最適な答えはBです。詳細なデータ使用ポリシーを作成します。PMIのCPMAIフレームワークでは、信頼できるAIには技術的なセキュリティ制御以上のものが必要です。特に個人データが関係する場合、データの収集、アクセス、共有、保持、および責任ある使用方法に関する明確なルールも必要です。PMIの公式試験内容概要には、個人識別情報に関するガバナンスプロトコルの確立、規制およびポリシーの遵守状況の監視、法務およびコンプライアンスチームとの連携、AIライフサイクル全体にわたるプライバシーと安全な取り扱いの確保が含まれています。
詳細なデータ利用ポリシーは、質問の核心である不正利用に関する倫理的懸念に直接的に対処します。このポリシーは、個人データの許容される利用と許容されない利用を定義し、説明責任を明確にし、AIシステムに関わるすべての人の責任ある行動を支援します。PMIの信頼できるAIに関するガイダンスもまた、ガバナンス、責任、透明性、倫理を、人々が信頼できるAIシステムを構築するための基礎要素として強調しています。
オプションAは重要ですが、アクセス制御は主にデータにアクセスできる人を制限するものであり、責任ある利用方法を完全に定義するものではありません。オプションCは有用ですが、範囲が広すぎ、最も直接的な対策というよりは継続的な対策となります。オプションDは可視性を向上させますが、報告だけでは不正利用を防ぐことはできません。明確なデータ利用ポリシーこそが、倫理的かつ責任あるデータ利用のための最も強力な第一歩です。

PMI-CPMAIでは、非常に実践的な初期段階の活動として、ソリューションをコンポーネントまたはサブ機能に分解し、どのコンポーネントにAIが必要で、どのコンポーネントには必要ないのかを判断するという方法が説明されています。これは、コンポーネントベースの分析と呼ばれることがよくあります。その考え方は、ワークフロー全体または製品を、データ取り込み、前処理、予測、ルールベースの意思決定、ユーザーインターフェース、レポート作成、統合レイヤーなどの単位に分解することです。
各コンポーネントについて、チームは以下の点を問いかけます。
これには認知能力（データからの学習、パターン認識、確率的推論）が必要ですか？
あるいは、従来のソフトウェア、ルール、または既存のシステムで対応できるのだろうか？
同時に、各AI関連コンポーネントについて、データソース、データ品質、ストレージ、パイプライン、コンピューティング要件、統合ポイントといった技術およびデータ要件を特定します。PMI-CPMAIは、これを技術的実現可能性、アーキテクチャ設計、MLOps計画といった後続のタスクに直接結びつけます。
詳細なデータマッピング（オプションA）は有用ですが、主に情報フローに焦点を当てており、必ずしもAIと非AIの区分けに焦点を当てているわけではありません。技術的実現可能性評価（オプションB）は、提案されたAIアプローチが現実的かどうかを評価しますが、AI部分が既に特定されていることを前提としています。コンポーネントベースの分析（オプションC）のみが、「どの部分にAIが必要で、どの部分には必要なく、それぞれに必要な技術/データは何か？」という問いに同時に答えることができ、シナリオに正確に合致しています。

PMI-CPMAIは、データプライバシー、ガバナンス、セキュリティを責任あるAIの中核的な柱として扱い、AIプロジェクトが機密情報や規制対象情報を扱うことが多いことを強調しています。LPCentre+1は、機密性の高い航空宇宙製造データへの不正アクセスにつながる可能性のある脅威を評価する際に、攻撃対象領域、データの分散、制御の複雑さを検討することを推奨しています。
分散型データストレージシステム（オプションC）は、潜在的なリスクを大幅に高めます。データが複数の場所やノードに分散されるため、一貫したアクセス制御、ID管理、ログ記録、インシデント対応がより困難になります。このような環境では、設定ミスや脆弱なエンドポイントによって攻撃者の侵入経路が多数発生し、独自の設計、安全性が重要なパラメータ、個人データの漏洩リスクが増大する可能性があります。PMI-CPMAIのデータガバナンスに関するガイダンスでは、まさにこのリスクを軽減するために、集中型ポリシー、明確な管理体制、および制御されたデータフローを重視しています。
対照的に、オープンソースレビューのない独自ソフトウェア（A）は透明性に関する懸念を生じさせる可能性があるものの、必ずしもデータ漏洩の拡大を意味するものではありません。定期的なデータ更新の欠如（B）は、直接的なセキュリティ上の脅威というよりも、モデルのパフォーマンスやドリフトの問題です。オプションDは、リスクではなく、APIの保護とガバナンスの徹底という緩和策を説明しています。したがって、このシナリオにおける不正アクセスによる最大のセキュリティリスクは、分散型データストレージシステムの運用化です。

PMI-CPMAIは、AIの実施可否評価を、条件が十分であるかどうかを判断するための段階的な意思決定メカニズムとして明示的に含んでいます。CPMAIに準拠した実践では、利害関係者の目標に関する合意は必要条件ではありますが、十分条件ではありません。準備状況には、データの可用性、許可、プライバシーも含まれる必要があります。
法的制約、および許容可能なパフォーマンス指標を満たす実現可能性。ゴー/ノーゴー評価では、これらの前提条件を構造化されたレビューに取り込み、プロジェクト マネージャーが前提条件を文書化し、重要なギャップ (データ権利、保持制限、PII の取り扱いなど) を特定し、回避可能なコストや手戻りが発生する前に、続行するか、方向転換するか、または中止するかを決定できるようにします。モデル開発を時期尚早に開始すると (A)、データ アクセスやコンプライアンスが失敗した場合に、後続の手戻りが発生する可能性があります。基礎となるデータと法的実現可能性が不明な場合、展開計画 (C) に飛びつくことはさらに時期尚早です。コンピューティングを購入する (D) は、実現可能性ではなく容量に対応します。責任ある前進を可能にする PMI に準拠したアクションは、準備基準を使用した正式なゴー/ノーゴー ゲートです。

PMI-CPMAIは、認知AI機能と従来の自動化または非認知ソリューションを明確に区別しています。ガイダンスでは、ワークフロー内のすべてのタスクがAIの恩恵を受けるわけではないことを強調しています。
「プロジェクトリーダーは、ソリューションの複雑さを問題の複雑さに意図的に合わせ、認知AIは真に知覚、学習、または高度な意思決定支援を必要とするタスクに限定すべきである。」決定論的でルールベースの反復的なタスクについては、機械学習モデルではなく、従来の自動化技術（スクリプト、RPA、ルールエンジン、ワークフローシステム）を使用することが推奨される。
プロジェクトチームが、特定のタスク（単純なルーティング、フォーマット変換、決定論的検証など）には認知能力が不要であることを発見した場合、PMI-CPMAIは「認知タスクと非認知タスクを分離し、それぞれに最もシンプルで効果的なテクノロジーを適用する」ことを推奨しています。これにより、コスト、運用リスク、技術的負債が削減され、差別化された価値を提供する分野にAIエンジニアリングの取り組みを集中させることができます。非認知タスクにAIを適用すると、不必要な複雑さ、追加の監視およびガバナンスのオーバーヘッド、回避可能なモデルリスクが発生する可能性があります。インテリジェントな機能のみで進めたり、洞察に基づいて行動せずに従来のタスクを過剰に分析したりすると、この重要な最適化を見逃すことになります。
したがって、認知能力の要件に基づいてタスクを分類した後は、チームは非認知タスクには従来型の自動化ソリューションを活用し、認知能力が正当化される場合にのみAIの設計、データ、モデル作業に集中すべきである。これは、PMI-CPMAIが提唱する「目的に合った」技術選定と、責任ある効率的なAI導入という原則に合致する。