票の新しい質問に回答を作る機能です。AIの回答の質は、与える情報の質と量に左右されます。使い始める前に、権限と設定を整え、回答の材料になる情報をそろえておくことが大切です。このページでは、AIQAを使い始める準備として、前提の条件と担当者の権限、初期設定のチェックリスト、回答の材料になる情報の整え方、自社のウェブサイトの取り込み、AIQAでのデータの扱いを説明します。
使い始める前に
契約と設定
| 条件 | 内容 |
|---|---|
| AIQAの契約 | SafeBaseのプランの一部としてAIQAを購入しているか、AIQAのクレジットが残っている必要がある。購入やクレジットの追加は、正規販売代理店（デジタルアクセルズ）にご相談ください |
| 生成AIの有効化 | Settings → Generative AIでEnable Generative AIのトグルスイッチをオンにする。オフのままでは、AIQAで質問票を処理できない |
| Chrome拡張機能 | 第三者の質問票のポータルで回答する場合は、SafeBaseのChrome拡張機能をブラウザーに入れる（AIQAで質問票に回答する） |
担当者の権限
AIQAを使うには、組織メンバーに次のどれかのロールが必要です。
| ロール | AIQAでできること |
|---|---|
Admin | SafeBaseの全てを扱える |
Questionnaire Manager | 質問票を全て扱える |
Questionnaire Contributor | 質問票のアップロード、個々の質問の編集と承認ができる。AIQAの実行は始められない |
AIの機能へのアクセスはロールで制御されており、AIの機能を使えるユーザーを限れます。ロールの割り当ては、組織メンバーとロールで説明しています。
初期設定のチェックリスト
主要な文書をアップロードする
AIQAは、文書のライブラリーにアップロードした内容を読み取って回答に使います。載せる内容が多いほど、回答に使える情報源が増え、さまざまな質問票の幅広い質問に答えられるようになります。最初に次の文書をアップロードします。
- SOC 2 Type 2のレポート
- セキュリティーのホワイトペーパー
- 本文を含むポリシー
- 標準化された質問票（SIG、CAIQ、HECVATなど）
- そのほか、関係する情報を含む資料
文書のアップロードと、文書をAIの情報源に使う設定は、文書の掲載と透かしで説明しています。
価値の高い内容をナレッジベースに入れる
ナレッジベースには、顧客から最もよく届く種類の質問票と、回答済みの過去の質問票を入れます。入れるときは、次の点に気を付けます。
| 気を付けること | 内容 |
|---|---|
| コメントを多く含める | 質問票には、補足のコメントが多く書かれている必要がある |
| 部門を超えて練った内容を選ぶ | チームが時間をかけ、部門を超えて協力して作った回答を入れる。金融機関、政府機関、医療機関などの規制の厳しい業界の質問票には、一般に質の高い内容が含まれる |
| 顧客の名前を除く | 顧客の名前は、全て置換で「Customer」に置き換える |
| 質問の番号を除く | 質問の前の番号を除くと、ナレッジベースが見やすくなる |
| 質問の後の指示を除く | 質問の後に付いている答え方の指示（「1つだけ選択」など）を除く |
ナレッジベースへの取り込みの手順は、ナレッジベースの整備で説明しています。
ひな形の質問票を使う
ヘルプの記事「AI Questionnaire Assistance (AIQA) - Initial Setup Checklist」では、ナレッジベースの土台を作るためのひな形の質問票（Excelのファイル）が提供されています。回答を書き込んでナレッジベースに取り込むと、基本的な回答をそろえられます。
| 種類 | ひな形 |
|---|---|
| 標準的なセキュリティーの質問票 | Security Baseline（Top 120、Top 200、Top 350） |
| プライバシーの質問票 | SafeBase Privacy Assessment |
| RFP | RFP Baseline |
| AIの文書化の質問票（標準化されたAIの質問票） | ISO 23053、NIST AI Risk Management Framework、CapAI Assessment（EU AI Act）の例 |
回答の材料になる情報を整える
AIQAで正確で一貫した回答を得るには、使い始める前に適切な情報を集めて整理しておくことが欠かせません。どの情報をAIQAに使わせるかを決めるときは、「実際にどんな種類の質問票が届いているか」を考えます。SafeBaseは、次の5つの段階で準備することを勧めています。
1. 古い内容を除く
最初に、古い内容を除きます。1年以上前の内容はアーカイブします。古い情報が混ざっていると、AIが混乱します。
2. 届いている質問の種類を見極める
実際に届いている質問の種類を見極めます。届く質問票の種類は、製品の機能や、集めたり処理したりするデータの種類によって変わります。よく届く質問票の分類は、次の5つです。
よく届く質問票の5つの分類（AI、RFP、セキュリティー、プライバシー、製品）と、それぞれで準備すること
例えば、セキュリティーの質問票よりRFPが多く届くなら、まずRFPに答えるための内容を充実させます。製品で少しでもAIを使っているなら、データの流れの図、プライバシー影響評価、AIのモデルの使い方、第三者の大規模言語モデル（LLM）を使っているかどうかなどを文書にしておきます。AIについての質問は増えています。
3. 質の高い回答を集める
チームが最近回答した5つの質問票を集めます。特に、法務、セキュリティー、営業などの間でやり取りの多かったものを選びます。こうした質問票には、チームの伝え方や文体が表れており、よく練られた回答を使い回せば、同じ質問に何度も答える手間が省けます。
質の高い回答を作るときは、次の目安を使います。
- 「はい」と答えるなら、詳しく説明する。
- 「いいえ」と答えるなら、代わりの対策を説明する。
- 「該当しない」と答えるなら、自社や自社の製品に該当しない理由を説明する。
AIの回答の質が上がるだけでなく、閲覧者からの追加の質問を防ぐことにもつながります。
4. Trust Centerとナレッジベースに載せる
集めた回答や文書を、Trust Centerとナレッジベースに載せます。AIに与える文脈が多いほど、回答は正確になります。1つか2つの文書だけで全ての質問票に答えさせようとしないことが大切です。
| 内容 | 例 | 対応 |
|---|---|---|
| 回答済みの質問票 | RFP、SIG、CAIQなど、回答したセキュリティーやコンプライアンスの質問票 | 最新の承認済みの版を、Trust Centerとナレッジベースにアップロードする。「はい」「いいえ」「該当しない」だけの回答より、回答とコメントで理由を説明した回答の方が役立つ |
| Trust Centerの内容 | セキュリティーの認証（SOC 2、ISO 27001）、プライバシーポリシー、コンプライアンスの文書 | これらの情報を含むリンクかファイルを、SafeBaseのチームに共有する |
| 関係する文書 | ホワイトペーパー、ポリシーの要約、製品の構成図、セキュリティーとプライバシーの1枚の説明資料 | 最新の版を集めてアップロードする |
| 公開しているURL | 製品のFAQ、セキュリティーのブログ、サポートの文書、プライバシーのページ、会社のウェブサイト | URLを伝え、AIの収集の対象に加えてもらう（次の「自社のウェブサイトを取り込む」を参照） |
5. 回答の流れを回す
最後は、実行、確認、承認、完了、ナレッジベースへの追加の5つの流れを回します。回答を確かめて直すたびに、AIは組織の答え方に近づいていきます。SafeBaseでは、回答を承認すると「この回答はいい」、回答を編集すると「この回答はよくない」という評価として扱われます。回答の流れはAIQAで質問票に回答する、精度を上げる方法はAIQAの回答の精度を上げるで説明します。
自社のウェブサイトを取り込む
ウェブサイトの取り込み（Website Indexing）を使うと、AIQAが公開しているウェブの内容も回答に使えます。既存のプライバシーやセキュリティーのページ、ヘルプセンター、製品のサイト、組織のウェブサイトなどが対象です。AIQAの収集のプログラムが、組織が指定したページを集め、Trust Centerの内容、アップロードした文書、ナレッジベースの回答と並べて、専用のデータの保管場所に保存します。
【注意】 取り込めるのは100ページまでです。性能の低下を防ぐための上限で、ヘルプセンター全体や何百もの記事を取り込むための機能ではありません。AIQAに役立つ充実した内容のページを選びます。
サイトの条件
| 条件 | 内容 |
|---|---|
| 公開 | 誰でもアクセスでき、ログインが必要なページでないこと |
| ボットの対策 | ボットや収集の対策をしている場合は、SafeBaseの収集のプログラムのユーザーエージェントSB-AI-Scanner/1.0を許可の一覧に加える |
| WAFの例外 | WAFのルールで例外にする場合は、固定の送信元のIPアドレス35.224.116.27を使える |
SafeBaseの収集のプログラムは、ウェブサイトの収集の対策を回避しようとはしません。
取り込みの動き
- ウェブサイトの内容は、毎週月曜日と木曜日の朝の2回取り込まれます（変わることがあります）。
- 1つのURLが、1つのページとして保存されます。AIQAはページの中のリンクや下の階層をたどらないため、下の階層のページはURLを1つずつ指定する必要があります。
- ウェブサイトを対象から外しても、次の取り込みで外れたことが認識されるまで、以前の情報は残ります。
- 対象のウェブサイトを加えたり外したりするには、SafeBaseのサポートに依頼します。
AIQAでのデータの扱い
AIQAを社内で使う前に、セキュリティーやプライバシーの担当者に説明を求められることがあります。ヘルプの記事に書かれているデータの扱いは、次の通りです。
| 項目 | 内容 |
|---|---|
| 回答の作り方 | 質問票から質問を読み取り、Trust Libraryから関係する内容を探し、回答を作り、質問票が求める答え方に合わせて整える。よく知られた基盤のモデルを使う、検索拡張生成（RAG）の仕組み |
| 学習への利用 | SafeBaseは顧客のデータをモデルの学習に使わない。基盤のモデルの提供元も、送られたデータを保存せず、学習にも使わない |
| データの保管 | 顧客のデータはSafeBaseのVPCの中のデータベースに保存される。AIQAが使うベクトルデータベースは顧客ごとに分けられ、VPCの中にある。AIのモデルは顧客のデータを直接参照できず、質問に答えるのに必要な断片だけが渡される |
| 使うモデル | 現在の主なモデルはGoogleのGemini。品質やSafeBaseの評価によって変わることがある |
| AIを使う場面 | AIは、質問への回答を生成するときにだけ使われる。顧客は、いつでも生成AIの利用を止められる |
| AIの委託先 | Google（データの保管と基盤のモデル）、Vellum（LLMの処理の流れ）。最新の一覧は、SafeBaseのTrust Centerで公開されている |
準備がうまくいかないとき
| 状況 | 原因と対応 |
|---|---|
| 質問票の一覧ではなく、使い始めの案内の画面が表示される | AIQAが回答に使う専用のデータベース（データストア）の準備ができていない。Trust Libraryに内容（文書、ナレッジベースの回答、Trust Centerの項目の説明、更新情報）があることを確かめ、ナレッジベースの回答を少し編集して、データストアの更新を始める。内容を追加や編集した直後は、作られるまで待つ。解決しない場合はSafeBaseのサポートに相談する |
| 質問票の処理を始めるボタンを選べない | 組織で生成AIの機能を有効にしていない可能性が高い。組織の設定の生成AIのセクションで、トグルスイッチをオンにする |