AAISMのガイダンスでは、AI導入において最も重要なステップは、リスク評価を実施し、企業リスク登録簿を更新することであるとされています。これにより、AI固有のリスクが特定され、文書化され、組織の既存のガバナンス構造に統合されることが保証されます。同業他社とのベンチマークは状況を把握するのに役立ちますが、内部リスクには対応していません。方法論やフレームワークの実装は重要ですが、評価プロセスの前後に実施されます。導入と企業リスクガバナンスを結びつける決定的なステップは、AI固有のリスクをリスク登録簿に反映させることです。
参考文献：
AAISM学習ガイド - AIリスク管理（エンタープライズリスク管理との統合） ISACA AIセキュリティ管理 - リスク評価と登録更新

AIデータライフサイクルにおいて、生のユーザー情報をモデルが読み取れる形式に変換する処理（クリーニング、解析、特徴量エンジニアリング、エンコード、正規化／標準化、スキーマアライメントなど）は、データ準備段階で行われます。この段階では、トレーニングと推論の前に入力データの品質と構造を確立し、正規化は複数の準備ステップの1つとして含まれる場合があります。データ収集はデータを取得し、最小化は必要なデータのみに制限し、正規化は特定の技術であって、全体的な段階ではありません。
参考文献：AIセキュリティ管理（AAISM）知識体系：データライフサイクル - 準備と取り込み制御；AAISM学習ガイド：データ準備活動（クリーニング、ラベリング、特徴エンジニアリング、エンコーディング）と品質ゲート。

AAISMのガバナンスの下では、管理および制御の責任者が是正措置に責任を負います。AIシステムの場合、責任を負うのはモデルオーナー（または同等のビジネス/サービスオーナー）であり、アーキテクト、エンジニア、運用担当者と連携して是正措置を実施し、完了を報告します。内部監査人は独立した保証を提供するだけで、修正は実施しません。エンドユーザーは是正措置の責任者ではありません。
参考文献：AIセキュリティ管理（AAISM）知識体系 - 役割と責任（モデル所有者、コントロール所有者、保証）；監査結果の管理と是正ガバナンス。

AAISMは、生成型AIの利用時点における予防的制御を最優先事項としており、特に、機密データ、規制対象データ、または高リスクデータが外部モデルに送信される前に、それらをブロックまたは編集する入力ガバナンスとDLP制御を重視しています。監査、導入前テスト、および規制への準拠は必要ですが、それ自体では従業員が機密コンテンツをプロンプトに貼り付けることを防ぐことはできません。入力制限、パターンベースの編集、ポリシー認識制御、および承認されたコンテキストに対する許可リストを適用することで、情報漏洩を防止するための最高レベルの保証が得られます。

AAISMのインシデント対応ガイドラインでは、最初の基礎的なステップとして、モデル開発者、データ管理者、セキュリティ責任者、コンプライアンス担当者など、AIに精通した部門横断的なインシデント対応チームを編成することを挙げています。このチームが編成されていなければ、復旧（C）、封じ込め（D）、またはコミュニケーションチャネル（A）を効果的に設計または実行することはできません。