AI開発のためのGitHubワークフロー実践ガイド

第17章：コンプライアンスとガバナンス

AI開発においては、技術的な実装だけでなく、法的・規制的要件への対応が重要になります。この章では、GitHub を使用した AI プロジェクトにおけるコンプライアンスとガバナンスの実践方法を学びます。

17.1 ライセンス管理の基本

オープンソースライセンスの理解

AI開発では多くのオープンソースライブラリを使用するため、ライセンスの理解と管理が重要です：

主要ライセンス

  • MIT License: 商用利用可能、制限が少ない
  • Apache 2.0: 特許条項あり、商用利用可能
  • GPL v3: コピーレフト、派生作品も同ライセンス
  • BSD License: MIT類似、制限が少ない

GitHub でのライセンス管理

# ライセンススキャンの実行
npm audit
# または
pip-licenses

AI モデルのライセンス考慮

  • 学習データのライセンス確認
  • モデル出力の権利関係
  • 商用利用時の制限事項

17.2 Export Control対応

技術輸出規制の理解

AI技術は輸出管理規制の対象となる場合があります：

対象となる技術

  • 機械学習アルゴリズム
  • 暗号化技術
  • 軍事転用可能技術

GitHub での対応

# .github/workflows/export-control.yml
name: Export Control Check
on: [push, pull_request]

jobs:
  export_control:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v4
    - name: Check restricted countries
      run: |
        # 制限対象国からのアクセスチェック
        # 輸出管理対象技術の確認

17.3 AIツール利用時の知的財産権配慮

GitHub Copilot 利用時の注意点

コード生成時の権利関係

  • 生成されたコードの権利
  • 既存コードとの類似性チェック
  • 組織ポリシーとの整合性

設定とガイドライン

{
  "copilot": {
    "enable": true,
    "suggestions": {
      "matching_public_code": "block"
    }
  }
}

AIレビュー時の機密情報保護

  • コードレビューでの機密情報漏洩防止
  • AI学習データとしての利用制限
  • プライベートリポジトリでの利用

17.4 監査要件への対応

開発プロセスの透明性確保

Git履歴の保全

# 署名付きコミットの強制
git config --global commit.gpgsign true
git config --global user.signingkey <key-id>

変更履歴の記録

  • 全変更の追跡可能性
  • 承認フローの記録
  • レビュープロセスの文書化

コンプライアンス自動チェック

# .github/workflows/compliance.yml
name: Compliance Check
on: [push, pull_request]

jobs:
  compliance:
    runs-on: ubuntu-latest
    steps:
    - name: License Check
      run: |
        # ライセンス互換性チェック
        license-checker --summary
        
    - name: Security Scan
      run: |
        # セキュリティ脆弱性スキャン
        npm audit --audit-level high
        
    - name: Code Quality
      run: |
        # コード品質チェック
        sonar-scanner

17.5 ポリシー違反の検出と対応

自動検出システム

Secret Scanner の活用

# .github/workflows/secret-scan.yml
name: Secret Scanning
on: [push, pull_request]

jobs:
  secret_scan:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v4
    - name: Run secret scan
      uses: trufflesecurity/trufflehog@main

禁止されたライブラリの検出

// scripts/policy-check.js
const bannedPackages = [
  'package-with-gpl-license',
  'insecure-package'
];

function checkDependencies() {
  const packageJson = require('./package.json');
  const dependencies = Object.keys(packageJson.dependencies || {});
  
  const violations = dependencies.filter(pkg => 
    bannedPackages.includes(pkg)
  );
  
  if (violations.length > 0) {
    throw new Error(`Banned packages found: ${violations.join(', ')}`);
  }
}

インシデント対応手順

違反発見時の対応

  1. 即座の対応
    • 該当コードの無効化
    • アクセス権限の一時停止
    • 関係者への通知
  2. 調査と分析
    • 影響範囲の特定
    • 原因の究明
    • 再発防止策の検討
  3. 修正と報告
    • 修正対応の実施
    • ステークホルダーへの報告
    • プロセス改善の実施

まとめ

この章では、AI開発におけるコンプライアンスとガバナンスの重要性を学びました：

  • ライセンス管理: オープンソースライブラリの適切な利用
  • 輸出管理: 技術輸出規制への対応
  • 知的財産権: AIツール利用時の権利関係
  • 監査対応: 透明性と追跡可能性の確保
  • ポリシー遵守: 自動検出と対応手順

確認事項

  • ライセンス管理プロセスが確立されている
  • 輸出管理規制への対応策が準備されている
  • AIツール利用ガイドラインが策定されている
  • 監査要件への対応が整備されている
  • ポリシー違反の検出・対応手順が確立されている
  • 定期的なコンプライアンス確認が実施されている
Edit this page on GitHub