AIに判断は渡す、責任は渡さない ― 12,000件の証跡過多をさばくAWSマルチアカウント監査の設計

監査で直面したのは証跡の不足ではなく過剰でした。CloudTrail、Config、Security Hubなど7つのソースが少しずつ違う証跡を示し、何を正とするか決まらないまま都度判断していました。
証跡の確からしさを一次性・鮮度・網羅性・改竄耐性・再現性の5軸で定義し、決定的なルールでスコアリングしました。AIに任せたのは突合と判定で、スコア付けは任せていません。証跡間に矛盾がなく影響が可逆であることなどの受容条件を満たすものはAIの判断を正とし、1つでも欠ければ人へ回します。
12,000件の検知結果を重複排除した2,400件を、PoCでは人とAIで二重判定し、一致率91%は人同士の84%を上回りました。ただし、ここで測るのは監査の正確性ではなく一貫性です。本番では2,100件をAIに委ねて残り300件を人が精査。監査品質は5%のリスク加重サンプリングと、AIの誤受容3件からの基準改訂・母集団再判定で担保しています。
AIに判断を委任し、責任は基準を承認した人が負う。この責任分界が、AIを監査に組み込む条件です。スケールさせるのは人でもAIでもなく、AIへの委任範囲の設計です。