AAISMは、デューデリジェンスと保証を実現するために、ベンダーからの透明性のある成果物を重視しています。モデルカードには、使用目的、データソース、制限事項、サブグループ間のパフォーマンス、既知のリスク、評価手順が記載されており、教育のようなデリケートな状況における安全性、公平性、コンプライアンスを評価するために必要な情報です。SSOとサポートは運用上の有用な機能であり、モデル固有の情報開示なしに一般的な利用規約を更新するだけでは不十分です。
参考資料：AIセキュリティマネジメント™（AAISM）知識体系 - サードパーティおよびサプライチェーンガバナンス、透明性アーティファクト（モデルカード、データシート）。AAISM学習ガイド - ベンダーデューデリジェンス要件、リスク、公平性、および使用目的に関する文書化。

AAISM は、重要なシステムにおける生成 AI への制御されていないアクセスが、次のようなモデルによって最高レベルのリスクをもたらすことを強調しています。
* 機密データを公開する
* 意図しないアクションを実行する
* 挿入されたプロンプトを通じて操作される
* 動作の不安定化を引き起こす
監視（A）は重要ですが、中核的なリスクではありません。バイアス（B）は重要ですが、重要なシステムでは二次的なものです。
規制強化（C）は間接的です。
参考資料: AAISM 学習ガイド - 生成 AI の運用リスク、アクセス制御の優先順位。

AAISMは、オープンソースAIモデルは、内部データが外部の管理されていないリポジトリに流出したり、さらなる学習に利用されたりする可能性があるため、データ漏洩リスクが高いと強調しています。ガバナンス機関は、データの漏洩、モデルの再利用、データ保持の不確実性、そして管理されていないモデルの動作といったリスクを優先的に考慮する必要があります。
正確性（B）とサポート（C）は運用上の重要な考慮事項ですが、主要なガバナンスリスクではありません。従業員のプライバシー権（D）は重要ですが、データ漏洩というより広範なリスクに含まれます。
参考資料: AAISM 学習ガイド - オープンソース AI ガバナンス、データ漏洩と制御されていないモデルの動作。

AAISMは、安全性が極めて重要または規制対象となるアクションに対して、リスクベースの人間参加型オーケストレーションを規定しています。インシデントの重大度、データの機密性、規制要件に基づいて自律性を制御する階層型自動化戦略は、説明責任、監査可能性、および比例性を確保し、ガバナンス義務を満たします。完全な自律性（A）はコンプライアンス違反のリスクがあり、従来のワークフローを単純にミラーリングするだけでは（B）現在の義務を満たせない可能性があり、広範な自動封じ込め（C）は必要な監視制御を欠いています。
参考資料：AIセキュリティマネジメント™（AAISM）知識体系 - AI主導型セキュリティ自動化のガバナンス、人による監視とエスカレーション、リスクベースのオーケストレーション。AAISM学習ガイド - AIによるインシデント対応：制御、承認、監査可能性。

AAISMによると、ハイパーパラメータのチューニングには、トレーニングデータやテストデータではなく、検証データが使用されます。検証データセットは、トレーニングセットやテストセットに影響を与えることなく、さまざまなハイパーパラメータ設定を評価できるように特別に設計されています。
トレーニングデータ（C）はモデルを学習させるために使用されます。テストデータ（D）は最終評価にのみ使用されます。構成データ（B）はパフォーマンスの最適化とは無関係です。
参考資料: AAISM 学習ガイド - AI モデル評価、ハイパーパラメータ調整における検証データの役割。