USJP Business Advisors LLC（以下「USJP」）は、クライアントの機密情報および個人データの保護を最重要事項と位置づけています。本方針は、データ保護および人工知能（以下「AI」）の利用に関し、全従業者が遵守すべき基準を定めるものです。ここでいうAIとは、生成AIおよび大規模言語モデル、機械学習、予測分析、エージェント型ツール、自動意思決定システムを含み、単独のツールか当社が利用許諾を受けるソフトウェアに組み込まれたものかを問いません。
- 承認済みツールの限定利用：AIの利用は、データを保持しない（ゼロデータリテンション）旨および顧客データを学習に使用しない旨を書面で定めた、承認済みの法人向けプラットフォームに限定します。当該プラットフォームは、通信時および保存時の暗号化、役割ベースのアクセス制御、監査ログを備えているものとします。個人向けアカウント、ブラウザ拡張機能、および未承認のAI利用（シャドーAI）は禁止します。
- データ最小化：クライアントの機密情報および個人データを取り扱えるのは、USJPが管理者（データコントローラー）であり、かつベンダーが当社データを学習に使用しない処理者（プロセッサー）として契約上拘束されている、承認済みの法人向けプラットフォームに限ります。従業者は、必要最小限の情報のみを、知る必要のある範囲で共有します。クライアント契約または秘密保持契約が第三者による処理を制限している場合、または機密性が特に高いデータ（個人識別情報、金融口座情報、M&A関連情報など）を扱う場合は、事前に情報の非識別化を行うか、クライアントの同意を取得します。
- 人による確認（ヒューマン・イン・ザ・ループ）：未検証のAI出力をクライアントに提出することはありません。コンサルタントが事実関係、出典、計算内容を検証し、偏りの有無を確認した上で、USJP自身の分析として編集し、その内容について専門家としての全責任を負います。検証を経て採用された文書は、「AIの出力」ではなく、USJPの成果物です。
- 法令遵守とガバナンス：当社は、CCPA／CPRAを含む米国および カリフォルニア州のプライバシー関連法を遵守し、NIST AIリスクマネジメントフレームワークに準拠するとともに、ベンダーのデューデリジェンス、記録の保存、安全な廃棄、インシデント対応の各手続を整備・維持します。
- 継続的改善：AIの機能および脅威の変化に応じて、管理体制、ツールの承認、および従業者への年次研修を定期的に見直します。
