AIベンダー選定の15問フレームワーク：レッドフラグとグリーンフラグで見極める

「できます」の一言が、どれほど危険かご存じでしょうか。 AIベンダーの選定で機能一覧と価格だけを比較すると、契約後に監査・法務・移行コストが顕在化し、総コストが逆転するケースが少なくありません。ある企業では、選定時に最安だったベンダーが、半年後にはデータ移行費用と監査対応コストを含めると最も高い選択肢になっていました。本稿では、15の質問を5つのカテゴリに体系化し、各質問に「レッドフラグ（リスク兆候）」と「グリーンフラグ（品質兆候）」を設定した選定フレームワークをご紹介します。

図1: 15問フレームワークは5つの評価カテゴリでベンダーを多角的に検証する

機能比較だけでは見えないリスク

AIベンダーの選定において、機能一覧と価格だけで比較すると、契約後に予想外のコストが発生することがあります。監査対応、法務レビュー、データ移行――こうした「後工程のコスト」は、選定段階では見えにくいものです。

NIST（米国国立標準技術研究所）のAI Risk Management Framework（AI RMF 1.0）は、AIリスク管理をGovern（統治）・Map（リスク特定）・Measure（計測）・Manage（統制）の4機能で体系化しています。ベンダー評価においても「機能の有無」ではなく「リスク統制能力」を軸にすべき構造を示しています。

さらにNISTは2024年7月に「Generative AI Profile（NIST-AI-600-1）」を公開し、生成AI固有のリスク（誤情報生成、データ漏えい、サプライチェーンリスク）をRMFに接続する追加評価項目を提示しました。

15問の評価フレームワーク

5つの評価カテゴリに各3問、計15問で構成します。各質問に対して要求証跡、レッドフラグ（リスク兆候）、グリーンフラグ（品質兆候）を設定します。

能力（Q1〜Q3）

• 要求証跡: 実績事例・手順書
• レッドフラグ: 「汎用AIなので何でもできます」と回答する
• グリーンフラグ: 類似案件の手順と結果を証跡付きで提示する

• 要求証跡: 評価レポート・テスト結果
• レッドフラグ: 「精度は高いです」と定量根拠がない
• グリーンフラグ: 評価指標、テストデータ、計測手順を文書化している

• 要求証跡: 改善サイクルの文書・実績
• レッドフラグ: 「ご要望に応じて対応します」のみ
• グリーンフラグ: 定期レビューの頻度・改善基準・エスカレーション手順を明示している

リスク（Q4〜Q6）

• 要求証跡: データ利用ポリシー・契約条項
• レッドフラグ: 「利用しない方針です」と口頭のみ
• グリーンフラグ: 契約書にデータ利用範囲が明記され、オプトアウト条項がある

• 要求証跡: データフロー図・インフラ構成
• レッドフラグ: 「クラウドに保存しています」と詳細が不明
• グリーンフラグ: 保存リージョン、暗号化方式、国外移転の法的根拠を文書化している

• 要求証跡: 契約書の責任条項ドラフト
• レッドフラグ: 「SLAで対応します」と具体条項がない
• グリーンフラグ: 誤出力時の責任範囲、損害賠償上限、免責条件が契約書に明記されている

運用（Q7〜Q9）

• 要求証跡: SLA文書・モニタリング方法
• レッドフラグ: 「99.9%の可用性を目指します」と計測方法が不明
• グリーンフラグ: 可用性、応答時間、障害対応時間の定義と計測ツールを明記している

• 要求証跡: インシデント対応手順書
• レッドフラグ: 「速やかに対応します」と具体期限がない
• グリーンフラグ: 検知→通知→初動→復旧の各フェーズに時間基準を設定している

• 要求証跡: ログ仕様書・保存ポリシー
• レッドフラグ: 「ログは取っています」と範囲が不明
• グリーンフラグ: 取得項目、保存期間、アクセス権限、改ざん防止策を文書化している

費用（Q10〜Q12）

• 要求証跡: 費用見積の内訳明細
• レッドフラグ: 「追加費用は基本的にありません」
• グリーンフラグ: API従量、ストレージ超過、サポート階層、監査対応の追加費用を一覧化している

• 要求証跡: 料金テーブル・シミュレーション
• レッドフラグ: 利用量増で「応相談」のみ
• グリーンフラグ: 従量単価、ボリュームディスカウント、上限設定のモデルを提示している

• 要求証跡: 効果測定フレームワーク・類似事例
• レッドフラグ: 「ROI 300%が期待できます」と根拠が不明
• グリーンフラグ: 効果指標の定義、計測手順、類似案件の実績データを提示している

撤退（Q13〜Q15）

• 要求証跡: データ可搬性ポリシー・契約条項
• レッドフラグ: 「終了後に削除します」と形式が不明
• グリーンフラグ: 返却形式（CSV/API等）、削除証明、返却期限を契約書に明記している

• 要求証跡: 移行支援SLA・手順書
• レッドフラグ: 「移行はお客様側で対応いただきます」
• グリーンフラグ: 移行支援期間、データ変換ツール、技術支援の範囲を文書化している

• 要求証跡: 削除証明書テンプレート
• レッドフラグ: 「一定期間後に自動削除されます」と証明がない
• グリーンフラグ: 保持期間の明記、削除完了証明書の発行手順を契約に組み込んでいる

日本市場での補足要件

国内ガイドライン整合

経済産業省は「AI事業者ガイドライン（第1.1版）」（2025年3月28日公表）で、AI提供者・利用者の説明責任とガバナンス整備を更新しました。日本市場でのベンダー選定では、このガイドラインへの対応状況を確認項目に加えることをお勧めします。

また「AIの利用・開発に関する契約チェックリスト」（2025年2月18日公表）は、契約条項レビューの実務チェック観点を提供しており、選定段階で責任分界やデータ利用条件を確認する際の参照基準になります。

EU AI Act との整合

EU AI Act（Regulation (EU) 2024/1689）は、AIシステムをリスク区分に応じて規制し、供給者と導入者に異なる義務を課しています。EU市場に関係するサービスを評価する場合は、リスク区分の該当性と供給者義務の充足を追加確認してください。

評価プロセスの全体フロー

準備→評価→判定の3ステップで選定プロセスを運用します。

準備段階では、自社の業種特性やリスク許容度に応じて5カテゴリの重み付けを設定します。たとえば金融業であればリスクと運用の比重を高め、スタートアップであれば能力と費用に重点を置くといった調整が有効です。最低基準（後述する判断フローの「ゲート」）もこの段階で定義しておきます。

選定判断フロー

最低基準ゲートを先に置き、総合スコアだけで採択しない判断構造を設計します。

この判断フローで最も重要なのは、最低基準ゲートの存在です。リスク領域にレッドフラグが2件以上ある場合、撤退領域でデータ可搬性の証跡がない場合、法令順守に未対応項目がある場合は、総合スコアがどれほど高くても不採用とします。スコアだけの比較では、こうした構造的リスクを見落としてしまうためです。

図4: グリーンフラグが多いベンダー（左）とレッドフラグが目立つベンダー（右）の評価対比

採点方法

スコアリング基準

各質問を1〜5点で採点します。採点の重みは「回答内容」よりも「検証可能性（証跡提出の有無）」を重くします。

あわせて読みたい

• BPOベンダー比較の技術：提案書リテラシーで見極める12項目チェック
• AI導入90日計画：最小実行可能AI運用から始めるフェーズ設計
• AI条項を含む業務委託契約レビュー：AI条項成熟度モデルで段階的に強化する

まとめ：AIベンダー選定の3原則

1. 証跡提出可否を評価軸に加えます。 「できます」という回答ではなく、評価方法・証跡・責任分界まで回答できるかで実行能力を見極めます。契約後に検証できない約束は選定段階で除外してください
2. 最低基準ゲートを先に置きます。 リスク、撤退、法令順守の各領域に最低基準を設定し、未達の場合は総合スコアに関係なく不採用とします。スコアだけの比較は後工程のリスクを見落としやすいためです
3. 5領域を網羅して盲点を防ぎます。 能力・リスク・運用・費用・撤退の5段階で評価し、価格や機能だけに偏らない総合判定を行います。規制産業では法令順守の比重を引き上げてください

あなたの組織では、ベンダー選定の際にどの領域に最も不安を感じますか。そこがおそらく、最低基準ゲートを最初に設定すべきポイントです。

この記事の著者

Agentic Base 編集部

AIエージェントとWebメディア運用の知見を活かし、実践的なナレッジを発信しています。